Selbst durchgeführte Sicherheitstests #
Dies sind Tests in Eigenregie. Sie werden vom Betreiber durchgeführt, nicht von einer unabhängigen Prüfstelle, und sie ersetzen nicht den auf Trust ausgewiesenen unabhängigen externen Penetrationstest. Sie werden veröffentlicht, weil der Inhalt für Prüfende nützlich ist, auch wenn die Unabhängigkeit fehlt.
Stand: 2026-10-18.
Durchgeführte Tests #
| Datum | Art | Umfang | Ergebnis |
|---|---|---|---|
| 2026-05-26 | Sicherheitsbewertung auf Code-Ebene | Statische Analyse, Abhängigkeitsprüfung sowie manuelle Prüfung von Authentifizierung, Autorisierung und Dateiverarbeitung | Die Verarbeitung von Uploads wurde als Bereich mit dem höchsten Risiko eingestuft. Feststellungen im Issue-Tracker erfasst und behoben: serverseitige Begrenzung der Anhangsanzahl, Autorisierung von Direkt-Uploads sowie Bereinigung von Parametern und IP-Adressen in Protokollen |
| 2026-05-26 | Externer Produktionstest, nicht destruktiv | Response-Header, TLS-Konfiguration, öffentliche Seiten und Metadaten-Abfragen gegen den Produktionshost | Lücken in der Abdeckung der Response-Header und fehlende Sicherheitskontakt-Metadaten; die Abhängigkeit von Drittanbieter-Asset-CDNs wurde als mittleres Risiko bewertet. Behoben am 2026-05-27: Sicherheitskontakt-Metadaten veröffentlicht, Schutz vor Content-Type-Sniffing auf statische Assets ausgeweitet |
| 2026-06-09 | Prüfung der Authentifizierung | Cookie-Verarbeitung, Sitzungslebenszyklus, Magic-Link- und Einladungsabläufe | Zwei Feststellungen mit informativem Schweregrad. Behoben am 2026-06-14: Das Cookie der ausstehenden Authentifizierung liegt nun in einem verschlüsselten Speicher, sodass die Adresse clientseitig nicht lesbar ist; die angegebene Gültigkeit des Sitzungs-Cookies entspricht nun dem serverseitigen Leerlauf-Timeout von 14 Tagen. Eine Feststellung mit niedrigem Schweregrad: Die Adressen der Meldekanäle wurden aus fortlaufenden Kennungen abgeleitet, sodass sich die Menge der Kundenorganisationen aufzählen ließ. Behoben am 2026-08-12: Jeder Meldekanal hat eine private, zufällige Adresse, und die für einen inaktiven Meldekanal angezeigte Seite nennt die Organisation nicht mehr |
| 2026-08-27 | Authentifizierter Graybox-Test | Mandantenübergreifender Zugriff, Rechteausweitung, Mass Assignment, Zugriff auf Meldungen innerhalb eines Mandanten, Vertraulichkeit von Anhängen, SCIM-Isolierung, Vertrauen in SAML-Assertions | Keine Autorisierungsmängel festgestellt. Mandanten- und Rollengrenzen hielten in jedem geprüften Fall |
| 2026-08-27 | Prüfung der Produktionsexposition | Netzexposition, Härtung des Hosts, Verarbeitung von Proxy-Headern, Umgang mit Geheimnissen | Vom Client gesendete Weiterleitungs-Header wurden auf einem direkt aus dem Internet erreichbaren Origin als vertrauenswürdig behandelt, wodurch die IP-bezogenen Ratenbegrenzungen hätten umgangen werden können. Am selben Tag behoben. Zusätzlich wurde ein Header mit Server-Laufzeit je Anfrage entfernt. Der überholte Header Feature-Policy wurde am 2026-09-05 durch Permissions-Policy ersetzt |
| 2026-09-08 | Authentifizierte Prüfung der Dateiauslieferung und der Speicherung im Browser | Direkter Download von Datenexporten und Sprachaufnahmen, Zugriff mit bekannten Datei-URLs mandantenübergreifend und nach Entfernung der Mitgliedschaft, Zurück-Schaltfläche des Browsers nach der Abmeldung | Drei Feststellungen, die jeweils eine bereits berechtigte Person mit einer signierten Datei-URL oder einen gemeinsam genutzten Browser voraussetzten. Ein abgelaufener Datenexport ließ sich über eine aufbewahrte URL weiterhin ohne erneute Authentifizierung herunterladen. Eine bearbeitende Person konnte eine Original-Sprachaufnahme herunterladen, bevor deren Anonymisierung abgeschlossen war. Nach dem Widerruf einer Sitzung konnte die Zurück-Schaltfläche des Browsers eine Meldung aus dessen Cache erneut anzeigen. Behoben am 2026-09-10: Die Dateiauslieferung setzt nun dieselben Regeln zu Ablauf, erneuter Authentifizierung und Verarbeitung durch wie die Seite, die auf die Datei verlinkt, und sensible Seiten sowie private Dateien werden vom Browser nicht mehr gespeichert. Mandantenübergreifender Zugriff und Zugriff durch entfernte Mitglieder wurden in jedem geprüften Fall verweigert |
