Sicherheit & Datenschutz

Zuletzt aktualisiert: September 2026

MXterm Pro lädt weder Ihre SSH-Passwörter noch Terminal-Ausgaben oder Agent-Transkripte hoch. Es sendet nur wenige, unten aufgelistete Daten an mxterm.net und Google Analytics, und die Nutzungsberichte können Sie ausschalten. Es ist keine Sandbox. Ein Pane ist so mächtig wie die Shell dahinter, und das schließt jeden KI-Agent darin ein.

Wann MXterm Pro die falsche Wahl ist

Die Schutzfunktionen hier passen zu Entwicklern, die Agents in Repositories laufen lassen, die sie zurücksetzen können, und die sehen wollen, was die App sendet. Agents bekommen echte Shells, und Sie entscheiden, wie weit Sie jedem einzelnen vertrauen. Manche Anforderungen erfüllt ein anderes Werkzeug besser.

• Sie brauchen eine harte Grenze um nicht vertrauenswürdige Agent-Ausgaben. Nutzen Sie einen Container oder eine virtuelle Maschine, denn ein Pane hat hier den vollen Zugriff Ihres Benutzerkontos.
• Ihre Richtlinie verbietet jede ausgehende Verbindung. Keine Einstellung schaltet die Update-Prüfung oder die Anfrage nach den Limits des Free-Tarifs ab. Sie können mxterm.net in Ihrer Firewall sperren, und die App läuft weiter.
• Sie brauchen ein Windows-Installationsprogramm mit Authenticode-Signatur. Das aktuelle ist nicht signiert.
• Sie brauchen Linux. Es gibt keine Linux-Version.

Was Ihren Rechner verlässt

Diese Tabelle listet, was die App von sich aus sendet. Bei jeder Anfrage sieht der empfangende Server außerdem Ihre IP-Adresse. Die Berichte hinter dem Schalter enthalten nie Terminal-Ausgaben, Befehle, Dateipfade, SSH-Hosts oder Lizenzschlüssel, und eine Prüfung verwirft jeden Payload, der einen Begriff aus einer solchen Liste enthält.

Builds, die Sie selbst kompilieren, enthalten keinen der Schlüssel für die Berichte, stellen aber trotzdem die Anfragen für Updates und Limits. Der Schalter wird vor jedem Senden neu gelesen. Die Telemetrie-Referenz listet jedes Feld auf.

Zwei Dinge stehen außerhalb der Tabelle. Werkzeuge, die Sie in einem Pane starten, etwa Claude Code oder Codex, rufen ihre Anbieter selbst auf. Alles, womit Sie sich verbinden, etwa ein SSH-Host, ein Rechner oder eine Seite in der Vorschau-Spalte, erhält, was Sie ihm senden. Die App selbst stellt keine Anfrage an ein KI-Modell: Command Recipes (⌘J) ist eine lokale Schlagwort-Tabelle.

Was auf Ihrem Rechner bleibt

MXterm Pro hat kein Cloud-Konto, alles, was es speichert, liegt also auf Ihrem Rechner. Die folgende Liste zeigt, wo welche Daten liegen und wie sie geschützt sind.

Was ein Agent-Pane kann

Ein Agent-Pane ist ein echtes Terminal, in dem das Kommandozeilenwerkzeug des Agents in Ihrem Ordner läuft, als Ihr Benutzer. Es kann die Dateien lesen und löschen, die Sie lesen und löschen können, Ihre Git-Zugangsdaten nutzen und Ihr Netzwerk erreichen. MXterm Pro fügt dem, was ein Agent ausführt, keine Berechtigungsebene hinzu.

Bypass Mode

Bypass Mode ist ein Kontrollkästchen im Workspace-Composer für neue Tabs und standardmäßig aus. Ist es an, hängt es beim Start des Panes das eigene Flag des Agents zum Überspringen der Freigabe an, und dieser Agent führt dann Befehle aus und ändert Dateien, ohne zu fragen. Ältere Versionen hatten es standardmäßig an; Installationen, die das nie geändert haben, starten jetzt mit ausgeschaltetem Bypass Mode.

