Datenschutz
Ich nehme den Schutz deiner Daten ernst. Diese Erklärung sagt dir klar, welche Daten ich verarbeite, wofür und wie lange.
Verantwortlicher
Mario Dinger, Schwarzwald IT. Anschrift und Kontakt stehen im Impressum. Bei Fragen zum Datenschutz schreib an hallo@schwarzwaldit.de.
Hosting
Die Seite liegt bei Infomaniak Network SA in der Schweiz. Für die Schweiz besteht ein Angemessenheitsbeschluss der EU-Kommission, die Übermittlung ist damit abgesichert. Rechtsgrundlage ist mein berechtigtes Interesse an einem sicheren und stabilen Betrieb (Art. 6 Abs. 1 lit. f DSGVO).
Server-Protokolle
Beim Aufruf der Seite speichert der Webserver automatisch technische Daten in Protokolldateien. Dazu gehören deine vollständige IP-Adresse, Datum und Uhrzeit, die aufgerufene Adresse, der Statuscode der Antwort, die übertragene Datenmenge, die Seite, von der du kommst (Referrer), und die Kennung deines Browsers (User-Agent).
Diese Protokolle werte ich aus, um Angriffe und Fehler zu erkennen, den Betrieb stabil zu halten und zu sehen, welche Seiten gelesen werden. Dabei fasse ich Aufrufe mit derselben IP-Adresse und derselben Browserkennung zu Besuchen zusammen und trenne Menschen von Suchmaschinen, anderen Programmen und Angriffsversuchen. Über eine Datenbank auf meinem eigenen Server ordne ich die IP-Adresse ungefähr einem Land, einer Stadt und einem Netzbetreiber zu. Die Datenbank stammt von DB-IP.com, die Abfrage selbst verlässt meinen Server nicht. Die Auswertung sehe nur ich im geschützten Verwaltungsbereich der Seite. Ich gebe die Daten nicht weiter und führe sie nicht mit anderen Daten zusammen.
Rechtsgrundlage ist mein berechtigtes Interesse an einem sicheren Betrieb und daran, die Seite nach dem tatsächlichen Bedarf zu gestalten (Art. 6 Abs. 1 lit. f DSGVO). Die Protokolldateien werden täglich gewechselt und nach 14 Tagen automatisch gelöscht. Zwischenergebnisse der Auswertung lösche ich spätestens nach derselben Frist.
Der Selbstcheck
Wenn du den Selbstcheck nutzt, verarbeite ich die Domain, die du prüfen lässt, deine E-Mail-Adresse und die gewählte Prüftiefe. Die E-Mail brauche ich, um dir den Bestätigungslink und das Ergebnis zu schicken. Rechtsgrundlage ist die Durchführung der von dir angefragten Leistung (Art. 6 Abs. 1 lit. b DSGVO).
Zu einer Anfrage speichere ich keine IP-Adresse. In der Datenbank liegen nur Domain, E-Mail, Prüftiefe, Status, ein Zufalls-Token und der Zeitpunkt. Alle Datensätze werden spätestens nach 30 Tagen automatisch gelöscht.
Der Check ist rein lesend. Ich prüfe nur Domains, deren Besitz du vorher nachweist (per DNS-Eintrag oder Datei unter /.well-known/). Beim Scan ruft mein Server öffentlich sichtbare Angaben deiner eigenen Seite ab und schlägt über die IP deinen Hoster nach (Reverse-IP und RIPE). Es wird nie eine Schwachstelle ausgenutzt, nur gelesen.
Beim Schnelltest gibst du nur eine Domain ein, ohne Mail und ohne Nachweis. Mein Server ruft die Startseite dieser Domain einmal auf, wie es jeder Browser tut, und liest aus der Antwort die PHP-Version und die erkennbare Software, etwa WordPress. Ich speichere dabei weder die Domain noch das Ergebnis noch deine IP. Gegen Missbrauch zähle ich nur zehn Minuten lang, wie oft eine Domain getestet wurde.
