docs(security): erster echter Lauf der Pruefung, Fehlalarm auf Ausnahmeliste

Lauf 519 gruen, 63 s, Zahlen wie lokal. gitleaks meldete eine
Planungsnotiz, die die Beschriftung Benutzer/Passwort zitiert; die
Ausnahme gilt jetzt auch fuer diese eine Datei und Zeile.

Co-Authored-By: Claude Opus 5.5 (1M context) <noreply@anthropic.com>

.gitleaks.toml

@@ -34,10 +34,13 @@ paths = [
 ]
 
 [[allowlists]]
-description = "Beschriftung der Anmeldemethode in der deutschen Oberflaechen-Textdatei (Zeile 'authMethodPassword': 'Benutzer/Passwort'): nur diese eine gepruefte Zeile."
+description = "Beschriftung der Anmeldemethode in der deutschen Oberflaechen-Textdatei (Zeile 'authMethodPassword': 'Benutzer/Passwort'): nur diese eine gepruefte Zeile, dazu die Zusammenfassung des Sicherheitsauftrags, die genau diese Zeile zitiert (erster CI-Lauf 519, 09.10.2026)."
 condition = "AND"
 targetRules = ["generic-api-key"]
-paths = ['''^apps/web/src/messages/de\.json$''']
+paths = [
+  '''^apps/web/src/messages/de\.json$''',
+  '''^\.planning/quick/261009-p0m-sicherheitsprotokoll-und-ci-sicherheitsp/261009-p0m-SUMMARY\.md$''',
+]
 regexTarget = "line"
 regexes = ['''"authMethodPassword"\s*:\s*"Benutzer/Passwort"''']
 

docs/sicherheitsprotokoll.md

@@ -15,7 +15,7 @@ Das Protokoll enthält bewusst keine Passwörter, keine Zugangsdaten und keine A
 - **Eigener Quelltext:** Ein einziger echter Härtungspunkt wurde gefunden (die Längenprüfung bei der Entschlüsselung gespeicherter Geheimnisse, Schweregrad niedrig); er ist am 9. Oktober 2026 behoben und durch Tests abgesichert. Alles andere sind Fehlalarme oder bewusste, dokumentierte Entscheidungen.
 - **Automatische Prüfung:** Seit dem 9. Oktober 2026 läuft nach jedem Bau der Plattform automatisch eine Sicherheitsprüfung. Sie meldet nur und hält den Bau nie an. Ihr Abschlusslauf am selben Tag, im echten Bau-Umfeld auf dem bereinigten Stand, fand keine Zugangsdaten in der gesamten Geschichte und keinen kritischen Fund in den Bausteinen im Betrieb; die Zahlen vorher und nachher stehen im Abschnitt „Stand nach der Behebung“.
 - **Prüfung von außen:** Vor jeder Freigabe wird der Testserver alpha wie ein Besucher ohne Konto angesehen, rein passiv und ohne Angriffe. Der erste Lauf am 9. Oktober 2026 (direkt gegen die Anwendung, ohne den vorgeschalteten Proxy) fand nichts Hohes, 2 mittlere und 6 niedrige Hinweise sowie 3 reine Informationen; alle betreffen fehlende Schutz-Kopfzeilen der Weboberfläche. Die Anwendung sendet diese Kopfzeilen seit dem 9. Oktober 2026 selbst (bis auf eine vollständige Inhaltsrichtlinie, die offen bleibt). Der Lauf über die öffentliche Adresse steht noch aus und zeigt, ob auch der Proxy sie durchreicht.
-- **Bisherige Prüfungen:** Neun Code-Prüfungen größerer Änderungen mit zusammen 98 Befunden; 84 davon sind behoben. Offen sind 14: 13 Hinweise der niedrigsten Stufe und eine Warnung zur Pipeline, die erst im ersten echten Lauf nach dem Hochladen bestätigt werden kann (siehe „Einordnung der Befunde“). Alle kritischen Befunde sind behoben.
+- **Bisherige Prüfungen:** Neun Code-Prüfungen größerer Änderungen mit zusammen 98 Befunden; 85 davon sind behoben. Offen sind nur noch 13 Hinweise der niedrigsten Stufe. Alle kritischen Befunde und alle Warnungen sind behoben.
 - **Was noch zu tun ist:** Die Abbilder enthalten seit dem 9. Oktober 2026 keine Entwicklungswerkzeuge und keine Paketverwaltung mehr (das Server-Abbild ist von 1,66 GB bei der ersten Prüfung auf 1,12 GB geschrumpft, seine Fundzahl von 6 kritischen und 116 hohen auf 0 kritische und 6 hohe gefallen; das Web-Abbild von 2 kritischen und 19 hohen auf 0 kritische und 3 hohe). Offen bleiben einzelne Bausteine ohne bereinigte Fassung, die Bausteine, die erst mit einer neuen Hauptversion zu beheben sind, einige Hinweise zu Bausteinen der Desktop-App, die Gesundheitsprüfung der Weboberfläche, die vollständige Inhaltsrichtlinie sowie die Außenprüfung über die öffentliche Adresse; sie werden bei neuen Fassungen der Hersteller und bei der nächsten Außenprüfung erneut angesehen. Der Stand jedes einzelnen Punkts steht in der Tabelle „Einordnung der Befunde“, eine Liste in Alltagssprache im Abschnitt „Stand nach der Behebung“.
 
