Diese Seite ist eine Übersetzung. Wenn etwas von der englischen Fassung abweicht, gilt die englische Fassung. Auf Englisch lesen

Datensicherheit

Version 2026-10-v1 · Zuletzt aktualisiert am 23. Oktober 2026

Ihre Gesundheits- und Sicherheitsdaten gehören zu den persönlichsten Informationen überhaupt. Diese Seite erklärt in einfachen Worten, wie Ilayra sie schützt — und was keine App versprechen kann.

Unsere erste Regel: Daten, die wir nie erhalten, können nicht abhandenkommen

Ihre Periode, Schwangerschaft, Beschwerden, Stimmung, Ihr Schlaf, die Unterlagen Ihrer Kinder und Ihre Vertrauenspersonen werden nur auf Ihrem Handy gespeichert. Sie liegen nicht auf unseren Servern, können also bei einem Datenleck auf einem Server nicht verloren gehen, nicht verkauft und nicht von uns herausverlangt werden.

Auf Ihrem Handy

• Verschlüsselte Speicherung — alles, was Ilayra speichert, ist mit AES-256-GCM verschlüsselt. Der Schlüssel wird von der Sicherheitshardware Ihres Handys verwahrt (iPhone-Schlüsselbund / Android Keystore), verlässt Ihr Handy nie und wird nicht in Cloud-Sicherungen kopiert.
• Ein eigener Bereich für jede Person — wenn Familienmitglieder ein Handy teilen, hat jedes Ilayra-Konto seinen eigenen verschlüsselten Bereich und seinen eigenen Schlüssel. Eine Person kann die Daten einer anderen nicht sehen.
• App-Sperre — eine PIN oder Ihr Fingerabdruck oder Gesicht. Nach 5 falschen PINs sperrt sich die App immer länger.
• Zwangs-PIN — wenn jemand Sie zwingt, Ilayra zu öffnen, öffnet eine zweite PIN eine leere App und kann unbemerkt Ihre Vertrauenspersonen alarmieren. Nichts auf dem Bildschirm zeigt, dass es sie gibt.
• Versteckter Modus — zeigt einen neutralen Namen, hält Gesundheitsbegriffe aus Benachrichtigungen heraus und blendet die App aus, wenn Sie das Handy schütteln.
• Keine Bildschirmfotos — unter Android blockiert Ilayra Bildschirmfotos und Bildschirmaufnahmen; auf beiden Systemen ist die Vorschau im App-Umschalter ausgeblendet.
• Löschen — wenn Sie Ihre Daten oder Ihr Konto löschen, wird der zugehörige Verschlüsselungsschlüssel vernichtet, sodass die Daten nicht wiederhergestellt werden können.

Auf dem Weg zu unseren Servern

• Nur TLS 1.3, die neueste Verschlüsselung für Internetverbindungen. Ältere, schwächere Versionen werden abgelehnt.
• Zertifikat-Pinning — die App vertraut nur den Zertifizierungsstellen, die für unsere Server verwendet werden, sodass ein gefälschtes Zertifikat (zum Beispiel von Spähsoftware) Ihre Daten nicht abfangen kann.
• Eine zweite Verschlüsselungsebene — jede Anfrage und jede Antwort wird zusätzlich Ende-zu-Ende bis zu unserem Server mit moderner Kryptografie versiegelt (X25519, HKDF-SHA256, AES-256-GCM), mit einem neuen Schlüssel für jede Anfrage. Netzanbieter und selbst unsere eigenen Netzwerkpartner sehen nur unlesbare Daten.

Auf unseren Servern

• Gehostet in Indien — Rechenzentrum von DigitalOcean in Bangalore.
• Keine offenen Türen — unsere Server nehmen keine direkten Verbindungen aus dem Internet an; Datenverkehr kommt nur über einen verschlüsselten Cloudflare-Tunnel an.
• Verschlüsselte Kontodaten — Ihr Name und Ihre E-Mail-Adresse sind verschlüsselt; Ihre E-Mail-Adresse wird nur über einen Einweg-Code gesucht; Passwörter werden nur als Argon2id-Hashes gespeichert, dem Verfahren, das Sicherheitsfachleute empfehlen.
• Der SOS-Standort ist Ende-zu-Ende-verschlüsselt — nur die Browser Ihrer Vertrauenspersonen können ihn lesen; wir speichern unlesbare Daten, die wir nicht lesen können.
• Abgeschottete Systeme — jeder Teil läuft in einem eigenen abgeschlossenen Container mit so wenigen Berechtigungen wie möglich; die Datenbank hat keinen Internetzugang; jede Datenbankabfrage ist auf die Daten einer einzigen Person beschränkt.
• Schutz gegen Erraten — Grenzen für Versuche, vorübergehende Sperren und Einmal-Codes, die nach 15 Minuten ablaufen.
• Sicherungen — verschlüsselt mit einem Schlüssel, der offline und getrennt von den Servern aufbewahrt wird.
• Minimale Protokolle — Protokolle enthalten nie Gesundheitsdaten, Nachrichten oder Passwörter. Aktivitätsprotokolle ohne Inhalte werden ein Jahr lang aufbewahrt, wie es das Gesetz verlangt.

Menschen und Abläufe

• Nur wenige berechtigte Mitarbeitende können die Server verwalten, mit starker Authentifizierung.
• Unabhängige Sicherheitstests vor dem Start und danach regelmäßig.
• Ärztinnen und Ärzte prüfen die Gesundheitsinhalte; der KI-Coach sieht nie Ihre Identität.

Wenn etwas schiefgeht

Wenn eine Verletzung des Schutzes personenbezogener Daten Sie betreffen könnte, werden wir:

• sie innerhalb von 6 Stunden an CERT-In (das indische Computer-Notfallteam) melden, wie es die CERT-In Directions (Vorgaben von CERT-In) von 2022 verlangen;
• Sie und das Data Protection Board of India (die indische Datenschutzbehörde) unverzüglich informieren und dem Board innerhalb von 72 Stunden einen ausführlichen Bericht vorlegen, wie es die DPDP Rules, 2025 (Durchführungsbestimmungen zum indischen Datenschutzgesetz) verlangen;
• erklären, was passiert ist, was es für Sie bedeutet und was Sie tun können.

Ein Sicherheitsproblem melden

Wenn Sie ein Sicherheitsproblem finden, schreiben Sie bitte an [email protected]. Greifen Sie nicht auf Daten anderer Menschen zu und stören Sie den Dienst nicht. Wir bestätigen Ihre Meldung innerhalb von 3 Werktagen, halten Sie auf dem Laufenden und gehen nicht rechtlich gegen Forschung in gutem Glauben vor, die diese Regeln einhält.

Was keine App versprechen kann

• Wenn Ihr Handy gehackt oder „gejailbreakt“ ist oder jemand Ihre PIN kennt, kann diese Person möglicherweise sehen, was Sie sehen können.
• Textnachrichten (SMS) werden von Mobilfunknetzen nicht verschlüsselt.
• Menschen, denen Sie einen SOS-Link senden, können ihn weiterleiten, solange er aktiv ist (60 Minuten).

Standards, die wir befolgen

Digital Personal Data Protection Act, 2023 (indisches Gesetz zum Schutz digitaler personenbezogener Daten) und Rules, 2025; Information Technology Act, 2000 (indisches Gesetz über Informationstechnologie) und die Reasonable Security Practices Rules, 2011 (Bestimmungen über angemessene Sicherheitspraktiken); CERT-In Directions, 2022; OWASP-Leitlinien zur Sicherheit von Mobil-Apps und APIs; WCAG 2.2 für Barrierefreiheit.