Systeme

26 Systeme · 356 Prüfpunkte

Stand 20.01.2026
UmgebungAntworten des Kunden zu seiner Umgebung · 14 AntwortenGesprächAussagen des Kunden zu den Anforderungen · 81 Aussagen

Internet

Cloud

DMZ

Perimeter

Firewall

Fernzugriff

Internes Netz

Netzwerk

Server

Arbeitsplätze

Produktion / OT

Backup

metabde

Web-Anwendung

5 nicht erfüllt6 teilweise6 erfüllt
  • HTTP-Security-Header gesetzt (HSTS/CSP/X-Frame/X-Content-Type) – KEINE Security-Header vorhanden (kein HSTS, CSP, X-Frame-Options, X-Content-Type-Options, Referrer-Policy)
  • Fehlerseiten (customErrors) ohne Stack-Trace für Benutzer – Eingeloggt (14.10.2025): /m5/zeiterfassung wirft ungefangene ArgumentOutOfRangeException und zeigt die ASP.NET-Fehlerseite mit vollständigem Stack-Trace und Quellpfad (D:\Daten\MetaBDE-Repo\…)
  • Passwörter in Eingabemasken nicht im Klartext – /M5/nw/editVSwitch.aspx rendert das Gerätepasswort-Feld (tbPasswort, Label 'Passwort') als type=text statt type=password — gespeicherte Gerätepasswörter werden im Browser im Klartext angezeigt
  • Administrative SQL-Konsole gegen unberechtigten Zugriff geschützt – /admin/SQLTool.aspx: freies SQL-Eingabefeld gegen die MetaBDE-DB (nicht ausgeführt), erreichbar für Testuser mit nur Basisrollen. Laut SiteMapLogin ist die Seite der Breitenrolle 'mitarbeiter' (118 Benutzer) zugeordnet
  • Autorisierung erzwingt Rollentrennung (kein Forced Browsing) – Eingeloggt mit Testuser 'holisec' (nur Basisrollen News+MetaBDE, KEINE Admin-Rolle), 14.10.2025: SiteMapLogin ordnet Seiten Rollen zu, steuert aber nur die Menüsichtbarkeit — die .aspx-Seiten prüfen serverseitig nicht; /admin/Users, /m5/erloese und /M5/nw/editVSwitch per Direktlink erreichbar
  • + 6 weitere im Report

Betroffen: APP-01 · APP-02 · APP-04 · APP-06 · APP-07 · IAM-03 · IAM-08