Datenschutzerklärung.
1. Verantwortlicher und Kontakt
Verantwortlich für dieses private Security-Angebot ist Maurizio Schmidt. Die vollständigen Kontaktdaten, die Postanschrift und der direkte E-Mail-Kontakt stehen im Impressum. Für Datenschutzanliegen kannst du denselben Kontakt nutzen.
2. Website, Hosting und technische Daten
Beim Aufruf werden technisch erforderliche Verbindungsdaten verarbeitet: insbesondere IP-Adresse, Zeitpunkt, angeforderte URL, Antwortstatus sowie vom Browser übermittelte Geräte- und Browserangaben. Das ist nötig, um die Seite auszuliefern, Störungen zu untersuchen und Missbrauch abzuwehren. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse ist ein erreichbarer und sicherer Betrieb. Die Seite wird über OpenAI Sites bereitgestellt; Cloudflare übernimmt Infrastruktur- und Sicherheitsfunktionen.
Diese Anbieter können technische Daten auch außerhalb der EU beziehungsweise des EWR verarbeiten. Maßgeblich sind deren für den jeweiligen Dienst geltende Datenschutz- und Übermittlungsregelungen. Informationen: OpenAI Datenschutz und Cloudflare Datenschutz. Schutz- und Verbindungsprotokolle der Plattform unterliegen den dort festgelegten Speicherfristen; MauriSec legt keine zusätzliche Liste vollständiger Besucher-IP-Adressen an.
Cloudflare kann für die technische Bot-Abwehr notwendige Cookies setzen, etwa __cf_bm mit üblicherweise 30 Minuten Laufzeit. Das dient der Missbrauchserkennung, nicht der Werbeprofilbildung durch MauriSec. Es gibt auf dieser Seite kein von MauriSec eingebautes Werbe- oder Reichweiten-Tracking.
3. Externe GreyNoise-Karte: erst nach Freigabe
Im Radar ist eine Karte von GreyNoise Intelligence, Inc. (USA) optional eingebettet. Vor deiner Freigabe lädt die Seite weder dieses iframe noch ein Skript von GreyNoise. Erst mit „Externe Karte laden und zustimmen“ wird eine direkte Verbindung aufgebaut. Dann erhält GreyNoise insbesondere deine IP-Adresse, Browser- und Verbindungsdaten und verarbeitet die Interaktionen innerhalb der Karte. Der Anbieter kann weitere Infrastruktur- und Speicherdienste einsetzen; die Verarbeitung kann in den USA stattfinden.
Die Freigabe ist freiwillig. Das technisch erforderliche Sitzungscookie __Host-ms-radar-consent speichert ausschließlich die Auswahl und deren Fassung, ohne Nutzer-ID. Es hat keine dauerhafte Laufzeit und wird beim Ende der Browsersitzung gelöscht; eine Sitzungswiederherstellung des Browsers kann Sitzungscookies wiederherstellen. Solange es besteht, wird die Karte beim Zurückkehren automatisch geladen. Diese Speicherung dient allein der von dir gewünschten Berücksichtigung deiner Entscheidung (§ 25 Abs. 2 Nr. 2 TDDDG). Rechtsgrundlage für die optionale Einbindung ist deine Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und, soweit einwilligungsbedürftige Speicher- oder Zugriffstechniken eingesetzt werden, § 25 Abs. 1 TDDDG. Über „Einwilligung widerrufen“ entfernst du die eingebettete Karte, löschst das Sitzungscookie und stoppst weitere Verbindungen aus ihr. Bereits übermittelte Daten lassen sich dadurch nicht zurückholen. Ohne Zustimmung bleiben alle anderen Radar-Bereiche nutzbar. Näheres zu Empfängern, Speicherung, US-Verarbeitung und deinen Rechten beim Anbieter: GreyNoise-Datenschutzerklärung. Alternativ kannst du die Originalkarte bewusst über einen normalen Link öffnen.
