Sicherheit

Anmeldung ohne Passwort

Screwps speichert keine Passwörter, die gestohlen oder erraten werden könnten. Du meldest dich mit einem Einmal-Link oder einem sechsstelligen Code aus der E-Mail an. Der Link enthält 256 Bit Zufall aus einem kryptographisch sicheren Zufallsgenerator; Link und Code sind zehn Minuten gültig und nur einmal einlösbar, der Code ist nach fünf Fehlversuchen verbraucht. Wir speichern beide nur als Prüfwert (Hash). Ob es zu einer E-Mail-Adresse ein Konto gibt, verrät die Anmeldeseite nicht.

Passkeys: Noch sicherer und bequemer meldest du dich mit einem Passkey an – per Fingerabdruck, Gesicht oder Geräte-PIN. Dabei bleibt der geheime Schlüssel auf deinem Gerät; wir speichern nur den öffentlichen Teil. Ein Passkey gilt nur für screwps.com und schützt so auch vor nachgemachten Anmeldeseiten (Phishing). Einrichten und entfernen kannst du Passkeys unter Sicherheit. Wird ein neuer Passkey hinzugefügt, bekommst du sofort eine E-Mail.

Geschützte Sitzung

Nach der Anmeldung hält dich ein Sitzungs-Cookie angemeldet – bis du den Browser schließt, höchstens zwölf Stunden. Mit „Angemeldet bleiben“ sind es 30 Tage, die sich bei Nutzung verlängern. Das Cookie ist „httpOnly“ (für JavaScript im Browser nicht auslesbar – schützt vor Cookie-Diebstahl über Cross-Site-Scripting), „Secure“ (nur über eine verschlüsselte HTTPS-Verbindung übertragen) und „SameSite=Lax“ (schützt vor bestimmten Cross-Site-Request-Angriffen).

Angemeldete Geräte: Unter Sicherheit siehst du jedes Gerät, auf dem du angemeldet bist, und kannst einzelne, alle anderen oder alle Geräte abmelden. Wird ein Konto gesperrt, endet jede Sitzung sofort.

Schutz vor Missbrauch

Anfragen für Anmelde-Links sind auf fünf pro 15 Minuten je Gerät begrenzt; auch Code-Eingaben und Passkey-Anmeldungen sind begrenzt. Das erschwert automatisiertes Massen-Anfordern und Durchprobieren.

Rechte- und Rollenmodell

Jede Aktion wird serverseitig geprüft. Als Mitglied siehst und änderst du deine eigenen Termine und die deiner Gruppen; Mitglieder anderer Gruppen sehen im Belegungsplan keine Namen, und wer eine freie Zeit gebucht hat, sieht niemand außer dir. Mitglieder verwalten können nur die Admins der jeweiligen Gruppe oder ein Super-Admin; Plätze, Hallen, Nutzer und Meldungen verwalten nur Super-Admins. Geburtsdatum und Anschrift sieht nur der Vorstand des Vereins.

Datensparsamkeit

Wir speichern nur, was für Terminplanung und Verein nötig ist – mindestens deinen Namen und deine E-Mail-Adresse. Angaben wie Geburtsdatum, Anschrift oder Spielstärke sind freiwillig. Erinnerungs-Mails sind standardmäßig aus, Browser-Benachrichtigungen gibt es nur nach deiner Einwilligung. Keine Passwörter, keine Analyse- oder Tracking-Cookies, kein Tracking durch Dritte. Fotos zu Problem-Meldungen werden neu berechnet; dabei entfernen wir alle eingebetteten Metadaten wie den Aufnahmeort. Details stehen in der Datenschutzerklärung.

Kalender und Benachrichtigungen

Dein persönlicher Kalender-Abo-Link enthält 256 Bit Zufall und ist nicht zu erraten. Er funktioniert ohne Anmeldung – gib ihn deshalb nicht weiter. Im Überblick unter „In den Kalender“ kannst du ihn jederzeit neu erzeugen oder beenden; der alte ist dann sofort ungültig. Browser-Benachrichtigungen sind Ende-zu-Ende verschlüsselt: Der Push-Dienst deines Browsers stellt sie zu, kann ihren Inhalt aber nicht lesen.

Infrastruktur und Betrieb

Screwps läuft auf einem eigenen virtuellen Server (VPS) mit Serverstandort Deutschland; alle Verbindungen sind per HTTPS verschlüsselt. Vor jeder Aktualisierung sichern wir die Datenbank verschlüsselt (den Schlüssel zum Öffnen hat der Server nicht), jede Änderung durchläuft vorher automatisierte Tests, und nach dem Einspielen prüft ein automatischer Test, ob alles läuft – sonst kehren wir zur letzten funktionierenden Version zurück. Fehler überwachen wir mit eigener Software, die Erreichbarkeit zusätzlich mit einer externen Prüfung; die Überwachung ist aus dem Internet nicht erreichbar, sicherheitsrelevante Ereignisse lösen Alarme aus. In den Protokollen werden E-Mail- und IP-Adressen gekürzt, nach 14 Tagen werden sie gelöscht.

Sicherheitslücke gefunden?

Bitte melde sie verantwortungsvoll an contact@screwps.com — wir kümmern uns umgehend darum.