Datenschutz

Datenschutzerklärung

Zuletzt geändert am 19. Oktober 2026.

Was gespeichert wird

Serverkonfiguration, die du über die Befehle des Bots festlegst: Kanal- und Rollen-IDs, Schwellenwerte, Schalter und der Text, den du in eine Einstellung eingibst — ein Befehlspräfix, eine Liste gesperrter Wörter, der Text eines Verifizierungspanels, die Formulierung, die einen geplanten Kanal-Wipe auslöst, die Nutzer-IDs, die du von einem Filter ausnimmst. Moderationseinträge: die Fallnummer, wer gehandelt hat, gegen wen sich die Maßnahme richtete, den Grund, den du eingetippt hast, und wann. Wo eine Funktion es braucht, die IDs der Nachrichten oder Kanäle, die sie erstellt hat, damit sie sie später verwalten kann.

Konfigurationstext wird bewusst so gespeichert, wie du ihn geschrieben hast: Deine Moderatoren müssen nachlesen können, was der Server tun soll. Das sind keine privaten Worte von jemandem über sich selbst — es sind die Regeln deines Servers, geschrieben von denen, die ihn betreiben.

Aktivitätszähler, ab dem Moment, in dem der Bot hinzugefügt wird. Wie viele Nachrichten jedes Mitglied gesendet hat, wie viele Minuten es im Sprachkanal verbracht hat, wie viel in jedem Kanal los ist, eine Stundensumme für den Server sowie eine Aufzeichnung, wer beigetreten oder gegangen ist und welche Einladung die Person gebracht hat. Ist das Webhook-Relay eingeschaltet, außerdem, wie oft es blockierte Nachrichten eines Mitglieds wieder gepostet hat und wann zuletzt. Das sind Zähler und Zeitstempel und sonst nichts: Nirgends gibt es eine Zeile, die festhält, was jemand gesagt hat, in welchem Kanal oder zu welchem Zeitpunkt. Die tageweise Aufschlüsselung, aus der die Bestenlisten summiert werden, wird nach 120 Tagen gelöscht, der Beitritts- und Austrittsverlauf nach 400 Tagen.

Das Zählen ist ab dem Moment an, in dem der Bot ankommt, anders als der Großteil dessen, was er kann — denn ein Verlauf, der erst beginnt, wenn jemand daran denkt, eine Einstellung zu suchen, ist ein Verlauf, dem niemand vertrauen kann, und ein nicht gezählter Monat lässt sich nicht nachholen. Es auszuschalten dauert eine Zeile — /logs activity mit off —, das Zählen stoppt sofort, und /stats zeigt weiter an, was vorher aufgezeichnet wurde.

Es ist nicht das Einzige, das beim Beitritt des Bots eingeschaltet ist, auch wenn diese Seite das früher behauptet hat. Textbefehle, das Moderationslog, die Strafleiter, Gewinnspiele, Snipe, AFK und die Spracheinstellung des Bots sind ebenfalls von Anfang an an; die Doku-Seite listet sie neben allen anderen Modulen auf und kennzeichnet, welches welches ist. Davon halten Snipe und AFK etwas über ein Mitglied fest: Snipe im Arbeitsspeicher statt in der Datenbank, AFK erst, wenn ein Mitglied es selbst setzt — der Absatz unten sagt genau, was und wie lange.

AFK, nur wenn ein Mitglied es setzt. Dass die Person abwesend ist, der Grund, den sie eingetippt hat, seit wann, der Nickname, den der Bot ersetzt hat, um ihn zurückzusetzen, und Links zu bis zu zehn Nachrichten, die sie während ihrer Abwesenheit erwähnt haben — welche Nachricht, in welchem Kanal, von wem und wann, nie der Text der Nachricht. Alles davon wird gelöscht, sobald die Person das nächste Mal an einem Ort schreibt, der zählt (ein Server kann Kanäle festlegen, die nicht zählen), wenn sie den Server verlässt oder mit /afk remove — und in jedem Fall nach dreißig Tagen. Ein Server kann das Festhalten der Erwähnungen ausschalten.

Was der Bot aus einem Konto gemacht hat, als es hereinkam. Ist die Mitgliederprüfung an, der Wert, den er vergeben hat, die Stufe, die ausgelösten Signale, alles, was der Bot von sich aus getan hat, und was ein Moderator danach entschieden hat. Das wird aufbewahrt, damit „Warum wurde ich gekickt?“ eine Antwort hat, die keine Rekonstruktion ist, und weil „ist dieses Konto hier schon einmal beigetreten und wieder gegangen“ ein Signal ist, für das es einen Verlauf geben muss. Nach 90 Tagen gelöscht — eine Einschätzung über jemanden ist nicht dasselbe wie die Moderationsmaßnahme, zu der sie geführt hat, und nur die zweite ist ein Eintrag.

Was Leute bei einer Funktion einreichen und was die Funktion daraus gemacht hat. Banneinsprüche und die Abstimmung des Teams darüber; Team-Bewerbungen, ihre Antworten und die Abstimmung dazu; Tickets, ihre Antworten und die Bewertung, die beim Schließen hinterlassen wird; Gewinnspiel-Teilnahmen; Event-Anmeldungen und Anwesenheit; Gildenränge, Kader, Team-Notizen und Beitragsgründe; Bewertungen, die jemand über deinen Server geschrieben hat; Partner-Bewerbungen und ihr Vorstellungstext. Die vier Felder in dieser Liste, die im Vertrauen geschriebene Worte sind, werden verschlüsselt — der Abschnitt unten nennt sie genau.

Server-Backups, wenn jemand eines erstellt. /backup save speichert ein strukturelles Abbild des Servers, damit er wieder aufgebaut werden kann: Rollennamen und Rechte, Kanalnamen, Themen und Überschreibungen, Kategorien, Metadaten von Emojis und Stickern sowie die Bannliste mit den dazu geschriebenen Gründen. Es enthält keine Nachrichten. Es ist die eigene Struktur deines Servers, aufbewahrt dort, wo du den Bot hast aufbewahren lassen, und /backup delete entfernt einen Slot vollständig.

Nachrichten, die dein Team mit /message baut. Ein unfertiger Entwurf (nach einer Woche ohne Änderung verworfen), gespeicherte Vorlagen, für später geplante Beiträge und ein Eintrag zu jedem Beitrag, damit er bearbeitet werden kann — nach 90 Tagen ohne Bearbeitung vergessen. Das ist Text, den dein Team für den Bot zum Senden geschrieben hat, samt Angabe, wer ihn geschrieben hat; nichts, was ein Mitglied gesagt hat.

Die Begrüßungen deines Servers. Die Willkommens-, die Abschiedsnachricht und die Willkommens-DM, die dein Team gebaut hat, der Text auf den Willkommens- und Abschiedskarten und ein Hintergrundbild, falls eines für eine Karte hochgeladen wurde — gespeichert als Bild, das der Bot aus dem Upload neu gezeichnet hat, sodass von der Originaldatei nichts außer ihren Pixeln aufbewahrt wird. Um eine Karte zu zeichnen, holt der Bot das Profilbild des beitretenden oder gehenden Mitglieds in diesem Moment von Discord und behält nichts davon.