Tools
Unter /tools/ gibt es kostenlose Prüfwerkzeuge. Was du eingibst, wird nur für die Abfrage verwendet und nicht gespeichert. Gegen Missbrauch zähle ich zehn Minuten lang, wie oft ein Tool mit derselben Eingabe genutzt wurde, ohne IP-Adresse. Der Bot-Schutz läuft ohne Cookies und ohne Fremdanbieter. Dein Browser löst eine kleine Rechenaufgabe, die mein Server prüft.
Futterrechner: Der Rechner läuft vollständig in deinem Browser. Was du über deinen Hund eingibst, wird nicht an meinen Server geschickt und nicht gespeichert. Die Futterdaten liegen fertig auf meinem Server, beim Rechnen wird keine Verbindung zu Naturavetal aufgebaut.
DNS-Abfrage: Mein Server fragt die öffentlichen DNS-Einträge der eingegebenen Domain ab. Mit dem Server der Domain selbst wird keine Verbindung aufgebaut.
Mail-Sicherheit: Mein Server liest die öffentlichen DNS-Einträge für SPF, DKIM, DMARC, MTA-STS und TLS-RPT der eingegebenen Domain. Es wird keine Mail verschickt und keine Verbindung zum Mailserver aufgebaut.
Blacklist-Check: Mein Server fragt per DNS bei den Betreibern öffentlicher Sperrlisten nach, ob die IPv4-Adresse des Mailservers gelistet ist (Spamhaus, SpamCop, Barracuda, PSBL, Mailspike, UCEPROTECT, s5h, anonmails.de). Übermittelt wird dabei nur diese IP-Adresse, nicht deine.
WHOIS / RDAP: Mein Server fragt beim RDAP-Dienst der zuständigen Registry nach (für .de bei der DENIC eG, sonst laut Verzeichnis der IANA). Übermittelt wird nur der Domainname. Namen und Adressen von Domaininhabern zeige ich nicht an.
Subdomains finden: Mein Server fragt öffentliche Zertifikatslogs ab, zuerst bei Cert Spotter (SSLMate Inc., USA), bei Ausfall bei crt.sh (Sectigo Ltd.). Übermittelt wird nur der Domainname, nicht deine IP-Adresse.
Security-Header, TLS-Zertifikat, Weiterleitungen, security.txt & robots.txt und Technik-Erkennung: Für diese Tools ruft mein Server die Webseite der eingegebenen Domain direkt auf, so wie ein Browser. Das sind wenige Abrufe (Startseite, bei Weiterleitungen die folgenden Adressen, die beiden öffentlichen Dateien security.txt und robots.txt) oder ein TLS-Handshake. Mein Server weist sich dabei als „SchwarzwaldIT-AdminTools“ aus. Deine IP-Adresse wird nicht weitergegeben. Interne oder private Adressen ruft mein Server grundsätzlich nicht auf.
Subnetz-Rechner, Passwort-Generator, Hash-Rechner und JWT- & Base64-Decoder rechnen nur in deinem Browser. Deine Eingaben werden nicht an meinen Server geschickt.
Passwort-Leak-Check: Dein Browser berechnet den SHA-1-Hash des Passworts und schickt nur dessen erste fünf Zeichen direkt an die Datenbank „Pwned Passwords“ von Have I Been Pwned (Troy Hunt, ausgeliefert über Cloudflare). Dabei sieht dieser Dienst deine IP-Adresse, aber weder das Passwort noch seinen vollständigen Hash. Den Abgleich macht dein Browser selbst. Mein Server ist daran nicht beteiligt.
WordPress-Check: Mein Server ruft einige öffentlich bekannte Adressen der eingegebenen Seite je einmal auf (Startseite, Benutzerliste der REST-Schnittstelle, ?author=1, xmlrpc.php, readme.html, wp-login.php, Upload-Verzeichnis). Es gibt keinen Anmeldeversuch und keine Suche nach versteckten Dateien. Gefundene Benutzernamen zeige ich nicht an. Für den Versionsvergleich fragt mein Server bei api.wordpress.org nach, dabei wird nur der Name eines Plugins übermittelt.
