Sicherheit bei PropFirm Tracking
Deine Trading-Daten, Auszahlungen, Steuernummer und Rechnungen sind sensibel. Hier steht,
wo sie liegen, wer sie lesen kann und was du selbst tun kannst — ohne Siegel, die wir nicht haben.
Datenbank in der EUNur du siehst deine DatenZwei-Faktor verfügbar
HTTPS mit HSTSKeine TrackerKartendaten nie bei uns
Wo deine Daten liegen
Gespeichert in der EU, getrennt nach Konto.
Datenbank in der EU
Angemeldet liegen deine Daten in deinem Browser und in unserer Datenbank bei Supabase, Region Irland (eu-west-1). So hast du sie auf jedem Gerät, und ein verlorener Laptop bedeutet keinen Datenverlust. Im Demo-Modus verlässt nichts deinen Browser.
Nur du siehst deine Zeilen
Jede Tabelle ist mit Row Level Security geschützt: Die Datenbank liefert nur Zeilen, die zu deinem angemeldeten Konto gehören. Andere Nutzer sehen sie nicht, eine Anfrage ohne Anmeldung bekommt eine leere Antwort.
Belege privat abgelegt
Hochgeladene Belege liegen in einem nicht öffentlichen Speicherbereich, jeweils im Ordner deines Kontos. Es gibt keine öffentlichen Links darauf; abrufen kann sie nur, wer als du angemeldet ist.
Gestellte Rechnungen bleiben, wie sie sind
Sobald eine Rechnung eine Nummer hat, lassen sich Beträge, Datum und Positionen nicht mehr ändern — auch nicht direkt in der Datenbank. Jede Nummer gibt es nur einmal. Korrigiert wird per Stornorechnung, so wie es die GoBD verlangen.
Anmeldung und Zugang
Wer sich als du anmelden kann — und wie du das absicherst.
Passwörter
Die Anmeldung läuft über Supabase Auth. Passwörter werden dort mit bcrypt gehasht, einem Verfahren, das eigens für Passwörter gebaut ist. Im Klartext speichern wir sie nie, und auch wir können sie nicht einsehen.
Zwei-Faktor-Anmeldung
Unter Einstellungen schaltest du einen zweiten Faktor mit einer Authenticator-App ein (TOTP). Danach reicht das Passwort allein nicht mehr. Freiwillig, weil ein verlorenes Handy sonst den Zugang zur eigenen Buchhaltung kosten könnte.
Abmelden auf geteilten Geräten
Beim Abmelden lädt die App offene Änderungen hoch und löscht die Kopie im Browser. Mit abgewähltem „Angemeldet bleiben“ geschieht das auch, wenn du den Browser einfach schließt.
Übertragung und Browser
Was zwischen deinem Gerät und uns passiert.
Verschlüsselte Verbindung
Jede Verbindung läuft über HTTPS (TLS). Der Browser wird angewiesen, die Seite ein Jahr lang nur verschlüsselt aufzurufen (HSTS); unverschlüsselte Aufrufe werden umgeleitet.
Content Security Policy
Die App lädt Skripte, Schriften und Bilder nur vom eigenen Server und spricht nur mit unserer Datenbank. Fremde Skripte, Formulare an fremde Adressen und das Einbetten in andere Seiten blockiert der Browser.
Keine Tracker
Kein Google Analytics, kein Facebook-Pixel, keine Werbe-Cookies. Schriften und Firmenlogos kommen vom eigenen Server. Kamera, Mikrofon und Standort darf die Seite gar nicht erst anfragen.
Zahlung
Bezahlt wird bei Stripe — nicht bei uns.
Kartendaten nie bei uns
Du gibst Karte oder Bankdaten auf der Bezahlseite von Stripe ein. Diese Daten erreichen unsere Server nie; wir sehen nur, dass bezahlt wurde, welcher Tarif und an welche E-Mail-Adresse.
Freischaltung nur vom Server
Dein Tarif lässt sich nicht im Browser ändern. Er wird erst gesetzt, wenn Stripe die Zahlung mit einer signierten Nachricht an unseren Server bestätigt; die Datenbank lehnt jede andere Änderung ab.
Deine Kontrolle
Deine Daten bleiben deine — auch wenn du gehst.
Export jederzeit
Unter Einstellungen lädst du alle Daten als Datei herunter. Du bist nicht auf uns angewiesen, um an deine Zahlen zu kommen.
Papierkorb und Sicherung
Gelöschte Einträge liegen 30 Tage im Papierkorb. Bevor ein ganzes Konto samt Trades gelöscht wird, legt die App automatisch eine Sicherung an.
Konto löschen
Unter Einstellungen beantragst du die Löschung deines Zugangs. Sie erfolgt zurzeit von Hand, spätestens innerhalb eines Monats (Art. 12 Abs. 3 DSGVO). Lade vorher einen Export herunter: Rechnungen musst du selbst aufbewahren.
Wer deine Daten verarbeitet
Nur diese Dienstleister. Stripe handelt für die Zahlung in eigener Verantwortung, die übrigen als Auftragsverarbeiter. Details in der Datenschutzerklärung.
| Dienst | Wofür | Sitz |
|---|
| Supabase | Datenbank, Anmeldung, Belege | Server in Irland (EU) |
| Netlify | Auslieferung der Website und Server-Funktionen | USA |
| Stripe | Zahlung und Abos | Dublin (EU) |
| Brevo | Bestätigungs-E-Mails zu Kauf und Kündigung | Berlin (EU) |
| IONOS | Unser E-Mail-Postfach | Montabaur (DE) |
Was du selbst tun kannst
Vier Handgriffe, die am meisten bringen.
- Eigenes Passwort: eines, das du nirgends sonst nutzt — am besten aus einem Passwort-Manager, 12 Zeichen oder mehr.
- Zwei-Faktor einschalten: In deinem Konto liegen Steuernummer und Bankverbindung. Ein zweiter Faktor schützt sie, selbst wenn das Passwort bekannt wird.
- Gelegentlich exportieren: Eine Datei auf deinem Rechner ist die einfachste zweite Sicherung.
- Vorsicht bei Mails: Wir fragen dich nie nach deinem Passwort oder Zwei-Faktor-Code. Echte Mails von uns kommen von @propfirmstracking.com.
Sicherheitslücke gefunden?
Bitte melde sie an contact@propfirmstracking.com mit dem Betreff „Sicherheitslücke“ und einer kurzen Beschreibung, wie man sie nachstellt. Wir bestätigen den Eingang in der Regel innerhalb eines Werktags und sagen dir Bescheid, wenn sie behoben ist. Bitte veröffentliche sie erst danach und greif nicht auf fremde Daten zu.
Wenn doch etwas passiert
Kommt es zu einer Verletzung des Schutzes personenbezogener Daten, melden wir sie der zuständigen Aufsichtsbehörde (Landesbeauftragte für Datenschutz und Informationsfreiheit NRW) binnen 72 Stunden, sofern ein Risiko für dich besteht (Art. 33 DSGVO). Bei hohem Risiko benachrichtigen wir dich direkt per E-Mail (Art. 34 DSGVO).
Stand: 31. Oktober 2026