Level, falls ein Server sie einschaltet. Mit eingeschaltetem Level-Modul speichert der Bot eine Zahl pro Mitglied — die XP aus Nachrichten und Zeit im Sprachkanal — und wann sie sich zuletzt geändert hat, und sonst nichts: keine Aufzeichnung davon, was gesagt wurde oder wo. Aus dieser Zahl werden Level und Rang errechnet. Sie bleibt erhalten, solange der Bot auf dem Server ist, auch wenn ein Mitglied ihn verlässt, damit seine Belohnungsrollen zurückkommen können, falls es wiederkommt; gelöscht wird sie mit den übrigen Daten des Servers dreißig Tage, nachdem der Bot entfernt wurde. Lässt der Server seine öffentliche Rangliste eingeschaltet — sie ist standardmäßig an, und ein Schalter schaltet sie aus — werden Servername, Profilbild, Level und XP des Mitglieds auf einer öffentlichen Seite dieser Website für jeden mit dem Link angezeigt. Name und Bild werden beim Zeichnen der Seite von Discord geholt und nie in die Datenbank geschrieben; die gezeichnete Seite wird weniger als eine Minute vorgehalten, damit eine viel besuchte Rangliste nicht bei jedem Aufruf den Bot erreicht.

Raid-Aufzeichnungen, nur wenn Anti-Raid einen Raid erkennt oder das Team einen Zeitraum markiert. Welche Konten in dieser Zeit beigetreten sind und wann, wie alt jedes Konto war, ob es einen Avatar hatte, einen Schlüssel nur aus Buchstaben, der aus dem Benutzernamen gebildet wird, um eine Reihe ähnlicher Namen zu erkennen (nie der Benutzername selbst), was der Bot oder ein Moderator mit jedem getan hat (Kick, Bann, Timeout), ob der Server gesperrt wurde und wie viele Nachrichten entfernt wurden. Nie der Text einer Nachricht. Gespeichert für 30 Tage, höchstens 25 Raids pro Server, und zusammen mit allem anderen gelöscht, wenn der Bot einen Server verlässt.

Vorschläge, wenn ein Server sie einschaltet. Ein Vorschlag speichert den Text, wer ihn geschickt hat, wo seine Karte steht und — sobald das Team antwortet — die Antwort, wer sie gegeben hat und warum. Jede Stimme ist eine Zeile: welcher Vorschlag, welches Mitglied, welche Richtung. Ein anonymer Vorschlag speichert trotzdem, wer ihn geschickt hat, weil das Limit pro Mitglied und die Wartezeit daran gezählt werden; angezeigt wird es nirgends. Alles davon wird dreißig Tage nach dem Entfernen des Bots zusammen mit den übrigen Serverdaten gelöscht. Ein Vorschlag mit /suggest bot betrifft den Bot und nicht einen Server: er geht mit deinem Namen, deiner ID und dem Herkunftsserver in einen Kanal im Support-Server und wird überhaupt nicht gespeichert.

Geburtstage, wenn ein Mitglied einen angibt. /birthday speichert nichts über eine Person, bis sie ein Datum angibt. Dann behält es den angegebenen Tag und Monat; das Jahr nur, wenn es angegeben wurde, verschlüsselt mit demselben Schlüssel wie der vertrauliche Text weiter unten und nur zum Nennen eines Alters ausgelesen, und nur auf einem Server, der Alter anzeigt; eine Zeitzone aus einer festen Liste; den Zeitpunkt, an dem der nächste Geburtstag beginnt; und mit welchen Servern die Person ihn teilen wollte, je ein Eintrag, von der Person angelegt und von niemand anderem. Ein Moderator kann den Eintrag eines Servers entfernen und kann nie ein Datum setzen oder lesen, das nicht auf seinem Server geteilt wurde. Niemand unter 13 wird gespeichert: Ein Jahr, das jemanden jünger macht, wird abgelehnt und nichts gespeichert. Der Bot schreibt die Person nie an. /birthday remove löscht das Datum und die Einträge aller Server auf einmal; der Eintrag eines Servers verschwindet auch, wenn das Mitglied diesen Server verlässt oder die Daten des Servers gelöscht werden; und der kurze Vermerk, welche Feiern schon angekündigt wurden, wird nach 400 Tagen gelöscht.

Wird ein Geburtstag mit /birthday remove gelöscht, wird auch der Eintrag der bereits angekündigten Feiern dieser Person sofort gelöscht, ohne die 400 Tage abzuwarten.

Temporäre Rollen. Wenn ein Moderator jemandem eine Rolle für eine Weile verleiht, speichert der Bot, wer sie hat, welche Rolle, wann sie endet, wer sie verliehen hat und den eingetippten Grund (höchstens 400 Zeichen), bis die Rolle zurückgenommen wird. Eine Rolle, die für einen Geburtstag oder für das Brechen einer Zählreihe verliehen wird, wird genauso gespeichert, mit dem Bot als Verleiher. Der Eintrag wird gelöscht, wenn die Rolle zurückgenommen wird, wenn das Mitglied gebannt wird und — sofern der Server nicht die Zeit für die Rückkehr behalten will — wenn es geht.

Zählen, wenn ein Server einen Kanal einrichtet. Für jeden Zählkanal speichert der Bot die aktuelle Zahl, wer zuletzt gezählt hat, die Regeln des Kanals und für jedes Mitglied, das dort gezählt hat, wie viele richtige Zahlen es genannt und wie oft es die Reihe gebrochen hat — IDs und Zahlen, nie, was jemand geschrieben hat. Nachrichten in einem Zählkanal werden beim Eintreffen gelesen, um sie zu beurteilen, und nicht gespeichert. Alles wird mit dem Kanal gelöscht, wenn dort das Zählen beendet wird, oder mit den übrigen Daten des Servers dreißig Tage nach dem Entfernen des Bots.

Modmail, nur wenn ein Server es einschaltet. Schickt ein Mitglied dem Bot eine Direktnachricht, liest der Bot sie und gibt sie an das Team des gewählten Servers weiter, in einen privaten Kanal, den der Server festgelegt hat — alle, die diesen Kanal sehen können, können sie lesen, ebenso wer den Log-Kanal des Servers sieht, falls dort Transkripte gepostet werden. Antworten des Teams gehen an die DMs des Mitglieds; eine anonyme Antwort verbirgt den Absender vor dem Mitglied, nicht vor dem restlichen Team. Der Bot speichert keinen Nachrichtentext: nur IDs, Zähler und Zeiten, welche DM-Nachricht welcher Nachricht im Kanal entspricht (gelöscht dreißig Tage nach dem Schließen des Threads), die vom Team getippten Gründe für ein Schließen oder eine Sperre und die gespeicherten Antworten des Teams. Der Eintrag eines geschlossenen Threads wird nach der vom Server eingestellten Anzahl Tage gelöscht, standardmäßig neunzig. Das Gespräch selbst und jede Transkriptdatei bleiben im Discord dieses Servers, nach dessen eigenen Regeln. Ein Mitglied beendet ein Gespräch mit Close this conversation unter der ersten Antwort des Bots, hindert einen Server mit Stop messages from this server daran, eines zu beginnen, oder schreibt dem Bot einfach nicht. Kein Dritter erhält etwas davon.