Die Tabelle zeigt einige davon. Vierzehn Agents haben ein eigenes Flag, und Goose nutzt eine Umgebungsvariable, die nur in den Einstellungen gesetzt wird. Agents mit keinem von beiden bekommen nichts, daher ändert die Einstellung bei ihnen nichts.

Die Prüfung Ihrer eigenen Eingabe

Was Sie selbst tippen, durchläuft eine einzige Prüfung. Enthält eine Zeile, die Sie tippen oder einfügen, einen Eintrag aus einer kurzen, festen Liste, etwa rm -rf / oder git push --force, erscheint zuerst eine Rückfrage. Die Liste besteht aus wenigen Teilstrings, andere Schreibweisen kommen also durch. Was ein Agent von sich aus ausführt, prüft sie nicht.

Was der MCP-Server einem Agent erlaubt

MXterm Pro betreibt einen lokalen MCP-Server, damit Agents Teile der App steuern können. Er hat acht Tools, und keines davon liest die Ausgabe eines anderen Panes.

Ein Tool verdient Vorsicht. mxt_room.send im Execute-Modus tippt Text in das Terminal eines anderen Agents im selben Raum. Es kann den Moderator nicht ansprechen, ist auf 20 Nachrichten pro Minute und 8.192 Byte begrenzt, und der empfangende Agent erfährt, dass der Text eine Übergabe von einem anderen Agent ist und nicht von Ihnen. Dateireservierungen gelten nur als Hinweis: Nichts blockiert einen Schreibzugriff.

Das Sitzungs-Token und die Dateien, die es betrifft

Das Sitzungs-Token jedes Panes ist seine Terminal-ID, eine zufällige UUID. MXterm Pro exportiert es als MXTERM_SESSION in die Umgebung des Panes, sodass jedes Programm in diesem Pane es lesen kann. Der Server lauscht nur auf loopback. Jedes lokale Programm kann den Port erreichen, aber jeder Aufruf braucht das Token eines laufenden Panes, und sobald Sie das Pane schließen, wird das Token ungültig.

Damit Agents den Server finden, ändert die App bei jedem Start Konfigurationsdateien außerhalb ihres eigenen Ordners. Sie fügt einen Eintrag mxterm in ~/.claude.json, ~/.codex/config.toml und ~/.omp/agent/mcp.json ein und legt die Dateien an, falls sie fehlen. Außerdem hängt sie eine Zeile an ~/.zshrc an, wenn diese Datei existiert. Keiner dieser Einträge enthält ein Geheimnis, und sie bleiben nach dem Beenden bestehen.

Gemini CLI kann das Token nicht aus der Umgebung lesen. Für ein Gemini-Pane wird das aktuelle Token in .gemini/settings.json im Projekt geschrieben, und MXterm Pro trägt diesen Pfad in die .gitignore des Projekts ein, damit er nicht versehentlich committet wird.

Worktrees und was sie nicht leisten

Git Worktrees geben jedem Agent einen eigenen Branch und Ordner unter .worktrees. Das verringert die Wahrscheinlichkeit, dass die Änderung eines Agents mit der eines anderen kollidiert. Sie machen einen fehlerhaften Befehl innerhalb eines Worktrees nicht rückgängig, und sie hindern einen Agent nicht daran, Dateien außerhalb zu erreichen. In einem Repository ohne Commits legt die Worktree-Isolierung zuerst einen Initial commit an, der nur eine leere Datei .gitkeep enthält, und sonst wird nichts im Ordner committet. Die Worktree-Anleitung erklärt den Mechanismus.

Fernzugriff

Der Host-Server, über den ein anderes Gerät Ihre Panes steuern kann, ist aus, bis Sie in Einstellungen → Fernzugriff & Geräte auf Server starten klicken. Die Einstellung „Host-Server starten, wenn MXterm geöffnet wird“ ist standardmäßig aus. Schalten Sie sie ein, startet der Server bei jedem Öffnen von MXterm und versucht es bis zu 5 Minuten lang erneut, bis das Netzwerk bereit ist. Er bindet sich an eine Tailscale-Adresse, wenn der Mac eine hat, und auch an seine Adressen im privaten Netzwerk, wenn Sie „Geräte in meinem lokalen Netzwerk zulassen“ eingeschaltet haben, sonst nur an diesen Mac selbst. An eine öffentliche Adresse bindet er sich nie.