4. Quellen, Domain-Check und externe Links
CISA-, BSI-, Microsoft- und Malware-Meldungen ruft der Website-Server ab. Der bloße Aufruf dieser Listen verbindet deinen Browser nicht direkt mit den Nachrichtenquellen. Beim Domain/IP-Check wird deine eingegebene öffentliche Domain oder IP-Adresse serverseitig an Google Public DNS beziehungsweise RIPEstat übermittelt, um DNS- und Netzregistrierungsinformationen abzufragen. Verwende dafür keine internen Namen oder personenbezogenen Angaben. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO: die von dir angeforderte technische Auskunft. Ausgehende normale Links zu X, LinkedIn, Quellen oder Shodan übertragen Daten erst, wenn du sie öffnest. Artikelvideos und Cover werden über die Website ausgeliefert; die Videowiedergabe öffnet keine YouTube-Sitzung.
5. Training, Fortschritt und Abschlussnachweise
Grundlagen-Simulationen laufen im Browser mit Beispieldaten. Fortgeschrittene Fälle speichern einen pseudonymen Übungsstand serverseitig für 14 Tage. Ein zufälliger, nicht öffentlich sichtbarer Browser-Schlüssel ordnet ihn dir zu. Der Fortschritts-Cookie heißt __Host-ms-training, ist HttpOnly und läuft nach 14 Tagen ab. Für ausdrücklich genutzte Community- und Nachweisfunktionen kann zusätzlich __Host-ms-community bis zu zwölf Monate bestehen, damit du eigene Nachweise und Veröffentlichungen wieder verwalten und löschen kannst. Ohne diese Cookies ist eine Zuordnung im selben Browser nicht möglich. Eigene Fallnotizen bleiben im lokalen Browser-Speicher und können dort gelöscht werden. Eine bewusst gewählte Sprachpräferenz wird mit ms-language bis zu zwölf Monate gespeichert.
Diese technisch erforderlichen Speicherzugriffe dienen der jeweils angeforderten Funktion (§ 25 Abs. 2 Nr. 2 TDDDG). Die Verarbeitung des Übungsstands und die Bereitstellung eines privaten Abschlussnachweises erfolgen nach Art. 6 Abs. 1 lit. f DSGVO; berechtigtes Interesse ist, Lernfortschritt und Ergebnisse für dich bereitzustellen. Gespeichert werden Training, zufällige Kennung, Ergebnis, Hinweise beziehungsweise Versuche und Zeitpunkte. Es findet keine Identitätsprüfung statt.
Ein selbst angegebener Name oder Alias für das PDF wird nur zur unmittelbaren PDF-Erzeugung verarbeitet, nicht in der Nachweisdatenbank gespeichert und nicht veröffentlicht. Nachweisdaten sind höchstens zwölf Monate abrufbar. Die zufällige Nachweis-ID aus dem PDF erlaubt eine öffentliche Prüfung von Training, Punktzahl, Version und Abschlussdatum, jedoch ohne Namen und ohne öffentliches Nachweisverzeichnis. Den gespeicherten Nachweis kannst du im selben Browser löschen. Ein PDF auf deinem Gerät bleibt unter deiner Kontrolle.
6. Hall of Fame, Kommentare und Widerruf
Ein Training und der PDF-Nachweis funktionieren ohne öffentliche Eintragung. Nur mit einer eigenen, nicht vorausgewählten Zustimmung veröffentlichen wir einen Alias, Training, Punktzahl und Abschlussdatum in der Hall of Fame. Kommentare benötigen eine separate Zustimmung für Alias und Kommentartext und werden vor Veröffentlichung geprüft. Rechtsgrundlage ist jeweils Art. 6 Abs. 1 lit. a DSGVO. Einwilligungsfassung und Zeitpunkt werden mit dem jeweiligen Datensatz dokumentiert. Öffentliche Inhalte sind weltweit abrufbar und können von anderen kopiert werden.