Der Vorlagenspeicher. Wenn du eine Vorlage bewertest, speichert der Bot deine Konto-ID, die Sterne und den Zeitpunkt. Wenn du kommentierst, speichert er deine Konto-ID, den Anzeigenamen, den du damals hattest, den Text und den Zeitpunkt; du kannst deinen Kommentar selbst löschen, und der Eigentümer kann ihn entfernen. Eine Meldung speichert deine Konto-ID und den Grund, den du eingegeben hast. Damit nur Personen eine Vorlage bewerten können, die sie benutzt haben, speichert der Bot, welche Vorlage du angewendet hast, auf welcher Server-ID und wann, solange die Vorlage existiert. Der Eigentümer liest jede eingereichte Vorlage, bevor sie gelistet wird, und einen Kommentar, der auf Prüfung wartet, bevor er erscheint; ein Kommentar, über den niemand entschieden hat, wird nach 30 Tagen gelöscht. Um zu begrenzen, wie oft ein Konto oder eine Adresse kommentieren, melden oder bewerten kann, speichert der Bot einen Hash der Adresse mit Schlüssel — nie die Adresse selbst — zusammen mit der Konto-ID und dem Zeitpunkt, gelöscht nach 30 Tagen. Eine Vorlage, an der du noch schreibst, wird 7 Tage lang versiegelt (verschlüsselt) aufbewahrt. Damit alles entfernt wird, was der Speicher über dein Konto hält, frag im Support-Server nach, und der Eigentümer führt die Entfernung durch. Der Text eines Kommentars — und nur der Text, ohne Konto, ohne Namen und ohne Vorlage — wird, bevor der Kommentar veröffentlicht wird, an den Moderationsendpunkt von OpenAI gesendet, zu den oben unter OpenAI beschriebenen Bedingungen; ein Kommentar, den er markiert oder auf den er nicht rechtzeitig antwortet, wird für den Eigentümer zurückgehalten, statt veröffentlicht zu werden. Wo der Bot keinen OpenAI-Schlüssel hat, entfällt dieser Schritt, und die übrigen Prüfungen gelten allein.

Was nie gespeichert wird

Nachrichteninhalte. Nichts in der Datenbank behält, was Leute in deinen Kanälen sagen, und davon gibt es keine Ausnahme — keine einzige Spalte der Datenbank enthält eine Nachricht, die jemand gepostet hat. Diese Seite hat früher Ticket-Transkripte als Ausnahme genannt, und sie sind keine: Ein Transkript wird aus dem Verlauf gebaut, den Discord selbst hält, in dem Moment, in dem ein Moderator danach fragt, und als Datei zurück in deinen Server gepostet. Nichts davon wird hier aufbewahrt. Text, den jemand bewusst an den Bot schickt — ein Banneinspruch, eine Bewerbung, das Formular beim Öffnen eines Tickets, der Kommentar zu einer Bewertung — wird aufbewahrt, denn eine Bewertung, die man nicht lesen kann, ist keine Bewertung; er wird verschlüsselt, und der Abschnitt unten nennt genau, welche Felder. Ebenso der Grund, den ein Mitglied mit /afk angibt, bis es zurückkehrt — nicht verschlüsselt, weil er nicht im Vertrauen geschrieben ist: Er wird jedem gezeigt, der die Person erwähnt.

Zwei Dinge liegen außerhalb der Datenbank, und bei beiden lohnt es sich, genau zu sein. Das erste ist Snipe: /snipe zeigt die zuletzt gelöschte oder bearbeitete Nachricht eines Kanals, also muss es eine halten: fünf pro Kanal, höchstens zwei Stunden lang, im Arbeitsspeicher. Nichts wird aufgeschrieben, ein Neustart vergisst alles davon, und es verlässt nie den Prozess. Jeder, der den Kanal lesen kann, kann danach fragen — dafür ist der Befehl da —, und der Bot prüft diesen Zugriff in dem Moment, in dem er antwortet, nicht wenn die Nachricht entfernt wurde. Er zeigt keine Nachricht, die der Bot selbst gelöscht hat, und nichts, was in großer Menge geleert wurde, denn Snipe darf nicht zu einem Weg werden, Moderation rückgängig zu lesen. Ein Server, der es enger fassen will, beschränkt es auf Moderatoren oder schließt Kanäle ganz aus, mit /logs snipe; ein Moderator, der gerade etwas entfernt hat, leert es sofort mit /snipe clear.

Das zweite sind die Zähler der Schutzfunktionen. Anti-Nuke, Anti-Raid, Anti-Spam und die anderen entscheiden durch Zählen — wie viele Kanäle ein Moderator in der letzten Minute gelöscht hat, wie viele Konten in den letzten dreißig Sekunden beigetreten sind —, und diese Zahlen werden alle paar Sekunden in einen Redis-Cache auf demselben Rechner kopiert, damit ein Neustart des Bots jemandem mitten in einem Angriff keinen frischen Spielraum schenkt. Kopiert werden die IDs — des Servers und des beteiligten Mitglieds oder Kanals — und die Zeitpunkte, zu denen etwas geschah, nie, was jemand gesagt hat: Das Gedächtnis von Anti-Spam für jüngste Nachrichten bleibt im Prozess, und ein Neustart vergisst es. Jede Kopie läuft von selbst ab — innerhalb einer Stunde, die meisten innerhalb von Minuten —, der Cache schreibt nie auf die Festplatte, und nichts außer dem Bot selbst kommt an ihn heran — nicht die Website und nicht das Internet. Bei einem Update, wenn eine neue Kopie des Bots von der alten übernimmt, laufen die IDs der Nachrichten und Interaktionen, die die alte Kopie in ihren letzten Sekunden beantwortet hat, höchstens dreißig Sekunden lang durch denselben Cache, damit nichts doppelt beantwortet wird. Eines in diesem Cache hält länger als eine Stunde: welche neuen Mitglieder noch an einer Schranke warten — Discords Regelbildschirm, die Verifizierung, eine Quarantäne — auf die Rollen, die der Server beim Beitritt vergibt, gespeichert als die ID des Servers, die ID des Mitglieds und der Zeitpunkt, an dem das Warten abläuft, für höchstens einen Tag, damit ein Update nicht vergisst, sie zu vergeben.

IP-Adressen. Der Bot sieht nie eine — Discord gibt die Adresse eines Mitglieds nicht an einen Bot weiter, und hier wird nichts unternommen, um das zu umgehen. Die einzige Stelle, an der jemals eine Adresse gelesen wird, ist die Verbindungsprüfung der Website, die als Nächstes beschrieben wird, und sie wird einmal gelesen und nicht behalten: nicht gespeichert, nicht protokolliert, nicht gehasht. Eine gestohlene Datenbank enthält keine Adressen und nichts, was aus einer abgeleitet wurde.

Sprachnachrichten, wenn jemand sie ausschreiben lässt. /transcribe lädt die Sprachnachricht und wandelt sie auf dem eigenen Server des Bots mit einem dort laufenden Sprachmodell in Text um. Das Audio geht an kein anderes Unternehmen und keinen anderen Dienst; es wird nur gehalten, solange es angehört wird, und sofort danach gelöscht. Der Text wird in dem Kanal gepostet, in dem der Befehl benutzt wurde, und nirgends sonst gespeichert — über das Gesagte wird nichts aufgezeichnet. Damit eine Person die Maschine nicht blockiert, zählt der Bot im Arbeitsspeicher, wie viele jede Person und jeder Server in den letzten zehn Minuten angefragt hat; die Zähler werden danach vergessen, ein Neustart vergisst sie sofort.

