Hoome im Unternehmen

In fünf Zeilen

• Was es ist: eine Chrome-Erweiterung (Manifest V3), die die Seite „Neuer Tab“ durch eine Seite mit Verknüpfungen ersetzt, mit Ordnern, Suche und optionalen Widgets.
• Berechtigungen: storage, unlimitedStorage, search, system.cpu und system.memory, dazu der Zugriff auf zwei Favicon-Dienste. Das Lesen der Lesezeichen ist optional und wird erst im Moment eines Imports angefragt, ebenso das Lesen der meistbesuchten Websites, erst beim Klick auf „Auch Ihre meistbesuchten Websites vorschlagen“. Die Anmeldung an einem Premium-Konto, ebenfalls optional, wird erst beim Klick auf „Mit Google anmelden“ angefragt.
• Netz: zwei Favicon-Dienste erhalten den Domainnamen Ihrer Verknüpfungen. Die Widgets Wetter und Gezeiten, standardmäßig ausgeschaltet, fragen Open-Meteo ab. Sonst verlässt nichts den Rechner, außer über die Synchronisierung, wenn sie eingeschaltet ist, und die Kopie der Schreibtische, die die Synchronisierung des Premium-Kontos auf hoome.dev aufbewahrt.
• Auf Seiten des Anbieters: es ist kein Konto nötig, und ohne Konto nimmt die Erweiterung nie Kontakt zum Anbieter auf. Das optionale Konto dient allein dem Premium-Abo und der Kopie der Schreibtische, die ihm die Synchronisierung des Kontos anvertraut. Die Synchronisierung, standardmäßig ausgeschaltet, läuft über das Konto des Browsers, nie über den Anbieter. Keine Telemetrie, keine Werbung.
• Alles abschaltbar: ein Modus „Strenger Datenschutz“ entfernt jede Netzwerkanfrage der Erweiterung, Symbole eingeschlossen.

Die angefragten Berechtigungen, im Klartext

Berechtigung	Was sie erlaubt
storage	Verknüpfungen, Ordner, Einstellungen, Notizen und Aufgaben in dem lokalen Speicher ablegen, den der Browser der Erweiterung vorbehält, und im synchronisierten Speicher, wenn die Synchronisierung eingeschaltet ist.
unlimitedStorage	Das Standardkontingent dieses Speichers überschreiten: zwischengespeicherte Symbole, ein importierter Hintergrund und lokale Sicherungen können es erreichen.
search	Eine in die Leiste getippte Suche an den Browser übergeben, der sie mit der in seinen Einstellungen gewählten Suchmaschine startet. Hoome wählt und ändert keine Suchmaschine.
system.cpu und system.memory	Die Auslastung des Prozessors und den belegten Arbeitsspeicher für die Widgets Prozessor und Arbeitsspeicher lesen, standardmäßig ausgeschaltet. Nichts wird gespeichert oder übertragen.
bookmarks, optional	Den Lesezeichenbaum ein einziges Mal lesen, um die angekreuzten Ordner anzulegen. Bei der Installation nicht vorhanden, wird beim Klick auf den Import angefragt und lässt sich über chrome://extensions wieder entziehen. Die Lesezeichen werden weder verändert noch übertragen.
topSites, optional	Auf dem Rechner die Liste der meistbesuchten Websites lesen, um sie im Fenster „Neue Verknüpfung“ vorzuschlagen. Bei der Installation nicht vorhanden, wird beim Klick auf „Auch Ihre meistbesuchten Websites vorschlagen“ angefragt und lässt sich über chrome://extensions wieder entziehen. Die Liste wird weder gespeichert noch übertragen, und für diese Websites wird vor ihrem Hinzufügen kein Symbol abgefragt. Nicht im Firefox-Paket.
identity, optional	Das Anmeldefenster von Google öffnen, beim Klick auf „Mit Google anmelden“, für das Premium-Konto. Bei der Installation nicht vorhanden, ohne Warnhinweis von Chrome, über chrome://extensions entziehbar.
notifications und alarms, optional	Das Ende des Timers ankündigen, auch bei geschlossenem Tab. Bei der Installation nicht vorhanden, beim ersten Start des Timers angefragt.
Ersetzen der Seite „Neuer Tab“	Die Seite der Erweiterung anzeigen, sobald ein Tab geöffnet wird. Genau dafür ist Hoome da.
Zugriff auf gstatic.com und icons.duckduckgo.com	Das Symbol einer Website vom Favicon-Dienst von Google herunterladen, oder von DuckDuckGo, wenn Google nichts Brauchbares liefert.

