Nachweise statt Vertrauen auf Zuruf.
Ein Security-Angebot muss selbst nachvollziehbar mit Zugriffen, Eingaben und Daten umgehen. Hier stehen die überprüfbaren Maßnahmen und der Umfang externer Prüfungen.
Ein externer Messwert.
Gemessen am 9.11.2026, 16:45:47 deutscher Zeit. Scan-ID: 134438053, Testalgorithmus 6. Der Test bewertet die öffentlich beobachtete HTTP-Konfiguration einschließlich Sicherheits-Headern.
Öffentlichen Prüfbericht öffnen ↗Eine Momentaufnahme. Das Ergebnis bescheinigt weder Fehlerfreiheit der Anwendung noch einen vollständigen Penetrationstest. Es ist kein Zertifizierungssiegel.
Was hier technisch umgesetzt ist
- HTTPS-Weiterleitung und HSTS, eine Content Security Policy mit wechselnden Skript-Nonces, Schutz vor unerwünschter Einbettung und korrekte Inhaltstypen. Die ausdrücklich angebotene Radar-Einbettung hat eine gezielte Ausnahme.
- Serverseitige Prüfung von Betreiberrechten und Besitzrechten. Private Auswertungen, Moderation und fremde Trainingsstände werden für anonyme Anfragen gesperrt. Gefälschte Betreiber-Header wurden am öffentlichen Zugang negativ getestet.
- Gebundene Datenbankparameter und begrenzte Eingaben. Große Request-Bodies werden beim Einlesen gestoppt; sensible Schreibvorgänge benötigen gültige Herkunft, passende Sitzung und serverseitige Prüfung.
- Frequenzgrenzen, kurzlebige einmalige Rechenaufgaben und Vormoderation für öffentliche Beiträge. Trainingsanlage und technische Abfragen haben zusätzliche dauerhafte Anfragelimits.
- Servergeprüfte Übungsergebnisse. Ein vom Browser behauptetes Ergebnis allein schaltet keinen Praxisnachweis frei. Alle Hacking-Übungen bleiben geschlossene Simulationen.
- Optionale Statistik nur nach Zustimmung, externe Karte erst nach Freigabe, keine Übermittlung von Checklisten-Notizen und automatische Bereinigung abgelaufener Daten.
Umfang der Anwendungsprüfung
Am 09.11.2026 wurden Eingabebegrenzung, Methoden- und JSON-Validierung, Sitzungszuordnung, serverseitige Ergebnisprüfung, parametrisierte Datenbankaufrufe, Zugriffsgrenzen, statische Medien und die festgelegten ausgehenden Datenquellen geprüft. Gefundene Lücken bei Request-Größen und Missbrauchsquoten wurden korrigiert und mit Gegenproben überprüft. Das ist eine technische Prüfung des implementierten Umfangs und keine externe Vollzertifizierung.
Eine Schwachstelle gefunden?
Bitte nutze den Kontakt im Impressum und nenne URL, Zeitpunkt, beobachtetes Verhalten sowie die kleinste harmlose Gegenprobe. Keine echten Zugangsdaten oder Daten anderer Personen mitsenden. Bitte keine Verfügbarkeitstests, Massenzugriffe oder Tests an fremden Systemen. Ein Bericht kann ohne öffentliche Offenlegung abgestimmt werden; ein Vergütungsversprechen besteht nicht.