Ist es sicher, eine App außerhalb des Mac App Store zu installieren?.

Es hängt an zwei Dingen, die du in zehn Sekunden selbst prüfen kannst, ohne jemandem glauben zu müssen.

Außerhalb des Mac App Store prüft kein Store für dich – blind bist du deshalb aber nicht. macOS bringt zwei eigene Prüfungen mit, und die kann jeder im Terminal wiederholen. Diese Seite erklärt, welche das sind, welche Warnungen auftauchen und wie du das alles konkret bei Tidy nachprüfst.

Die zwei Dinge, auf die es ankommt

Signatur mit Developer ID

Sie bedeutet, dass Apple weiß, wer die App gemacht hat: Es gibt einen Namen und ein Team dahinter, keine anonyme Datei. Ändert jemand die Datei nach dem Signieren, bricht die Signatur und macOS merkt es.

Beglaubigung durch Apple

Apple hat die Binärdatei vor der Auslieferung auf Schadcode geprüft und ihr ein Ticket ausgestellt. Das ist eine automatische Sicherheitsprüfung, keine redaktionelle Prüfung wie im Store.

Welche Warnungen du siehst – und welche ein schlechtes Zeichen ist

„Tidy ist eine aus dem Internet geladene App. Willst du sie wirklich öffnen?“ – normal. Kommt bei jeder geladenen App einmal. Du klickst auf Öffnen, und sie kommt nicht wieder.
„Der Entwickler kann nicht überprüft werden“ oder „macOS kann nicht überprüfen, ob diese App frei von Schadsoftware ist“ – das ist ein schlechtes Zeichen. Die App ist nicht beglaubigt, oder der Download ist beschädigt. Hier aufhören und zurück zur offiziellen Seite.
„Die App ist beschädigt und sollte in den Papierkorb gelegt werden“ – fast immer ein unvollständiger Download. Neu laden, von der Seite des Entwicklers, nie von einem Zwischenportal.

Wie du es selbst prüfst

Wenn die App schon im Programme-Ordner liegt, im Terminal:

codesign -dvv /Applications/Tidy.app
spctl -a -vv /Applications/Tidy.app

Die erste Zeile sagt, wer signiert hat. Die zweite muss „Notarized Developer ID“ antworten. Tut sie das nicht, nicht installieren.

Was bei Tidy herauskommt

Geprüft am 8. September 2026 an der veröffentlichten Version:

Signiert von Developer ID Application: Sebastian Diaz Thomas (QS3LTPX5CL), mit Zeitstempel.
Von Apple beglaubigt, mit dem Ticket an App und .dmg geheftet – die Prüfung klappt also auch offline.
Geladen wird sie nur auf tidymacapp.com. Wenn du sie auf einem Download-Portal siehst, das ein eigenes Installationsprogramm ausliefert: Diese Datei ist nicht meine.

Welche Berechtigungen sie verlangt – und wofür

Nur diese vier, und jede wird in dem Moment gefragt, in dem sie gebraucht wird, nicht beim Start:

Ordner „Downloads“ und Schreibtisch. Dort räumt sie auf. Ohne das kann sie ihre Arbeit nicht machen.
Kamera. Nur wenn du dein iPhone als Scanner nutzt. Das Bild verlässt deinen Mac nie.
Erinnerungen. Nur wenn du eine Zahlungserinnerung bestätigst. Es ist SCHREIB-Zugriff: Tidy liest weder deine Erinnerungen noch deinen Kalender.
Sonst nichts. Sie verlangt weder Festplattenvollzugriff noch Bedienungshilfen noch Steuerung anderer Apps.

Was deinen Mac verlässt

Nichts von deinen Dateien. Keine Bilder, kein Text, keine Dateinamen. Die Texterkennung läuft auf deinem Gerät mit dem, was macOS ohnehin mitbringt, der Index liegt verschlüsselt auf deiner Platte mit dem Schlüssel in deinem Schlüsselbund, und es gibt weder Konto noch Server. Die einzige Netzverbindung ist die Update-Prüfung, und die hat ihren eigenen Schalter zum Ausschalten.

Wie man sie vollständig entfernt

Zieh Tidy aus „Programme“ in den Papierkorb.
Lösche den Ordner ~/.Tidy, in dem der Index liegt.
Lösche ~/Library/Preferences/cl.tidy.app.plist – das sind deine Einstellungen.
Lösche in der Schlüsselbundverwaltung den Eintrag cl.tidy.app.indice, den Schlüssel des Index.
Deine Dateien bleiben, wie sie sind: Tidy hat nie eine gelöscht.

FAQ

Ist die Installation außerhalb des Mac App Store gefährlicher?

Sie ist anders. Der Store prüft Apps vor der Veröffentlichung und lässt sie in einer Sandbox laufen. Außerhalb sind es die Developer-ID-Signatur und Apples Beglaubigung, die die Binärdatei auf Schadcode prüft. Beides kannst du im Terminal selbst nachprüfen, bevor du die App überhaupt öffnest.

Warum sagt macOS, der Entwickler lasse sich nicht überprüfen?

Weil diese App nicht von Apple beglaubigt ist oder die Datei beim Laden beschädigt wurde. Bei einer beglaubigten App kommt diese Warnung nicht: Da erscheint nur „aus dem Internet geladen“, was normal ist und einmal bestätigt wird.

Woher weiß ich, dass die geladene Datei vom Entwickler stammt?

Indem du sie von der offiziellen Seite lädst statt von einem Zwischenportal, und die Signatur mit codesign prüfst. Passt die Signatur nicht zum Namen des Entwicklers, oder liefert das Portal ein anderes Installationsprogramm, ist diese Datei nicht seine.

Und die Updates, ohne Store, der sie verwaltet?

Die kommen in der App an. Tidy nutzt Sparkle, und jedes Update wird vor der Installation gegen eine kryptografische Signatur geprüft: Ist die Datei nicht mit dem Schlüssel des Entwicklers signiert, wird sie nicht eingespielt.

Tidy ansehen Laden