Die fünf Drittanbieter und was jeder bekommt

Den größten Teil ihres Lebens konnte diese Seite sagen, dass nie ein Dritter deine Mitglieder zu sehen bekommt. Das hörte auf zu stimmen, als das Verifizierungsmodul VPNs und Proxys abweisen bekam, denn ob eine Adresse zu einem VPN gehört, weiß nur ein Reputationsdienst. Jeder der fünf folgenden ist aus, solange ein Server ihn nicht einschaltet, und wenn er an ist, ist das Folgende alles, was passiert.

proxycheck.io. Ein Mitglied, für das die Einstellung gilt, bekommt einen Einmal-Link zu einer Seite auf dieser Website. Drückt es dort den Button, wird die Verbindungsadresse einmal an proxycheck.io geschickt, mit der Frage „Ist das ein VPN, ein Proxy oder ein Hosting-Bereich?“ und sonst nichts — kein Benutzername, kein Server, keine Konto-ID. Die Antwort wird für dieses eine Bit gelesen und verworfen. Der Bot, der weiß, wer das Mitglied ist, bekommt die Adresse nie; die Website, die die Adresse gesehen hat, erfährt nie, wer das Mitglied ist. Danach bleibt ein Zeitstempel am Verifizierungseintrag des Mitglieds, der sagt, dass die Verbindung unauffällig war, und eine Abweisung hinterlässt gar nichts.

Cloudflare Turnstile. Optional trägt dieselbe Seite das Turnstile-Widget von Cloudflare, damit ein Skript den Button nicht drücken kann. Das Skript des Widgets ist das Einzige, was diese Website jemals von einer anderen Herkunft lädt, nur auf dieser Seite, und die Content-Security-Policy dieser Seite verbietet es überall sonst weiterhin. Seine Antwort wird bei Cloudflare ohne die Adresse geprüft. Turnstile ersetzt nicht das CAPTCHA in Discord, das weiterhin im Prozess gezeichnet wird.

OpenAI. Das ist der größte der drei und der, der bekommt, was Leute posten, also lohnt es sich, genau zu sein. Ein Server kann den KI-Bildscan einschalten, bei dem ein Modell entscheidet, ob ein Bild sexuell, blutig oder gewalttätig ist oder Selbstverletzung zeigt. Keine Stichwortliste kann ein Bild lesen, und es gibt keine Variante davon, die auf unseren eigenen Rechnern läuft, und nur deshalb ist er überhaupt hier.

Hat ein Server ihn eingeschaltet, wird jedes in einem gescannten Kanal gepostete Bild an den Moderations-Endpunkt von OpenAI gesendet, und zwar als der Link zu diesem Bild auf Discords eigenen Servern und sonst nichts — kein Text, den jemand getippt hat, kein Benutzername, keine Konto-ID, kein Servername, kein Kanalname. Das umfasst Uploads und, wenn der Server es eingeschaltet lässt, das Bild, das Discord unter einem Link zeigt. Die Antwort kommt als Wert pro Kategorie zurück, sie wird gelesen, um zu entscheiden, ob das Bild die Regeln dieses Servers verletzt, und sie wird verworfen. Nichts davon wird hier aufgeschrieben, und das Bild selbst wird nie in unserer Datenbank gespeichert.

Was OpenAI damit macht, in deren Worten statt in unseren. Ihre Dokumentation besagt, dass an die API gesendete Daten „nicht zum Trainieren oder Verbessern von OpenAI-Modellen verwendet werden“, solange man nicht ausdrücklich zustimmt, und das haben wir nicht getan. Sie besagt außerdem, dass Protokolle zur Missbrauchsüberwachung „bestimmte Kundeninhalte wie Prompts und Antworten enthalten können“ und standardmäßig „bis zu 30 Tage aufbewahrt“ werden. Die ehrliche Fassung lautet also nicht, dass das Bild im Moment des Scans verschwindet: Wir behalten nichts davon, und OpenAI darf es bis zu dreißig Tage lang aufbewahren, um den eigenen Dienst zu überwachen. Ein Server, der damit nicht einverstanden ist, sollte dieses Modul ausgeschaltet lassen, so wie es ausgeliefert wird.

Es ist aus, bis ein Administrator das Modul einschaltet. Ein Server kann Rollen ausnehmen, ganze Kanäle überspringen oder nur manche scannen, nur neuere Mitglieder scannen und die eigenen Moderatoren überspringen, und die Beschreibung des Moduls sagt unmissverständlich, dass das Einschalten Bilder aus dem Server hinaus sendet. Schalte das Modul aus, und es wird nichts mehr gesendet.

Zwei ehrliche Grenzen. Er ist gut bei allgemeinen Schäden und weiß nicht, wie eine Bedrohung für deinen Server aussieht — ein organisierter Raid, ein Betrug, eine Werbung —, weil das keine Kategorien des Modells sind, und er liest überhaupt keinen Text. Und die Dokumentation von OpenAI selbst sagt, der Endpunkt sei nicht dafür gedacht, Material über sexuellen Kindesmissbrauch zu erkennen, und kein Ersatz für gezielte Kinderschutzmaßnahmen; hier wird nichts Gegenteiliges behauptet, und dieser Meldeweg bleibt der von Discord.

Nichts anderes wird geladen. Keine Analyse, kein Schriftendienst, kein Skript und kein Stylesheet aus irgendeinem CDN: Jede Seite außer der Verbindungsprüfung lädt nichts von einer anderen Herkunft, und das wird von der Content-Security-Policy erzwungen statt nur versprochen. Cloudflare sitzt als Netzwerk vor der Website — es sieht die Anfragen, die jedes Netzwerk vor einer Website sieht, und deshalb bleibt die Seite bei einer Flut erreichbar —, aber es bekommt nichts über deine Mitglieder, weil die Seiten nichts über deine Mitglieder enthalten.

YouTube und Twitch. Ein Server kann mit /alerts einem YouTube-Kanal oder einem Twitch-Streamer folgen, und der Bot fragt den Dienst dann alle paar Minuten, ob es etwas Neues gibt. An YouTube schickt er eine Anfrage nach dem öffentlichen RSS-Feed des Kanals, die nur die öffentliche ID dieses Kanals nennt. An Twitch schickt er den öffentlichen Anmeldenamen des Streamers — zusammen mit anderen, bis zu hundert pro Anfrage —, signiert mit der eigenen Twitch-Anwendung dieses Bots, nie mit dem Konto eines Mitglieds. Weder ein Mitglied noch ein Servername oder Kanalname wird an einen der beiden gesendet, und keiner erfährt, welcher Server wem folgt. Die Antwort wird auf das neueste Video oder auf ID, Titel und Spiel des Livestreams gelesen und verworfen. Gespeichert werden der Kanal oder Anmeldename, dem der Server folgen wollte, wohin gepostet wird, und die ID des zuletzt Angekündigten, damit nichts doppelt angekündigt wird. Beides ist aus, bis ein Server ein Abo hinzufügt, und wer es entfernt, stoppt die Anfragen.