 ## So lesen Sie dieses Protokoll
@@ -101,9 +101,9 @@ Neun Code-Prüfungen wurden bisher durchgeführt. Die Spalte „Nachweis“ nenn
 | 08.10.2026 | Modul Dateien (Nextcloud) | 54 Dateien | 2 kritisch, 9 Warnungen, 7 Hinweise (18). Kritisch: Die Begrenzung von Passwortversuchen ließ sich durch gleichzeitige Anfragen umgehen, und ein Benutzer mit der Freigabe „Verwalten“ konnte die Nextcloud-Adresse für alle Benutzer umlenken | Alle 18 behoben am 08.10.2026 | quick-261008-mzu |
 | 09.10.2026 | Modul Dateien, Teilen (Nextcloud-Freigaben) | 5 Änderungen | 1 kritisch, 4 Warnungen, 6 Hinweise (11). Kritisch: Pfade und Kennungen wurden beim Anzeigen verändert, wodurch Freigaben auf die falsche Datei zeigen konnten | Alle 11 behoben am 09.10.2026; dazu zwei Nachbesserungen aus der Prüfung (Anzeige der Rechte eines Ordners, Zähler gegen zu viele Freigabe-Versuche) | quick-261009-dkv |
 | 09.10.2026 | Zertifikatsmanager (Umbau, Abruf fremder Adressen, ZIP) | 62 Dateien | 3 kritisch, 7 Warnungen, 5 Hinweise (15). Kritisch: (1) eine „ZIP-Bombe“, bei der eine gefälschte Größenangabe alle Grenzen umging; (2) ein Suchmuster für Zertifikatsblöcke, das bei einer kleinen Datei die Programmschleife minutenlang blockierte; (3) PFX-Dateien mit Umlauten im Passwort ließen sich nicht richtig lesen und schreiben | Alle 15 behoben am 09.10.2026. Jeder kritische Befund hat einen Test, der gegen den alten Code rot war. Der Schutz vor Abrufen interner Adressen wurde dabei zusätzlich gehärtet (siehe unten) | quick-261009-ikt |
-| 09.10.2026 | Sicherheitsauftrag (Prüfskripte der Pipeline, Außenprüfung, Abbilder, Kopfzeilen, Entschlüsselung) | 24 Dateien | 0 kritisch, 5 Warnungen, 4 Hinweise (9). Die Warnungen betrafen: den Prisma-Baustein des Server-Abbilds, der bei einem Fehler still fehlen konnte; Semgrep, das ohne feste Prüfsumme aus dem Internet geladen wurde; die Zeitgrenzen der Prüfung, die zusammen weit über dem Zeitlimit des Jobs lagen; die Anmeldekopfzeile der Außenprüfung, die nicht auf das Ziel beschränkt war; und das Verhalten des Prüfschritts im ersten echten Pipeline-Lauf | 8 behoben am 09.10.2026 (4 Warnungen und 4 Hinweise), jeweils mit Gegenprobe. 1 Warnung offen: Ob der Prüfschritt auf dem echten Server grün bleibt und den einzigen Runner nicht aufhält, zeigt erst der erste echte Lauf | quick-261009-p0m |
+| 09.10.2026 | Sicherheitsauftrag (Prüfskripte der Pipeline, Außenprüfung, Abbilder, Kopfzeilen, Entschlüsselung) | 24 Dateien | 0 kritisch, 5 Warnungen, 4 Hinweise (9). Die Warnungen betrafen: den Prisma-Baustein des Server-Abbilds, der bei einem Fehler still fehlen konnte; Semgrep, das ohne feste Prüfsumme aus dem Internet geladen wurde; die Zeitgrenzen der Prüfung, die zusammen weit über dem Zeitlimit des Jobs lagen; die Anmeldekopfzeile der Außenprüfung, die nicht auf das Ziel beschränkt war; und das Verhalten des Prüfschritts im ersten echten Pipeline-Lauf | 8 behoben am 09.10.2026 (4 Warnungen und 4 Hinweise), jeweils mit Gegenprobe. Die letzte Warnung ist mit dem ersten echten Lauf am 09.10.2026 erledigt: Der Prüfschritt blieb grün, meldete alle Ergebnisse und brauchte 63 Sekunden | quick-261009-p0m |
 