Nichts anderes wird deklariert: kein tabs, kein history, kein cookies, kein webRequest, und kein Skript, das in besuchte Seiten eingefügt wird. Die Content Security Policy beschränkt die Ausführung auf den Code des Pakets: kein Skript, keine Schriftart und kein Stylesheet aus dem Internet.

Der Schlüssel externally_connectable behält allein den Seiten von https://hoome.dev die Möglichkeit vor, eine Nachricht an die Erweiterung zu senden, um ein einmalig gültiges Anmeldeticket zwischen der Website und der Erweiterung zu übergeben. Er löst keinen Warnhinweis aus und gewährt keinerlei Zugriff auf besuchte Seiten.

Bei der Installation fasst Chrome diese beiden Host-Zugriffe mit seiner allgemeinen Formulierung zusammen: „Deine Daten auf gstatic.com und icons.duckduckgo.com lesen und ändern“. Das ist die Standardbeschriftung jeder Host-Berechtigung, und die Erweiterung lädt dort nichts als Bilder herunter.

Die drei Schaltflächen für den Schnellzugriff

Die Schaltflächen für Verlauf, Downloads und Lesezeichen bitten Chrome, seine eigene Seite im aktuellen Tab zu öffnen. Dieser Aufruf verlangt nicht die Berechtigung tabs, die dem Lesen von Tab-Inhalten dient: die Erweiterung zeigt die Seite des Browsers an, sie liest nichts daraus. Diese Schaltflächen lassen sich in den Einstellungen ausblenden.

Was den Rechner verlässt, und wohin es geht

Vollständige Liste der Adressen, die die Erweiterung von sich aus ansprechen kann.

Adresse	Wann	Was gesendet wird
Favicon-Dienst von Google (t3.gstatic.com)	Beim Anlegen einer Verknüpfung und beim ersten Anzeigen einer Verknüpfung ohne Symbol, danach bei einem Fehlschlag höchstens einmal pro Woche. Nie, wenn das Symbol zwischengespeichert ist, und nie bei Initialen oder einem selbst gewählten Bild.	Der Hostname der Website, zum Beispiel elster.de. Weder der Pfad noch der Seitentitel.
icons.duckduckgo.com	Dieselben Bedingungen, falls Google nichts Brauchbares geliefert hat.	Der Hostname der Website.
geocoding-api.open-meteo.com	Wetter-Widget eingeschaltet, wenn jemand in den Einstellungen nach einer Stadt sucht.	Der eingegebene Text und die Sprache.
api.open-meteo.com	Wetter-Widget eingeschaltet und Stadt gewählt: beim Anzeigen, wenn die Vorhersage älter als dreißig Minuten ist, oder beim manuellen Aktualisieren.	Die Koordinaten der Stadt und die angefragten Felder.
marine-api.open-meteo.com	Widget Gezeiten eingeschaltet und Ort gewählt: beim Anzeigen, wenn die Wasserstände älter als drei Stunden sind, oder beim manuellen Aktualisieren.	Die Koordinaten des Ortes und das angefragte Feld, der Wasserstand.
hoome.dev	Nur wenn jemand sich am optionalen Premium-Konto anmeldet: bei der Anmeldung, beim Öffnen des Abschnitts „Konto“ der Einstellungen, beim Klick auf „Mein Konto öffnen“ und, einmal angemeldet, beim Öffnen eines Tabs (höchstens einmal pro Minute) und nach jeder Änderung, um die Kopie der Schreibtische zu lesen und abzulegen. Nie im strengen Datenschutzmodus.	Das Sitzungstoken des Kontos, und bei der Anmeldung der von Google zurückgegebene Code. Verknüpfungen, Ordner und Notizen nur in einem Fall: Ein angemeldeter Premium-Abonnent, der die Synchronisierung nicht ausgeschaltet hat, legt eine Kopie seiner Schreibtische unter seinem Konto ab, ohne Bild und ohne die Position des Geräts.

