Smart Companion · iPhone und Android · Debug- und Gerätetest
Zwei Apps. Ein Betrieb. Die Zentrale bleibt im Haus.
Native Begleit-Apps für iPhone (ab iOS 26) und Android (ab Android 9). Der Mac im Betrieb bleibt die Quelle der Wahrheit: Im Geschäfts-WLAN tauschen sich App und Zentrale direkt und gepinnt aus, unterwegs nur über das gebuchte Swiftli Private Relay — sonst wartet alles verschlüsselt auf dem Telefon.
Stand der Dinge
Kein Produktrelease: Beide Apps befinden sich in aktiver Entwicklung. Quellcode-, Vertrags- und gezielte Debugtests sind vorhanden; der vollständige Ende-zu-Ende-Gate auf realen Geräten ist noch nicht abgeschlossen. Offene P0-Arbeiten betreffen unter anderem Sitzungswiederherstellung, erneute Kopplung, Postfach/Lesebestätigung, Chat-Freigabe und den Relay-Abgleich. Deshalb gibt es weder eine Store-Verfügbarkeit noch ein zugesagtes Veröffentlichungsdatum.
Die nachfolgenden Listen beschreiben den implementierten und vorgesehenen Testumfang. Eine Funktion gilt erst nach ihrem eigenen, reproduzierbaren Geräte-E2E als freigegeben; diese Seite markiert derzeit keine der Funktionsgruppen als produktionsreif.
Wegweiser
Zehn Bereiche. Zeile für Zeile.
Bereich 01
Zugang & Kopplung
Ein QR-Code, zehn Minuten, fertig
- Kopplung über einen kurzlebigen QR-Code aus der Mac-App — höchstens zehn Minuten gültig, einmalig einlösbar
- Die Kamera wird ausschliesslich für diesen QR-Code verwendet — für nichts anderes
- Verbindung mit gepinntem TLS: Das Telefon spricht nur mit dem Mac, mit dem es gekoppelt wurde
- Eigene X25519-Geräteidentität, gerätegebunden im Schlüsselbund — verlässt das Telefon nie
- Bei Gerätewechsel oder Verlust: Kopplung entziehen — Schlüssel und lokale Daten werden gelöscht
Bereich 02
Heute
Der Tag auf einen Blick
- Nächste Schicht mit Zeiten und Ort — direkt beim Öffnen der App
- Aktueller Stempelstatus: eingestempelt, Pause, ausgestempelt
- Monatswerte und offene Vorgänge auf einen Blick
Bereich 03
Dienstplan
Sehen, bestätigen, tauschen
- Wochen-, Listen- und Detailansicht des eigenen Dienstplans
- Schichten bestätigen — die Zentrale sieht, wer seinen Plan gelesen hat
- Tauschanfrage direkt aus der Schicht heraus
- Verfügbarkeit melden: Zeitraum, Tagesabschnitt, Notiz
- Auf Android: Übergabe der Schicht an den Gerätekalender
- Planänderungen kommen mit dem nächsten Abgleich aufs Telefon
Bereich 04
Anträge
Sieben Arten, ein Weg
- Sieben Antragsarten: Ferien, Krankheit, Unfall, Wunschtag, Zeitkorrektur, Schichttausch, Verfügbarkeit
- Unfall mit Unterscheidung Berufs-/Nichtberufsunfall
- Einreichen, zurückziehen, Entscheid mit Begründung nachlesen
- Arztzeugnis wird über das Dokumentencenter eingereicht — auf Android direkt fotografiert
- Ohne Verbindung wartet der Antrag in einer verschlüsselten Warteschlange und geht beim nächsten Abgleich raus
Bereich 05
Zeiterfassung
Stempeln, wo gearbeitet wird
- Vier Aktionen: Kommen, Pause Start, Pause Ende, Gehen
- Verlauf und Monatsdetail direkt in der App; Zeitkorrektur als Antrag
- Gestempelt wird im Geschäfts-WLAN — dort, wo gearbeitet wird, direkt und gepinnt zum Mac
- Auf Android zusätzlich: WLAN-Präsenzbestätigung gegen die signierte Betriebsrichtlinie und zeitbasierte Stempel-Erinnerungen vor Schichtbeginn
- Bewusst OHNE Ortung: kein Standortzugriff, kein Auslesen von WLAN-Namen, kein Bluetooth — die Apps fordern diese Berechtigungen gar nicht erst an
Bereich 06
Postfach
News und Meldungen des Betriebs
- Fünf Arten: Systemmeldungen, News, Umfragen, Direktnachrichten, Freigaben — drei Prioritätsstufen
- Lesebestätigung: Die Zentrale sieht verbindlich, wer eine Ankündigung gelesen hat
- Ungelesen-Zähler direkt am Tab
- Das Postfach wird im Geschäfts-WLAN abgeglichen
Bereich 07
Chat
Ende zu Ende, ohne private Nummern
- Ende-zu-Ende-verschlüsselt: X25519/Ed25519, HKDF-SHA256, ChaCha20-Poly1305 — entschlüsselt wird nur auf den Geräten
- Gruppen- und Direktnachrichten mit bis zu 128 Empfänger-Endpunkten
- Zustell- und Lesebestätigungen, Schlüsselrotation, Sperren und Melden
- Live-Zustellung im Geschäfts-WLAN über einen inhaltsfreien Hinweiskanal
- Nachrichten liegen auf dem Telefon in einem verschlüsselten Ablagefach
Bereich 08
Dokumentencenter
Lohnabrechnung bis Arztzeugnis
- 13 Kategorien — von Lohnabrechnungen und Lohnausweis über Verträge und Zeugnisse bis «Arztzeugnisse & Meldungen»