-**Summe:** 9 Prüfungen, 98 Befunde (13 kritisch, 48 Warnungen, 37 Hinweise). Behoben sind 84, darunter alle kritischen Befunde, 47 von 48 Warnungen und 24 von 37 Hinweisen. Offen oder nicht bearbeitet sind 14: 13 Hinweise der niedrigsten Stufe und die eine Warnung zum ersten echten Pipeline-Lauf.
+**Summe:** 9 Prüfungen, 98 Befunde (13 kritisch, 48 Warnungen, 37 Hinweise). Behoben sind 85, darunter alle kritischen Befunde, alle 48 Warnungen und 24 von 37 Hinweisen. Offen oder nicht bearbeitet sind 13 Hinweise der niedrigsten Stufe.
 
 Drei Begriffe aus der Tabelle in Alltagssprache: Eine **ZIP-Bombe** ist eine kleine Datei, die sich beim Entpacken auf ein Vielfaches ihrer Größe aufbläht und den Server überlasten soll. Ein **Suchmuster** (regulärer Ausdruck) kann bei bestimmten Eingaben extrem lange rechnen; so lässt sich mit einer winzigen Datei ein Server lahmlegen. **PFX** ist ein passwortgeschütztes Dateiformat, das Zertifikat und Schlüssel zusammenfasst.
 