Über „Eintrag löschen“ beziehungsweise „Kommentar löschen“ widerrufst du deine Zustimmung und entfernst den Eintrag. Das funktioniert im zugeordneten Browser oder mit dem einmal angezeigten Löschschlüssel, der serverseitig nur als Hash gespeichert wird. Alternativ kannst du den Kontakt im Impressum nutzen. Die bisherige rechtmäßige Verarbeitung bleibt vom Widerruf unberührt. Wir speichern öffentliche Ranglisteneinträge und freigegebene Kommentare höchstens zwölf Monate, ungeprüfte Kommentare 30 Tage und abgelehnte Kommentare mit Begründung sieben Tage. Abgelaufene Einträge werden nicht mehr ausgeliefert; die physische Bereinigung erfolgt in begrenzten Schritten bei Nutzung sowie durch eine regelmäßige Bereinigungsroutine. Der regelmäßige Lauf ist täglich vorgesehen.
Sachliche Kritik ist willkommen. Nicht veröffentlicht werden insbesondere Spam, Zugangsdaten, fremde personenbezogene Daten, Drohungen, rechtswidrige Inhalte und schädliche Links. Ablehnungen werden im zugeordneten Browser begründet. Bei „Inhalt melden“ findest du den direkten Meldeweg und die benötigten Angaben. Eine erneute Prüfung einer Moderationsentscheidung kann über denselben Kontakt verlangt werden.
7. Spam-Schutz und Newsletter
Formulare verwenden eine selbst bereitgestellte ALTCHA-Rechenaufgabe. Der Browser löst sie lokal; die Website prüft eine zeitlich begrenzte, signierte Antwort. Dabei wird kein externer CAPTCHA-Dienst geladen. Zusätzlich werden versteckte Formularfallen, Eingabegrenzen, Wiederverwendungsschutz, Frequenzgrenzen und Moderation eingesetzt. Zum Begrenzen von Anfragen verarbeitet der Server einen täglich wechselnden HMAC-Wert aus der von der Plattform gelieferten IP-Adresse; vollständige IP-Adressen werden dafür nicht zusätzlich gespeichert. Kurzlebige Prüfnachweise verfallen nach fünf Minuten; Missbrauchszähler nach höchstens einem Tag zuzüglich ihres Zeitfensters. Rechtsgrundlage ist Art. 6 Abs. 1 lit. f DSGVO: Schutz des Angebots und seiner Teilnehmenden vor Missbrauch. Diese Werte sind pseudonym, nicht vollständig anonym.
Ein Newsletter wird durch den Aufruf der Website, den Download einer Checkliste oder eine Konto-Anmeldung nicht abonniert. Eine optionale Newsletter-Anmeldung benötigt eine eigenständige Einwilligung und eine Bestätigung der E-Mail-Adresse. Solange kein Versanddienst eingerichtet und in diesen Hinweisen benannt ist, werden über MauriSec keine Newsletter-Anmeldungen angenommen und keine Newsletter versendet.
8. Freiwillige Nutzungsstatistik und lokaler Prüfstand
Nur nach deiner ausdrücklichen Zustimmung erfassen wir auf dem eigenen Website-Server Seitenaufrufe, angeklickte PDF- und Nachweisdownloads, geöffnete X-Teilen-Dialoge, Online-Prüfstarts, Werkzeugaufrufe (nur Werkzeugname), Kurzfallstarts und geöffnete Auflösungen sowie Starts und Abschlüsse servergeprüfter Trainings beziehungsweise Wissenschecks. Sichtbare und fokussierte Seitenzeit wird in kurzen Abschnitten gemessen; sie beweist nicht, dass ein Inhalt gelesen wurde. Downloadzahlen zählen Klicks, nicht erfolgreich geöffnete Dateien. Es werden keine Namen, vollständigen IP-Adressen, Suchbegriffe, URL-Abfragen, Übungsantworten, eingegebene Tokens, Log-Regeln oder Checklisten-Notizen in dieser Statistik gespeichert.
Rechtsgrundlage ist Art. 6 Abs. 1 lit. a DSGVO und für optionale Speicherzugriffe § 25 Abs. 1 TDDDG. Eine zufällige HttpOnly-Sitzungskennung (__Host-ms-statistics-session) wird nur nach Zustimmung gesetzt. Serverseitig wird ein HMAC dieser Kennung verwendet; es gibt keine Zusammenführung mit einem Namen oder Werbeprofil. Gespeichert werden öffentliche Inhaltspfade, Ereignistyp, Datum, grobe Geräteklasse und eine beschränkte Herkunftskategorie (direkt, Google, X, LinkedIn, sonstige). Entscheidungsversion und Zustimmungszeit werden dokumentiert. Einzelereignisse werden nach spätestens 30 Tagen ausgeblendet und regelmäßig gelöscht; Tagessummen ohne Sitzungskennungen bleiben 365 Tage verfügbar. Die Verarbeitung nutzt dieselbe Hosting-Infrastruktur aus Abschnitt 2, keinen zusätzlichen Werbe- oder Statistikdienst.
