Webanwendungen abgesichert
Infrastruktur & Endgeräte
Stand 20.01.2026nicht erfüllthoch
Bewertung durch HoliSec (alle Quellen) · Lauf vom 20.01.2026 · Verantwortlich: IT-Leitung (Daniel Steiner)
IST-Zustand
MetaBDE (Eigenentwicklung, Legacy Web Forms): keine Security-Header, Stack-Traces für Benutzer, Passwortfeld als Klartext, fehlende Rollenprüfung (siehe IAM-08); Transport, Session-Cookie und CSRF-Schutz in Ordnung.
Soll-Zustand
Webanwendungen abgesichert
Empfehlung
Sicherheitsfixes und Modernisierung der Anwendung.
Aussage aus dem Gespräch
- MetaBDE ist eine Eigenentwicklung (ASP.NET) des ehemaligen Entwicklers; nie auf Sicherheit geprüft. Dazu ein Lieferantenportal beim ERP-Hersteller.
Aussagen belegen den Ist-Zustand; die Bewertung erfolgt aus der Erhebung.
Evidenz
Dokumente
Noch keine Dokumente zu dieser Anforderung – z. B. Richtlinie, Netzplan, Vertrag oder Foto als Nachweis.
Technische Prüfpunkte
Web-Anwendung metabdeWeb-Audit
| Status | Prüfpunkt | Ist-Zustand | Soll |
|---|---|---|---|
| nicht erfüllt | Fehlerseiten (customErrors) ohne Stack-Trace für Benutzer | Eingeloggt (14.10.2025): /m5/zeiterfassung wirft ungefangene ArgumentOutOfRangeException und zeigt die ASP.NET-Fehlerseite mit vollständigem Stack-Trace und Quellpfad (D:\Daten\MetaBDE-Repo\…) | customErrors=On/RemoteOnly, generische Fehlerseite, Details nur im Server-Log; Eingabe-/Zustandsfehler abfangen |
| nicht erfüllt | Passwörter in Eingabemasken nicht im Klartext | /M5/nw/editVSwitch.aspx rendert das Gerätepasswort-Feld (tbPasswort, Label 'Passwort') als type=text statt type=password — gespeicherte Gerätepasswörter werden im Browser im Klartext angezeigt | Passwortfelder als type=password; Anzeige nur auf explizite Aktion + Protokollierung |
Maßnahmen
- MetaBDE absicherngeplant
- MetaBDE-Zukunft entscheidengeplant
Verlauf
- Lauf vom 20.1.2026: nicht erfüllt20.10.2026, 07:15
- Lauf vom 16.12.2025: nicht erfüllt20.10.2026, 07:15
- Lauf vom 18.11.2025: nicht erfüllt20.10.2026, 07:15
- Lauf vom 14.10.2025: nicht erfüllt20.10.2026, 07:15
- Maßnahme angelegt: MetaBDE absichern20.10.2026, 07:15
- Maßnahme angelegt: MetaBDE-Zukunft entscheiden20.10.2026, 07:15
Kommentare
Noch keine Kommentare.