Was wir schützen — und wie.
merkapp ist kein „nichts zu verbergen" — sondern Deine Vertragsdaten, IBANs, PINs und Notizen. Die behandeln wir entsprechend: AES-256-Verschlüsselung, TLS 1.3, deutsche Server, optional 2FA. Hier steht, was technisch dahintersteckt.
Was wir verschlüsseln
- Inhalte Deiner Einträge — Anbieter, Tarife, Notizen, IBANs, PINs, Vertragsnummern
- Erinnerungs-Daten — Stichtage, Vorlauf, Kanäle
- Backups — täglich automatisch, ebenfalls verschlüsselt
- Mail-Versand — Erinnerungen über SMTP-TLS
Verschlüsselungs-Standards im Detail
| Ebene | Verfahren | Schlüssellänge |
|---|---|---|
| Daten at rest (Datenbank) | AES-256 | 256 Bit |
| Daten in transit (Browser ↔ Server) | TLS 1.3 | ECDHE + AES-256-GCM |
| Passwörter | bcrypt (12 Rounds) | — |
| 2FA-Codes | TOTP (RFC 6238) | SHA-1 |
| Backups | AES-256 | 256 Bit |
Wo Deine Daten liegen
Server stehen in Deutschland bei einem nach ISO 27001 zertifizierten Hoster (gleicher Standard wie z. B. Banken nutzen). Kein Daten-Export in Drittländer, kein US-Cloud-Provider, keine Schatten-Server in Singapur. Genaue Standort-Daten teilen wir mit auf konkrete Anfrage — Standard-Privacy-Sicht: Deutschland reicht.
Was wir nicht tun
- Kein Tracking. Keine Cookies für Werbung, kein Google Analytics, kein Facebook-Pixel, kein Hotjar.
- Kein Daten-Verkauf. Wir geben Deine Daten nicht an Dritte — weder gegen Geld noch gegen Vorteile.
- Keine Auswertung Deiner Inhalte. Wir lesen Deine Verträge nicht, scannen Deine Notizen nicht, schlagen Dir nichts vor.
- Keine Werbe-Mails. Du bekommst Erinnerungen, die Du eingestellt hast, und Service-Mails (Passwort-Reset, Login-Bestätigung). Sonst nichts.
Zwei-Faktor-Anmeldung (2FA)
Optional, aber empfohlen. merkapp unterstützt TOTP (Time-based One-Time Password) nach RFC 6238 — dasselbe Verfahren, das Apple, Google, Microsoft und Banken nutzen. Apps, die funktionieren:
- Google Authenticator
- Microsoft Authenticator
- Authy
- 1Password (eingebauter TOTP-Generator)
- Bitwarden, Aegis, FreeOTP, andere Standard-Apps
Beim Aktivieren bekommst Du 8 Wiederherstellungs-Codes — drucke sie aus und bewahre sie sicher auf. Damit kommst Du auch ohne Smartphone wieder rein.
Was passiert bei einer Datenpanne?
Wir nehmen die DSGVO-Meldepflicht ernst:
- Eine Datenschutzpanne wird der zuständigen Aufsichtsbehörde binnen 72 Stunden gemeldet.
- Wenn Deine Daten betroffen sind, informieren wir Dich unverzüglich per E-Mail.
- Wir veröffentlichen einen technischen Bericht zur Ursache.
Sentinel-Monitoring
Wir betreiben eine eigene Monitoring-Lösung (INREMA Sentinel), die alle technischen Vorgänge protokolliert und bei Auffälligkeiten Admin-Benachrichtigungen auslöst. Diese Logs sind Pflicht aus der DSGVO heraus und werden 90 Tage aufbewahrt.
Du willst Deine Daten haben oder löschen?
Beide Wünsche kannst Du in Deinem Profil per Klick auslösen:
- Export: Komplette Daten als JSON-Datei, Download-Link 7 Tage gültig.
- Löschung: Konto und alle Daten werden binnen 30 Tagen unwiderruflich entfernt. Du kannst die Löschung in den ersten 30 Tagen widerrufen.
Verantwortliche Offenlegung (Responsible Disclosure)
Hast Du eine Sicherheitslücke gefunden? Bitte melde sie an [email protected] — wir reagieren binnen 72 Stunden und stellen sicher, dass die Lücke geschlossen wird, bevor Details veröffentlicht werden.
Bereit, das nicht mehr selbst tracken zu müssen?
Konto in 30 Sekunden. Eine E-Mail reicht — keine Karte, keine Pflichtfelder.
Direkt loslegen