Eine gesponserte Zeile

Die Betreiber dieses Bots können einen einzigen gesponserten Link setzen: eine kurze Zeile mit der Kennzeichnung Gesponsert, deren Text und Ziel sie wählen und für die bezahlt, worauf sie zeigt. Sie erscheint in der Fußzeile dieser Website und hin und wieder unter einer Antwort des Bots in einem Server ohne Premium: höchstens einmal alle 45 Minuten in ein und demselben Server, erst nach mindestens 6 weiteren Antworten dort, und niemals unter einer Moderationsaktion, einer Warnung, einer privaten Antwort oder einer Nachricht mit Schaltflächen. Premium-Server sehen sie in Discord nie. Die Website kann nicht wissen, wer sie liest, deshalb zeigt die Fußzeile sie jedem Besucher.

Es ist ein Link und nichts weiter. Vom Sponsor wird nichts geladen und an ihn wird nichts gesendet. Um die obige Regel einzuhalten, hält der Bot im Arbeitsspeicher — nie in der Datenbank — fest, wann jeder Server die Zeile zuletzt gesehen hat und wie viele Antworten dort seitdem hinausgegangen sind, sowie eine laufende Zahl, wie oft sie gezeigt wurde; keine Person wird erfasst, und der Sponsor sieht nichts davon. Der Bot erfasst keine Klicks und leitet nicht um, und der Link überträgt keinen Referrer von dieser Website. Wer ihn anklickt, wechselt auf deren Website, wo deren eigene Richtlinien gelten. Der Text des Sponsors erscheint so, wie er geschrieben wurde, und wird nicht übersetzt. Ist kein Sponsor gesetzt, existiert die Zeile nirgends.

Nichts davon wird lange gehalten. Der Eintrag eines Servers wird 24 Stunden nach seiner letzten Antwort vergessen. Es werden höchstens 20.000 Server zugleich gehalten; ist das voll, fällt der weg, von dem am längsten nichts kam. Alles davon, die laufende Zahl eingeschlossen, ist bei jedem Neustart des Bots weg.

Premium-Tokens und dein Konto

Premium pro Konto ist eine einzige Zeile: deine Discord-ID, ob monatlich oder lebenslang, wann es endet, woher es kam und wie viele zusätzliche Serverwechsel du gekauft hast. Ein Token wird nur als Hash mit Schlüssel seiner selbst gespeichert, sodass die Datenbank nichts enthält, was sich wieder in einen Token zurückverwandeln ließe; der Token existiert in der Antwort an den Besitzer, wenn er erzeugt wird, und danach nirgends.

Jeder Versuch, einen Token einzulösen, wird festgehalten — deine ID, ob er von dieser Seite oder aus Discord kam, wie er ausging, und ein Hash mit Schlüssel der Adresse, die diese Seite für die Anfrage nachgewiesen hat, niemals die Adresse. Dieser Eintrag sperrt ein Konto und eine Adresse nach einer Handvoll falscher Tokens und lässt die Betreiber des Bots eine Adresse hinter vielen Konten erkennen. Er wird nach 90 Tagen gelöscht.

Jeder Server hält fest, welches Konto sick hinzugefügt hat; das ist es, was den Server zu Premium macht, wenn dieses Konto es ist. Die Server, zu denen du sick hinzufügst, werden außerdem in deinem Konto vermerkt — die ID des Servers und der Zeitpunkt —, damit deine Wechsel gezählt werden können. Diese Liste bleibt bestehen, und ein Server bleibt darauf, auch wenn sick ihn verlässt, denn ein verbrauchter Wechsel ist verbraucht.

E-Mail auf dieser Domain

Die Website betreibt außerdem einen kleinen E-Mail-Dienst für die Leute, die sie betreiben: die Adresse des Inhabers und die Adressen der Konten, denen der Inhaber die Nutzung erlaubt hat, jede über die Mail-Seite zu öffnen, nachdem man sich hier angemeldet hat. Post an eine dieser Adressen kommt über Cloudflare Email Routing und einen Cloudflare Email Worker an, der sie an diese Website weitergibt; ist die Website nicht erreichbar, hält der Worker die Nachricht bis zu sieben Tage in Cloudflare Workers KV und versucht es erneut. Post, die von einer dieser Adressen gesendet wird, geht über Cloudflare Email Sending hinaus. Das sind die vier beteiligten Cloudflare-Dienste, und keine andere Partei sieht die Post.

Post wird im Ruhezustand versiegelt. Wenn eine Nachricht eintrifft, parst diese Website sie und versiegelt sie mit einem öffentlichen Schlüssel, der zum Postfach gehört — AES-256-GCM unter einem Einmalschlüssel für diese Nachricht, der seinerseits mit dem öffentlichen X25519-Schlüssel des Postfachs versiegelt wird — und gibt sie erst dann an den Bot weiter, dessen Datenbank die versiegelte Nachricht speichert: Betreff, Absender, Empfänger, Text, HTML, Anhänge samt ihren Namen und die Originalbytes, die sieben Tage aufbewahrt werden, damit eine Nachricht, die ein Parser falsch gelesen hat, vollständig heruntergeladen werden kann. Der private Schlüssel, der sie öffnet, ist unter einem aus deinem Mail-Passwort gebildeten Schlüssel (scrypt) und, falls du einen erstellst, unter einem einmaligen Wiederherstellungsschlüssel verpackt; der Bot hält den privaten Schlüssel nie und speichert nur einen Einweg-Hash deines Passworts. Das ist Zero-Access im Ruhezustand, nicht Zero-Knowledge: Diese Website liest deine Post im Arbeitsspeicher, während sie eine eintreffende Nachricht parst und solange dein Postfach entsperrt ist; wer also den Code ändern kann, den diese Website ausführt, könnte sie lesen, der Inhaber aber kann sie nicht aus der Datenbank lesen. Dein entsperrter Schlüssel lebt nur im Arbeitsspeicher dieser Website, höchstens einen Tag lang, und ein Neustart sperrt jedes Postfach, bis du dein Passwort erneut eingibst. Entfernte Bilder in einer Nachricht werden von der Website nie abgerufen: Sie laden in deinem Browser nur, wenn du es verlangst, und ein Bildabruf teilt dem Absender mit, wann du die Nachricht geöffnet hast und von wo.

Wenn du dich mit Discord bei dieser Website anmeldest, werden deine Discord-ID, dein Benutzername und der Hash deines Avatars mit der Zeit festgehalten, damit der Inhaber sehen kann, wer sich angemeldet hat, bevor er eine Adresse vergibt. Papierkorb und Spam löschen ihren Inhalt dreißig Tage nachdem eine Nachricht dort gelandet ist; ein widerrufenes Postfach wird vierzehn Tage nach dem Widerruf gelöscht. Wenn du den Inhaber um Zugang bittest, wird die Anfrage — dieselbe ID, derselbe Name und Avatar-Hash sowie die Zeit — gespeichert, bis der Inhaber sie beantwortet oder dreißig Tage vergehen, und der Inhaber wird per Direktnachricht vom Bot auf Discord benachrichtigt. Nichts anderes über E-Mails wird mit Discord geteilt.

Der Versand wird pro Empfänger gezählt, anhand der Postausgangszeilen, die zum Senden der Mail ohnehin gespeichert werden, sodass dafür nichts Neues erhoben wird. Ein Postfach, dessen Mails immer wieder zurückkommen, wird im Versand angehalten, bis der Eigentümer es sich angesehen hat. Mail an postmaster@ oder abuse@ auf diesen Domains erreicht den Eigentümer.

