Sicherheit
Sicherheit und Betrieb.
Technische Maßnahmen für Website, Anfragen und die vorbereitete App. Die Übersicht unterscheidet den geprüften Entwicklungsstand von Nachweisen, die erst im produktiven Betrieb entstehen.
Redaktioneller Stand
Redaktion und Codeabgleich: 12. Oktober 2026 · Produktiver Betrieb noch nicht abgenommen
Nachweisstand
Die Kennzeichnung beschreibt den Stand der jeweiligen Maßnahme.
Implementiert
Im lokalen Quellstand oder Build vorhanden und dort prüfbar. Keine Bestätigung einer veröffentlichten oder unabhängig auditierten Umgebung.
Vor Freigabe prüfen
Die Konfiguration oder der Ablauf muss für das konkrete Deployment nachgewiesen werden. Ein Entwicklungsziel ist noch keine zugesicherte Leistung.
Geltungsbereich
Informationswebsite und separater Website-Service; App und öffentliche Daten-API mit eigener Freigabe. Das Datum der Open Beta aktiviert diese Komponenten nicht automatisch.
Website und Anfrageverarbeitung
Kleiner öffentlicher Auftritt, getrennte Verarbeitung der Formulare.
Statische Seiten
Implementiert
HTML, Schriften, Bilder und Skripte werden lokal ausgeliefert. Die Informationsseiten benötigen kein App-Konto. Formulare übertragen Angaben erst beim Absenden an den Website-Service.
Datensparsame Website
Implementiert
Keine Werbepixel oder externen Analytics-SDKs. Der Sitzungsspeicher merkt sich den Markeneinstieg pro Tab; die App hat davon getrennte Anmeldecookies.
Content Security Policy
Implementiert
Der Produktionsbuild enthält Ressourcenbeschränkungen und Hashes für freigegebene Skripte und Styles. Die Proxy-Konfiguration ergänzt Schutz vor Einbettung. Die tatsächlichen Response-Header werden nach Deployment geprüft.
Verlässliche Annahme
Implementiert
Anfragen und zugehörige Versandaufträge werden in einer Datenbanktransaktion gespeichert. Wiederholtes Absenden wird erkannt. Eine gespeicherte Anfrage und eine zugestellte E-Mail sind getrennte Zustände.
Verschlüsselte Versandwarteschlange
Implementiert
Der Inhalt wartender E-Mails wird mit AES-256-GCM verschlüsselt. Das betrifft die Versandwarteschlange, nicht pauschal alle Datenbankfelder oder Backups. Schlüsselverwaltung gehört zur Betriebsabnahme.
Missbrauchsabwehr und Protokollierung
Kontrollen passend zum jeweiligen Dienst.
Website-Formulare
Implementiert
Eingabevalidierung, Honeypots und Rate-Limits; Update-Anmeldungen mit Double-Opt-in. IP-basierte Website-Limits nutzen flüchtige Zähler im Arbeitsspeicher und überstehen keinen Prozessneustart.
Website-Service-Logs
Implementiert
Protokolliert werden Routenmuster und Statuscodes. Formularinhalte, URL-Tokens, E-Mail- und IP-Adressen werden nicht in diese Anfragelogs geschrieben. Proxy- und Anbieterlogs müssen gesondert abgeglichen werden.
Interne Betriebszugänge
Implementiert
Die Website-Deploymentvorlage sperrt öffentliche Admin-Exporte und Betriebsendpunkte. Berechtigungen, Netzgrenzen und Zugang zur Datenbank werden am Zielserver geprüft.
Öffentliche Passport-API
Implementiert
Demo-Ausgabe und Signaturprüfung besitzen anwendungsseitige Limits. Ihre Freigabe, Proxy-Vertrauensgrenzen und das Verhalten unter Last werden getrennt von der Website abgenommen.
App und Passport
Vorbereitete Funktionen; keine Aussage über bereits freigegebene Konten.
Anmeldung
Implementiert
Die App verwendet Auth.js mit E-Mail-Magic-Link und JWT-Sessions. Ablauf, Einmalverwendung, Cookie-Eigenschaften, Missbrauchsschutz und Sitzungswiderruf werden vor öffentlichem Kontozugang geprüft.
Passport-Integrität
Implementiert
HMAC-SHA256 prüft einen signierten Berechnungsstand über einen serverseitigen Schlüssel. Das ist keine unabhängige Public-Key-Attestierung und bestätigt weder eine Fahrt noch kausal vermiedene Emissionen.
Geteilte Reisedaten
Implementiert
Titel, Orte und Reisezeiten können Personen identifizierbar machen. Passports sind nicht automatisch anonym. Nutzende müssen vor dem Teilen prüfen können, welche Inhalte sie weitergeben.
Löschung und Export
Implementiert
App-Funktionen zur Kontolöschung und zum Export sind vorbereitet. Zugriffsprüfung, verbleibende Sicherheitsmeldungen, Sitzungen und Backups gehören zur App-Abnahme; eine sofortige Löschung sämtlicher Kopien wird nicht behauptet.
Datenflüsse nachvollziehen
Zweck, Datenkategorien und Anbieter werden gemeinsam betrachtet.
