Der macOS-Agent

Das Telefon fragt. Der Mac entscheidet.

Fernzugriff, den man nicht prüfen kann, ist Vertrauen auf Zuruf. Alles auf dieser Seite wird auf dem Mac eingestellt, im Fenster des Agenten — und die App in Ihrer Tasche kann es weder ändern noch sich davor verstecken.

Was der Besitzer in der Hand hat

Neun Schalter, die man sieht — nicht neun Versprechen, die man glauben muss.

Kopplung

Ein Gerät kommt einmal herein, durch Ihre Hand

Der Agent zeigt einen QR-Code und einen tippbaren Code mit einem Einmalgeheimnis. Die Einladung läuft ab und stirbt beim ersten Gebrauch.

Beide Seiten berechnen den Kanal-Fingerabdruck und zeigen ihn. Die Kopplung gelingt erst, wenn Sie ihn auf beiden bestätigen; eine Abweichung bricht ab und landet im Sicherheitsprotokoll.
Der Agent führt die Liste: Name, Gerätetyp, Kopplungsdatum, letzte Verbindung, Fingerabdruck.
Widerrufen Sie ein Gerät, brechen seine laufenden Verbindungen sofort ab, seine Zugangsmaterialien gelten nicht mehr, und die App löscht ihren Zwischenspeicher dieses Macs.
Das alles funktioniert im lokalen Netz ganz ohne fremde Infrastruktur.

Sichtbereich

Der Mac gibt Ordner heraus, kein Dateisystem

Sie melden ein Verzeichnis unter einem menschlichen Namen an. Alles ausserhalb existiert für das Telefon nicht.

Jede Datei-, Such- und Git-Operation wird gegen diese Grenze geprüft — nachdem symbolische Links aufgelöst sind. Ein Link nach draussen wird so keine Tür.
Ein Arbeitsbereich kann schreibgeschützt sein. Ein einzelner Ordner oder eine Datei darin ebenso; widersprechen sie sich, gilt der strengere Modus.
Die Regeln werden auf dem Mac gesetzt und nirgends sonst. Das Telefon erfährt den geltenden Modus und zeigt ihn, bevor Sie schreiben wollen.
Ein Schalter entscheidet, ob die Dateien eines Bereichs den Mac überhaupt verlassen dürfen. Verboten heisst: nicht auf dem Gerät gespeichert, nicht einmal zum Speichern angeboten, nicht an andere Apps gegeben — und früher Gespeichertes wird gelöscht.
Löschen Sie einen Bereich, schliessen alle daran hängenden Sitzungen mit ihm.

Berechtigungen

Nichts Gefährliches ist ab Werk eingeschaltet

Prozesse beenden, langlaufende Prozesse verwalten, ein Geheimnis in eine sudo-Abfrage tippen, eine Terminalsitzung des Mac fortsetzen, lokale Server ansehen, Datenbanken ändern und die Datenbanken von Apps in den iOS-Simulatoren lesen sind sieben getrennte Schalter — und alle sieben stehen auf aus.

Das Ausschalten wirkt sofort: eine laufende Anfrage wird abgelehnt, während verwaltete Prozesse weiterlaufen und auf dem Mac sichtbar bleiben.
Eine Ablehnung nennt ihren Grund. «Auf dem Mac ausgeschaltet» ist von «nicht berechtigt» und «nicht Ihr Prozess» unterscheidbar — und die App sagt, wo der Schalter sitzt.
Das Geheimnis für sudo wird per Face ID auf dem Gerät freigegeben und reist als eigene Operation, nicht als Tastenanschläge im Strom. Der Besitzer erlaubt das gesondert; ab Werk ist es aus.
Ein schreibgeschützter Bereich gilt auch für das Terminal — samt der Prozesse, die es startet. Lässt sich das nicht durchsetzen, wird es gesagt statt stillschweigend angenommen.

Reichweite

Ein Gerät zur Zeit, solange Sie nichts anderes sagen

Voreingestellt arbeitet genau ein Gerät mit dem Agenten. Die Einstellung reicht von eins bis fünf oder ganz ohne Grenze. Den Platz belegt das Gerät, nicht die Verbindung.

Ein Gerät über der Grenze wird mit genanntem Grund abgewiesen — nicht stillschweigend fallen gelassen.
Das Relay lässt sich je Agent verbieten: nur direkt und lokal — oder gar nicht.
Die Liste der Rendezvous-Knoten ist eine Einstellung des Agenten, nicht etwas, das in der App steckt. Eine leere Liste heisst: nur lokales Netz — eine unterstützte Betriebsart, kein Defekt.
Ein Knoten aus dem veröffentlichten Verzeichnis kommt nur durch Ihre Handlung in die Arbeitsliste. Der Abruf des Verzeichnisses lässt sich abschalten, und das Produkt bleibt ohne es voll benutzbar.

Standortschranke

Nur ein Gerät, das sagt, wo es ist

Eingeschaltet baut nur ein Gerät eine Verbindung auf, das seinen Standort nennt. Ein Gerät mit abgeschalteter oder verweigerter Ortung wird abgewiesen — mit Grund und mit dem Hinweis, wo man sie einschaltet.

Der Ort wird mit seiner Genauigkeit und dem Vermerk «laut Gerät» ins Zugriffsprotokoll geschrieben — denn genau das ist er: behauptet, nicht geprüft. Der Agent tut nicht so, als wäre es anders.
Eine Abweisung wegen fehlenden Ortes wird genauso festgehalten wie eine Zulassung. Die Schranke hinterlässt in beiden Fällen eine Spur.
Es ist eine Schranke, kein Tracker: bewahrt wird, was das Gerät im Moment der Verbindung sagte — und nichts dazwischen.

