Wie vertrauenswürdig ist Immich?
Der Wert stammt aus der transparenten Bewertungsmethode des Quelldatensatzes. Er ist eine strukturierte Orientierung, keine Sicherheitsgarantie und kein Ersatz für deine eigene Risikoprüfung.
Vier Bewertungsdimensionen
Positive Signale erhöhen, Vorbehalte reduzieren den WertPositive Signale
14 BelegeÖffentliche Security-Policy mit dedizierter Meldadresse.
Quelle prüfen ↗Öffentliche GitHub-Advisories dokumentieren offengelegte Immich-Schwachstellen und Patch-Versionen.
Quelle prüfen ↗Die Doku veröffentlicht Android-Zertifikat-Fingerprints für Play-, GitHub- und F-Droid-Builds.
Quelle prüfen ↗Die Privacy Policy sagt, dass Fotos, Alben und Einstellungen lokal bleiben und nicht an Immich-Server gesendet werden.
Quelle prüfen ↗Der Licensing-Post sagt, dass Immich keine Nutzerdaten verkauft oder trackt und keine Werbung in die Software einbaut.
Quelle prüfen ↗Monitoring ist Opt-in und sendet Metriken oder Traces nur an Endpunkte, die der Betreiber konfiguriert.
Quelle prüfen ↗Releases liefen mit häufigen Patch-Updates bis Februar 2026 weiter.
Quelle prüfen ↗Immich veröffentlichte im Oktober 2025 seinen ersten Stable-Release.
Quelle prüfen ↗Eingebaute Backups unterstützen geplante Aufbewahrung, Restore-Points und Rollback.
Quelle prüfen ↗Immich bietet einen offiziellen Docker-Compose-Deploy-Pfad für Self-Hosting.
Quelle prüfen ↗Die Doku sagt, dass Product Keys optional sind und alle Funktionen für immer frei bleiben.
Quelle prüfen ↗Metadaten können über XMP-Sidecars gelesen und geschrieben werden, ohne Originale zu verändern.
Quelle prüfen ↗Die offizielle CLI unterstützt Uploads und Server-Versionsprüfungen.
Quelle prüfen ↗Die OpenAPI-Doku generiert offizielle TypeScript- und Dart-SDKs.
Quelle prüfen ↗Vorbehalte
6 PunkteEin Advisory von Januar 2026 zeigte, dass API-Keys sich vor v2.5.0 selbst zu vollem Admin-Zugriff eskalieren konnten.
Quelle prüfen ↗Ein Advisory von Juli 2025 legte eine OAuth-Konto-Übernahme durch fehlende State-Prüfung vor v1.132.0 offen.
Quelle prüfen ↗Die Upgrade-Policy backportet keine Patches, daher sollen Betreiber für Sicherheitsfixes stets den neuesten Release fahren.
Quelle prüfen ↗Remote ML sendet Bildvorschauen an einen Dienst, für den die Doku sagt, dass er überhaupt keine Sicherheitsmaßnahmen hat.
Quelle prüfen ↗Der v2.5.0-Rollout für Android wurde am 27. Januar 2026 nach aufgetretenen Migrationsproblemen gestoppt.
Quelle prüfen ↗Kernteam und Marken von Immich wurden unter FUTO gebündelt, was die langfristige Steuerung bei einem Sponsor konzentriert.
Quelle prüfen ↗So funktioniert die Methode
Die Basisklasse beginnt je nach Offenheit und Rechtsraum bei unterschiedlichen Ausgangswerten. Danach werden Sicherheit, Governance, Zuverlässigkeit sowie Vertrag und Portabilität bewertet. Neuere oder strukturelle Vorbehalte wiegen stärker; ältere Ereignisse verlieren stufenweise Gewicht. Abzüge sind grundsätzlich gedeckelt, bestimmte gravierende Ausnahmen können davon ausgenommen sein. Klassenobergrenzen verhindern, dass positive Zusatzpunkte grundlegende Jurisdiktions- oder Transparenzrisiken vollständig verdecken.
Wichtig: Der Score bewertet öffentlich belegte Eigenschaften. Er besagt nicht, dass ein Produkt fehlerfrei, rechtssicher oder für deinen konkreten Einsatzzweck geeignet ist.