Die Freigabe gilt pro Pane und ist standardmäßig aus. Sie geben ein Pane nur zum Ansehen oder mit Steuerung frei, für 30 Minuten, 1 Stunde, 8 Stunden oder bis Sie sie beenden. Ein gekoppeltes Gerät sieht nur freigegebene Panes und kann nur in einem Pane tippen, das mit Steuerung freigegeben ist; schreiben kann immer nur ein Gerät gleichzeitig. Im Free-Tarif können standardmäßig höchstens 5 Panes gleichzeitig geteilt werden. MXterm Pro ist so gebaut, dass es Ihre Freigaben nach einem Neustart wiederherstellt, sobald jedes Pane wieder läuft, und jede Freigabe verwirft, die es nicht verifizieren kann.

Ein neues Gerät koppelt sich mit einem sechsstelligen Code, der nach 5 Minuten abläuft und nur einmal gilt, und wiederholt falsche Codes sperren das Koppeln für 5 Minuten. Sie können außerdem ein Zugangspasswort einschalten, mit dem sich ein neues Gerät statt mit einem Code mit dem Passwort koppelt. Es wird über Tailscale akzeptiert und, wenn Sie den Zugriff im lokalen Netz erlauben, über das lokale Netz, wo es nicht verschlüsselt ist. Es ist standardmäßig aus. Mit einer Free-Lizenz lässt sich ein temporäres Passwort für bis zu 8 Stunden festlegen (Mindestlänge 6 Zeichen); ein dauerhaftes Passwort ohne Zeitlimit und temporäre Passwörter von bis zu 7 Tagen brauchen Pro. Gerätetokens haben 256 Bit, liegen auf dem Host als Hashes, laufen nach 30 Tagen Inaktivität ab und lassen sich sofort widerrufen. Im Free-Tarif kann standardmäßig 1 anderer Computer gekoppelt werden, um diesen zu steuern; die MXterm-App auf dem Smartphone und Browser zählen nicht.

Solange der Host-Server läuft und mindestens ein Pane freigegeben ist, hindert MXterm Pro den Computer daran, von selbst in den Ruhezustand zu gehen, damit ein gekoppeltes Gerät ihn weiter erreicht. Der Bildschirm kann sich trotzdem ausschalten, und ein Ruhezustand, den Sie selbst auslösen, etwa durch Zuklappen des Deckels im Akkubetrieb, tritt trotzdem ein. Das ist standardmäßig an und hat einen Schalter in Einstellungen → Fernzugriff & Geräte. Die Funktion gibt es für macOS und Windows; unter Windows ist sie nicht verifiziert.

Der Server spricht Klartext-HTTP und WebSocket und fügt kein eigenes TLS hinzu. In einem lokalen Netzwerk könnten andere darin den Datenverkehr mitlesen, und die Einstellungen warnen Sie davor. Tailscale verschlüsselt Verbindungen zwischen Ihren Geräten, eine Tailnet-Adresse ist also die sicherere Wahl. Welche Adresse MXterm Pro verwendet erklärt die Reihenfolge.

Lizenzprüfungen

Eine Lizenz ist ein mit Ed25519 signiertes Token. Die App prüft seine Signatur bei jedem Start auf Ihrem Rechner gegen einen in die App eingebauten öffentlichen Schlüssel. Sind Sie online, fragt sie außerdem bei mxterm.net nach, ob die Lizenz noch gültig ist, beim Start und etwa einmal am Tag. Nichts läuft ab: Das Token enthält ein Ausstellungsdatum als Herkunftsnachweis, und die App vergleicht es nie mit der Systemzeit.

