Der App-Schlüssel schützt den Server-Zugang. Das Master-Passwort wird erst danach lokal im Browser abgefragt und verlässt ihn nie.