| Measure | Active | Details |
|---|---|---|
| Passwort-Richtlinie | ✅ | min. 12 characters, complexity/passphrase, leak list, history 5 |
| 2FA (TOTP) | ✅ | available; required for roles: none (default) |
| Forgot password (email) | ⏸ | kein SMTP – in Admin › E-Mail konfigurieren |
| Login lockout | ✅ | nach 5 Fehlversuchen, steigende Wartezeit, je Konto + IP |
| HTTPS erzwingen | ⏸ | optional (Admin › Sicherheit) |
| HSTS | ⏸ | optional |
| Security-Header / Cookies | ✅ | HttpOnly, SameSite, Secure bei HTTPS, CSP/XFO/nosniff |
| Feste Basis-Adresse | ⏸ | nicht gesetzt (Admin › Sicherheit › Sitzung & Adresse) – Passwort-vergessen bleibt aus |
| Sitzungs-Timeout | ✅ | 480 Min. Inaktivität, Tradespeople-Dauerlogin 30 Tage |
| Ablage außerhalb Webroot | ⏸ | Daten: im Webroot (per .htaccess gesperrt) · Backups: im Webroot (gesperrt) · Schlüssel: außerhalb |
| Encryption of data at rest | ⏸ | off – key path: (outside web root)/dispo-secrets/field.key |
Standard: 2FA und HTTPS-Redirect sind nicht erzwungen – bestehende Logins (inkl. Basic Auth / Konto dispo) bleiben erreichbar. Freischalten Sie Maßnahmen bewusst.