Sicherheit

Sicherheit und Anonymität bei TPD

Keine Werbesprüche, sondern was das System wirklich macht: was wir speichern, wie lange, wer es lesen kann und was du selbst löschen kannst. Jede Zeile hier entspricht dem Code; ändern wir eine Regel, ändern wir diese Seite.

Stand: 15. Oktober 2026

Inhalt

01 Die Regel, nach der wir bauen

Wir speichern so wenig wie möglich, so kurz wie möglich. Wir gehen davon aus, dass der Server eines Tages beschlagnahmt oder gehackt werden könnte. Alles, was dir in dem Fall schaden würde, darf auf dem Server entweder nicht existieren oder dort nicht lesbar sein. Deshalb werden Adressen mit einem Schlüssel versiegelt, der nie auf den Server kommt. Deshalb gibt es kein Passwort, das man stehlen könnte. Deshalb kannst du auch ohne Konto bestellen.

Es gibt kein Passwort. Du forderst per E-Mail einen Einmal-Link an und benutzt ihn einmal; er läuft nach 15 Minuten ab und liegt auf dem Server nur als Hash. Zwei-Faktor-Anmeldung ist optional in den Kontoeinstellungen.

Was	Wie lange	Wer kann es lesen
E-Mail-Adresse deines Kontos	Bis du das Konto löschst	Wir, für Bestell-Mails
Login-Link (Einmal-Token)	15 Minuten, eine Stunde nach Ablauf gelöscht	Auf dem Server nur als Hash
Sitzungs-Cookie	30 Tage, verlängert sich bei jedem Besuch	Dein Browser und unser Server
IP-Adresse und Browser eines Logins	7 Tage, danach aus der Sitzung entfernt	Nur für die Betrugsprüfung beim Werbe-Code

03 Cookies, Tracking, Fremdcode

Keine Analytics-Skripte, keine Werbe-Pixel, kein Fingerprinting, kein Profiling auf der Seite. Kein Cookie-Banner, weil hier nichts zustimmungspflichtig ist.
Nur drei Cookies: die Sitzung, ein anonymer Warenkorb vor dem Login und ein 24-Stunden-Cookie für den Werbe-Code, wenn du über einen Link mit Code kommst. Nichts von Google, auch keine Klick-Kennung.
Fremdcode lädt an genau einer Stelle: die Trustpilot-Box auf der Bewertungsseite. Sonst nirgends.
Schriften, Skripte und Bilder liefern wir selbst aus, nicht Google oder ein fremdes CDN.

04 Zahlung

Kartendaten kommen nie auf unsere Systeme.
Krypto: du sendest an eine Wallet-Adresse und trägst die Transaktions-ID ein; wir speichern nur die ID und bestätigen automatisch auf der Blockchain.
PayRam (PayPal, Revolut, Krypto): die Zahlung läuft beim Anbieter, auch seine einmalige Verifizierung. Wir bekommen die Bestätigung und die Bestellreferenz, sonst nichts.
Überweisung: auf deinem und unserem Kontoauszug stehen Bestellnummer und Betrag. Dein Name steht auf der Überweisung, deshalb geht sie bei Gast- und anonymen Bestellungen nicht.
Nachnahme: du zahlst beim Zusteller; Name und Unterschrift fallen an der Tür an. Bei Gast- und anonymen Bestellungen nicht möglich.

05 Lieferadresse: versiegelt, dann gelöscht

Deine Lieferadresse ist das Sensibelste, was wir haben, darum hat sie eine Uhr. Sobald das Paket verschickt ist, wird sie versiegelt: verschlüsselt mit einem öffentlichen Schlüssel, dessen private Hälfte sicher verwahrt wird und nie auf dem Server war. Ab dann kann sie weder der Server lesen noch jemand, der den Server mitnimmt. 90 Tage nach der Zustellung werden Klartext und Sendungsnummer gelöscht. Die versiegelte Kopie bleibt für den Fall, dass das Finanzamt fragt. Das Versiegeln wartet nur, solange ein Teil der Bestellung noch verschickt werden muss oder eine Erstattung angefragt ist. Ein Nachversand oder Rücklauf nach dem Versiegeln braucht die Adresse neu, von dir oder durch Öffnen der versiegelten Kopie mit dem privaten Schlüssel; stornierte und erstattete Bestellungen ohne Versand werden 14 Tage nach der letzten Änderung versiegelt.