Einiges bleibt unverschlüsselt, weil der Dienst es ohne deinen Schlüssel lesen muss: in welchem Ordner und Tab eine Nachricht liegt, ihre Markierungen (gelesen, mit Stern, wichtig, zurückgestellt), wann sie eintraf, ihre Größe, zu welcher Unterhaltung sie gehört, wie viele Anhänge sie hat, deren Dateitypen und Inline-Bild-IDs, an welche deiner Adressen sie ging, ein von dir verwendetes Plus-Tag, die Ergebnisse der Absenderprüfungen sowie Digests mit Schlüssel ihrer Kennungen (Message-ID, References) und ihres Absenders. Auch die Regeln, die du für Absender festlegst — eine Adresse oder Domain, die du einsortiert, blockiert oder für Bilder erlaubt hast — liegen unverschlüsselt vor. Während eine Nachricht eintrifft, liest der Bot Absender, Empfänger, Betreff, Header und Anhangsnamen im Arbeitsspeicher, um sie in einen Tab einzusortieren und die Missbrauchsregeln anzuwenden, und schreibt nichts davon unverschlüsselt auf. Postfächer, deren Inhaber sich seit Beginn der Versiegelung noch nicht mit einem Passwort angemeldet hat, behalten ihre ältere Post, wie sie war, vom Dienst lesbar; dem Inhaber des Dienstes wird angezeigt, welche, und jedes wird versiegelt, sobald sein Inhaber sich anmeldet.

Die Suche arbeitet mit Digests mit Schlüssel, nicht mit deinen Wörtern. Wenn dein Postfach entsperrt ist, erhält jede versiegelte Nachricht bis zu 512 Digests (HMAC-SHA256) der ganzen Wörter darin sowie ihres Absenders und ihrer Empfänger, erzeugt unter einem zufälligen Suchschlüssel, der nur eingewickelt unter deinem Passwort und deinem Wiederherstellungsschlüssel existiert. So findet eine Suche ganze Wörter und exakte Adressen — keine Präfixe, Wortformen oder Wortgruppen — und wer eine Kopie der Datenbank besitzt, kann ein erratenes Wort nicht gegen sie testen. Zwei Preise: Post, die ankommt, während dein Postfach gesperrt ist, lässt sich erst durchsuchen, wenn du es das nächste Mal entsperrst; und die Digests mit Schlüssel der im Klartext belassenen Kennungen und Absender (oben) entstehen unter einem Geheimnis, das die Website besitzt und die Datenbank nicht, sodass jemand, der beides besitzt, prüfen könnte, ob eine erratene Adresse oder Message-ID vorkommt.

Eine Nachricht, die du mit Rückgängig oder zu einem späteren Zeitpunkt sendest, wartet im Postausgang in der Form, die der Versand braucht: Weil sie beim Versand lesbar sein muss, wird sie unter dem eigenen Serverschlüssel des Bots aufbewahrt, bis sie gesendet, abgebrochen oder endgültig abgelehnt wird, und dann gelöscht. Die Kopie in deinem Ordner Gesendet bleibt für dich versiegelt. Von dir gesendete Post verlässt uns wie jede andere Post per TLS über Cloudflare Email Sending, und Post an dich kommt über Cloudflare Email Routing an: Cloudflare sieht die Nachricht auf dem Transportweg, bevor diese Website sie versiegelt und wenn sie hinausgeht.

Von dir gesendete Nachrichten tragen keine Discord-ID, keine Konto-ID und keine Adresse deines Browsers: eine zufällige Message-ID bei der sendenden Domain, keinen X-Mailer-, User-Agent- oder X-Originating-IP-Header und eine From-Zeile, die nur die von dir gewählte Adresse zeigt, mit einem Anzeigenamen nur, wenn du einen festlegst. Ein Alias ist eine weitere Adresse, die an dein Postfach zustellt und die du abschalten, mit einem Ablaufdatum versehen oder nur einmal antworten lassen kannst. Das ist keine Anonymität gegenüber den Betreibern des Dienstes, gegenüber Cloudflare oder gegenüber der Person, der du schreibst: Sie sehen die Adresse, von der du geschrieben hast, die Zeit und was die Nachricht sagt.

Wenn du sowohl dein Passwort als auch deinen Wiederherstellungsschlüssel verlierst, lässt sich deine Post nicht öffnen, und niemand kann sie für dich wiederherstellen, auch der Inhaber nicht. Wenn der Inhaber das Mail-Passwort eines Nutzers zurücksetzt, wird auch der Schlüssel gelöscht, den es geöffnet hat: Die darunter versiegelte Post kann nie wieder gelesen werden und wird dreißig Tage später gelöscht.

Musik und Songtexte

Wenn ein Server den Musikplayer einschaltet, spielt der Bot Audio in einem Sprachkanal über einen Lavalink-Knoten ab, der neben ihm auf derselben Maschine läuft. Der Knoten holt das Audio nur von der Seite, die ein Mitglied angefragt hat, und von sonst nirgends: SoundCloud (soundcloud.com, on.soundcloud.com, api.soundcloud.com, sndcdn.com), Bandcamp (bandcamp.com), Twitch (twitch.tv), Vimeo (vimeo.com), einem direkten https-Link, den ein Mitglied eingefügt hat, und — nur wenn der Inhaber es eingeschaltet hat — YouTube (youtube.com, youtu.be, music.youtube.com). Ein Spotify-Link (open.spotify.com, spotify.link) oder Apple-Music-Link (music.apple.com) wird auf der jeweiligen Seite nach dem Namen des Titels nachgeschlagen, und der Treffer wird von SoundCloud abgespielt; von keinem der beiden kommt Audio. Jede dieser Seiten sieht die Anfrage, die der Knoten für den Titel stellt, so wie jeder Browser sie beim Öffnen der Seite stellen würde, und nichts über den Server oder das Mitglied, das gefragt hat.

Was der Bot für den Player speichert: den Sprach- und Textkanal, in dem er sich befindet, die Warteschlange — Titel, Interpret, Länge, Quelle und das eigene Kennzeichen des Knotens für jeden Titel sowie die ID des Mitglieds, das ihn eingereiht hat — und die letzten zwanzig gespielten Titel, die verschwinden, wenn der Player stoppt oder der Bot den Server verlässt. Eine Playlist, die ein Mitglied speichert, gehört ihm und wird unter seiner ID aufbewahrt, bis es sie löscht. Songtexte kommen von LRCLIB (lrclib.net), einer offenen Datenbank ohne Konto: Sie erhält Interpret, Titel und Länge des laufenden Titels und nichts sonst, und die Antwort wird angezeigt und nicht gespeichert.

Die Sicherheit deines Kontos

Dein Postfach öffnet sich mit deinem eigenen Passwort, im Mailprogramm selbst gesetzt und getrennt von Discord gehalten. Die Website sieht es nur, während du es tippst, um den Schlüssel deines Postfachs zu entpacken, und behält es nicht; der Bot, der es zur Prüfung erhält, speichert davon nur einen Einweg-scrypt-Hash — einen Wert, den nichts in das Passwort zurückverwandeln kann, auch wir nicht — und prüft dein Getipptes dagegen. Das Passwort selbst steht in keinem Log, keiner Datenbankspalte und keinem Cookie.