| 2026-09-26 | Prüfung der Sitzungsverwaltung auf Code-Ebene | Identifizierung von Sitzungen und ihr Verhalten nach einer Wiederherstellung der Datenbank | Sitzungen wurden über ihre Datenbank-ID identifiziert. Eine Wiederherstellung setzt die IDs zurück, sodass eine neue Anmeldung eine ID erhalten konnte, die ein fortbestehendes Cookie noch enthielt, und so die Sitzung dieser Person fortgesetzt werden konnte. Am selben Tag behoben: Sitzungen werden über ein zufälliges Token identifiziert, und alle bestehenden Sitzungen wurden beendet |
| 2026-09-28 | Prüfung der Protokolle des Meldekanals | Anwendungsseitige Protokolle, die geschrieben werden, während eine hinweisgebende Person den Meldekanal nutzt | Zwei Komponenten schrieben noch IP-Adressen hinweisgebender Personen: das Anfrageprotokoll des Webservers und die Warnmeldung des Spamschutzes. Beide am selben Tag entfernt. Das eigene Anfrageprotokoll des TLS-Proxys, das die IP-Adresse jeder Anfrage erfasst, ist unverändert und unter Security#ip-addresses beschrieben |
| 2026-10-16 | Prüfung auf Code-Ebene anhand aktueller Forschung zu Angriffen auf Rails | Upload-Verarbeitung, Bilddekodierung, Verarbeitung signierter Nachrichten, Anfrageprotokolle, gespeicherte Echtzeitnachrichten, generierter Code für die Autorisierung | Die Entfernung von Metadaten wählte ihre Methode anhand des vom Browser angegebenen Typs, sodass ein als generische Datei hochgeladenes Foto seine Standort- und Gerätemetadaten behielt. Der SVG-Decoder der Bildbibliothek, beim Start gesperrt, wurde für den gesamten Prozess wieder aktiviert, sobald ein Linkvorschaubild erzeugt worden war. Signierte und verschlüsselte Nachrichten akzeptierten weiterhin ein Serialisierungsformat, das ein offengelegtes Anwendungsgeheimnis in Codeausführung verwandelt. Anfrageprotokolle erfassten Dateinamen von Anhängen und kurzlebige Download-Tokens. Echtzeitbenachrichtigungen, die die Vorgangs-ID der Meldung enthalten, wurden einen Tag lang unverschlüsselt gespeichert. Die Vorlage für neue Autorisierungsrichtlinien ließ den Organisationsfilter aus; keine bestehende Richtlinie war betroffen. Alles am selben Tag behoben |
| 2026-10-16 | Forensische Prüfung der Produktion (CVE-2026-66066) | Rein lesende Prüfung jeder vor der Behebung gespeicherten Datei auf präparierte Bild-Header, Bilder, deren Pixel als Serverdateien dekodiert werden, und verbliebene identifizierende Metadaten | Keine Hinweise auf eine Ausnutzung in den aufbewahrten Daten und kein Bild in einer Meldung, das noch identifizierende Metadaten enthält. Dateien, die über den exponierten Direkt-Upload-Pfad hätten hochgeladen werden können, der vom 2026-04-13 bis zum 2026-05-12 offen war, wurden durch die tägliche Bereinigung nicht zugeordneter Dateien gelöscht und können nicht mehr untersucht werden |
| 2026-10-17 | Prüfung der Produktionsexposition | Anfrageprotokoll des Reverse Proxys, Größenbegrenzungen für Anfragen, Schwachstellenscan des Container-Images | Der Reverse Proxy protokolliert jeden Anfragepfad, und die Download-Pfade von Anhängen enthielten den Dateinamen. Anfragekörper von bis zu 1 GB wurden auf der Festplatte zwischengespeichert, bevor die Anwendung sie validierte. Das Container-Image wurde monatlich auf Schwachstellen des Betriebssystems gescannt, gegenüber einer Zusage von 7 Tagen für kritische Korrekturen. Am selben Tag behoben: In keinem der beiden Schritte eines Anhang-Downloads enthält der Pfad den Dateinamen, Anfragekörper sind auf knapp über die größte legitime Meldung begrenzt, und das Image wird wöchentlich gescannt |