Die Auswahl (__Host-ms-statistics-consent) wird ohne eigene Nutzer-ID für 180 Tage gespeichert, damit auch eine Ablehnung beachtet wird (§ 25 Abs. 2 Nr. 2 TDDDG). Innerhalb einer zugestimmten Sitzung speichert der Browser nur die grobe Herkunftskategorie ergänzend im Sitzungsspeicher. Über „Datenschutzauswahl“ im Footer kannst du jederzeit widerrufen. Dabei endet die Messung, die Statistik-Sitzungskennung wird entfernt und zuordenbare Einzelereignisse werden gelöscht. Schon gebildete Tagessummen enthalten keine Sitzungskennung. Technisch notwendige Sicherheitsmaßnahmen und dafür erforderliche Missbrauchszähler sind von dieser freiwilligen Statistik getrennt.
Online-Checklisten verarbeiten deinen Prüfbereich, Status, eigene Nachweise und nächste Schritte nur im Browser. Eine optionale lokale Speicherung erfolgt ausschließlich auf deinen Wunsch und dient der angeforderten Arbeitsfunktion (§ 25 Abs. 2 Nr. 2 TDDDG). Die Daten bleiben auf deinem Gerät, bis du sie über die Löschfunktion oder die Browser-Einstellungen entfernst. Exportierte Dateien verwaltest du selbst. In Teilen-Links und vorbereitete X-Texte werden nur die leere öffentliche Vorlage und deren Thema übernommen.
9. Deine Rechte
Du hast nach den gesetzlichen Voraussetzungen Rechte auf Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit und Beschwerde bei einer Datenschutzaufsichtsbehörde. Eine auf Einwilligung beruhende Verarbeitung kannst du jederzeit mit Wirkung für die Zukunft widerrufen. Gegen Verarbeitung aufgrund berechtigter Interessen kannst du aus Gründen deiner besonderen Situation Widerspruch einlegen. Kontakt: siehe Impressum. Bitte nenne bei pseudonymen Einträgen nach Möglichkeit die Eintrags-ID oder deinen Löschschlüssel; wir fordern keine unnötigen Identitätsdaten an. Aufsichtsbehörde am Sitz des Betreibers ist der Hessische Beauftragte für Datenschutz und Informationsfreiheit.
Es besteht keine Pflicht, öffentliche Kommentare, einen Ranglisten-Alias oder einen PDF-Namen anzugeben. Es gibt keine automatisierte Entscheidung mit rechtlicher oder vergleichbar erheblicher Wirkung. Die technische Bewertung betrifft ausschließlich das Ergebnis der simulierten Übung.
Privacy information in English
Controller: Maurizio Schmidt. Full postal and email contact details are available in the legal notice. Contact the controller there for privacy requests.
The website uses OpenAI Sites and Cloudflare hosting and security. Connection data such as IP address, requested URL, timestamps and browser information are processed to deliver and protect the service (GDPR Article 6(1)(f)). Providers may process technical data outside the EU/EEA under their applicable privacy and transfer arrangements; see the provider policies linked above. MauriSec does not maintain an additional list of full visitor IP addresses or add advertising analytics. Cloudflare may set necessary anti-bot cookies, including a typically 30-minute __cf_bm cookie.