Vier Punkte, die bei einer Prüfung nützlich sind:

• Die empfangenen Symbole werden in kleine Bilder umgewandelt, lokal abgelegt und danach nicht erneut angefragt.
• Diesen Anfragen liegt keinerlei Nutzer-, Installations- oder Gerätekennung bei; sie tragen die üblichen Kopfzeilen des Browsers, wie jedes Bild.
• Die Widgets sind standardmäßig ausgeschaltet: auf einer frischen Installation werden allein die beiden Favicon-Dienste angesprochen.
• Die Suchleiste übergibt die Suche an die im Browser gewählte Suchmaschine, sobald die Eingabetaste gedrückt wird, genau wie eine Eingabe in der Adressleiste, ohne während des Tippens Vorschläge anzufragen. Die Standortbestimmung wird nur bei einem ausdrücklichen Klick in den Wettereinstellungen angefragt, über die Berechtigungsabfrage von Chrome selbst.

Alles abschalten: der strenge Datenschutzmodus

Für einen Rechner, von dem keine Daten abfließen dürfen, nicht einmal ein Domainname, bieten die Einstellungen im Abschnitt „Daten“ einen Modus „Strenger Datenschutz“. Einmal eingeschaltet, stellt die Erweiterung keine einzige Anfrage mehr: an die Stelle der Symbole treten farbige Initialen, das Wetter-Widget ist nicht mehr verfügbar und sein Schalter ist ausgegraut. Die Anmeldung am Konto wird unmöglich, und eine bereits angemeldete Erweiterung spricht hoome.dev nicht mehr an.

Bereits zwischengespeicherte Symbole bleiben sichtbar, da sie lokal vorliegen, und eine Schaltfläche löscht sie nach einer Rückfrage. Der Modus bleibt nach einem Import, nach dem Wiederherstellen einer Sicherung und nach einer Rückkehr zu den Standardverknüpfungen eingeschaltet, damit keiner dieser Vorgänge unbemerkt wieder Anfragen auslöst. Alles Lokale funktioniert weiter: Sicherungen, Export, Import, Übernahme der Lesezeichen.

Wo die Daten liegen

Alles wird in dem lokalen Speicher abgelegt, den Chrome jeder Erweiterung vorbehält, auf dem Rechner selbst. Den synchronisierten Speicher nutzt die Erweiterung nur, wenn jemand die Synchronisierung einschaltet: dann läuft eine Kopie über das Konto des Browsers, Google bei Chrome, Mozilla bei Firefox. An einen Server von Hoome wird nichts gesendet, abgesehen von der Sitzung des Premium-Kontos für diejenigen, die sich anmelden, und von der Kopie der Schreibtische, die die Synchronisierung des Premium-Kontos dort ablegt.

Dort liegen die Verknüpfungen und Ordner, die Einstellungen, die Notizen und Aufgaben, ein Zähler der Öffnungen je Verknüpfung, der die Suchergebnisse sortiert, eine Kopie des vorherigen Stands, die vor jedem Speichern geschrieben wird, die drei letzten Sicherungen, der importierte Hintergrund und die letzte Wettervorhersage, falls das Widget eingeschaltet ist. Für angemeldete Konten kommt die Sitzung hinzu, getrennt abgelegt: sie wird weder exportiert noch gesichert.

Bei der Deinstallation löscht Chrome diesen Speicher vollständig, Sicherungen und Symbolzwischenspeicher eingeschlossen. Nirgendwo sonst bleibt etwas zurück, außer bei einem Konto: dieses Konto und die Kopie der Schreibtische, die die Synchronisierung dort aufbewahrt. Beide werden zusammen auf der Kontoseite gelöscht, auf hoome.dev. Ohne zu deinstallieren leert ein Befehl in den Einstellungen Verknüpfungen und Ordner, nachdem er eine wiederherstellbare Sicherung angelegt hat.

Um eine Konfiguration mitzunehmen, erzeugt der JSON-Export eine Datei, die auf den Rechner heruntergeladen wird: Verknüpfungen, Ordner, Notizen, Aufgaben, Einstellungen und auf Wunsch die Symbole und den Hintergrund. Sie wird nirgendwohin gesendet und lässt sich auf einem anderen Rechner importieren, etwa vor dem Austausch eines Computers.

