Sicherheit

Was wir tun.
Und was noch fehlt.

Unten steht beides. Ein Sicherheitskapitel ohne den zweiten Teil ist Werbung — und Werbung hilft niemandem, der wissen will, worauf er sich einlässt.

Die Regel über allen anderen

Dasselbe rein, dasselbe raus. Byte für Byte.

Aus denselben Eingaben entsteht dasselbe PDF, mit derselben SHA-256. Das ist kein Schönheitsmerkmal, das ist der ganze Nachweis: Ein Archivdokument, das sich vom ausgelieferten unterscheidet, belegt nichts.

Praktisch heißt das: keine Zeitstempel, keine Zufallswerte, keine wechselnden Reihenfolgen im Erzeugungspfad. Ein Fund, der das bricht, gilt bei uns immer als kritisch — auch wenn er sonst harmlos aussieht.

Umgesetzt

Was schon verteidigt wird.

Alles hier steht im Code, nicht in einem Plan.

Kunden bleiben getrennt Pflichtparameter in jeder lesenden Abfrage. Wer ihn vergisst, bekommt einen Typfehler, keine fremden Daten.

Tokens nur als SHA-256 Anmeldelinks, Sitzungen, Schlüssel, Download-Links. Wer die Datenbank liest, hält nichts Gültiges in der Hand.

Anmeldung ohne Passwort Ein Link, der kurz gilt und genau einmal. Der Deckel dagegen zählt in der Datenbank, nicht im Arbeitsspeicher.

Gleiches Zeitverhalten Bekannte und unbekannte Adresse brauchen gleich lang — sonst verrät die Antwortzeit, wer Zugang hat.

Keine fremden Server Kein CDN, kein Analysedienst, keine Schrift von außen. Auch nicht auf der Seite, die du gerade liest.

Geprüfte Uploads Ein hochgeladenes SVG wird auf Skripte und Nachladeziele geprüft und zusätzlich streng ausgeliefert. Zwei Schlösser.

Abwehr beim Einlesen fremder Seiten DNS wird geprüft, Weiterleitungen von Hand verfolgt, interne Adressbereiche gesperrt.

Linter und Kontrast in der Prüfkette Beide scheitern auf Befunden. Ein Prüfschritt, der immer durchgeht, ist keiner.

Offen

Was noch nicht erledigt ist.

Lieber hier als in einem Bericht von außen. Dieselben Punkte stehen in SECURITY.md im Quelltext.

Kein Row Level Security Die Trennung hängt am Pflichtparameter. Das hält, solange jede Abfrage ihn nimmt — RLS hielte auch dann, wenn jemand ihn vergisst.

Datenschutzerklärung ungeprüft Juristisch noch nicht abgenommen. Das Impressum trägt bis zum Start Platzhalter.

Kein Zertifikat Kein SOC 2, kein ISO 27001. Wir schreiben auch kein Siegel auf die Seite, das es nicht gibt.

Preise unbestätigt Die Beträge auf der Preisseite sind Platzhalter und tragen noch keine Umsatzsteuer-Angabe.

Grenzen

Was setsign nicht ist

Ist das eine qualifizierte elektronische Signatur?

Nein. setsign erzeugt ein unterschriebenes Dokument mit Prüfsumme und Protokoll — keine qualifizierte Signatur nach eIDAS. Wo eine solche verlangt wird, ist setsign das falsche Werkzeug.

Geht mein Dokument an ein fremdes KI-Modell?

Nein. Die Zerlegung läuft bei uns und schreibt nichts um. Wenn du den MCP-Weg benutzt, läuft dein Modell auf deiner Seite — was es sieht, entscheidest du.

Was passiert mit IP-Adressen?

Die Adresse der unterschreibenden Person steht auf der Beweisseite des Dokuments. Deshalb wird sie aus dem letzten Eintrag der Weiterleitungskette gelesen, nicht aus dem ersten — den schickt der Aufrufer selbst.

Wie melde ich eine Lücke?

Per Mail mit „Sicherheit" in der Betreffzeile, bitte kein öffentliches Issue. Antwort innerhalb von drei Werktagen.

Sieh dir an, was am Ende dabei herauskommt.

Das Beispiel-Formular erzeugt ein echtes PDF, mit Beweisseite und Prüfsumme.