Telemetrie der App
Implementiert
Ereignisse können Reisedistanzen, Zeitpunkte, Verkehrsmittel und Länder enthalten. Eine fehlende Nutzer-ID macht sie nicht automatisch anonym. Veröffentlichung von Aggregaten benötigt eine gesonderte Prüfung.
Externe Dienste
Implementiert
Routing- und Wetterabfragen übermitteln je nach Funktion Orte, Koordinaten und Zeitangaben. Kartenkacheln können direkt im Browser geladen werden. Die Anbieterübersicht trennt Website-Dienste von konfigurationsabhängigen App-Diensten.
Produktive Konfiguration
Nachweise, die erst am Zielsystem erbracht werden.
HTTPS und Header
Vor Freigabe prüfen
Zertifikate, Weiterleitungen, HSTS, CSP und weitere Response-Header auf farleda.eu prüfen. Die App hat eine eigene CSP mit zusätzlichen Anbieterfreigaben.
Datenbank und Backups
Vor Freigabe prüfen
Speicherverschlüsselung, Zugriffsschutz, Sicherungsziel, Aufbewahrung und Wiederherstellung konkret nachweisen. Die verschlüsselte Mailwarteschlange ersetzt diese Prüfungen nicht.
Mail und Kontaktwege
Vor Freigabe prüfen
Resend-Versand, Hetzner-Postfächer sowie Empfang der Support- und Sicherheitsadressen mit echten Testnachrichten abnehmen.
Betrieb und Änderungsnachweise
Prüfungen beziehen sich immer auf einen konkreten Stand.
Release-Prüfungen
Implementiert
Typprüfung, statischer Build, Link- und SEO-Prüfung sowie gezielte Browser- und Website-Service-Tests werden lokal ausgeführt. Umfang und Ergebnisse werden je Release dokumentiert; dies ersetzt kein externes Audit.
Monitoring und Reaktion
Vor Freigabe prüfen
Alarmierung, Zuständigkeiten und Wiederanlauf werden vor Veröffentlichung festgelegt. Eine 24/7-Bereitschaft oder vertragliche Verfügbarkeit ist derzeit nicht zugesagt.
Grenzen des aktuellen Angebots
Beschaffungsanforderungen klären wir vor einer Pilotvereinbarung.
Zertifizierungen
Keine Zertifizierung nach ISO 27001, SOC 2 oder BSI C5 und kein abgeschlossener externer Penetrationstest.
Enterprise-Identität
SAML-SSO, OIDC-Föderation und SCIM sind nicht als verfügbare Produktleistung zugesagt. Anforderungen und Aufwand werden vor einem Pilot vereinbart.
Verifikation
Ein gültiger Passport bestätigt einen von Farleda signierten Berechnungsstand. Quellenqualität, reale Fahrt und Umweltwirkung brauchen zusätzliche Belege.
Responsible Disclosure
Meldungen an security@farleda.eu. Bis zur bestätigten Einrichtung ist office@stoicera.com der alternative Kontakt. Bitte zunächst eine Beschreibung ohne Zugangsdaten oder fremde personenbezogene Daten senden.
Im Geltungsbereich
- farleda.eu und zugehörige Subdomains
- Die Farleda-App, einschließlich des Authentifizierungs-Flows
- Die öffentlichen API-Endpoints unter /api/public/v1 und der Passport-Verify-Endpoint
- Alles, worüber ein Konto an die Daten eines anderen Kontos gelangt
Außerhalb des Geltungsbereichs
- Dienste anderer Betreiber.
- Lasttests, Denial-of-Service, Social Engineering und physische Angriffe.
Die Spielregeln
- Nur eigene Testkonten und eigene Daten verwenden.
- Bei unbeabsichtigtem Zugriff auf fremde Daten sofort stoppen und den Fund vertraulich melden.
- Reproduktionsschritte, betroffene Adresse, Zeitpunkt und mögliche Auswirkung beschreiben.
- Behebung und Veröffentlichung gemeinsam abstimmen. Diese Seite ist keine Erlaubnis zu beeinträchtigenden Tests.
Erste Rückmeldung
Ziel: innerhalb von drei Werktagen. Dies ist keine garantierte Reaktionszeit und kein Notfallkanal.
Bewertung und Behebung
Schweregrad, weitere Informationen und einen angemessenen Zeitplan stimmen wir mit der meldenden Person ab.
Anerkennung
Kein vergütetes Bug-Bounty-Programm. Eine öffentliche Nennung erfolgt nur mit Zustimmung.
Was wir Ihrem Prüfteam schicken können
Verfügbare Entwürfe und releasebezogene Nachweise besprechen wir für den konkreten Anwendungsfall.
Verträge und Datenrollen
Pilotumfang, technische Maßnahmen und ein gegebenenfalls erforderlicher AVV werden vor der entsprechenden Verarbeitung vereinbart.
Anbieter und Datenflüsse
Das öffentliche Verzeichnis dient der Orientierung. Die Anlage für einen Vertrag wird auf die tatsächlich eingesetzte Konfiguration begrenzt.
Technische Prüfung
Prüfumfang, bekannte Grenzen und verfügbare Testergebnisse können in einem vereinbarten Review besprochen werden. Eine vollständige SBOM oder ein externes Audit wird nicht als bereits geliefert behauptet.
Weiterführend: Vertrauen · Anbieter und Datenflüsse · Freigabestand · Änderungen.
