Register 9 · Hilfe · Blatt 85

Sicherheit

Diese Seite nennt die Schutzmaßnahmen mit den Werten, die in der Anwendung eingestellt sind, und sagt bei jeder, wo ihre Wirkung endet. Behobene Meldungen von außen stehen unter Sicherheitshinweise.

Passwörter und Anmeldung

Die Anwendung speichert Passwörter nur als scrypt-Hash. Das Klartext-Passwort liegt nirgends, auch das Team kann es nicht lesen. Die Mindestlänge beträgt 10 Zeichen. Nach 5 falschen Eingaben sperrt die Anmeldung für 15 Minuten. Das bremst automatisiertes Raten und lässt das Konto danach wieder frei.

Sitzung, Cookie und CSRF-Schutz

Nach der Anmeldung setzt die Anwendung das Cookie __Host-lunwerk_sitzung mit den Eigenschaften Secure, HttpOnly und SameSite=Lax. Die Sitzung läuft 30 Tage gleitend. Im Bereich Konto sehen Sie alle aktiven Sitzungen und beenden jede einzelne. Formulare, die Daten ändern, tragen ein CSRF-Token; Anfragen ohne gültiges Token weist die Anwendung ab.

API-Tokens und Rate-Limits

Pro Konto sind bis zu 10 Tokens möglich. Das Geheimnis zeigt die Anwendung einmal, bei der Erstellung. Gespeichert wird nur sein SHA-256-Hash. Ein verlorenes Geheimnis lässt sich deshalb nicht wiederherstellen; Sie erzeugen ein neues Token. Je Token gelten 120 Anfragen pro Minute. Das Kontaktformular nimmt höchstens 3 Nachrichten pro Stunde je E-Mail-Adresse an. Die Beschreibung der Schnittstelle steht unter Schnittstelle.

Prüfsummenkette

Beim Festschreiben bildet die Anwendung eine SHA-256-Prüfsumme über Baustelle, Datum, laufende Nummer, Inhalt, den Hash der Unterschrift und die Prüfsumme des vorigen Berichts derselben Baustelle. Der erste Bericht verwendet 64 Nullen als Vorgänger. „Kette prüfen“ berechnet alles neu und nennt den ersten abweichenden Bericht.

Was die Kette zeigt

Sie zeigt, dass ein festgeschriebener Bericht seit dem Festschreiben verändert wurde oder dass in der Reihenfolge ein Bericht fehlt oder ausgetauscht ist. Änderungen über die Schnittstelle weist die Anwendung mit dem Fehler 409 ab.

Was die Kette nicht zeigt

Sie nennt nicht, wer etwas geändert hat und wann. Sie enthält keinen Zeitstempel einer unabhängigen Stelle und sagt nichts darüber, ob der Inhalt stimmt. Entfernt jemand den jüngsten Bericht, bleibt der Rest der Kette in sich stimmig. Die Kette liegt in derselben Datenbank wie die Berichte; wer diese Datenbank vollständig kontrolliert, kann die Prüfsummen neu berechnen. Wollen Sie das ausschließen, notieren Sie die Prüfsumme des jüngsten Berichts an einem Ort außerhalb des Baubuchs. Eine Beweiswirkung nach eIDAS hat die Kette nicht.

Rechenzentrum und Übertragung

Die Anwendung läuft bei einem Hosting-Dienstleister in einem Rechenzentrum in Frankfurt am Main. Der Standort wechselte zuletzt im September 2023 und blieb in der Stadt. Verbindungen laufen über HTTPS. Mit dem Dienstleister besteht ein Auftragsverarbeitungsvertrag; seinen Namen nennen wir auf Anfrage über das Kontaktformular. Die technischen und organisatorischen Maßnahmen stehen im Auftragsverarbeitungsvertrag.

Datensicherung

Wir sichern den Gesamtbestand, damit der Dienst nach einem Ausfall wieder anlaufen kann. Einzelne Konten, einzelne Berichte oder gelöschte Daten stellen wir daraus nicht wieder her, und wir sagen das auch nicht zu. Die Sicherung Ihrer Daten liegt bei Ihnen: Exportieren Sie regelmäßig über „Alle Daten exportieren“ im Bereich Konto. Das Ergebnis ist eine ZIP-Datei mit CSV.

Schwachstelle melden

Schreiben Sie über das Kontaktformular mit dem Thema „Sicherheit“. Nennen Sie die betroffene Seite, die Schritte zum Nachstellen und die Auswirkung. Die Datei security.txt fasst das Vorgehen zusammen.

• Rufen Sie keine Daten fremder Konten ab und lassen Sie keine Lasttests laufen.
• Halten Sie Einzelheiten zurück, bis wir die Lücke behoben haben.
• Wir antworten in einigen Werktagen. Eine Prämie zahlen wir nicht. Auf Wunsch nennen wir Sie im Sicherheitshinweis.