- Sichere Vorschau nur innerhalb der App — kein Teilen-Dialog, kein Geräte-Backup der Dokumente
- Eigene Dokumente einreichen: PDF, JPEG, PNG oder HEIC, bis 25 MiB — auf Android direkt fotografiert
- Lesen und Einreichen funktionieren im Geschäfts-WLAN und unterwegs über das Relay
Bereich 09
Mitteilungen & Ruhezeiten
Feierabend bleibt Feierabend
- Mitteilung aufs Telefon, wenn ein Antrag entschieden wurde — genehmigt oder abgelehnt, mit Begründung in der App
- Auf Android zusätzlich Stempel-Erinnerungen vor Schichtbeginn
- Persönliche Ruhezeit mit Start und Ende: In dieser Zeit bleibt das Telefon still
- Vorschau-Datenschutz in drei Stufen — der Sperrbildschirm verrät nur, was er soll
- Fünf Kategorien vorbereitet — weitere Mitteilungsarten folgen mit den nächsten Ausbauschritten
Bereich 10
Sicherheit & Datenschutz
Minimal berechtigt, maximal verschlüsselt
- Pflicht-Gerätesperre bei aktiver Kopplung: Face ID bzw. Biometrie oder Gerätecode
- Schutz vor Bildschirmaufnahmen auf beiden Plattformen
- Minimale Berechtigungen: Kamera nur fürs Koppeln, lokales Netz nur für den Mac, Mitteilungen auf Wunsch — kein Standort, kein Bluetooth, keine Kontakte, keine Foto-Mediathek
- Keine Werbe- oder Analysedatensammlung: kein Tracking, keine Werbe-ID und keine Analyse-Bibliotheken; davon getrennt sind die für Kopplung, Zustellung und Betrieb nötigen technischen Daten
- Lokale Daten AES-verschlüsselt, Schlüssel gerätegebunden — ohne Cloud-Synchronisation von Schlüsseln oder Inhalten
- Bei Geräteverlust oder Austritt: Fernsperre und Löschung von Schlüsseln und Inhalten
Unterwegs
Im Haus direkt.
Draussen nur verschlüsselt.
Die Apps kennen genau zwei Wege zum Betrieb — und beide gehören Ihnen.
A
Im Geschäfts-WLAN
Telefon und Mac finden sich im lokalen Netz und tauschen sich direkt aus, mit gepinnter Verbindung. Stempeln, Postfach und Live-Chat laufen hier — dort, wo gearbeitet wird.
B
Unterwegs über das Relay
Dienstplan, Anträge und Dokumente sollen den Betrieb über das gebuchte Swiftli Private Relay erreichen. Fachinhalte sind Ende zu Ende verschlüsselt; für die Zustellung verarbeitet das Relay begrenzte pseudonyme Routing- und Betriebsmetadaten. Ohne Buchung wartet alles verschlüsselt auf dem Telefon, bis das Geschäfts-WLAN wieder da ist.
C
Kein Analyse-Cloud-Datenweg
Kein Firebase und kein Analyse-SDK als Fach-Datenweg. Was das Telefon über das Relay sendet, ist als Fachpayload Ende zu Ende verschlüsselt; Netzwerkbetreiber und Relay sehen dennoch die jeweils technisch notwendigen Verbindungs- und Zustellmetadaten.
Plattformen
iPhone und Android. Ehrlich verglichen.
Beide Apps sind eigenständig nativ gebaut. Die Tabelle beschreibt den implementierten Debugumfang, nicht eine Geräte-E2E- oder Produktfreigabe.
| Funktion | iPhone | Android |
|---|---|---|
| Mindest-Betriebssystem | iOS 26 | Android 9 |
| Kopplung, Dienstplan, Anträge, Chat, Dokumente | Debug · E2E offen | Debug · E2E offen |
| Stempeln im Geschäfts-WLAN | Debug · E2E offen | Debug · E2E offen |
| WLAN-Präsenzbestätigung | — | Debug · E2E offen |
| Stempel-Erinnerung vor Schichtbeginn | Nicht implementiert | Debug · E2E offen |
| Schicht an den Gerätekalender übergeben | Nicht implementiert | Debug · E2E offen |
| Dokument direkt fotografieren | Dateiauswahl · E2E offen | Debug · E2E offen |
| Sechs Sprachen inkl. Rumantsch | Debug · E2E offen | Debug · E2E offen |
| Pflicht-Gerätesperre und Aufnahmeschutz | Debug · E2E offen | Debug · E2E offen |
Bezug
Pro Seat.
Nur mit dem Relay.
Der Companion setzt das Swiftli Private Relay voraus — es ist der verschlüsselte Zustellweg zwischen Telefon und Betrieb. Der Hoster verarbeitet die dafür nötige Infrastruktur; Fachinhalte bleiben Ende zu Ende verschlüsselt.
- Abrechnung pro aktiviertem Seat — für die Menschen, die die App wirklich nutzen.
- Tritt jemand aus, wird der Seat deaktiviert und die Verrechnung endet.
- Buchung und Konditionen im Shop.
Hinweis zu dieser Übersicht
Diese Seite ist eine Momentaufnahme des Quellcode-Audits. Sie ersetzt weder einen reproduzierbaren Geräte-E2E noch die spätere Releasefreigabe. Massgeblich ist der jeweils geprüfte Build.
Lieber am eigenen Telefon.
Als auf dieser Liste.
Dreissig Minuten, Ihre Schichten, Ihr Betrieb — wir zeigen Zentrale und Telefon im Zusammenspiel.