Lokal statt Cloud
XPARCEL ist ein Windows-Programm. Datenbank, Dokumente, Belege, E-Mail-Zugänge und die WhatsApp-Kopplung liegen in Ihrem Benutzerordner. Es gibt kein Kundenkonto bei uns, über das Ihre Daten laufen, und keinen Server, auf dem eine Kopie liegt.
| Was | Wo |
|---|---|
| Programm | %LOCALAPPDATA%\Programs\XPARCEL, installiert ohne Administratorrechte |
| Datenbank, Dokumente, WhatsApp-Kopplung, Protokolle | %LOCALAPPDATA%\XPARCEL |
| Schlüssel | Windows-Anmeldeinformationsverwaltung, zusätzlich durch Windows (DPAPI) geschützte Kopie |
| Sicherungen | Dokumente\XPARCEL Sicherungen, verschlüsselt |
Alle Dienste, die XPARCEL im Hintergrund startet (Datenbank, Programmlogik, WhatsApp-Anbindung), lauschen ausschließlich auf 127.0.0.1. Aus dem Netzwerk sind sie nicht erreichbar, eine Firewall-Freigabe gibt es nicht. Bei jedem Start erzeugt das Programm einen geheimen Startschlüssel, den nur sein eigenes Fenster erhält. Andere Programme oder Webseiten auf demselben Rechner bekommen ohne ihn weder Oberfläche noch Schnittstelle.
Verbindungen nach außen
Mit xVentures spricht XPARCEL nur für die Lizenzprüfung. Alle anderen Verbindungen entstehen nur, wenn Sie die jeweilige Funktion nutzen, und gehen direkt von Ihrem Rechner zum jeweiligen Dienst.
| Zweck | Gegenstelle | Was übertragen wird |
|---|---|---|
| Lizenzprüfung | api.xparcel.de (xVentures) | Lizenzschlüssel, Installations-ID, öffentlicher Geräteschlüssel, Geräte-Fingerabdruck als Hash, Programmversion |
| Ihr E-Mail-Anbieter | Nachrichten, die Sie senden oder abrufen | |
| Nachrichten an gekoppelte Kontakte | ||
| Bodenrichtwerte | Geodienste der Länder | Koordinaten des Flurstücks |
| Adresse in Koordinaten umrechnen | Nominatim (OpenStreetMap) | Anschrift des Objekts, höchstens eine Anfrage je Sekunde |
| Kartenansicht | Kachelserver von OpenStreetMap | Kartenausschnitte; XPARCEL lädt sie selbst und speichert sie zwischen |
| Online-Kontoabruf (optional) | FinTS-Server Ihrer Bank | Zugangsdaten für den Abruf; die PIN wird nie dauerhaft gespeichert |
| Benachrichtigungen (optional) | ntfy oder Gotify, gern selbst betrieben | Text der Benachrichtigung |
Lizenzprüfung ohne Personendaten
Die Lizenz selbst enthält keine Personendaten, nur den Lizenzgeber. Die Verbindung zur Lizenz-API ist zusätzlich zu TLS Ende-zu-Ende verschlüsselt (X25519, HKDF-SHA256, AES-256-GCM). Antworten und Lizenzen sind mit Ed25519 signiert und an genau eine Anfrage gebunden; die öffentlichen Schlüssel sind fest im Programm eingebaut. Eine gefälschte Lizenz-API oder eine veränderte Antwort wird dadurch erkannt.
- Eine Lizenz gilt 30 Tage ohne Internet; XPARCEL erneuert sie im Hintergrund.
- Der Testzeitraum ist an den Rechner gebunden. Dafür speichert die Lizenz-API Kennungen des Rechners und einen Installationsmerker nur als Hash.
- Ohne gültige Lizenz wird nichts gesperrt: XPARCEL wechselt in „Nur Lesen“, Export und Sicherung bleiben möglich.
