So schützen wir deine Daten

Zuletzt aktualisiert: 16.10.2026

Damit du deine echten Downloads siehst und auf Bewertungen antworten kannst, fragt StoRank nach einem App Store Connect-API-Schlüssel oder einem Google Play-Dienstkonto. Das ist sensibel. Hier steht in einfachen Worten, was wir damit tun und was wir nie tun.

1. Deine Store-Schlüssel werden verschlüsselt gespeichert

Dein App Store Connect-.p8-Schlüssel, die JSON-Datei deines Google Play-Dienstkontos und dein privater Apple Ads-Schlüssel werden verschlüsselt, bevor sie in unsere Datenbank geschrieben werden (Fernet: AES-Verschlüsselung mit Integritätsprüfung). Der Entschlüsselungsschlüssel liegt getrennt von der Datenbank; eine Kopie der Datenbank allein kann sie nicht öffnen.

Ein Schlüssel wird nur im Arbeitsspeicher entschlüsselt, in dem Moment, in dem wir damit Apple oder Google abfragen. Nach dem Hochladen wird er nie wieder angezeigt: nicht im Dashboard, nicht in der API, nicht in E-Mails. In den Einstellungen siehst du nur Name, Key ID und Status der Verbindung.

Deine Store-Schlüssel werden nie an KI-Anbieter gesendet. Unsere Fehlerüberwachung ist so eingestellt, dass sie keine Anfrageinhalte, keine Cookies und keinen Text erhält, der wie ein Schlüssel aussieht.

2. Minimale Rechte reichen

Du musst StoRank keinen Admin-Schlüssel geben. Erstelle einen eigenen Schlüssel nur für StoRank und gib ihm nur diese Berechtigungen:

App Store Connect: Ein API-Schlüssel mit der Rolle Sales reicht für die Verbindung, tägliche Downloads, Umsatz und die Aufschlüsselung nach Land und Gerät. Um aus StoRank auf Bewertungen zu antworten, braucht es die Rolle Customer Support oder App Manager. Apples Analyseberichte (Store-Konversion und Absturzzahlen) zum ersten Mal einzuschalten, kann Admin erfordern; das tust du nur, wenn du es willst.
Google Play: Das Dienstkonto braucht in Google Cloud keine Rolle. In der Play Console reicht App-Informationen ansehen und Sammelberichte herunterladen; wenn du aus StoRank antworten willst, füge Auf Bewertungen antworten hinzu.
Apple Ads: Die Rolle API Account Read Only reicht.

Schritt für Schritt: App Store Connect-API-Schlüssel und Google Play-Dienstkonto.

3. Wir lesen nur

Wir nutzen deine Schlüssel nur, um deine eigenen Berichte zu lesen: Downloads, Umsatz, Bewertungen, Store-Konversion, Abstürze und Anzeigenleistung.

Nur zwei Dinge ändern überhaupt etwas in deinem Store-Konto, und beide startest du selbst per Knopfdruck: eine Antwort auf eine Bewertung senden und (nur im App Store) Apples Analyseberichte einschalten. Store-Texte, Preise, Builds oder andere Einstellungen fassen wir nie an.

4. Trennen löscht den Schlüssel

Wenn du in Einstellungen → Verbindungen eine Verbindung löschst, werden der verschlüsselte Schlüssel und die damit abgerufenen Daten sofort aus unserer Datenbank gelöscht.

Du kannst den Zugriff jederzeit auch an der Quelle widerrufen: den Schlüssel in App Store Connect mit Revoke sperren, den Schlüssel des Dienstkontos in Google Cloud löschen oder die Berechtigungen des Dienstkontos in der Play Console entfernen. Damit endet der Zugriff von StoRank sofort.

5. Deine Kartendaten erreichen uns nie

Zahlungen nimmt Paddle.com als Verkäufer (Merchant of Record) entgegen. Du gibst deine Karte in Paddles eigenem Bezahlfenster ein; diese Daten erreichen unsere Server nie. Wir sehen nur den Abo-Status, dein Land und die wenigen Angaben, die für die Rechnung nötig sind.

