Was wir speichern, und wozu

Wer diesen Server betreibt

PlayRustLegacy ist ein unoffizieller Rust-Legacy-Server, von einer Privatperson betrieben und nicht von einer Firma. Er hat keine Werbung und verdient mit deinen Daten nichts — es gibt niemanden, an den man sie verkaufen würde. Bezahlt wird nur eines: die drei Euro für die Kits, und von dieser Zahlung sieht diese Seite nichts. Er ist nicht mit Facepunch Studios verbunden.

Die Daten, eine nach der anderen

Das ist die vollständige Liste. Es gibt keine Statistik, kein Werbepixel und keine Aufzeichnung darüber, was du auf der Seite liest.

• Deine E-Mail-Adresse — sie identifiziert dein Konto, und dort kommen der Bestätigungslink und der Link zum Zurücksetzen des Passworts an. Für etwas anderes wird sie nie benutzt: kein Newsletter, keine Ankündigungen.
• Dein Passwort, als Hash — nie im Klartext. Es läuft durch scrypt, eine Funktion, die absichtlich langsam und speicherhungrig ist, damit auch jemand mit einer Kopie der Datenbank nicht auf das Passwort zurückkommt. Wer diesen Server betreibt, kann es nicht lesen, und deshalb kann dir auch niemand sagen, welches es war, wenn du es vergisst.
• Dein Spielname — den sehen die anderen Spieler zum Teil. Wähl entsprechend: er ist die einzige Angabe in dieser Liste, die von Anfang an öffentlich ist.
• Deine SteamID — eine aus deinem Konto abgeleitete Zahl, und daran erkennt der Spielserver deinen Charakter. Es ist kein echtes Steam-Konto und mit Steam in keiner Weise verbunden: dieser Server benutzt Steam überhaupt nicht.
• Deine Sitzungen — für jeden Browser, von dem aus du dich angemeldet hast: wann sie begann, wann sie abläuft, von welcher IP-Adresse sie kam und mit welcher Zeichenkette sich der Browser vorstellt. Du siehst sie in deinem Profil und schließt sie mit einem Knopf alle.
• Die Anmeldeversuche — Zeit, Ergebnis und IP, eine Stunde lang aufbewahrt. Ohne sie könnte jeder beliebig lange Passwörter durchprobieren: sie machen die Begrenzung erst möglich. Sie löschen sich von selbst.
• Offene Anmeldungen und Anfragen zum Zurücksetzen — solange ein Bestätigungs- oder Rücksetzlink gültig ist, wird die Anfrage samt der IP aufbewahrt, von der sie kam. Bestätigungslinks gelten 24 Stunden, Rücksetzlinks eine Stunde; danach wird der Eintrag gelöscht.
• Ob du Unterstützer bist, und seit wann — ein Datum auf deiner Kontozeile, von Hand geschrieben, wenn die Kits eingeschaltet werden. Nur das: nicht wie viel du geschickt hast, nicht wann, nicht die Transaktion. Es wird mit dem Konto gelöscht.

Was es nicht gibt

Kein echter Name, kein Geburtsdatum, keine Telefonnummer, keine Zahlungsdaten — keine Kartennummer, kein PayPal-Konto, keine Transaktion läuft über diese Seite. Kein Standort über das Land hinaus, das deine IP nahelegt, und das dient dazu, die Sprache der Seite zu erraten, und wird nirgends aufgeschrieben.

Die Kits, die ein Unterstützer freischaltet, werden bei PayPal bezahlt, das heißt: diese Seite sieht nie deine Karte, deinen Namen oder den Betrag. Automatisch kommt hierher nichts zurück: was eine Zahlung mit einem Spielkonto verbindet, ist ein Mensch, der den Beleg liest, den du per E-Mail schickst, und ein Datum auf deine Kontozeile schreibt. Diese E-Mail liegt in einem gewöhnlichen Postfach, wie jede andere Nachricht, die du schreiben könntest.

Im Spiel

Der Spielserver ist eine andere Maschine, in Mailand. Er kennt deine SteamID und deinen Spielnamen, und er speichert, was dein Charakter besitzt: Basis, Kisten, Inventar, Position. Deine E-Mail-Adresse kennt er nicht. Sein Spielstand ist nach SteamID geordnet und nach nichts anderem.

