Datenschutz · Cookies · Werbung · Aktualisiert am 23. Oktober 2026

Was diese Seite erhebt

Kurzfassung: fast nichts, und das kannst du selbst nachprüfen.

1. Wer diese Seite betreibt

SaveSaveSaveSave (savesavesavesave.xyz) wird von Stefan Tsezarov, Bulgarien, als unabhängiges Projekt betrieben. Er entscheidet, was diese Seite verarbeitet und warum, und ist Verantwortlicher dieser Verarbeitung im Sinne der EU-Datenschutz-Grundverordnung (DSGVO). Kontakt zu allem in dieser Erklärung: savesavesavesave@tuta.io.

2. Prüfung einer Nachricht oder eines Prompts

Wenn du Text in den Nachrichtenscanner einfügst, läuft die Analyse vollständig in JavaScript in deinem eigenen Browser. Der Text wird nicht hochgeladen, nicht protokolliert, nicht gespeichert und niemandem gezeigt. Wenn du den Tab schließt, ist er weg.

Diesen Teil kannst du selbst prüfen. Öffne die Entwicklerwerkzeuge deines Browsers, wechsle zum Tab „Netzwerk“, füge eine Nachricht ein und drücke auf Prüfen. Dein Text steht in keiner Anfrage. Die eine Anfrage, die du siehst, ist die Prüfungszählung an unseren eigenen Worker (Abschnitt 5), und sie wird gar nicht gesendet, wenn dein Browser Global Privacy Control nutzt. Das ist die Prüfung eines Besuchs, kein Beweis für jeden möglichen Besuch.

Auf der Scanner-Seite läuft kein Skript Dritter. Die Seite mit deiner Nachricht und ihrem Ergebnis lädt keine Werbung, kein Einwilligungswerkzeug und kein Analyseskript. Ihre Content-Security-Policy erlaubt Skripte nur von dieser Seite und Verbindungen nur zu den Adress- und Paketdiensten aus Abschnitt 4 und zu unserem eigenen Worker; das setzt der Browser durch. Code von anderen Seiten könnte sonst lesen, was auf der Seite steht, deshalb ist das Fernhalten dieses Codes die Schutzmaßnahme, kein Versprechen darüber, was er tun würde. Browser-Erweiterungen mit Zugriff auf diese Seite können womöglich lesen, was hier eingegeben wird.

Spot the Trap. Auf den Challenge-Seiten bleibt die gewählte Antwort in der Seite, solange sie offen ist. Sie wird nicht gesendet, nicht in den Browser-Speicher geschrieben und nicht in einen geteilten Link oder eine Karte aufgenommen; Neuladen startet die Runde neu. Die einzelnen Challenge-Seiten laden keine Werbung, keine Analyse und kein Skript Dritter. Die Challenge-Liste unter /spot-the-trap zeigt auf breiten Bildschirmen Google-Werbung in den Seitenspalten (Abschnitt 7); sie enthält keine Challenge und keine Antwort. Wie jede Seite werden sie von Cloudflare ausgeliefert, das gewöhnliche Anfrageinformationen wie deine IP-Adresse erhält.

2a. Der Spyware-Check

Auf der Seite Spyware-Check bleibt, was du prüfst, in deinem Browser: Eine eingefügte Nachricht und eine Android-Sammlung, die du auswählst, werden nur in diesem Tab gelesen und verglichen. Sie werden nicht hochgeladen, nicht im Browser gespeichert und nicht an uns oder andere gesendet. Ein Ergebnis wird nur heruntergeladen, wenn du auf „Dieses Ergebnis speichern“ drückst. Die Seite hat keine Analyse, keine Werbung und keinen Prüfungszähler.

Wenn du auf „Listen laden“ drückst, lädt dein Browser die veröffentlichten Indikatorlisten von dieser Seite. Diese Anfrage erreicht Cloudflare, unseren Hosting-Anbieter, mit den Verbindungsmetadaten jeder Seitenanfrage (deine IP-Adresse, User-Agent des Browsers, Zeit und die angefragten Listendateien) und wird wie jede andere Anfrage behandelt (Abschnitt 8). Sie enthält nichts von dem, was du prüfst. Keine andere Seite wird kontaktiert, und keine Adresse, die auf einer Liste steht, wird je geöffnet.

