Wie wir deine Aufzeichnungen schützen

Zuletzt aktualisiert am 25. Oktober 2026

Das Journal eines Pferdes enthält Tierarztberichte, Pässe, was du bezahlt hast und wer sich kümmert. Hier steht, was wir tun, um es zu schützen — in einfachen Worten, und wie du es nachprüfen kannst.

Privat von Grund auf

• Keine Werbung, keine Analyse-Tools, keine Tracker. Nichts verfolgt dich durchs Web, und wir verkaufen oder vermieten deine Daten nie.
• Ein einziges Cookie, und nur, damit du angemeldet bleibst.
• Außer den Menschen, die du einlädst, und dem Kalender, den du verbindest, erreichen deine Daten nur die wenigen Unternehmen, die EquiDiary hosten, seine E-Mails verschicken oder die Abos abrechnen — jedes nur für diese eine Aufgabe. Die Datenschutzerklärung nennt sie alle.

Dein Konto

• Dein Passwort wird nur als gesalzener Hash gespeichert, berechnet mit einem absichtlich langsamen Verfahren (PBKDF2) — nie in einer Form, die jemand zurücklesen könnte, auch wir nicht.
• Wenn du ein Passwort wählst, lehnen wir die 5.000 häufigsten ab. Regeln zu Sonderzeichen oder Großbuchstaben gibt es nicht: Ein langer Satz, den du dir merken kannst, ist besser als ein kurzes Passwort, das du vergisst.
• Anmelden, ein Konto anlegen und einen Link zum Zurücksetzen anfordern laufen zuerst durch eine Bot-Prüfung. Nach 10 falschen Passwörtern in 15 Minuten pausiert die Anmeldung für diese Adresse. Gezählt wird pro Netzwerk, damit dich niemand aussperren kann, der woanders rät. Zum Ändern deines Passworts oder Löschen deines Kontos fragen wir erneut nach dem aktuellen, mit derselben Grenze von 10 Fehlversuchen in 15 Minuten.
• Dein Anmelde-Cookie wird nur über HTTPS und nur an die App gesendet, und Skripte auf der Seite können es nicht lesen. Jede Anmeldung beginnt eine neue Sitzung, und eine Passwortänderung meldet alle anderen Geräte ab.
• Die App nimmt Änderungen nur von ihren eigenen Seiten an: Eine Anfrage, die von einer anderen Website kommt, wird abgelehnt.
• Falls wir dir je ein Passwort setzen — weil du ausgesperrt bist und uns darum bittest —, kannst du damit nur dein eigenes wählen, und es verfällt nach 3 Tagen. Wir schreiben dann auch an deine bestätigte Adresse, sofern sie ihr tägliches Limit an E-Mails zum Konto nicht schon erreicht hat.

Die Aufzeichnungen deines Pferdes

• Ein Pferd sehen nur sein Besitzer und die Personen, die er einlädt. Das prüft unser Server bei jeder Anfrage, direkt in der Datenbankabfrage; was deine Daten schützt, ist nie ein ausgeblendeter Knopf in der App. Für alle anderen gibt es den Eintrag nicht.
• Fotos und Dokumente liegen in privatem Speicher und werden nur an Berechtigte ausgeliefert. Jede hochgeladene Datei wird darauf geprüft, dass sie ist, was sie vorgibt — ein Foto muss wirklich ein Foto sein —, und eine Datei wird nur als Bild, Video oder Download ausgeliefert, nie in einen Rahmen auf einer anderen Website und nie als Skript.
• Videos laufen über signierte Links, jeder für ein einziges Video und höchstens 12 Stunden gültig. Widerrufst du eine Freigabe oder entziehst jemandem den Zugriff, bekommt er keine neuen Links, und die, die er schon hat, funktionieren spätestens nach diesen 12 Stunden nicht mehr. Videos aus der Zeit vor unserem Wechsel zu einem eigenen Videodienst werden wie Fotos gespeichert und ausgeliefert.
• Freigabelinks erlauben nur Lesen und zeigen nie Preise oder Kontodaten. Du kannst einen Link auf bestimmte Kategorien oder ein Startdatum beschränken, ihm ein Ablaufdatum geben und ihn jederzeit widerrufen.
• Die Links, die wir dir per E-Mail schicken — zum Bestätigen deiner Adresse, Zurücksetzen deines Passworts oder Annehmen einer Einladung —, tragen ihren geheimen Teil dort, wo dein Browser ihn nie an einen Server schickt. So kann er in keinem Protokoll landen.

