Datenspeicherung
Was speichert der Collogue-Server?
Was die aktuelle Client-Implementierung speichert und welche Infrastruktur daraus nicht abgeleitet werden kann.
Veröffentlicht: 1. August 2026
Grenzen der aktuellen Implementierung
Der aktuelle Client verschlüsselt den Text im Browser und legt den verschlüsselten Inhalt in der URL ab. Das separat geteilte Passwort gehört nicht zum Link. Es gibt keinen Anwendungsserver zum Speichern, Abrufen, Löschen oder als Einmalansicht für Nachrichten.
Weiterer Kontext
Jeder funktionierende Webdienst verarbeitet Daten. Die nützlichen Fragen lauten: welche Daten, in welcher Form, zu welchem Zweck und wie lange?
Verschiedene Daten haben unterschiedliche Risiken.
Lassen Sie in der endgültigen Tabelle kein „normalerweise“ stehen. Ersetzen Sie jede Zelle durch eine Produkteigenschaft.
Verschlüsselte Inhalte sind für einen Angreifer ohne Schlüssel weniger nützlich. Das ist nicht gleichbedeutend mit „nichts speichern“.
- ungefähre Nutzlastgröße;
- das Vorhandensein einer Nachricht;
- Zeitpunkt;
- Protokollversion;
- gewählte Ablaufregel;
- wiederkehrende strukturelle Metadaten.
Gute Verschlüsselung sollte den Inhalt verbergen, nicht die Tatsache, dass ein verschlüsseltes Objekt existiert.
Anwendungen protokollieren häufig Fehler, Anfragepfade, Statuscodes und Zeitpunkte. Schlecht konzipierte Protokollierung kann auch Anfragekörper oder sensible Kennungen erfassen.
- Erstellungsanfragen werden protokolliert;
- Nachrichtenkennungen erscheinen in URLs;
- Entschlüsselungsfehler enthalten Nutzlastdaten;
- Ausnahmen werden an einen Drittanbieterdienst gesendet;
- Client-Telemetrie enthält Routendetails;
- vollständige URLs werden aufgezeichnet.
Sensible Inhalte sollten nicht allein aus Bequemlichkeit beim Debugging in Protokolle gelangen.
Eine Anwendung protokolliert IP-Adressen möglicherweise nicht ausdrücklich, während ihr Reverse-Proxy, Load Balancer, CDN oder ihre Hosting-Plattform dies tut.
- Zugriffsprotokolle des Proxys;
- CDN-Protokolle;
- Protokolle serverloser Aufrufe;
- Firewall-Protokolle;
- Systeme zur Missbrauchsverhinderung;
- Speicher für Rate Limits;
- Hosting-Dashboards.
Die Datenschutzseite sollte nicht „keine IP-Protokollierung“ behaupten, nur weil im Anwendungscode kein console.log steht.
Infrastruktur existiert auch dann, wenn sie im Frontend-Repository fehlt.
Das ist weniger dramatisch als „verschwindet spurlos“. Es ist wesentlich informativer.
Diese Verhaltensweisen haben unterschiedliche Fehlerbilder.
Exakte Sprache verhindert falsche Erwartungen.
Das beste Feld, das man schützen kann, ist das Feld, das nie erhoben wurde.
Das ist meist günstiger, als dauerhaft den Schutz eines größeren Datensatzes zu versprechen.
Beantworten Sie die Frage anhand von Infrastrukturbelegen, nicht anhand des Frontend-Codes. Proxys und Hosting-Dienste können Anfragemetadaten aufzeichnen, auch wenn die Anwendung das nicht tut.
Die rechtliche Einordnung hängt vom Kontext und der Gerichtsbarkeit ab. Aus sicherheitstechnischer Sicht sollten Chiffretext und zugehörige Metadaten trotzdem als schützenswerte Daten behandelt werden.