Verteilung im Gerätepark

Was heute funktioniert:

• Die Erweiterung ist im Chrome Web Store veröffentlicht. Sie lässt sich über die üblichen Chrome-Richtlinien verteilen, per erzwungener Installation oder über eine Positivliste, anhand der Kennung des Eintrags, die wir auf Anfrage mitteilen.
• Das Paket lädt keinen Code aus der Ferne nach: die Fassung, die Ihre Teams geprüft haben, ist auch die, die läuft, bis zur nächsten im Store veröffentlichten Aktualisierung.
• Um die Rechner zu vereinheitlichen, richten Sie einen Referenzrechner ein, exportieren die JSON-Datei und importieren sie auf den übrigen. Der strenge Datenschutzmodus gehört zu den exportierten Einstellungen, er kann also bereits eingeschaltet ankommen.
• Um jedes Konto im Gerätepark zu unterbinden, kann die Richtlinie ExtensionSettings die Berechtigung identity von Hoome sperren (blocked_permissions): die Anmeldung wird unmöglich, alles Übrige funktioniert weiter.

Was es nicht gibt, und was man vor der Planung besser weiß:

• Kein Schema für verwaltete Richtlinien. Die Einstellungen lassen sich weder aus der Administrationskonsole noch per Gruppenrichtlinie ausrollen. Der Import der JSON-Datei bleibt ein Handgriff auf jedem einzelnen Rechner.
• Keine Verteilung außerhalb des Stores: kein selbst gehostetes Paket, kein klassisches Installationsprogramm.
• Keine Administrationskonsole, keine Inventarisierung, keine Statusmeldungen, und kurzfristig ist auch nichts davon geplant.

Wenn eine dieser Grenzen für Sie ein Hindernis ist, sagen Sie es uns: sie liegen am jungen Alter des Produkts, nicht an einer grundsätzlichen Entscheidung.

Der DSGVO-Teil

Ohne Konto verarbeitet der Anbieter keine personenbezogenen Daten, die mit der Nutzung der Erweiterung zusammenhängen: kein Server wird angesprochen, es entstehen keine Protokolle auf unserer Seite, in diesem Umfang gibt es also weder einen Auftragsverarbeiter noch eine Übermittlung außerhalb der Europäischen Union. Das optionale Premium-Konto ist die Ausnahme: E-Mail-Adresse, Name, Google-Kennung, angemeldete Geräte, Abo-Status und, mit der Synchronisierung von Premium, eine Kopie seiner Schreibtische, gehostet bei Netlify, während das Abo selbst von Paddle geführt wird, unserem Vertragspartner und Händler. Ein Rechner, auf dem Premium nicht gewünscht ist, kann sich schlicht nie anmelden, den strengen Datenschutzmodus einschalten oder die Richtlinie erhalten, die die Berechtigung identity sperrt. Die Daten der Nutzer bleiben auf ihrem Rechner, unter der Kontrolle des Browsers, bei eingeschalteter Synchronisierung auch in dessen Konto, und lassen sich über die Einstellungen oder durch die Deinstallation löschen, die in die Cloud gesendete Kopie durch die Löschung des Kontos.

Zwei Punkte verdienen einen Eintrag, wenn Sie ein Verzeichnis auf Ebene des Arbeitsplatzes führen: die Symbolanfragen legen Google und DuckDuckGo den Domainnamen der angelegten Verknüpfungen offen, zusammen mit der IP-Adresse des Rechners, wie jedes von einer fremden Website geladene Bild; und die Widgets Wetter und Gezeiten übermitteln, falls eingeschaltet, die Koordinaten des gewählten Ortes an Open-Meteo. Diese Verbindungen gehen vom Browser aus, nie von einem Hoome-Server, und der strenge Datenschutzmodus schafft sie ab. Die Einzelheiten stehen in der Datenschutzerklärung, und die Überlegungen, die zu diesen Entscheidungen geführt haben, auf der Seite Privatsphäre.

Prüfen, statt uns zu glauben

Die tatsächlichen Berechtigungen lesen Sie unter chrome://extensions, Schaltfläche „Details“, und in der manifest.json des installierten Pakets. Den Datenverkehr kontrollieren Sie im Tab „Netzwerk“ der Entwicklertools, auf einem neu geladenen Tab. Die lokalen Daten sehen Sie sich im Tab „Anwendung“ an, im Abschnitt für den Speicher der Erweiterungen.

Eine Frage vor der Freigabe

Schreiben Sie an contact@hoome.dev und nennen Sie Ihren Rahmen: Anzahl der Arbeitsplätze, interne Vorgaben, Punkte, die dokumentiert sein müssen. Es antwortet ein Mensch, kein Formular. Und wenn Ihre Prüfung ein Dokument für die Akte verlangt, stellen wir eine ausführliche Fassung dieser Seite bereit, auf dem Stand der veröffentlichten Version.