Cloudflare fügt seinen Antworten außerdem eine übliche Anweisung „Network Error Logging“ hinzu. Wenn eine Verbindung zu dieser Seite fehlschlägt, kann dein Browser diesen Fehler (die versuchte Adresse, den Fehler, Zeitangaben und deine IP-Adresse) an Cloudflare unter a.nel.cloudflare.com melden. Erfolgreiche Anfragen werden nicht gemeldet. Das gehört zum Hosting, nicht zum Spyware-Check, und enthält nie, was du prüfst.

3. Prüfung einer Krypto-Adresse oder eines Tokens

Dieser Teil nutzt das Netzwerk, weil die Sicherheitsdaten woanders liegen. Wenn du eine Adresse prüfst, werden die Adresse selbst und die Chain-Kennung an einen Drittanbieter für Sicherheitsdaten gesendet, und für Sanktionsprüfungen über unseren eigenen Proxy an einen öffentlichen Blockchain-Knoten.

Gesendet werden die Adresse und die Chain. Nicht gesendet werden die Nachricht, aus der die Adresse stammt, anderer Text auf der Seite oder irgendetwas, das dich über die gewöhnlichen Angaben jeder Webanfrage hinaus identifiziert (deine IP-Adresse und der User-Agent des Browsers, die jede besuchte Website erhält).

Wenn eine Adresse aus einer eingefügten Nachricht stammt, geht nur die Adresse auf die Reise. Die Nachricht bleibt in deinem Browser.

Prüfung eines npm-Pakets. Wenn du ein Paket prüfst, wird sein Name (und die Version, falls du eine angibst) von deinem Browser an die npm-Registry und den Download-Zähler von npm (registry.npmjs.org, api.npmjs.org) und an OSV.dev (api.osv.dev), Googles offene Schwachstellendatenbank, gesendet. Wie jede Webanfrage enthalten sie deine IP-Adresse und den User-Agent des Browsers. Sonst wird nichts gesendet, der Code des Pakets wird nie heruntergeladen oder ausgeführt, und nichts von der Prüfung erreicht einen Werbetreibenden.

4. Dritte, die etwas erhalten

Wer wofür verantwortlich ist. Cloudflare (Auslieferung der Seite, unser Worker, Web Analytics) verarbeitet Anfragedaten für diese Seite im Auftrag des Betreibers, nach den Auftragsverarbeitungsbedingungen von Cloudflare; Anfragen zu diesen Daten gehen an uns (Abschnitt 9). GoPlus, PublicNode, npm, OSV.dev und Google erhalten eine Anfrage direkt von deinem Browser oder von unserem Worker für die Prüfungen, die du startest, und entscheiden selbst, was sie behalten; jeder tut das nach seiner eigenen Datenschutzerklärung, die diese Seite nicht kontrolliert.

Übermittlungen außerhalb der EU. Mehrere dieser Anbieter sitzen außerhalb des Europäischen Wirtschaftsraums oder verarbeiten Daten dort, auch in den Vereinigten Staaten. Wo der Betreiber Daten an einen Anbieter übermittelt, der in seinem Auftrag handelt, stützt sich die Übermittlung auf dessen Auftragsverarbeitungsbedingungen mit den Standardvertragsklauseln der Europäischen Kommission oder auf das EU-US Data Privacy Framework, wo der Anbieter danach zertifiziert ist.

5. Analyse

Diese Seite nutzt Cloudflare Web Analytics, um Seitenaufrufe auf jeder Seite außer dem Scanner zu zählen. Cloudflare beschreibt es als Dienst ohne Cookies und ohne seitenübergreifendes Tracking. Erfasst werden Seiten-URL, Referrer, ungefähres Land, Browser- und Gerätetyp und Ladezeit der Seite.

Auf der Scanner-Seite wird es nicht geladen, ist also nicht vorhanden, wo eine Nachricht oder ein Ergebnis angezeigt wird.

Prüfungszählung. Wenn eine Prüfung endet, sendet die Seite eine kleine Anfrage an unseren eigenen Cloudflare Worker mit der Art der Prüfung (Adresse oder Nachricht; bei Adressen Token oder Wallet und die Chain) und dem erreichten Ergebnis. Der Worker zählt eins zur Tagessumme hinzu. Die gespeicherte Summe enthält nur diese Wörter: nie die geprüfte Adresse oder den geprüften Text und kein Cookie, keine ID und keine IP-Adresse. Solange die Protokollierung des Workers an war, wurde die Anfrage selbst mit deiner IP-Adresse und anderen Anfragedetails protokolliert. Die routinemäßige Protokollierung der Anfragen unseres Workers wurde am 20. Oktober 2026 abgeschaltet, durch ein späteres Deployment wieder eingeschaltet vorgefunden und am 23. Oktober 2026 erneut abgeschaltet. Die Deploy-Konfiguration hält sie jetzt abgeschaltet, und ein Test schlägt fehl, wenn das geändert wird. Einträge von vor dem 23. Oktober laufen nach der Aufbewahrungsfrist von Cloudflare ab. Ein Browser, der Global Privacy Control sendet, sendet die Zählanfrage nicht.