CVE-Suche: Mein Server schickt die CVE-Nummer oder das Stichwort an die National Vulnerability Database (NIST, USA) und an FIRST (EPSS). Die Liste aktiv ausgenutzter Lücken lädt er einmal täglich bei der CISA (USA). Deine IP-Adresse geht dabei nicht an diese Stellen.
Kontakt und Freigabe-Anfrage
Schickst du mir über das Kontakt- oder Freigabeformular eine Nachricht, verarbeite ich die Angaben, die du einträgst (etwa Name, E-Mail und deine Nachricht), um dir zu antworten. Rechtsgrundlage ist mein berechtigtes Interesse an der Bearbeitung deiner Anfrage und, wenn es um einen Vertrag geht, Art. 6 Abs. 1 lit. b DSGVO. Diese Nachrichten gehen per E-Mail an mich.
E-Mail-Versand
Meine E-Mails laufen über meinen eigenen Mailserver. Sie sind per SPF, DKIM und DMARC abgesichert und werden verschlüsselt übertragen, soweit die Gegenstelle das unterstützt.
Cookies, Zustimmung und Statistik
Für Besucher setzt die Seite keine Cookies. Beim Aufruf lädt sie nichts von fremden Servern nach, also keine Schriften, keine Statistikdienste und keine eingebetteten Videos.
Beim ersten Besuch fragt dich ein Hinweis, ob du die Statistik erlaubst. Deine Auswahl speichere ich im Speicher deines Browsers (localStorage, Eintrag „swt-zustimmung“ mit Version, Auswahl und Zeitpunkt). Der Eintrag wird nicht an meinen Server geschickt und bleibt, bis du ihn in deinem Browser löschst. Ohne ihn müsste der Hinweis bei jedem Seitenaufruf neu erscheinen. Dieses Speichern ist unbedingt erforderlich und braucht deshalb keine Einwilligung (§ 25 Abs. 2 Nr. 2 TDDDG).
Nur wenn du die Statistik erlaubst, schickt dein Browser bei jedem Seitenaufruf zwei kurze Anfragen an meinen eigenen Server, eine beim Laden und eine beim Verlassen der Seite. Übermittelt werden die aufgerufene Adresse und die Herkunftsseite, beide ohne Parameter, außerdem Bildschirm- und Fenstergröße, Pixeldichte, Spracheinstellung und Zeitzone deines Browsers, die Lesezeit, wie weit du nach unten gescrollt hast, eine zufällige Kennung für den einzelnen Seitenaufruf und eine zufällige Kennung für die Sitzung. Die Sitzungskennung liegt im Sitzungsspeicher deines Browsers (sessionStorage) und verschwindet, wenn du den Tab schließt. Die Anfragen landen zusammen mit deiner IP-Adresse und Browserkennung in denselben Protokolldateien wie oben beschrieben und werden ebenso nach 14 Tagen gelöscht. Einen Fremdanbieter gibt es dabei nicht, die Daten bleiben auf meinem Server in der Schweiz.
Rechtsgrundlage für das Speichern und Auslesen im Browser ist deine Einwilligung (§ 25 Abs. 1 TDDDG), für die weitere Verarbeitung ebenfalls deine Einwilligung (Art. 6 Abs. 1 lit. a DSGVO). Du kannst sie jederzeit über den Link „Cookie-Einstellungen“ unten auf jeder Seite widerrufen. Ab dann schickt dein Browser keine Statistik-Anfragen mehr und die Sitzungskennung wird gelöscht. Was bis dahin protokolliert wurde, wird mit der üblichen Frist nach 14 Tagen gelöscht.
Deine Rechte
Du hast das Recht auf Auskunft, Berichtigung, Löschung und Einschränkung der Verarbeitung, auf Datenübertragbarkeit sowie ein Widerspruchsrecht. Meld dich dafür einfach unter hallo@schwarzwaldit.de. Außerdem kannst du dich bei einer Datenschutz-Aufsichtsbehörde beschweren.
Verschlüsselung
Die Seite ist durchgängig über HTTPS (TLS) verschlüsselt. Daten, die du eingibst, werden damit auf dem Transportweg geschützt.