Was	Wie lange	Wer kann es lesen
Positionen, Preise, Zahlart, Zahldatum, Status	Bleiben (Buchhaltung)	Wir
Lieferadresse im Klartext	Bis zum Versand	Wir und der Paketdienst
Versiegelte Adresse (verschlüsselte Kopie)	Bleibt, lesbar nur mit einem Schlüssel, der nicht auf dem Server liegt	Nur mit dem privaten Schlüssel, der sicher verwahrt wird und nicht auf dem Server liegt
Sendungsnummer und Sendungsverlauf	90 Tage nach der Zustellung gelöscht	Wir, du, der Paketdienst
Dein Hinweis aus dem Checkout und unser Versandhinweis an dich	Zusammen mit der Adresse gelöscht	Wir
Bankverbindung für eine Erstattung	Bis die Erstattung überwiesen ist, dann gelöscht	Wir
Hashes von IP und Browser beim Bestellen	30 Tage	Nur für die Betrugsprüfung beim Werbe-Code

Du musst nicht warten: sobald das Paket zugestellt ist, hat die Bestellseite einen Knopf, der die Adresse sofort versiegelt und löscht. Die Bestellseite zeigt immer die genauen Daten für deine Bestellung.

06 Bestellen ohne Konto

Gast mit E-Mail: kein Konto, du gibst nur E-Mail und Adresse an. Die Bestell-Mails enthalten einen Link, der deine Bestellung öffnet.
Anonym: gar keine E-Mail. Du bekommst einmalig Bestellnummer und Zugangscode; wir speichern den Code nur als Prüfsumme. Nie eine Mail. Geht der Code verloren, kann niemand die Bestellung öffnen, auch wir nicht; bewahre beides bis zur Zustellung auf, für einen verlorenen Code haften wir nicht.
Beides nur mit PayRam oder Krypto, damit kein Name auf einer Überweisung oder an der Tür auftaucht.

Bestellung suchen für anonyme Bestellungen

07 Paket und Absender

Packstation und Paketshop sind möglich und bei anonymen Bestellungen die sicherste Wahl.
Der Paketdienst bekommt Name und Adresse für das Etikett. Deine E-Mail geht nur an DHL, wenn du im Checkout den Haken dafür setzt; standardmäßig ist er aus. Anonyme Bestellungen geben nie eine E-Mail weiter.
Du kannst Vials ohne Etikett wählen; welcher Farbpunkt welches Vial markiert, steht nur in deinen Bestelldetails und der Versand-Mail, nie auf einem Zettel im Paket.

08 Server und Infrastruktur

Überall HTTPS, strenge Sicherheits-Header, Zugriffslimits an jedem sensiblen Endpunkt, Admin-Zugang nur mit Zwei-Faktor-Anmeldung.
Die Server-Protokolle enthalten keine IP-Adressen, keine Browser-Kennung und keine Adresszeilen-Parameter, nur Methode, Pfad, Status und Dauer eines Aufrufs. Nach rund einer Woche werden sie überschrieben. Der Webserver führt gar kein Zugriffsprotokoll.
Die Datenbank-Sicherungen sind verschlüsselt: Jedes tägliche Backup wird auf dem Server mit einem öffentlichen Schlüssel verschlüsselt, bevor es gespeichert wird. Der private Schlüssel ist sicher verwahrt und liegt nie auf dem Server. Wer den Server kopiert, bekommt also auch von den Backups nur unlesbare Dateien. Nach sieben Tagen werden sie gelöscht.
Mails gehen über einen Mail-Dienstleister raus (alle Verarbeiter stehen in der Datenschutzerklärung).
Wenige Abhängigkeiten, wenig Fremdcode: jeder zusätzliche Dienst ist ein zusätzliches Risiko, darum nehmen wir so wenige wie möglich.

09 Was du selbst tun kannst

Adresse direkt nach der Zustellung löschen: Knopf auf der Bestellseite.
Als Gast oder anonym bestellen, wenn du kein Konto willst.
Packstation oder Paketshop statt der Haustür nutzen.
Mit Krypto oder PayRam zahlen, wenn dein Name auf keiner Überweisung stehen soll.
Produktnamen aus unseren Mails nehmen: Schalter unter Konto, Sicherheit. Gast-Bestellungen bekommen nie Produktnamen in Mails.
Konto selbst löschen unter Konto, Sicherheit: die E-Mail wird durch einen Platzhalter ersetzt, Sitzungen und Warenkorb werden gelöscht, die Adressen abgeschlossener Bestellungen versiegelt und geleert. Positionen und Beträge bleiben für die Buchhaltung.

Zu Konto, Sicherheit

10 Wo unser Einfluss endet

Support läuft über Discord, Telegram und WhatsApp. Was du dort schreibst, speichern diese Dienste nach ihren Regeln; schreib dort keine Adressen oder Bestelldaten, die du dort nicht haben willst.
Paketdienst, deine Bank und dein Zahlungsanbieter führen eigene Aufzeichnungen; die können wir nicht löschen.
Die versiegelte Kopie einer Adresse ist mit höchster Sicherheit gesichert: RSA-4096 mit AES-256, der private Schlüssel ist sicher verwahrt und war nie auf dem Server. Nach heutigem Stand ist das nicht zu knacken. Geöffnet wird sie nur, wenn es wirklich notwendig ist.
Kein Online-System ist absolut sicher. Ändert sich an diesen Regeln etwas, ändert sich diese Seite mit.

Vollständige Datenschutzerklärung

Nach oben