@@ -234,7 +234,7 @@ Die Tabelle beurteilt jeden Befund der ersten vollständigen Prüfung. Sie wird
 | Testschlüssel und Testwerte in Testdaten, Testdateien und Planungsnotizen | Zertifikatsmanager (Testdaten), drei Testdateien, eine Planungsnotiz, eine Testkomponente | Fehlalarm | bewusst akzeptiert | Die Schlüssel sind eigens zum Prüfen der Software erzeugt und schützen nichts. Der Ordner mit den Testdaten und die einzelnen Dateien stehen in den Ausnahmelisten (gitleaks, Trivy, Semgrep) |
 | Beschriftung „Benutzer/Passwort“, Tabellenzeile einer Prüfliste und Beispielaufruf an einen lokalen Wegwerf-Testserver | Sprachdatei, Planungsnotizen | Fehlalarm | bewusst akzeptiert | Keines der drei enthält ein echtes Geheimnis: ein Beschriftungstext, eine Beispielzeile und der Testzugang eines wegwerfbaren lokalen Testservers. Alle drei sind einzeln in den Ausnahmelisten eingetragen |
 | Hinweise zu Umleitung nach der Anmeldung, zusammengesetzten Suchmustern und Durchlaufen von Objekten | Weboberfläche, Server | Fehlalarm | bewusst akzeptiert | Die Umleitung nach der Anmeldung läuft durch eine Prüffunktion, die nur Pfade der eigenen Seite zulässt. Die Suchmuster werden aus festen Konstanten gebaut, nicht aus Benutzereingaben. Das Durchlaufen der Objekte liest nur |
-| Verhalten des Prüfschritts im ersten echten Pipeline-Lauf (Code-Prüfung des Sicherheitsauftrags, 9. Oktober 2026) | Pipeline | Niedrig | offen | Der Schritt ist so gebaut, dass er nie rot färbt und den Bau nicht aufhält, und wurde im selben Container-Abbild wie die Pipeline nachgestellt. Ob der echte Server die Einstellungen „Fehler ignorieren“ und „Zeitlimit“ für einen einzelnen Schritt so beachtet, und ob der einzige Runner nach einem Bau bis zu 25 Minuten belegt ist, lässt sich nur im ersten echten Lauf sehen (gemessen auf dem Entwicklungsrechner: etwa eine Minute bei warmem Zwischenspeicher). Wird der Runner zum Engpass, wandert die Prüfung in einen nächtlichen Lauf |
+| Verhalten des Prüfschritts im ersten echten Pipeline-Lauf (Code-Prüfung des Sicherheitsauftrags, 9. Oktober 2026) | Pipeline | Niedrig | behoben (09.10.2026) | Im ersten echten Lauf (Lauf 519) blieb der Schritt grün, alle Zusammenfassungszeilen standen im Protokoll, die Berichte wurden als Artefakt „sicherheitsberichte“ abgelegt, und die Prüfung brauchte 63 Sekunden von 1500 erlaubten. Der Runner wird also nur kurz belegt. Der einzige Fund (eine zitierte Oberflächenbeschriftung in einer Planungsnotiz) war ein Fehlalarm und steht jetzt auf der Ausnahmeliste |
 | Pipeline-Datei: Bausteine der Pipeline mit beweglichen Versionsnamen (14 Stellen seit dem neuen Prüfschritt) und ein Installationsaufruf per Herunterladen-und-Ausführen | Pipeline | Niedrig | offen | Die Pipeline läuft auf eigenen Servern ohne fremde Zugriffe. Bewegliche Versionsnamen könnten sich aber unbemerkt ändern; sie sollen fest eingetragen werden |
 | Einstellungen zum Absichern der Paketverwaltung (drei Werte) | Arbeitsbereich-Datei | Niedrig | offen | Diese Einstellungen stärken die Lieferkette. Ob sie in der eingesetzten Fassung 9.15 des Paketverwalters wirken, ist noch nicht geprüft |
 | Fehlende Gesundheitsprüfung im Bauplan des Server-Abbilds | Abbild `api` | Niedrig | bewusst akzeptiert | Die Gesundheitsprüfung liegt in der Compose-Datei, die den Server startet und seine Erreichbarkeit überwacht |
@@ -270,6 +270,10 @@ Die Beurteilung jeder Meldung steht in der Tabelle „Einordnung der Befunde“.
 
 ## Verlauf
 
+### 2026-10-09 — Erster echter Lauf der automatischen Prüfung
+
+Nach dem Hochladen lief die automatische Prüfung zum ersten Mal auf dem echten Server (Lauf 519). Sie blieb grün, hielt den Bau nicht auf und brauchte 63 Sekunden. Ergebnis: keine Zugangsdaten außer einem Fehlalarm, 0 kritische und 9 hohe Lücken in den Bausteinen des laufenden Betriebs, im Server-Abbild 0 kritische und 6 hohe, im Web-Abbild 0 kritische und 3 hohe – dieselben Zahlen wie im Abschlusslauf auf dem Entwicklungsrechner. Der Fehlalarm war eine Planungsnotiz, die die harmlose Oberflächenbeschriftung „Benutzer/Passwort“ zitiert; sie steht jetzt auf der geprüften Ausnahmeliste, und die Durchsicht der ganzen Geschichte meldet wieder nichts.
+
 Der neueste Eintrag steht oben.
 
 ### 2026-10-09 — Codeprüfung des Sicherheitsauftrags