Tsuba Datenschutz
Was Tsuba auf deinem Mac speichert, was es wann über das Netzwerk sendet und was es nie tut.
- Aktualisiert
Kurz gesagt: Tsuba hat kein Konto, keine Telemetrie, keine Nutzungsstatistiken und keine Absturzberichte. Was es aufzeichnet, bleibt auf deinem Mac. Online geht es nur, um den Code zu prüfen, der gerade vor ihm liegt, und um seine Threat Intel aktuell zu halten, und der KI-Schritt bleibt aus, bis du ihn einrichtest.
Was auf deinem Mac bleibt
Alles, was Tsuba aufzeichnet, liegt in ~/.tsuba in deinem Benutzerordner:
- Einstellungen, einschließlich API-Schlüsseln, die du hinzufügst
- der Verlauf jeder Prüfung samt Belegen
- Dateien in Quarantäne (
~/.tsuba/quarantine) - heruntergeladene Threat Intel (
~/.tsuba/intel)
Nichts davon wird irgendwohin hochgeladen. Um alles zu entfernen, was Tsuba gespeichert hat, lösche ~/.tsuba.
Was deinen Mac verlässt, und wann
| Was gesendet wird | Empfänger | Wann |
|---|---|---|
| Namen und Versionen der Abhängigkeiten eines Projekts | OSV, die offene Schwachstellendatenbank | Wenn du ein Projekt installierst oder scannst, um die Pakete in Listen bekannter bösartiger Pakete nachzuschlagen |
| Ein Paketname | Die npm-Registry | Um zu prüfen, wie neu ein Paket ist und ob es Install-Skripte ausführt |
| Ein Domainname | rdap.org | Um zu prüfen, wie kürzlich eine Download-Domain registriert wurde |
| Der SHA-256-Hash einer Datei, nie die Datei selbst | VirusTotal | Nur wenn du deinen eigenen VirusTotal-API-Schlüssel hinzufügst |
| Nichts über dich oder deinen Code | GitHub (OpenSSF malicious packages), die Liste des VS Code Marketplace, abuse.ch (nur mit eigenem Schlüssel) | Tägliche Threat-Intel-Downloads |
| Das Skript oder Installationsprogramm, das du gleich ausführen wolltest | Die Quelle, von der es stammt | Tsuba lädt es, um es zu lesen, ohne es auszuführen: derselbe Request, den du ohnehin gleich gestellt hättest |
| Die Belege, die eine Prüfung braucht | Der KI-Anbieter deiner Wahl | Nur wenn die KI eingeschaltet ist |
Der KI-Schritt
Die KI-Prüfung ist optional und aus, bis du einen Anbieter wählst: Claude (über Claude Code oder die Anthropic API), OpenAI, DeepSeek, DashScope von Alibaba Cloud, Google Gemini oder ein lokal laufendes Modell. Mit einem lokalen Modell verlässt nichts deinen Mac.
Wenn sie eingeschaltet ist, sendet Tsuba nur die Belege, die eine einzelne Prüfung braucht: die verdächtigen Zeilen, woher sie stammen und was angeschlagen hat. Code-Kommentare werden vorher entfernt. Werte von Umgebungsvariablen, API-Schlüssel und Tokens sind nie enthalten, und sie bleiben auch aus Tsubas eigenen Logs heraus. Für das, was der Anbieter erhält, gilt seine eigene Datenschutzerklärung.
Was Tsuba nie tut
- Es lädt nie deine Dateien oder Projekte hoch.
- Es hat keine Telemetrie, keine Analytics und keine Absturzberichte, der Entwickler kann also nicht sehen, wer es nutzt oder wie.
- Es zeigt keine Werbung und verkauft nichts.
Tsuba ist Open Source (auf GitHub, Apache 2.0), also lässt sich alles oben am Code überprüfen. Fragen gehen an GitHub Issues.