# Spike I — Passwort prüfen, ohne es zu speichern

> Im Plan heißt dieser Spike „J". Die Buchstaben in `docs/spikes/` sind
> fortlaufend vergeben; hier läuft die vorhandene Reihe weiter.

**Frage.** Sapphire lässt sich das Anmeldepasswort geben und legt es in die
Keychain. Geht es ohne — kann ein eigener Sperrbildschirm eine Eingabe gegen die
echte Anmeldung prüfen, ohne das Passwort je abzulegen?

**Gemessen am 05.09.2026**, `Spikes/password-check-probe.swift`.

## Ergebnis

| Prüfung | Befund |
|---|---|
| `ODNode` vom Typ `kODNodeTypeAuthentication` | erreichbar |
| Datensatz des angemeldeten Benutzers | gefunden |
| `ODRecord.verifyPassword(_:)` | vorhanden |

**Ja.** OpenDirectory ist öffentliche API. Die Eingabe geht direkt in
`verifyPassword`, das Ergebnis ist ein `Bool`, und danach ist die Zeichenkette
wieder weg.

## Was das heißt

Der Eintrag „Das Anmeldepasswort in der Keychain" bleibt auf der Liste dessen,
was **bewusst nicht** gebaut wird. Es gibt keinen Grund dafür.

Ein gespeichertes Anmeldepasswort ist die Sorte Sicherheitsschuld, die man nicht
aufnimmt, wenn es auch ohne geht: es liegt dann dauerhaft in einem Format, aus
dem es sich zurückholen lässt, und schützt ist es nur so gut wie der Prozess, der
darauf zugreifen darf.

## Was der Spike ausdrücklich **nicht** getan hat

Kein Passwort geprüft. Fehlversuche gegen ein echtes Konto können Sperrfristen
auslösen — das ist nichts, was ein Spike anrichten darf. Geprüft wurde nur, dass
der Weg offensteht.