Ein zweiter Schritt ist optional und liegt bei dir. Das Geheimnis einer Authenticator-App und die Adresse, an die ein Code gemailt wird, werden mit AES-256-GCM verschlüsselt gespeichert, mit demselben nur dem Bot bekannten Schlüssel wie der vertrauliche Text oben; ein Passkey wird allein als sein öffentlicher Schlüssel gespeichert, der eine Anmeldung prüfen, aber nie erzeugen kann; Wiederherstellungscodes werden nur als verschlüsselte Hashes gehalten, wie die Premium-Tokens. Ein gemailter Code geht über Cloudflare Email Sending von einer Adresse auf einer unserer Domains aus. Keine Zweitfaktor-Methode wird mit irgendjemandem geteilt.

Einem Browser dreißig Tage zu vertrauen speichert ein zufälliges Token in einem Cookie und auf Seiten des Bots nur einen verschlüsselten Hash dieses Tokens — nie das Token selbst — sodass die Liste deiner vertrauten Browser nichts enthält, was den Browser gegenüber anderen identifiziert. Neben den drei Anmelde-Cookies des Dashboards setzt das Postfach einige eigene, solange es offen ist: das, das es einen Tag entsperrt hält, das, das eine Anmeldung oder ein Passwort hält, während sein zweiter Schritt beantwortet wird, das, das zehn Minuten lebt und den Browser markiert, der eine Mail-Anmeldung begonnen hat, damit sie nicht von einem anderen abgeschlossen werden kann, und das Token für den vertrauten Browser. Eine Mail-Sitzung endet sechs Stunden nach dem Öffnen, oder früher, wenn du dich auf einem gemeinsam genutzten Host von der Website abmeldest. Jedes falsche Passwort und jeder falsche Code wird gegen dein Konto und gegen die Adresse gezählt, die diese Seite belegt hat — deine ID und ein verschlüsselter Hash dieser Adresse, nie die Adresse selbst — was das Konto nach einigen Versuchen innerhalb einer Viertelstunde sperrt; diese Aufzeichnungen werden innerhalb eines Tages gelöscht.

Hören — nur wenn du etwas verknüpfst

Was gespeichert wird. /fm speichert nichts über eine Person, bis sie eine Quelle verknüpft. Wenn du Last.fm oder ListenBrainz verknüpfst, speichern wir dort deinen Benutzernamen. Wenn du außerdem Scrobbeln nach außen einschaltest, speichern wir den Schlüssel, mit dem der Bot Wiedergaben für dich senden kann, verschlüsselt, nur solange das eingeschaltet ist — Ausschalten oder Trennen löscht ihn. Wenn du den Spotify-Status von Discord nutzt, liest der Bot den Spotify-Song in deinem Status, auf Servern, die er mit dir teilt, erst nach deiner Zustimmung und erfasst eine Wiedergabe, wenn du etwa die Hälfte gehört hast. Sonst wird nichts aus deiner Präsenz gelesen.

Was aufbewahrt wird und wer es sieht. Die Wiedergaben, die der Bot selbst gehört hat — aus deinem Spotify-Status oder seinem eigenen Musikplayer — werden ein Jahr aufbewahrt. Deine Top-Künstler, -Alben, -Titel und -Genres, bis zu tausend je Art, werden alle paar Stunden aus deinem Dienst kopiert, damit ein Server zeigen kann, wer was hört. Freunde, einige Anzeigeeinstellungen und die Server, auf denen du dich verbergen wolltest, werden ebenfalls gespeichert. Wiedergaben und Listen werden nur Personen auf Servern gezeigt, auf denen du auch bist; dein Last.fm- oder ListenBrainz-Benutzername erscheint in einem globalen Who-knows nur, wenn du das eingeschaltet hast, und es ist aus, bis du es tust. /fm account zeigt das alles und löscht alles auf einmal, und das Trennen deiner letzten Quelle tut dasselbe.

Last.fm und ListenBrainz. Wenn jemand /fm nutzt, fragt der Bot Last.fm (ws.audioscrobbler.com) oder ListenBrainz (api.listenbrainz.org) nach den öffentlichen Hördaten der verknüpften Person, mit ihrem Benutzernamen und sonst nichts über sie. Nur wenn Scrobbeln nach außen eingeschaltet ist, sendet der Bot dem Dienst auch die Wiedergaben, die er für diese Person gehört hat, signiert mit ihrem Schlüssel. Albumcover werden vom Bot von den Bildservern von Last.fm geholt, nie von deinem Gerät. Jeder Dienst hat seine eigene Datenschutzerklärung, und was er über dein Hören hält, war dort schon vorher deins.

Das Verknüpfen von Last.fm geschieht auf der eigenen Seite von Last.fm: Der Bot fragt Last.fm nach einem einmaligen Token und gibt dir die Adresse, unter der du ihn bestätigst, und erfährt dann durch eine Anfrage bei Last.fm, dass du es getan hast. Der Token lebt nur im Speicher des Bots, bis er benutzt wird oder eine Stunde vergangen ist, und wird nie gespeichert oder protokolliert. Gibst du nur deinen Last.fm-Benutzernamen ein, wird ohne jede Bestätigung verknüpft, und Last.fm bekommt diesen Namen und sonst nichts. Das Verknüpfen des Spotify-Status von Discord braucht den Presence Intent des Bots; solange er nicht eingeschaltet ist, werden nur die anderen beiden angeboten.

Verlauf importieren. Wenn du /fm import eine Datei von Spotify oder Apple Music gibst, liest der Bot sie einmal und behält nur Zeit, Künstler, Titel und Album jeder Wiedergabe. Die Datei selbst liegt für die Minuten, die der Import läuft, in einer temporären Datei und wird gleich danach gelöscht; nichts wird an jemanden gesendet. Importierte Wiedergaben werden gespeichert, bis du sie entfernst (/fm account hat dafür eine Schaltfläche) oder alles löschst, und werden wie alle anderen Wiedergaben angezeigt: nur Leuten auf Servern, auf denen du bist.

Kronenverlauf. Wenn die Kronen eines Servers oder eine Wer-kennt-Liste gelesen werden, notiert der Bot, wer die Krone eines Künstlers dort hält und, wenn sie den Besitzer wechselt, wer sie wem wann abgenommen hat — bis zu einem Jahr. Wenn du deine Hördaten löschst, verschwinden die Kronen, die du gehalten hast, und es wird vergessen, wem du eine abgenommen hast.

Verschlüsselung

Freitext, den Leute im Vertrauen schreiben, wird vor dem Speichern mit AES-256-GCM verschlüsselt und nur in dem Moment entschlüsselt, in dem er dem Team gezeigt wird, für das er geschrieben wurde. Das sind fünf Dinge: Banneinsprüche, Antworten auf Team-Bewerbungen, die Antworten beim Öffnen eines Tickets, der Kommentar zu einer Ticket-Bewertung und das Jahr, das jemand zu seinem Geburtstag angibt. Der Schlüssel wird aus einem Geheimnis abgeleitet, das nur in der eigenen Umgebung des Bots existiert — die Website läuft als getrennter Dienst, der es nicht hat und nicht nutzen könnte —, sodass eine Kopie der Datenbank allein nur Chiffretext ergibt.