Die Summen sind öffentlich. Die Startseite zeigt, wie viele Prüfungen in den letzten sieben Tagen liefen, und jeder kann dieselbe Übersicht, nach Art und Ergebnis aufgeschlüsselt, unter der öffentlichen Statistikadresse unseres Workers lesen. Um diese Zeile anzuzeigen, fragt die Startseite beim Laden unseren Worker nach der Zahl; diese Anfrage enthält nichts über deine Prüfungen. Verlauf und aktuelle Einstellungen der Protokollierung stehen in Abschnitt 8.

Warnkarten. Nach einem Ergebnis FAIL oder CAUTION kannst du ein Bild „Diese Warnung teilen“ erstellen. Es wird in deinem Browser aus dem Ergebnis auf deinem Bildschirm gezeichnet und nie zu uns hochgeladen. Eine Karte zu einer Nachrichtenprüfung enthält nicht den Nachrichtentext, nur feste Beschreibungen des Gefundenen. Wohin das Bild danach geht, entscheidest du.

6. Cookies und Browser-Speicher

Der eigene Code dieser Seite setzt keine Cookies und schreibt nichts in localStorage, sessionStorage oder IndexedDB. Unser Code speichert deine Prüfeingabe nicht im Browser-Speicher. Die Nachrichtenanalyse läuft lokal, und unser Code überträgt oder speichert den Nachrichtentext nicht. Adressprüfungen können Speicherung außerhalb deines Browsers einschließen, darunter den kurzlebigen Edge-Cache und Anfrageprotokolle von vor dem 23. Oktober 2026, beschrieben in den Abschnitten 4 und 8.

Googles Werbung ist eine andere Sache. Die Werbeauslieferung und der zugehörige Einwilligungsdialog können Cookies in deinem Browser setzen. Diese liegen unter Googles Kontrolle, nicht unserer. Nichts auf dieser Seite liest sie.

Wenn du in der EU oder im EWR bist, zeigt dir Googles Einwilligungswerkzeug eine Meldung, bevor personalisierte Werbung läuft, und speichert deine Antwort. Du kannst sie später über denselben Dialog ändern.

Ein Werbeblocker entfernt all das. Wir erkennen keinen, bitten nicht darum, ihn abzuschalten, und der Scanner funktioniert in beiden Fällen gleich.

7. Werbung

Einige Ratgeberseiten und die Liste der Spot-the-Trap-Challenges zeigen Werbung. Der Scanner nie. Der Anbieter ist Google AdSense, Publisher-ID ca-pub-7192453271158919, angezeigt in zwei gekennzeichneten Spalten an den Seiten breiter Bildschirme. Auf Handys und in schmalen Fenstern wird sie gar nicht angezeigt.

Auf dem Scanner und auf den Seiten, auf denen sie schaden könnte, ist Werbung ganz abgeschaltet, und auf diesen Seiten sind die Werbe-Hosts aus der eigenen Content-Security-Policy der Seite wie aus ihrem Markup entfernt, sodass nichts laden kann, auch nicht versehentlich:

• Die zwölf Wörter, Lies von rechts, Die Anweisung, die du nicht geschrieben hast, Der Text, den du nicht siehst und Die Adresse, an die du nicht zahlen darfst — jemand liest sie vielleicht gerade, während er betrogen wird, und ein kommerzieller Link neben dieser Warnung könnte für unsere Empfehlung gehalten werden.
• Der Scanner selbst — Werbecode auf der Seite mit deiner Nachricht könnte sie lesen, daher ist er dort gar nicht vorhanden. Bis zum 20. Oktober 2026 zeigte der Scanner Werbung in seinen Seitenspalten.
• Diese Seite und die Nutzungsbedingungen — eine Zusage sollte nicht von Werbung umgeben sein.