| 2026-10-17 | Mutationstests der Autorisierungsregeln | Die Zugriffsrichtlinien für Meldungen, Meldungsdokumente und Meldekanäle, wobei jede Regel gezielt verändert wurde, um zu bestätigen, dass die Testsuite die Änderung erkennt | Jede Änderung an diesen Richtlinien wurde erkannt. Kein Autorisierungsmangel festgestellt |
| 2026-10-18 | Code-Review vor der unabhängigen Prüfung | Upload-Felder und Dateizugriff, Entfernung von Metadaten, Sperre bis zum Malware-Scan, Rollen in Vorgängen, Plattformverwaltung, Protokollierung von Anmeldungen, Fehlerberichte, Passwörter der Hinweisgebenden | Zehn Feststellungen. Neun am selben Tag behoben: Ein Upload-Feld akzeptierte die Kennung einer bereits gespeicherten Datei, sodass ein Nutzer eine Datei anhängen konnte, die er nicht hochgeladen hatte, und sie anschließend öffnen konnte (Dateilinks laufen jetzt zudem nach einer Stunde ab); nach dem Entfernen der Metadaten eines PDFs ließ sich der ursprüngliche Autor aus einer früheren Revision der Datei wiederherstellen; der Datenexport enthielt Dateien, die den Malware-Scan nicht bestanden hatten, und eine Datei, deren Scan nie eingeplant wurde, wurde ungeprüft ausgeliefert; ein einem Vorgang zugewiesener Betrachter konnte darin handeln; das Admin-Panel der Plattform verlangte keinen zweiten Faktor; Einmal-Anmeldecodes und SAML-Assertions gelangten an den Dienst zur Fehlerüberwachung; fehlgeschlagene Anmeldungen, fehlgeschlagene Vorgangsabfragen und ausgelöste Rate-Limits hinterließen keinen Eintrag; Hinweisgebende wählten ihr sechsstelliges Passwort selbst, sodass eine häufige Wahl wie 123456 akzeptiert wurde (neue Meldungen erhalten ein vom System erzeugtes 16-stelliges Passwort; früher abgegebene Meldungen behalten ihres, siehe Bekannte offene Feststellungen). Eine rein lesende Prüfung der Produktion fand kein gespeichertes Meldungs-PDF und kein Betrachter-Konto, sodass keines dieser beiden Probleme einen Vorgang betroffen hatte. Die übrige steht unter den bekannten offenen Feststellungen |
Bekannte offene Feststellungen #
| Feststellung | Position |
|---|---|
| Keine Web Application Firewall und kein CDN vor dem Anwendungs-Origin | Bewusste Entscheidung. Das direkte Hosting von Anwendung und Dateien erfolgt in der EU, während die E-Mail- und Telemetriekette eine nachgelagerte Verarbeitung außerhalb des EWR umfassen kann. DDoS-Schutz auf Netzebene beim Hosting-Anbieter zusammen mit Ratenbegrenzung auf Anwendungsebene ist der derzeitige Kompromiss. |
| Profilfotos von Mitarbeitenden werden mit ihren ursprünglichen Datei-Metadaten gespeichert | Bewusst. Die Entfernung von Metadaten schützt Hinweisgebende und ihre Beweise. Ein Profilfoto wählt und lädt die abgebildete Person selbst hoch. |
| Vor dem 18. Oktober 2026 abgegebene Meldungen behalten das 6-stellige Passwort, das bei der Abgabe gewählt wurde, und zwar von der hinweisgebenden Person oder, bei einer von Mitarbeitenden erfassten Meldung, von der Fallbearbeitung | Akzeptiert. Diese Passwörter funktionieren weiterhin und werden nicht ersetzt. Die Anmeldung erlaubt 10 Passwortversuche je Vorgangs-ID pro 10 Minuten, von jeder IP. |
Was dies nicht belegt #
- Der Betreiber hat den Umfang festgelegt, die Tests durchgeführt und die Ergebnisse berichtet. Nichts davon wurde unabhängig verifiziert.
- Ein Durchlauf ohne Feststellungen ist ein Beleg über die geprüften Fälle, nicht über die nicht geprüften.
- Control A.5.35 der ISO/IEC-27001:2022-Selbsteinschätzung, die unabhängige Überprüfung der Informationssicherheit, bleibt aus diesem Grund offen. Es ist die einzige Anhang-A-Kontrolle auf jener Seite, die als in Bearbeitung geführt wird; dieselbe Einschränkung hält Kapitel 9.2 (interne Audits) auf teilweise erfüllt — siehe Aufzeichnung der internen Audits.
Zuletzt aktualisiert: