Sicherheit (Status)
Demo: Administration nur zur Ansicht – Speichern ist serverseitig gesperrt.
Technische und organisatorische Maßnahmen (TOM) auf einen Blick – ohne Schlüssel oder Passwörter. Einstellungen unter Benutzer & Rechte › Sicherheit.
7aktiv
5optional / aus
| ✓ | Passwort-Richtlinie | Mindestens 12 Zeichen · Komplexität oder Passphrase · Leak-Liste (8181 Einträge) · Verlauf 5 |
| ✓ | Zwei-Faktor-Anmeldung (TOTP) | 0 von 1 Benutzern aktiv · keine Pflicht (Standard) |
| ✓ | Passwort vergessen (E-Mail) | Demo: Ablauf sichtbar, E-Mail nur im Protokoll |
| ✓ | Login-Sperre | nach 5 Fehlversuchen, steigende Wartezeit bis 900 s, je Konto und IP |
| ○ | HTTPS-Weiterleitung | aus (Standard) – einschalten, wenn die Installation dauerhaft per HTTPS erreichbar ist |
| ○ | HSTS | aus (Standard) |
| ○ | Basis-Adresse für Links | nicht gesetzt – „Passwort vergessen“ verschickt keine Links |
| ✓ | Abmelden nach Inaktivität | nach 480 Minuten |
| ✓ | Sicherheits-Header & Cookies | nosniff · Referrer-Policy · CSP · Cookies HttpOnly, SameSite, Secure bei HTTPS · Verbindung: HTTPS |
| ○ | Verschlüsselung ruhender Daten | aus (Standard) · noch kein Schlüssel |
| ✓ | Immer verschlüsselt | Zugangsschlüssel der Kopplungen · Geheimnisse der Zwei-Faktor-Anmeldung · SMTP-Passwort |
| ○ | E-Mail-Versand | nur protokollieren (Testphase) |
Was Sie tun sollten
- Vor dem Einschalten der Verschlüsselung: Sicherung prüfen, danach die Schlüsseldatei getrennt und geschützt aufbewahren (Passwort-Manager, Offline-Speicher).
- Für „Passwort vergessen“ den E-Mail-Versand einrichten und bei allen Personen eine E-Mail-Adresse pflegen.
- Zwei-Faktor-Anmeldung mindestens für Admins vorschreiben, wenn alle eine Authenticator-App haben.
- HTTPS-Weiterleitung und HSTS erst einschalten, wenn die Installation dauerhaft per HTTPS läuft.