Zwischen dem 18. und 20. September 2026 trug jede Seite den Werbecode, auch diese vier. Das war eine Voreinstellung, keine Entscheidung, und es wurde korrigiert. Die vollständige Liste, welche Seiten Werbung tragen und warum, steht in apply-ads.js im öffentlichen Repository.

Zum Zeitpunkt der Erstellung wird die Seite noch von Google geprüft, daher sind die übrigen Werbeplätze meist leer, und ein Platz ohne Inhalt bleibt jetzt verborgen, statt einen leeren gekennzeichneten Kasten zu zeigen.

Google erhält die Seiten-URL, deine IP-Adresse, deinen User-Agent und was seine eigenen Cookies ihm sagen — wie auf den meisten werbefinanzierten Seiten. Google verarbeitet das nach eigenen Richtlinien, die diese Seite nicht kontrolliert.

Diese Zusagen sind Teil dieser Erklärung:

• Kein Werbetreibender kann ein Ergebnis beeinflussen, und keine Zahlung kann einen Risikobefund entfernen oder abschwächen.
• Werbung ist als Werbung gekennzeichnet, bleibt aus dem Ergebnisbereich heraus und von den Ratgebern fern, die Betrug erklären.
• Prüfdaten werden nie verkauft, geteilt oder für die Nutzung durch andere zusammengefasst.
• Kein Sponsoring wird von einem Projekt angenommen, das dieser Scanner vernünftigerweise bewerten müsste.

8. Was gespeichert wird, warum und wie lange

Es gibt kein Kontosystem, keinen Prüfverlauf und keine E-Mail-Liste. Was aufbewahrt wird und von wem:

• Nachrichtentext: nie gesendet, also nie gespeichert.
• Tägliche Prüfsummen (Abschnitt 5): nur Art, Chain und Ergebnis, als öffentliche Summen aufbewahrt.
• Anfrageprotokolle von Cloudflare für unseren Worker. Die routinemäßige Protokollierung der Anfragen unseres Workers wurde am 20. Oktober 2026 abgeschaltet, durch ein späteres Deployment wieder eingeschaltet vorgefunden und am 23. Oktober 2026 erneut abgeschaltet. Die Deploy-Konfiguration hält sie jetzt abgeschaltet, und ein Test schlägt fehl, wenn das geändert wird. Einträge von vor dem 23. Oktober laufen nach der Aufbewahrungsfrist von Cloudflare ab. Solange sie an war, enthielten die Einträge die Anfrage-URL (die eine geprüfte Adresse enthalten kann), deine IP-Adresse, den User-Agent, die verweisende Seite, die Sprache, von Cloudflare geschätzte Standortangaben und Zeitangaben. Standortschätzungen sind kein Beleg für einen Zugriff auf das GPS deines Geräts. Fehler- und Trace-Protokollierung für den Worker ist ebenfalls aus. Das gilt für den Worker der Adressprüfung, nicht für gesonderte Protokolle der Seitenauslieferung oder vorgelagerter Anbieter.
• Edge-Cache von Cloudflare: Antworten von GoPlus, die unser Worker abgerufen hat, mit der Adresse als Schlüssel, bis zu 15 Minuten.
• Dritte aus Abschnitt 4 behalten, was sie erhalten, nach ihren eigenen Richtlinien.

Warum jede Art der Verarbeitung stattfindet (Rechtsgrundlage nach Art. 6 DSGVO):

• Ausliefern der Seiten und Schutz von Seite und Worker (Anfragedaten bei Cloudflare, einschließlich deiner IP-Adresse): berechtigte Interessen, Art. 6 Abs. 1 lit. f. Ohne sie lässt sich eine Website weder ausliefern noch gegen Missbrauch schützen.
• Adress-, Wallet-, Token- und Paketprüfungen, die du startest: berechtigte Interessen, Art. 6 Abs. 1 lit. f, dir das gewünschte Ergebnis zu liefern. Nichts wird gesendet, bevor du eine Prüfung auslöst.
• Prüfungszählung und Cloudflare Web Analytics: berechtigte Interessen, Art. 6 Abs. 1 lit. f, in der Summe zu wissen, ob die Seite genutzt wird. Ein Browser mit Global Privacy Control sendet die Prüfungszählung nicht.
• Werbe-Cookies und personalisierte Werbung auf Ratgeberseiten: deine Einwilligung, von Googles Einwilligungswerkzeug eingeholt, wo das Gesetz es verlangt. Du kannst sie jederzeit über denselben Dialog widerrufen; der Widerruf berührt nichts davor.
• E-Mails, die du uns schickst: berechtigte Interessen, dir zu antworten; bei einer Datenschutzanfrage die rechtliche Pflicht zur Antwort, Art. 6 Abs. 1 lit. c. E-Mails werden 12 Monate nach Abschluss der Sache gelöscht, außer sie werden zur Geltendmachung oder Abwehr von Rechtsansprüchen gebraucht.