Bis zum 19. September 2026 stand hier drei, und das vierte war der Grund: Der Kommentar zu einer Ticket-Bewertung — „der Moderator, der das geschlossen hat, war kurz angebunden“ ist die Art von Satz, die darin steht — wurde vom Tag der Einführung der Funktion an als Klartext gespeichert. Er stand zwei Deklarationen unter den Ticket-Antworten, die verschlüsselt waren, in derselben Datei, und nichts hielt die beiden gegeneinander. Jetzt ist er verschlüsselt, alles bereits Gespeicherte wurde umgewandelt, und eine Prüfung im Build lehnt jedes neue Feld dieser Art ab, bis jemand aufgeschrieben hat, welches von beiden es ist.

Angefangene Bewerbungen. Ein langes Bewerbungsformular wird seitenweise abgefragt. Die Antworten der bereits gesendeten Seiten werden auf dieselbe Weise verschlüsselt aufbewahrt, bis die letzte Seite gesendet wird — dann werden sie zur Bewerbung — oder eine Stunde lang, je nachdem, was zuerst eintritt; Bewerbende können sie jederzeit verwerfen. Für Personen, die nie anfangen, wird nichts gespeichert.

Was nicht verschlüsselt ist, deutlich gesagt: die Frage, die ein Teammitglied neben jede Antwort geschrieben hat, von Moderatoren eingetippte Gründe in einem Moderationseintrag, der Grund, den ein Mitglied für sein AFK angibt — den der Bot jedem zeigt, der die Person erwähnt — und die Einstellungen deines Servers. Nichts davon sind private Worte von jemandem über sich selbst, und sie zu verschlüsseln würde deine Moderatoren die Möglichkeit kosten, ihre eigenen Einträge zu durchsuchen.

Löschung

Entferne den Bot von deinem Server, und alles, was für diesen Server gespeichert ist, wird dreißig Tage später automatisch gelöscht, ohne dass es eine Anfrage braucht.

Die Verzögerung ist das Merkmal, nicht der Haken. Der mit Abstand häufigste Grund, warum ein Server den Bot entfernt, ist, ihn sofort mit anderen Rechten wieder hinzuzufügen, und eine Löschung, die in dem Moment ausgelöst würde, in dem er geht, würde jede Einstellung, jede Verwarnung und jeden Moderationseintrag mitnehmen. Lade ihn innerhalb der Frist wieder ein, und dein Server ist genau so, wie du ihn verlassen hast; lässt du die Frist verstreichen, gibt es nichts mehr, wohin man zurückkehren könnte. Solange der Bot weg ist, wird nichts Neues aufgezeichnet — er kann den Server nicht sehen —, und die Uhr beginnt beim letzten Weggang von vorn, sodass zweimaliges Gehen sie nicht verkürzt.

Sind dreißig Tage zu lang, kann ein Serverbesitzer oder Administrator es sofort erledigen lassen: im Support-Server fragen. Das geschieht auf Anfrage und nicht nach einem Zeitplan.

Anmeldung an der Übersicht

Diese Seite ist sykbot.com, die Dokumentation liegt unter sickenn.info. Die Anmeldung findet auf sicken.me statt und nirgendwo sonst, und die Cookies weiter unten gehören allein dieser Adresse — ein Browser sendet sie nie an eine andere Adresse. Eine Seite irgendwo anders, die dich bittet, dich mit Discord für sick anzumelden, ist nicht diese Seite. Mail wird auf mail.sicken.me gelesen und geschrieben. Es hat keine eigene Anmeldung: Es schickt dich zum Anmelden nach sicken.me und bringt dich zurück, und seine Cookies gehören ihm allein.

Die Website hat keine Datenbank, deshalb wird eine Anmeldung in einem Cookie in deinem Browser gehalten. Die Anmeldung fragt Discord nach zwei Scopes, identify und guilds — dein Name und die Liste der Server, auf denen du bist, sonst nichts —, und das Cookie enthält, was zurückkommt: deine Discord-ID, deinen Benutzernamen und die ID deines Profilbilds sowie die Zugriffs- und Aktualisierungs-Tokens für diese beiden Scopes. Es wird mit AES-256-GCM verschlüsselt und authentifiziert, unter einem Schlüssel, den nur die Website hält, sodass es in deinem Browser weder gelesen noch verändert werden kann und nichts davon auf dem Server aufgeschrieben wird. Es merkt sich außerdem bis zu vier Server, die du zuletzt geöffnet hast, damit sie in der Liste zuerst stehen.

Dein Profilbild und die Symbole deiner Server werden von dieser Seite bei Discord geholt und an deinen Browser weitergereicht, sodass dein Browser nie Discords Bildserver kontaktiert und diese nie deine Adresse sehen. Diese Seite behält nichts davon: Jedes wird geholt, wenn eine Seite danach fragt, und dein Browser sowie das Netzwerk vor dieser Seite dürfen eine Kopie bis zu einer Woche lang halten, unter einer Adresse, die sich ändert, sobald sich das Bild ändert.

Solange die Einstellungsseite einer Funktion offen und sichtbar ist, fragt sie diese Seite — nie jemand anderen — einmal pro Minute erneut nach den Kanal- und Rollenlisten deines Servers, damit ein vor einem Moment erstellter Kanal zur Auswahl steht, ohne neu zu laden. Diese Anfrage trägt dasselbe Cookie und wird nur an jemanden beantwortet, der die Seite hätte öffnen können; sie ist das Einzige, was eine Seite hier nachlädt, nachdem sie geladen wurde, und die Content-Security-Policy erlaubt sie nur auf diesen Seiten.

Es hält dreißig Tage ab dem Moment, in dem du dich anmeldest, und genau das erlaubt es, wiederzukommen, ohne Discord erneut zu verbinden; danach wird der Browser ohne den Zustimmungsdialog durch Discord geschickt, für eine App, die du schon genehmigt hast. Ein Monat ist nur deshalb sicher, weil Discord die Kontrolle darüber behält: Alle paar Minuten fragt die Seite Discord, ob die Anmeldung noch gilt, Abmelden widerruft die Tokens bei Discord — sodass auch eine Kopie des Cookies nicht mehr funktioniert — und das Entfernen von sick unter Autorisierte Apps in Discords eigenen Einstellungen beendet sie von deiner Seite aus, auf allen Geräten gleichzeitig.

Ein zweites Cookie enthält nur die Ziffer 1 und existiert nur, nachdem du dich abgemeldet hast. Es hält fest, dass du es getan hast, damit die nächste Anmeldung Discords Zustimmungsdialog zeigt — mit Discords eigenem „Nicht du?“ darauf, womit du das Konto wechselst — statt ihn zu überspringen. Eine erneute Anmeldung entfernt es. Ein drittes lebt zehn Minuten, während eine Anmeldung läuft, und enthält einen Zufallswert, der beweist, dass die Antwort, die von Discord zurückkommt, zu der Anmeldung gehört, die dieser Browser gestartet hat. Diese drei sind die einzigen Cookies, die diese Seite setzt. Cloudflare, das davorsitzt, setzt womöglich ein eigenes kurzlebiges Cookie __cf_bm, um Browser von Bots zu unterscheiden; dieses gehört Cloudflare, und nichts hier liest es.

Wer was sehen kann

Konfiguration ist für Leute sichtbar, die sie ändern können — standardmäßig heißt das Server verwalten, und mehr bei den wenigen Funktionen, die Administrator verlangen. Moderationseinträge sind für deine Moderatoren sichtbar. Niemand, der den Bot betreibt, liest die Daten deines Servers routinemäßig, und es gibt keine Oberfläche, die das bequem machen würde.