Datenschutz und Sicherheit

Cloud Viewer liest deine Infrastruktur und ändert sie nie. Diese eine Regel bestimmt, wie es mit deinen Tokens, deinen Servern und deinen Daten umgeht, und sie ist der Grund, warum du es bedenkenlos überall eingeschaltet lassen kannst. Die formale Erklärung steht in der Datenschutzerklärung.

Read-only von Grund auf

Cloud Viewer greift auf die Hetzner-API nur lesend zu. Es legt in deinen Projekten nie etwas an, ändert nichts und löscht nichts. Braucht etwas eine Änderung, zeigt Cloud Viewer dir, wo du sie vornimmst: In Hetzner Console öffnen an einer Ressource oder ein Bericht, mit dem du oder dein Coding-Agent über deinen eigenen Prozess handelt.

Das Portal speichert kein Token, das Änderungen vornehmen kann. Es testet ein neues Token mit einer Anfrage, die Hetzner ablehnt, bevor etwas angelegt wird, und bittet um ein read-only Token, wenn der Test Schreibrechte zeigt. Die Apps warnen, wenn ein Token schreiben kann („Token funktioniert, hat aber SCHREIBRECHTE“). Sie lesen damit trotzdem nur. Nimm aber besser ein read-only Token: Gerät ein Token einmal nach außen, kann ein read-only Token nicht dazu benutzt werden, deine Projekte zu ändern.

Dein Hetzner-Token

• Auf dem Gerät. Im Gerätemodus und für jedes Projekt, das du auf dem Gerät behältst, wird das Token im Schlüsselbund des iPhone gespeichert oder mit einem Schlüssel im Android Keystore verschlüsselt. Es wird nie an Cloud Viewer gesendet.
• iCloud, wenn du es einschaltest. Auf dem iPhone ist Projekte über iCloud synchronisieren standardmäßig aus. Ist es an, gehen die Tokens in deinen iCloud-Schlüsselbund, den Apple Ende-zu-Ende verschlüsselt, damit deine anderen Geräte sie nutzen können. Die Server von Cloud Viewer erreichen sie trotzdem nie.
• Verbundene Projekte. Ist ein Projekt mit deinem Team verbunden, wird sein Token auf unseren Servern verschlüsselt gespeichert und kann nach dem Speichern nie wieder angezeigt werden. Um es zu ändern, ersetzt du es.
• Kostenloses Konto. Ein kostenloses Konto speichert überhaupt kein Hetzner-Token.

Der Agent auf deinen Servern

Der Agent läuft unter Systembenutzern ohne besondere Rechte, nicht als root; root brauchst du nur für die Installation. Er öffnet keine eingehenden Ports und baut nur ausgehende Verbindungen auf; die Hosts, mit denen er spricht, stehen in der Agent-Referenz.

Einstellungen aus dem Portal erreichen deine Server innerhalb einer Minute, ohne SSH-Zugang. Der Agent holt sich einen kleinen Satz festgelegter Parameter und baut seine Konfiguration lokal aus der Vorlage in seinem Paket. Ausführbarer Code wird auf diesem Weg nicht übertragen. Selbst wenn die Server von Cloud Viewer kompromittiert wären, könnte ein Angreifer nur diese dokumentierten Einstellungen ändern, aber keinen Code auf deinen Servern ausführen.

Log-Zeilen werden auf deinem Server maskiert, bevor sie gesendet werden: Offensichtliche Secrets wie Passwörter, Tokens, Schlüssel, Authorization-Header und private Schlüssel werden durch [REDACTED] ersetzt. Unsere Server maskieren sie beim Eingang noch einmal, falls ein Server noch eine ältere Konfiguration nutzt.

Jeder Server hat ein eigenes Agent-Token, das ein Admin im Portal rotieren oder entziehen kann.

Berichte und Checks

Geteilte Berichte enthalten nie Zugangsdaten. Um auch IP-Adressen wegzulassen, schalte Einstellungen → Datenschutz → IPs in geteilten Berichten enthalten aus (auf Android: IP-Adressen in geteilten Berichten enthalten).

Auch Uptime-Checks senden nie Zugangsdaten. Das Check-Formular lehnt eine Adresse ab, die welche enthält.

Wo deine Daten liegen

Die Server von Cloud Viewer stehen in der EU. Der Gerätemodus erreicht sie nicht: Die App spricht nur mit der Hetzner-API. Ein kostenloses Konto speichert dein Konto und deine Uptime-Checks mit ihren Ergebnissen, aber kein Hetzner-Token und keinen Bestand.

Push-Alarme auf dem iPhone laufen über den Push-Dienst von Apple, der Titel und Text des Alarms transportiert. Auf Android transportiert Googles Firebase nur Kennungen, keinen Alarmtext.

Dein Konto

Dein Profil im Portal hat Zwei-Faktor-Authentifizierung. Dafür brauchst du zuerst eine bestätigte E-Mail-Adresse. Ist sie eingeschaltet, fragt die Anmeldung nach dem 6-stelligen Code aus deiner Authenticator-App oder nach einem deiner 8-stelligen Wiederherstellungscodes. Auf derselben Seite gibt es API-Keys: Neuer API-Key erzeugt einen, Entziehen beendet ihn.

Die Apps können sich selbst sperren: Einstellungen → Sicherheit → Face ID / Code verlangen auf dem iPhone, Zum Öffnen entsperren auf Android.

Absturzberichte kommen nur aus der iPhone-App und enthalten keinen Konto- oder Gerätebezug. Du kannst sie unter Einstellungen → Datenschutz → Absturzberichte senden ausschalten. Die Android-App und die Web-App senden keine.

Kontolöschung entfernt deine Daten. Lösch dein Konto in der iPhone-App (Einstellungen → Konto löschen), in der Android-App (Einstellungen → Konto löschen) oder im Web unter account.cloudviewer.app/users/profile/delete/. Ein Team, dessen letztes Mitglied du warst, wird mitgelöscht, und das Abo dieses Teams wird sofort gekündigt. Ein Team mit weiteren Mitgliedern behält sein Abo.

Diese Website

Diese Website zählt Besuche mit selbst betriebener Analyse ohne Cookies (Umami): keine Cookies, keine gespeicherten IP-Adressen, keine personenbezogenen Daten und gar nichts, wenn dein Browser „Do Not Track“ sendet. Die Apps und das Portal haben keine Analyse.