Über dich wird keine Entscheidung mit rechtlicher oder ähnlich erheblicher Wirkung automatisiert getroffen. Ein Ergebnis beschreibt eine Adresse, ein Paket oder eine Nachricht, nicht dich.

9. Deine Rechte

Nach der DSGVO hast du das Recht auf Auskunft über deine personenbezogenen Daten, auf Berichtigung oder Löschung, auf Einschränkung der Verarbeitung und, wo zutreffend, auf eine übertragbare Kopie. Du kannst einer Verarbeitung auf Grundlage berechtigter Interessen (Abschnitt 8) jederzeit widersprechen und eine Einwilligung jederzeit widerrufen, wo die Verarbeitung auf ihr beruht.

Schick Anfragen an savesavesavesave@tuta.io. Du bekommst ohne unangemessene Verzögerung und innerhalb eines Monats eine Antwort; wenn eine Anfrage komplex ist und länger braucht, erfährst du innerhalb dieses Monats, warum. Wir fragen nur nach Angaben, die nötig sind, um die betreffenden Daten zu finden, standardmäßig nie nach einem Ausweisdokument. Weil die Seite keine Konten hat, brauchen wir eventuell Angaben wie die geprüfte Adresse und den ungefähren Zeitpunkt, um einen Eintrag zu finden. Gib in deiner Anfrage keine Wiederherstellungsphrase, kein Passwort, keinen privaten Schlüssel und keinen Bestätigungscode an.

Das umfasst Daten, die Cloudflare in unserem Auftrag für diese Seite verarbeitet, einschließlich älterer Anfrageprotokolle des Workers: Wir bearbeiten die Anfrage und holen bei Bedarf die Hilfe von Cloudflare ein. Daten, die ein Anbieter aus Abschnitt 4 direkt erhalten hat und als eigener Verantwortlicher hält, liegen außerhalb unseres Zugriffs; wir sagen dir, welcher Anbieter sie hält und wie du ihn erreichst.

Du hast auch das Recht, dich bei einer Datenschutzbehörde zu beschweren. In Bulgarien ist das die Kommission für den Schutz personenbezogener Daten (cpdp.bg); du kannst dich auch in dem EU-Land beschweren, in dem du lebst oder arbeitest.

10. Kinder

Diese Seite richtet sich nicht an Kinder. Die oben beschriebenen Anfragemetadaten und Speicherungen können dennoch personenbezogene Daten enthalten, daher heißt das Fehlen eines Kontosystems nicht, dass keine personenbezogenen Daten verarbeitet werden.

11. Sicherheit

Die Seite wird nur über HTTPS ausgeliefert, mit einer strengen Content-Security-Policy, HTTP Strict Transport Security und deaktivierter Einbettung in Frames. Gib niemals eine Seed-Phrase, einen privaten Schlüssel, ein Passwort oder einen Bestätigungscode in diese Seite ein — und auch in kein KI-System. Nichts Seriöses braucht sie je, und diese Seite hat kein Feld, das danach fragt.

12. Änderungen dieser Erklärung

Wesentliche Änderungen werden hier mit einem neuen Datum oben vermerkt. Änderungen, die betreffen, was deinen Browser verlässt, werden ausdrücklich beschrieben statt in allgemeine Formulierungen eingebaut.

13. Kontakt

Fragen, Korrekturen und Datenschutzanfragen: savesavesavesave@tuta.io.

Alles, was nicht deine eigenen Daten betrifft — eine sachliche Korrektur, ein Fehler, ein Vorschlag —, ist auch öffentlich im Issue-Tracker des Projekts willkommen. Die E-Mail-Adresse oben ist der Weg ohne GitHub-Konto, und er funktioniert immer.

Diese Seite beschreibt, wie sich die Seite verhält. Sie ist keine Rechtsberatung und keine Behauptung, ein bestimmtes Gesetz einzuhalten. Wenn du diese Zusicherung für deine eigene Nutzung der Seite brauchst, hol dir eigenen Rat. Maßgeblich ist die englische Fassung.