Verschlüsselung und Sicherung
Dokumente und gespeicherte Geheimnisse wie E-Mail-Passwörter werden mit AES-256-GCM verschlüsselt, jeweils an den Datensatz gebunden, sodass vertauschte Daten auffallen. Die Schlüssel liegen in der Windows-Anmeldeinformationsverwaltung.
Jede Nacht um 02:30 Uhr entsteht eine verschlüsselte Sicherung von Datenbank und Dokumenten; war der Rechner aus, holt XPARCEL sie beim nächsten Start nach. Wiederherstellen lässt sich eine Sicherung nur mit dem Notfallschlüssel, den Sie unter Einstellungen → System & Backup herunterladen. Bewahren Sie ihn getrennt vom Rechner auf, etwa auf einem USB-Stick an einem sicheren Ort; ohne ihn sind Sicherungen unbrauchbar. Weil die Sicherungen verschlüsselt sind, dürfen sie auch in OneDrive oder auf einem NAS liegen.
Anleitung: Sicherung, Wiederherstellung und Umzug
Schutz im Programm
- Passwörter werden mit Argon2id gespeichert; nach fünf Fehlversuchen wird das Konto vorübergehend gesperrt.
- Ein zweiter Faktor (Authenticator-App oder Passkey) ist am eigenen Rechner optional, im Server-Betrieb Pflicht.
- Rollen „Eigentümer“ und „Nur Lesen“ werden serverseitig für jede Anfrage durchgesetzt; ein automatischer Test prüft jede Schnittstelle.
- Jede Änderung steht mit Benutzer und Zeitpunkt in einem Protokoll, das sich nachträglich nicht verändern lässt.
- Hochgeladene Dateien werden am Inhalt geprüft; XRechnungen werden ohne externe Verweise gelesen, PDFs ohne Datei- und Netzzugriff erzeugt.
- Die Programmdateien sind mit Prüfsummen erfasst; Veränderungen fallen beim Start auf.
Schutz vor Rechnungsbetrug
Weicht die IBAN auf einer eingegangenen Rechnung von den Konten ab, die beim Lieferanten hinterlegt sind, zeigt XPARCEL eine rote Warnung. Absender werden nur dann automatisch einem Lieferanten zugeordnet, wenn Ihr Mailserver DMARC oder DKIM bestätigt; sonst steht „nicht verifiziert“ daneben. Fragen Sie bei Zweifeln telefonisch nach, unter einer Nummer, die nicht aus der E-Mail stammt.
Server-Betrieb (Tarif Pro)
Im Server-Betrieb läuft XPARCEL als Docker-Stack im Heimnetz. Dort gelten zusätzliche Schutzschichten: getrennte Netze ohne Internetzugang für Datenbank und Programmlogik, Container ohne Sonderrechte mit schreibgeschütztem Dateisystem, strikte Sicherheits-Header, Ratenbegrenzung und ein Schutz gegen Abrufe ins eigene Netz. Für den Zugriff von unterwegs empfehlen wir ein VPN statt einer Portfreigabe.
Die Software wurde von einem unabhängigen Prüfer ohne Kenntnis der Implementierungsentscheidungen untersucht. Kritische oder hohe Befunde gab es nicht; alle mittleren und niedrigen Befunde sind behoben.
Grenzen und Empfehlungen
- Ihr Rechner ist die Grenze: Wer Ihr Windows-Benutzerkonto kontrolliert, kommt an laufende Daten. Halten Sie Windows aktuell, nutzen Sie BitLocker und ein eigenes Benutzerkonto mit Passwort.
- Notfallschlüssel: an zwei getrennten Orten offline verwahren und die Wiederherstellung gelegentlich üben.
- WhatsApp: Die Anbindung nutzt das Protokoll von WhatsApp Web und ist kein offizieller Zugang. Prüfen Sie in WhatsApp unter „Verknüpfte Geräte“, welche Geräte gekoppelt sind.
- Fachliche Berechnungen zu Mieterhöhung, Nebenkosten, Steuer und DATEV ersetzen keine Rechts- oder Steuerberatung.
Sicherheitsprobleme melden Sie bitte an support@xparcel.de.
