MetaBDE absichern
hochVerantwortlich IT-Leitung (Daniel Steiner)Fällig —Angelegt 20.10.2026
Stand 20.01.2026geplant
customErrors an, Security-Header (HSTS, CSP, X-Frame-Options), Passwortfelder maskieren, Antiforgery-Cookie Secure; Pentest nach Umsetzung.
Anforderung
Webanwendungen abgesichert- IST
- MetaBDE (Eigenentwicklung, Legacy Web Forms): keine Security-Header, Stack-Traces für Benutzer, Passwortfeld als Klartext, fehlende Rollenprüfung (siehe IAM-08); Transport, Session-Cookie und CSRF-Schutz in Ordnung.
- Empfehlung
- Sicherheitsfixes und Modernisierung der Anwendung.
Konkret zu ändern
Web-Anwendung metabdeWeb-Audit
- Fehlerseiten (customErrors) ohne Stack-Trace für Benutzer– ist: Eingeloggt (14.10.2025): /m5/zeiterfassung wirft ungefangene ArgumentOutOfRangeException und zeigt die ASP.NET-Fehlerseite mit vollständigem Stack-Trace und Quellpfad (D:\Daten\MetaBDE-Repo\…)· soll: customErrors=On/RemoteOnly, generische Fehlerseite, Details nur im Server-Log; Eingabe-/Zustandsfehler abfangen
- Passwörter in Eingabemasken nicht im Klartext– ist: /M5/nw/editVSwitch.aspx rendert das Gerätepasswort-Feld (tbPasswort, Label 'Passwort') als type=text statt type=password — gespeicherte Gerätepasswörter werden im Browser im Klartext angezeigt· soll: Passwortfelder als type=password; Anzeige nur auf explizite Aktion + Protokollierung
Nachweise
Noch kein Nachweis – z. B. Protokoll, Screenshot oder Abnahme der Umsetzung.
Kommentare
Noch keine Kommentare.