Unterwegs und gespeichert

• Verbindungen sind verschlüsselt (HTTPS, TLS 1.2 oder neuer), und Browser wissen, dass sie sich nie unverschlüsselt verbinden dürfen. Eine Ausnahme: Abonniert eine Kalender-App deinen Handykalender-Link mit einem Tippen, kann ihre allererste Anfrage über unverschlüsseltes http kommen. Wir leiten sie auf HTTPS um, bevor wir sie lesen, aber diese erste Anfrage hat das Netz samt Link bereits unverschlüsselt durchquert. Mehr dazu (English)
• Die App, die Datenbank und deine Dateien laufen bei Cloudflare.
• Einmal am Tag geht ein Backup auf einen Server, den wir in Kanada mieten. Es wird verschlüsselt, bevor es gespeichert wird, und der Schlüssel dazu liegt offline, nicht auf diesem Server. Was du löschst, verschwindet innerhalb von 30 Tagen aus den Backups.
• Unser Fehlerprotokoll enthält keine E-Mail-Adressen, keine IP-Adressen und keinen deiner privaten Links, und es wird höchstens 7 Tage aufbewahrt.

Auf deinem Handy oder Computer

• Die App hält eine Kopie deines Journals auf dem Gerät, damit sie im Stall ohne Empfang funktioniert. Beim Abmelden wird diese Kopie zuerst gelöscht — und bist du gerade offline, wird die Sitzung beendet, sobald die App wieder eine Verbindung hat.
• Deine Daten gehören dir: Konto → Meine Daten herunterladen gibt dir eine Kopie deiner Einträge, Fotos, Dokumente und Videos — bis zu 100 Minuten Video pro Download, das ganze Kontingent eines Standardkontos, und der Dialog nennt jedes Video, das nicht mitkommt. Konto → Mein Konto löschen entfernt deine Daten; die Datenschutzerklärung nennt das Wenige, das bleibt, etwa Einträge, die du beim Pferd eines anderen erfasst hast.

Geprüft nach einem öffentlichen Standard

Wir prüfen EquiDiary nach dem OWASP Application Security Verification Standard (ASVS), Version 5.0 — einer offenen Liste von Sicherheitsanforderungen an Webanwendungen, geschrieben von der Security-Community, nicht von uns. Seine Stufe 1 ist die Grundlage, die er von jeder Anwendung verlangt.

Unsere letzte Prüfung, abgeschlossen am 25. Oktober 2026, ging alle 70 Anforderungen der Stufe 1 durch. Jede ist erfüllt oder betrifft etwas, das EquiDiary nicht hat — Betriebssystembefehle, Rich-Text-Eingaben, XML, WebSockets, die Anmeldung für Nutzer anderer Unternehmen. Zwei sind auf einem anderen Weg erfüllt, als die Anforderung beschreibt, und wir erklären, warum.

Wir wiederholen sie, sobald sich etwas ändert, worauf sie sich stützt, und mindestens einmal im Jahr.

Was noch fehlt

Manche Schutzmaßnahmen gehören zur Stufe 2 des Standards, nach der wir uns noch nicht bewertet haben. Drei, die du vielleicht erwartest und noch nicht findest:

• Kein zweiter Schritt bei der Anmeldung, etwa ein Code oder ein Passkey zusätzlich zum Passwort.
• Eine Sitzung dauert 90 Tage, wenn du dich nicht abmeldest; sie endet nicht früher, weil sie ungenutzt bleibt.
• Keine Liste der Geräte, auf denen du angemeldet bist. Eine Passwortänderung meldet alle ab.

Ein Problem gefunden?

Wenn du glaubst, eine Sicherheitslücke gefunden zu haben, schreib an support@equidiary.com, was du gefunden hast und wie es sich nachstellen lässt — dieselbe Adresse nennt unsere security.txt. Bitte behalte es für dich, bis es behoben ist; wir sagen dir Bescheid, sobald das der Fall ist, und danken dir auf Wunsch namentlich.

OWASP ist eine Marke der OWASP Foundation, Inc. EquiDiary ist mit der OWASP Foundation nicht verbunden und wird nicht von ihr empfohlen.