RetterApp

Liste und Karte zeigen nur Bezirk und Postleitzahl, der Kartenpunkt ist bis zu 100 Meter verschoben — deterministisch mit einem Salz über Anbieter und Ortszelle, damit sich der Versatz nicht durch Mitteln mehrerer Angebote herausrechnen lässt. Koordinaten verlassen den Server auf vier Nachkommastellen gerundet, und eine Datenbankbedingung macht „Adresse sofort sichtbar“ außerhalb der Direktabholung strukturell unmöglich. Wer nicht angemeldet ist, sieht nie mehr als Postleitzahl und Ort — und keinen Anbieternamen.

Karten und Adresssuche laufen über unsere eigene Österreich-Geoplattform auf amtlicher Datenbasis. Die App kennt keinen Zugangsschlüssel — das Backend proxyt und hängt ihn serverseitig an; eine Pfad-Allowlist verhindert Missbrauch als offenes Relay, und ein Boot-Guard verweigert in Produktion den Start, wenn der Geocoder auf einen öffentlichen Fremddienst zeigt.

Über zwei Dutzend Wächter-Tests färben rot, sobald jemand eine Regel bricht: keine schreibende Route ohne Sperre für gesperrte Konten, keine Verwaltungsroute ohne Zwei-Faktor-Gate, kein Antwortschema mit Klardatenfeld. Jeder Wächter wird mutiert — er gilt erst als wirksam, wenn die Regel testweise gebrochen wurde und genau er dabei rot wurde.

Kein einziges Preis-, Betrags- oder Checkout-Feld in 53 Schemadateien — von einem Test überwacht, der anschlägt, sobald eines entsteht. Ein Wortlaut-Wächter hält Begriffe wie „Gratis“ oder „gespart“ aus der Oberfläche fern. Die Erfolgsmetrik ist gerettete Menge in Kilogramm; „Geld gespart“ ist ausdrücklich keine.

Fehlschläge werden nicht nur behoben, sondern als wiederverwendbare Regel festgeschrieben — im Wächter-Kommentar, im Arbeitsprotokoll und im Regelsatz zugleich. Und auch die Prüfungen werden geprüft: In der letzten großen Review-Runde bekam jeder schwere Befund einen zweiten Prüfer mit dem ausdrücklichen Auftrag, ihn zu widerlegen. Von 24 gegengelesenen Befunden wurden 6 bestätigt, 16 abgeschwächt und 2 widerlegt.