Das Aktivieren eines eingefügten Schlüssels und die regelmäßige erneute Prüfung sind die Lizenzschritte, die das Netzwerk nutzen. Die App sendet den Schlüssel, einen Rechner-Fingerabdruck, den Hostnamen Ihres Computers, die App-Version und die Plattform an mxterm.net, das den Platz zählt und das signierte Token zurückgibt. Der Fingerabdruck ist ein gekürzter SHA-256-Hash der Hardware-ID, und die ID selbst wird nicht gesendet.

Deaktivieren gibt den Platz auf dieselbe Weise frei, und mit einem eingefügten signierten Token aktivieren Sie die Lizenz offline. Eine erneute Prüfung, die fehlschlägt oder Sie offline antrifft, ändert nichts. Nur eine eindeutige Antwort, dass die Lizenz oder der Platz nicht mehr existiert, zweimal hintereinander gegeben, entzieht Pro. Plätze werden nur beim Aktivieren gezählt.

Downloads, Signierung und Updates

Der macOS-Build ist mit einem Developer-ID-Zertifikat signiert, nutzt die Hardened Runtime und ist von Apple notarisiert; das Notarisierungsticket ist angeheftet (stapled). Er ist ein Universal Binary. Er hat keine App Sandbox und keine Entitlements. Prüfen Sie es selbst: Vergleichen Sie den SHA-256 der DMG mit dem Wert im Changelog und führen Sie dann spctl -a -t exec -vv auf der App aus. Die Zeile „source“ sollte Notarized Developer ID lauten.

Ein Update wird erst nach Ihrem Klick heruntergeladen. Der Updater prüft dann eine minisign-Signatur gegen den öffentlichen Schlüssel in der App, bevor irgendetwas installiert wird. Diese Prüfung ist von Apples Signierung getrennt und schützt Updates auf beiden Plattformen.

Das Windows-x64-Installationsprogramm ist mit Authenticode nicht signiert, daher zeigt SmartScreen beim ersten Start Unbekannter Herausgeber. Die Windows-Unterstützung ist neu. Unter Windows sind nicht verifiziert: der Zugangsdatenspeicher, das SSH-Dateipanel und Tunnel, die Agent-Erkennung in normalen Panes sowie der Remote-Host-Server und sein Keep-awake.

Das App-Fenster setzt keine Content Security Policy. Es lädt nur Code, der in der App gebündelt ist, und Seitenvorschauen öffnen sich in getrennten Webviews.

Berechtigungen, die die App anfragt

Unter macOS sehen Sie möglicherweise diese Abfragen.

• Ordnerzugriff für Schreibtisch, Dokumente und Downloads, wenn eine Shell in einem Pane darauf zugreift. Der Abfragetext sagt, warum.
• Mitteilungen, wenn die App zum ersten Mal ein Agent-Banner sendet.
• Bei Anmeldung öffnen, nur wenn Sie es in Einstellungen → Allgemein einschalten. macOS führt es unter „Anmeldeobjekte“.
• Die gespeicherte Anmeldung von Claude Code lesen, nur nachdem Sie in Einstellungen → Token Meter die Tarif-Limits aktiviert haben.

Auf dem Mac nutzt die App das Mikrofon nur, wenn Sie die Diktiertaste drücken, und meldet keine Nutzung von Kamera oder Standort an. Die Smartphone-App nutzt die Kamera nur zum Scannen eines Kopplungs-QR-Codes oder für ein Foto, das Sie an Ihren eigenen Computer senden, und das Mikrofon nur, wenn Sie zum Diktieren auf das Mikrofon tippen.

Was MXterm Pro nicht verspricht

Es sperrt weder ein Terminal noch einen KI-Agenten darin in eine Sandbox und schränkt sie auch nicht ein. Es verspricht nicht, dass Worktrees, Dateireservierungen oder die Prüfung der getippten Eingabe Datenverlust verhindern. Sie verringern das Risiko; Garantien sind sie nicht.

FAQ zur Sicherheit

Fragen zur sicheren Nutzung? Schreiben Sie an support@mxterm.net. Siehe auch die Datenschutzerklärung.