REPORT · 2026-10-05
Security Review 2026-10
Redigierte Zusammenfassung des internen Security-/Privacy-Reviews vom 5. Oktober 2026.
Zweck
Interne Quelle-zu-Code-Prüfung (API, Flutter, Marketing, Preview-Cluster) vom 2026-10-05, hier als öffentliche Themenübersicht. Exploit-Schritte, Signatur-Details und Wettbewerbsanalysen werden nicht veröffentlicht.
Methodik (Kurz)
- Source Review und lokale Testläufe (Pest u. a.)
- Dependency-Audits (Composer / npm)
- Secret-Scan und Container-/FS-Scans wo ausgeführt
- Nicht Teil dieser Veröffentlichung: Live-Probes gegen Produktion/Staging/S3 (G1-G3) ohne Owner-Freigabe
Themen - behoben (Engineering, 2026-10-05)
- Dokument-Downloads: erneute Autorisierung + Cache-Control
private, no-store - Organisations-Mutationen: Rolle am Datensatz-
organization_id, nicht nur am aktuellen Org-Kontext - API-Login: 2FA-Challenge vor Token-Ausstellung; App-Login mit TOTP/Recovery
- Account-Löschung: vollständiger lokaler Wipe nach API-Delete
- Geozonen-Offline-Cache: TTL und Hard-Stale (kein stilles „grün“)
- Marketing: Next.js auf gepatchte Version; Analytics nur nach Consent; CSP Report-Only
- Session: Verschlüsselung und verkürzte Lifetime; Domain für Portal-SSO beibehalten (kompensiert)
- Sentry Default-PII in Preview-Config abgeschaltet
- Ziggy-/Feature-Flag-Leakage an Gäste reduziert; Proxy-/Host-Trust eingeengt
- Supply chain: Dependabot; commonmark-Upgrade; Docker non-root; Redis AUTH; k8s securityContext
Residual / offen
- Externer Pen-Test: Briefing intern; Durchführung und öffentlicher Bericht noch nicht vorhanden.
- G1-G3 Live-Probes: bewusst nicht als erledigt behauptet.
- Rechtsberatung: u. a. Art. 49 DJI-Transfer, finale AVV-Freigabe, DPIA-Sign-off - Status „in Abstimmung“.
- Zertifizierungen: kein SOC 2 / ISO 27001 / 27701.
Freigabehaltung (intern, unverändert vorsichtig)
Private Pilotinnen: nach den Engineering-Fixes deutlich robuster. Sensible Unternehmens-/BOS-Dokumente und Behördenbetrieb bleiben an Pen-Test und juristische Freigaben gekoppelt - dieses Trust Center ersetzt das nicht.
Verwandte öffentliche Seiten
Kein Zertifikat · Keine Rechtsberatung · Stand 2026-10-05