Das ist wichtig, wenn du dein Konto löschst: was du gebaut hast, bleibt in der Welt. Niemand kann mehr hinein, weil das Konto, das aufschloss, nicht mehr existiert, und beim nächsten Wipe verschwindet es mit allem anderen. Diese Seite kann nicht dorthin greifen und es löschen.

Wer sie sonst sieht

Vier Dienste, jeder für eine Aufgabe, und keinem werden deine Daten für seine eigenen Zwecke überlassen:

• Vercel — betreibt die Seite und führt den Code aus, der deine Anfragen beantwortet. Wie jeder Webserver sieht er die IP-Adressen, die sich verbinden.
• Neon — die Datenbank, in der die Liste oben liegt. Server in Europa.
• Resend — verschickt die Bestätigungs- und Rücksetznachrichten. Er sieht also, an welche Adresse eine Nachricht geht, und die Nachricht selbst. Europäische Region.
• Cloudflare Turnstile — die «du bist ein Mensch»-Prüfung auf dem Anmelde- und dem Rücksetzformular. Laut Cloudflare benutzt sie deine IP-Adresse, den technischen Fingerabdruck deiner Verbindung und die Zeichenkette, mit der sich der Browser vorstellt, um eine Person von einem Skript zu unterscheiden, und benutzt sie nicht, um jemanden zu identifizieren oder ein Profil zu bilden.

Sie werden benutzt, weil die Alternative wäre, Mailserver und Bot-Erkennung selbst zu betreiben, was eine einzelne Person, die in ihrer Freizeit einen Spielserver betreibt, schlechter machen würde. Keinem von ihnen wird dein Passwort weitergegeben: es verlässt die Datenbank nicht, und dort liegt es nur als Hash.

Wie lange sie bleiben

Dein Konto und deine Spielidentität bleiben, solange das Konto existiert. Sitzungen laufen nach 30 Tagen ohne Nutzung ab. Anmeldeversuche werden innerhalb einer Stunde gelöscht, unbestätigte Anmeldungen innerhalb von 24 Stunden, nicht benutzte Rücksetzanfragen innerhalb einer Stunde. Nichts wird «für alle Fälle» aufbewahrt.

Ändern oder löschen lassen

Spielname und Passwort änderst du selbst in deinem Profil. Auf derselben Seite gibt es einen Knopf, der das Konto löscht: E-Mail-Adresse, Passwort-Hash, Spielname, SteamID und alle Sitzungen sind weg, sofort und endgültig — es gibt keinen Papierkorb und keine Frist von dreißig Tagen.

Um die E-Mail-Adresse eines bestehenden Kontos zu ändern oder eine Kopie dessen zu verlangen, was über dich gespeichert ist, schreib dem, der den Server betreibt. Für beides gibt es noch keinen automatischen Weg.

Alter

Rust ist ein gewaltsames Spiel, und diese Seite ist nicht für Kinder gemacht. Bei der Anmeldung wird das Alter weder gefragt noch geprüft, und es ist besser, das klar zu sagen, als es hinter einem Kästchen zu verstecken, das niemand liest.

Wie sie geschützt sind

Alles läuft über HTTPS. Passwörter werden mit scrypt gehasht, und auch die Sitzungskennungen liegen nur als Hash da, sodass eine gestohlene Kopie der Datenbank niemandem erlaubt, sich als jemand anders auszugeben. Das ist ein kleines Projekt von einer einzelnen Person: das ist eine Grenze, die man besser kennt, kein Versprechen perfekter Sicherheit. Die hier genannten Maßnahmen sind die wichtigsten, nicht alle.

Wenn sich diese Seite ändert

Das Datum unten wird jedes Mal aktualisiert, wenn das passiert. Es gibt keine Liste, an die Änderungen angekündigt werden — die Datenliste ist kurz und stabil, und sie wird nur länger, wenn die Seite eine Funktion bekommt, die etwas Neues braucht.

Siehe auch: welche Cookies diese Seite benutzt

Letzte Aktualisierung: 15. August 2026.