SSH-Agent für macOS
Keyhatch hält deine SSH-Schlüssel in der Secure Enclave deines Macs. Bevor ein Schlüssel etwas signiert, siehst du, welche App fragt, über welche Kette von Programmen, für welchen Server, und du entscheidest mit Touch ID, am iPhone, an der Apple Watch oder an einem zweiten Mac.
Kostenlos testen Für 29,90 € kaufen
7 Tage kostenlos, ohne Konto. macOS 26 oder neuer, Apple Silicon.
Anmeldung bei github.com
als git · Schlüssel „MacBook“
✓ Host belegt
Angefragt von
Claude
Claude › zsh › git › ssh
in ~/Software/keyhatch
⚠ Prozessangaben können von anderen Apps auf diesem Mac gefälscht werden.
Freigabe gilt
Schlüssel entstehen in der Secure Enclave. Es gibt keinen Export, nicht in der App, nicht auf der Kommandozeile, nicht über den Agent-Socket. Vorhandene Ed25519- und RSA-Schlüssel lassen sich importieren und sind als weniger geschützt gekennzeichnet.
Welche App sie gestartet hat, die Programme dazwischen, das Arbeitsverzeichnis, der Zweck (Anmeldung, Git-Signatur, Weiterleitung) und der Server. Ab OpenSSH 8.9 ist der Server kryptografisch belegt und nicht aus dem Hostnamen geraten.
Eine Anfrage erreicht dein iPhone, deine Apple Watch oder einen zweiten Mac, Ende-zu-Ende-verschlüsselt. Das Relay dazwischen sieht nur Chiffrat und kann nichts freigeben. Am Mac geht Touch ID immer parallel.
Harte Regeln (Server, Zweck, Weiterleitung) setzt der Agent durch. Regeln über Programme und Ordner heißen Leitplanken, weil andere Software auf deinem Mac sie fälschen kann. Keyhatch sagt das im Dialog.
Jede Signatur, Freigabe und Ablehnung, mit App, Server und Schlüssel, in einer Hash-Kette, die im Schlüsselbund verankert ist. Lücken und Änderungen fallen auf. Export als CSV oder JSON.
Der Assistent schreibt deine SSH- und Git-Konfiguration mit Vorschau jeder Änderung und Rückgängig, trägt den Schlüssel über das Werkzeug gh bei GitHub ein, wenn du es hast, und prüft die Einrichtung auf Wunsch.
Die kostenlosen Keyhatch-Apps für iPhone und Apple Watch empfangen Anfragen von deinem Mac. Du siehst dieselben Angaben wie am Mac und gibst mit Face ID frei. Gekoppelt wird mit einem Code auf dem Bildschirm, in keiner Cloud liegt etwas.
Keyhatch
Anmeldung bei github.com
Claude · als git · Schlüssel „MacBook“
| Keyhatch | Secretive | macOS eingebaut | |
|---|---|---|---|
| Schlüssel in der Secure Enclave | ja | ja | ja |
| Zeigt die anfragende Programmkette | ja | nur die App | nein |
| Server per session-bind belegt | ja | nein | nein |
| Freigabe am iPhone oder an der Watch | ja | nein | nein |
| Regeln je Server und Zweck | ja | nein | nein |
| Manipulationssicheres Protokoll | ja | nein | nein |
| Preis | 29,90 € einmalig | kostenlos | kostenlos |
Stand Oktober 2026, nach der öffentlichen Dokumentation der Produkte.
Keyhatch ist ein Sicherheitswerkzeug. Was es nicht kann, zählt deshalb genauso wie das, was es kann.
29,90 €
einmalig, inkl. USt.
Erst 7 Tage kostenlos testen. Nach der Testphase arbeiten deine Schlüssel weiter, mit Freigabe am Mac; nur Fernfreigabe, Regeln, die ohne Nachfrage erlauben, und der Protokollexport pausieren.
Nichts geht kaputt. Deine Schlüssel arbeiten weiter, und jede Anfrage fragt nach Touch ID an diesem Mac. Fernfreigabe, Regeln, die ohne Nachfrage erlauben, und der Protokollexport pausieren, bis du eine Lizenz hinzufügst.
Die Sandbox des App Store erlaubt keinen Socket, den jede App auf deinem Mac erreicht, kein Schreiben deiner SSH- und Git-Konfiguration und keinen Blick darauf, welches Programm einen Schlüssel will. Genau das ist Keyhatch. Deshalb ist es mit Apples Developer ID signiert und notarisiert.
Ja. Keyhatch importiert OpenSSH-, PEM- und PKCS#8-Schlüssel (auch verschlüsselte) und legt die Originaldatei in den Papierkorb. Importierte Schlüssel sind als weniger geschützt gekennzeichnet, weil sie außerhalb der Secure Enclave existiert haben. Ein neuer Secure-Enclave-Schlüssel ist besser.
Ja. Keyhatch signiert Git-Commits, trägt Schlüssel bei GitHub ein und erkennt Coding-Agenten wie Claude Code in der Kette der Programme. So siehst und begrenzt du, was sie mit deinen Schlüsseln tun.
Schlüssel in der Secure Enclave lassen sich von einem verlorenen Mac nicht kopieren. Am iPhone kannst du den Mac als verloren markieren, dann verwirft es seine Anfragen. Der Assistent bittet dich, einen zweiten Zugang einzurichten, zum Beispiel einen zweiten Schlüssel, bevor du dich auf einen verlässt.
Die Zahlung wickelt Link (Link, LLC) ab, der Merchant of Record von Stripe, der auch die Umsatzsteuer deines Landes berechnet und abführt. Lizenz und Hilfe kommen von der BYTEPOTATO UG (haftungsbeschränkt) in Deutschland.