6. Anmeldung und Sitzungen

Dein Passwort wird mit scrypt einweg-gehasht; es wird nie lesbar gespeichert und wir können es nicht lesen. Passwörter haben mindestens 10 Zeichen.
Cloudflare Turnstile filtert Bots in den Formularen für Anmeldung und Registrierung per E-Mail heraus. Fehlversuche beim Passwort sind begrenzt.
Eine Sitzung beginnt mit einem zufälligen Schlüssel; unsere Datenbank speichert nur seinen Hash. Das Cookie ist HttpOnly (Skripte auf der Seite können es nicht lesen) und wird nur über HTTPS gesendet.
Meldet sich jemand von einem neuen Gerät an, geht eine Warnung an deine eigene E-Mail-Adresse; warst du es nicht, ändere sofort dein Passwort. Eine Passwortänderung beendet alle offenen Sitzungen.

7. Claude, ChatGPT und API-Zugriff

Wenn du StoRank mit Claude oder ChatGPT verbindest (MCP) oder einen API-Schlüssel erstellst, ist der Zugriff schreibgeschützt und sieht nur die Daten deines eigenen Kontos. Er kann nichts ändern.

Verbindungen und API-Schlüssel kannst du jederzeit in den Einstellungen entfernen. Zugriffstoken und API-Schlüssel speichern wir nur als Hash. Eine Passwortänderung trennt auch die KI-Apps. Details auf der Seite Entwickler.

8. Server und Netzwerk

Der gesamte Verkehr ist per HTTPS verschlüsselt, und Browser werden angewiesen, ein Jahr lang nur HTTPS zu nutzen (HSTS).
Der Server nimmt Webverkehr nur über Cloudflare an; Verbindungen, die ihn direkt erreichen wollen, werden verworfen.
Unsere Seiten werden mit einer strengen Content Security Policy ausgeliefert: Nur unsere eigenen Skripte mit einem Schlüssel, der sich bei jeder Anfrage ändert, laufen, und unsere Seiten lassen sich nicht in andere Websites einbetten.
Konten sind voneinander getrennt: Jede Anfrage nach der App, dem Keyword oder der Verbindung eines anderen Kontos bekommt „nicht gefunden“.

9. Backups

Jede Nacht wird ein Backup erstellt und mit age verschlüsselt, bevor es den Server verlässt. Der Schlüssel zum Öffnen liegt nicht auf dem Server; selbst bei einem kompromittierten Server bleiben die Backups unlesbar.

Die verschlüsselte Kopie liegt außerhalb des Servers in Cloudflare R2, 30 Tage lang, und wird dann gelöscht. Daten, die wir löschen, verschwinden deshalb spätestens nach 30 Tagen auch aus den Backups.

10. Aufbewahrung und Löschung

Endet dein Test oder Tarif und du wählst keinen Tarif, bleiben deine Daten noch 30 Tage gespeichert und werden dann gelöscht; 7 Tage vorher schicken wir dir eine E-Mail. Um dein Konto sofort zu löschen, nutze im Dashboard Einstellungen → Mein Konto Löschen (du gibst dein Passwort erneut ein).

Gelöscht werden deine Apps, Keywords, Ranking-Verlauf, Konkurrenten, Empfehlungen, Store-Verbindungen und Schlüssel, KI-Verbindungen, API-Schlüssel und Sitzungen. Rechnungsdaten, die wir gesetzlich aufbewahren müssen, bleiben.

11. Was es noch nicht gibt

Ehrlich gesagt: Eine Zwei-Faktor-Anmeldung (2FA) gibt es noch nicht, und wir haben keine externe Zertifizierung wie SOC 2. Wenn sich das ändert, steht es hier.

12. Eine Sicherheitslücke gefunden?

Bitte schreib an [email protected], was du gefunden hast und wie es sich nachvollziehen lässt. Wir lesen jede Meldung und antworten so schnell wir können. Gib uns angemessen Zeit für die Behebung, und greif bitte nicht auf Daten anderer zu, lösche keine Daten und mach keine Lasttests, die den Dienst verlangsamen.

Maschinenlesbare Kontaktdaten: /.well-known/security.txt.

← Startseite