GreyNoise is optional and blocked until you explicitly choose to load it. Only then does your browser connect directly to GreyNoise Intelligence, Inc. in the USA, transmitting IP address and browser data. The provider may use further storage and infrastructure services. The lawful basis is your consent (GDPR Article 6(1)(a) and, where applicable, §25(1) TDDDG). A necessary session cookie, __Host-ms-radar-consent, remembers only your choice and its version, without a user ID. It has no persistent expiry and normally ends with the browser session; browser session restore may restore it. The map loads on return while this permission is present. This storage is solely for remembering your requested choice (§25(2)(2) TDDDG). Withdraw it using the visible button; this deletes the session cookie, removes the iframe and stops future connections but cannot recall data already sent. Other radar functions remain usable without consent. Read the GreyNoise privacy policy for its retention, recipients, international processing and rights.
News and malware feeds are requested by our server, not directly by your browser. If you request a domain/IP check, the entered public identifier is sent server-side to Google Public DNS and RIPEstat. Do not submit internal names or personal information. Ordinary external links only connect you to those sites when opened. Article videos are hosted with this website.
Advanced training progress is pseudonymous and expires after 14 days. The necessary HttpOnly training cookie lasts 14 days; a community management cookie can last 12 months when you request those functions. Notes remain in your browser, and an explicit language preference can last 12 months. These are necessary for the requested functions (§25(2)(2) TDDDG). Processing serves the legitimate interest of providing your training and completion record (Article 6(1)(f)). Certificate records contain only random ID, course, score, hints/attempts, date and version, and expire after 12 months. A name supplied for a PDF is used transiently and not stored or published. A random certificate ID enables name-free public verification of the course and result. There is no identity verification or public certificate directory. You can delete your stored record in the same browser.
Leaderboard and comment publication each need separate, unchecked, optional consent (Article 6(1)(a)). Training and PDF access do not require publication. Public fields are alias, course, points and completion date, or alias and comment text. Content is accessible worldwide. Consent version and date are recorded. Delete an entry in the same browser, use the one-time deletion key, or contact the controller to withdraw consent. Withdrawal does not affect the lawfulness of prior processing. Public records last at most 12 months, pending comments 30 days and rejected comments with reasons seven days. Expired records stop being served; bounded physical cleanup runs when the service is used and through a regular cleanup routine intended to run daily.
Comments are reviewed before publication; constructive criticism is welcome. No spam, credentials, third-party personal data, threats, illegal content or harmful links. Rejection reasons are shown to the author in the same browser. Use the reporting link or controller contact for notices and requests for reconsideration.
Self-hosted ALTCHA proof of work uses no external CAPTCHA connection. Five-minute signed proofs, daily pseudonymous IP HMACs, short-lived rate counters and moderation prevent abuse (Article 6(1)(f)). Counter retention is at most one day plus the applicable window. These values are pseudonymous, not fully anonymous. No newsletter subscription arises from sign-in or downloads; newsletter registrations remain disabled until a delivery provider and separate consent and email confirmation are configured.
Optional usage statistics run on this website only after explicit consent (GDPR Article 6(1)(a), §25(1) TDDDG). We count public page views, visible/focused time, download clicks, opened sharing dialogs, checklist interactions, tool usage (tool name only), short-case starts and opened explanations, and server-verified exercise/knowledge-check starts and completions. No names, full IPs, search terms, URL queries, exercise answers, entered tokens, log rules or checklist notes are stored in statistics. A random HttpOnly session cookie is set only after consent; its HMAC is stored server-side. Events include public path, coarse device/source category, timestamps, consent version and time. Events last at most30days, daily totals without session identifiers365days. Choice, including refusal, is remembered for180days; coarse source may be stored in session storage after consent. Withdraw through the footer at any time: tracking stops, the session cookie and related individual events are removed. Daily totals have no session identifier. Existing hosting providers from section2 process the data; no additional advertising analytics service is loaded.
Online checklist progress and notes remain in your browser. Optional local saving is only for the working function you request (§25(2)(2) TDDDG), until you delete it. Files you export are under your control. Sharing links contain only the blank public template, never your findings or notes.
You have the applicable rights of access, rectification, erasure, restriction, portability, withdrawal of consent, objection on grounds relating to your particular situation, and complaint to a supervisory authority. The local authority is the Hessian Commissioner for Data Protection and Freedom of Information, linked above. Provide an entry ID or deletion key where possible. There is no obligation to publish a name or comment and no automated decision with legal or similarly significant effect.