Was der Code tatsächlich tut

Geprüft gegen den Code am 16.09.2026

1. Jede Datenbankabfrage läuft über eine Prisma-Erweiterung, die sie an die Organisation der Anfrage bindet. Eine Abfrage ohne Organisationskontext schlägt fehl, anstatt Zeilen zurückzugeben.

2. TOTP-Seeds und Token von Drittanbietern werden mit AES-256-GCM verschlüsselt gespeichert, mit einem Schlüsselbund, der eine Schlüsselrotation ermöglicht, ohne den Zugriff auf bestehende Daten zu verlieren.

3. Jede HTML-Antwort erhält eine Content-Security-Policy mit einem zufälligen Nonce pro Anfrage, und ein Inline-Skript ohne dieses Nonce wird nicht ausgeführt.

4. Jeder zustandsändernde Aufruf, der die Sitzung eines Teammitglieds trägt, muss ein CSRF-Token senden, das mit dem Cookie übereinstimmt, und die Durchsetzung kann in der Produktionsumgebung nicht abgeschaltet werden.

5. Ein Link zur Freigabebestätigung ist mit HMAC-SHA256 signiert. Die Signatur wird vor jedem Datenbank-Lesezugriff überprüft, und jeder Fehler gibt denselben 404-Fehler zurück.

   Ein Freigabelink ist ein zufälliger 32-Byte-Token, von dem nur der SHA-256 gespeichert wird, mit Ablaufdatum, optionalem Passwort und sofortigem Widerruf. Ein widerrufener, abgelaufener oder unbekannter Link antwortet mit demselben 404-Fehler.

6. Jede hochgeladene Datei wird mit ClamAV auf einer privaten VM innerhalb der VPC gescannt, bevor eine Vorschau davon erstellt wird, und eine Datei ohne virenfreies Ergebnis wird zurückgehalten und nicht bereitgestellt.

   Dateien über 2 GiB werden zurückgehalten und nicht gescannt. Eine zurückgehaltene Datei wird nicht bereitgestellt.

7. Ein Kunde betritt das Kundenportal ohne Account per Code, Link, Telefon oder E-Mail; es wird nur ein HMAC des Codes oder Tokens gespeichert, ein Zugang läuft ab (standardmäßig nach 30 Tagen) und ein Widerruf trennt die Verbindung aller Geräte innerhalb von zwei Minuten.

8. Das Aktivitätsprotokoll in der Anwendung ist Append-only: Kein Pfad im Code aktualisiert oder löscht eine Audit-Zeile, und ein CI-Gate schlägt bei jedem Versuch fehl, einen solchen hinzuzufügen.

9. Für jede API-Route gilt eine Ratenbegrenzung pro Benutzer oder Client-IP über einen instanzübergreifenden, gemeinsamen Redis-Zähler. Wenn Redis nicht verfügbar ist, sinkt das Limit auf ein Drittel pro Instanz, anstatt sich komplett zu öffnen.

10. Die Sitzung ist ein signiertes JWT-Cookie (HS256) mit HttpOnly, Secure und SameSite=Lax, läuft nach zwei inaktiven Stunden ab und kann auf allen Geräten gleichzeitig widerrufen werden. Passwörter werden als scrypt-Hashes gespeichert und MFA-Wiederherstellungscodes nur als HMACs.

11. Das Kundenportal, Freigabelinks, Belege, die Einladungsannahme sowie die Seiten zur Registrierungsfertigstellung und zum Zurücksetzen des Passworts enthalten noindex, und die robots.txt verbietet /api/, /admin, /app und /coupons.

12. Ein Workspace-Inhaber exportiert die Daten und löscht den Workspace oder sein eigenes Konto, ohne uns zu fragen. Die Löschung sperrt den Zugriff sofort, und die endgültige Löschung erfolgt automatisch nach 30 Tagen, dem Zeitraum, der in den Bedingungen, der Datenschutzerklärung und dem Auftragsverarbeitungsvertrag festgelegt ist.

13. Secrets werden beim Deployment aus dem Secret Manager eingebunden, beim Start validiert (Mindestlänge, Platzhalterwerte werden abgelehnt, der Verschlüsselungsschlüssel muss aus 32 zufälligen Bytes bestehen) und in Protokollen und Fehlerberichten unkenntlich gemacht.

14. Geplante Aufrufe werden mit einer HMAC-SHA256-Signatur innerhalb eines Fünf-Minuten-Fensters oder einem Google OIDC-Token authentifiziert, und ein statisches Bearer-Secret wird in der Produktionsumgebung abgelehnt.

15. Jede ausgehende Anfrage an eine vom Nutzer angegebene Adresse (Google Drive-Importe, Webhooks) wird mit privaten Adressbereichen abgeglichen, auch nach Weiterleitungen und beim Verbindungsaufbau.

16. Der Body einer API-Anfrage ist auf 1 MiB begrenzt und wird mit einem strengen Schema abgeglichen, das unbekannte Felder abweist, bevor der Code damit in Berührung kommt.

17. Der Dateityp wird anhand der Bytes selbst bestimmt und nicht nach den Angaben des Browsers, und Dateien, die das Kontingent des Tarifs oder das Limit pro Datei überschreiten, werden schon vor dem Upload abgelehnt.

18. Jeder Objektpfad wird vor dem Signieren, Lesen oder Löschen mit dem Präfix der Organisation abgeglichen, und Dateien werden über zeitlich begrenzte, signierte URLs bereitgestellt (6 Stunden zum Ansehen, 5 Minuten zum Herunterladen).

19. KI-Vorschläge werden als Vorschläge gespeichert und erst angewendet, wenn eine Person sie freigibt, und KI-Code darf keinen System-Scope über Kundendaten öffnen; ein CI-Gate erzwingt dies.

20. Jedes Deployment durchläuft zuerst die gesamte Testsuite mit Testabdeckung, die Code-Gates und npm audit auf High-Level; ein Production-Deployment durchläuft zudem ein Canary-Deployment mit Readiness-Probes.