Zugriffsprotokoll

Jede Operation — und niemals ihr Inhalt

Der Agent hält fest, worum ein verbundenes Gerät gebeten hat: Zeitpunkt, Gerät, Art der Operation, Ausgang und den Gegenstand, den die Anfrage selbst genannt hat.

Der Gegenstand ist der Pfad, der Branch, der Prozess, der Suchtext, die übertragenen Bytes — was die Anfrage eben nannte.
Verbinden und Trennen stehen neben den Operationen im Protokoll.
Niemals: Dateiinhalte, Befehlsausgaben, Terminaleingaben oder ein Wort aus einem KI-Gespräch. Auf keiner Detailstufe.
Dieselbe Operation am selben Gegenstand vom selben Gerät innerhalb eines Fensters erhöht einen Zähler, statt eine Zeile anzuhängen.
Begrenzt nach Alter und Umfang; die ältesten Einträge gehen zuerst.
Filtern nach Gerät, Art und Teil des Gegenstands. Als Datei exportieren. Abschalten — und das Abschalten steht selbst im Protokoll.
Ein Schreibfehler bricht die Operation nie ab und verzögert sie nicht.
Das Protokoll kennt keine Leseoperation. Es lässt sich weder vom Telefon noch von uns noch von sonst jemandem abholen: gelesen wird es am Mac, von dem, der davor sitzt.

Kopien

Der Mac erfährt, was aus der herausgegebenen Datei wurde

Das Gerät meldet das Schicksal des Empfangenen: auf dem Gerät behalten, an eine andere App gegeben, gelöscht.

Nennt das System die empfangende App, nennt der Bericht sie mit.
Ein gemeldeter Eintrag ist als gemeldet markiert und bleibt von dem unterscheidbar, was der Agent selbst beobachtet hat — im Protokoll wie in der Oberfläche.
Der Bericht übersteht einen Verbindungsabbruch und kommt mit der nächsten Verbindung an.
Und die Oberfläche sagt das Unangenehme laut: kein Bericht heisst nicht, dass es keine Kopie gibt. Eine Garantie, die niemand durchsetzen kann, wird hier nicht als Garantie verkauft.

Apple Watch

Die Uhr bekommt einen eigenen Schlüssel, und Sie zeichnen dafür

Die Uhr hat ein eigenes Schlüsselpaar. Ihre Vollmacht delegiert das iPhone, und der Agent nimmt diese Delegation erst an, wenn Sie sie am Mac bestätigen.

Die Delegation hat eine Laufzeit und erneuert sich bei Kontakt mit dem iPhone.
Ein Widerruf des iPhones entwertet alles, was es delegiert hat.
Was das Handgelenk darf, entscheidet das Risiko: Ablehnen geht immer; Zustimmen bei niedrigem Risiko, bei mittlerem mit einer Kronendrehung, bei hohem nur am Telefon. Eine nur heuristisch erkannte Anfrage lässt sich von der Uhr allein bei niedrigem Risiko bestätigen.
Dateioperationen und Git gibt es an der Uhr überhaupt nicht.

Energie

Der Mac bleibt wach, weil ein gesperrter Mac nicht helfen kann

Solange der Agent läuft, hält er den Mac von der Bildschirmsperre ab. Ein gesperrter Mac kann seine Schlüssel nicht zusammensetzen, und die Verbindung kommt nicht zustande — deshalb ist das eine Voreinstellung, keine feste Regel.

Das Wachhalten lässt sich abschalten; dann weist ein gesperrter Mac Verbindungen ab und nennt genau diesen Grund, statt in einen allgemeinen Fehler zu laufen.
Ein eigenes Protokoll privilegierter Operationen führt der Agent auf dem Mac, getrennt vom Zugriffsprotokoll.

So sieht eine Protokollzeile aus

Am Mac gelesen, am Mac geblieben — und ausführlicher wird es nicht.

14:32:09  iPhone «Denis»  files.read    ~/projects/api/docs/audit.md
14:32:11  iPhone «Denis»  files.keep    auf dem Gerät behalten — laut Gerät
14:33:40  iPhone «Denis»  git.commit    api · main · 4 Dateien
14:41:02  Apple Watch     ai.decide     Codex · erlaubt · Risiko low
14:52:18  iPhone «Denis»  connect       Phuket ±40 km · laut Gerät
15:02:55  iPad «Studio»   files.write   abgelehnt — Bereich ist schreibgeschützt

Keine Dateiinhalte. Keine Befehlsausgaben. Keine Terminaleingaben. Kein KI-Gespräch. Nicht, weil wir sie aus der Datei weggelassen hätten — sondern weil der Agent sie gar nicht erst hineinschreibt.

Warum das die Hälfte ist, für die man zahlt

Jedes Fernzugriffswerkzeug bittet um Vertrauen. Die meisten antworten «wir sehen Ihre Daten nicht an» und überlassen Ihnen den Glauben daran.

Hier ist die Antwort eine Bauform und kein Satz. Die Rechte liegen auf der Maschine, die Ihnen gehört. Die Grenze wird dort geprüft: nach den Links, vor der Operation. Die Aufzeichnung bleibt dort, und das Protokoll kennt kein Verb, mit dem man sie forttragen könnte.

Das Abo öffnet Entfernung und Menge. Es verkauft Ihnen keine Richtlinie — die war die ganze Zeit Ihre.

Was das an einem Arbeitstag bringt · die Fragen, die als Nächstes kommen

Ihre Maschine.
Ihre Regeln. Ihre Aufzeichnung.

Laden Eigenen Knoten betreiben

Kostenlos für einen Mac im eigenen Netz.