Sicherheitsinformationen

1. Schwachstelle melden

Du hast eine Sicherheitslücke in AstroForms gefunden? Danke, dass du sie uns meldest, statt sie öffentlich zu machen. Bitte melde sie vertraulich und nicht in öffentlichen Foren, sozialen Medien oder über ein Formular eines anderen Nutzers.

Sicherheitskontakt

[email protected]

Alternativ

Kontaktformular, Kategorie „Sicherheit“ – Meldungen werden verschlüsselt übertragen und direkt auf unserem Server gespeichert.

Sprachen

Deutsch oder Englisch

Eine gute Meldung enthält:

• die betroffene Adresse oder Funktion,
• die Schritte zur Reproduktion, gern mit einem minimalen Proof of Concept,
• das erwartete und das tatsächliche Verhalten,
• die mögliche Auswirkung (welche Daten oder Aktionen betroffen wären),
• optional einen Vorschlag zur Behebung und wie wir dich für Rückfragen erreichen.

Bitte schicke keine fremden personenbezogenen Daten mit. Wenn du beim Testen versehentlich auf solche Daten gestoßen bist, nenne nur, dass und wo das möglich war.

2. Ablauf und Reaktionszeiten

AstroForms wird von einem einzelnen Entwickler betrieben. Wir nehmen jede Meldung ernst und orientieren uns an folgenden Zielen:

Wir halten dich über den Fortschritt auf dem Laufenden und sagen dir Bescheid, sobald die Lücke geschlossen ist. Bitte veröffentliche Details erst danach oder nach Absprache mit uns; spätestens 90 Tage nach deiner Meldung stimmen wir eine Veröffentlichung gemeinsam ab. Auf Wunsch nennen wir dich als Entdeckerin oder Entdecker.

AstroForms ist kostenlos und privat finanziert. Ein Bug-Bounty-Programm mit Prämien gibt es deshalb nicht.

3. Regeln für Sicherheitstests

Erlaubt

• Tests mit eigenen Konten, eigenen Organisationen, eigenen Formularen und eigenen Testantworten,
• Zugriffs- und Rechteprüfungen zwischen zwei Konten, die beide dir gehören,
• manuelle Tests und vorsichtige, gedrosselte automatisierte Prüfungen, die den Betrieb nicht beeinträchtigen.

Nicht erlaubt

• Zugriff auf Daten anderer Nutzerinnen und Nutzer oder deren Änderung oder Löschung – höre auf, sobald du einen Nachweis hast,
• Ausnutzen einer Lücke über das zum Nachweis Nötige hinaus, etwa um dauerhaften Zugang einzurichten oder weitere Systeme anzugreifen,
• Denial-of-Service, Lasttests, massenhafte Registrierungen oder Formularabsendungen und Spam,
• Social Engineering, Phishing oder sonstige Täuschung von Nutzerinnen und Nutzern oder dem Betreiber,
• Angriffe auf die physische Infrastruktur oder auf Dienste Dritter, etwa den E-Mail-Anbieter.

4. Geltungsbereich

Im Geltungsbereich ist die Webanwendung AstroForms unter dieser Domain: Website, Anmeldung und Konten, Dashboard, Formular-Builder, Organisationen, öffentliche Formulare, Antworten und Exporte sowie die an Nutzer versendeten E-Mails.

Nicht im Geltungsbereich – bzw. ohne konkreten Nachweis einer Auswirkung nicht als Schwachstelle gewertet:

• Inhalte von Formularen, die Nutzer erstellt haben. Betrügerische oder rechtswidrige Formulare (z. B. Phishing) meldest du bitte über das Kontaktformular, Kategorie „Rechtswidrigen Inhalt melden“,
• Ergebnisse automatischer Scanner ohne nachvollziehbaren Angriffsweg,
• fehlende Security-Header oder Cookie-Attribute auf Seiten ohne sensible Daten oder Aktionen,
• Clickjacking auf Seiten ohne zustandsändernde Aktionen, CSRF beim Abmelden,
• Self-XSS und Angriffe, die physischen Zugriff auf ein entsperrtes Gerät voraussetzen,
• fehlende Ratenbegrenzung ohne nachweisbare Auswirkung, Angaben zu Software-Versionen ohne konkrete Lücke,
• Einstellungen zu SPF, DKIM oder DMARC ohne nachgewiesene Möglichkeit, E-Mails in unserem Namen zuzustellen.

5. Rechtliche Zusicherung

Wenn du in gutem Glauben handelst und dich an die Regeln auf dieser Seite hältst, betrachten wir deine Sicherheitsforschung als erwünscht. Wir werden in diesem Fall keine rechtlichen Schritte gegen dich einleiten, keine Strafanzeige erstatten und auch Dritte nicht dabei unterstützen. Wenn du unsicher bist, ob ein Test noch von diesen Regeln gedeckt ist, frag uns bitte vorher.

Diese Zusicherung gilt nur für Handlungen gegenüber AstroForms und kann keine Rechte Dritter einschränken, etwa die anderer Nutzerinnen und Nutzer oder externer Dienstleister.

6. Unsere Schutzmaßnahmen

Sicherheit und Datenschutz sind bei AstroForms von Anfang an eingebaut. Die wichtigsten Maßnahmen im Überblick:

Konten und Anmeldung

• Passwörter werden nur als Hash mit einem modernen Verfahren (password_hash, automatische Aktualisierung bei Verfahrenswechsel) gespeichert und sind 10 bis 72 Bytes lang. Häufige und leicht zu erratende Passwörter sowie Passwörter mit deinem Namen oder deiner E-Mail-Adresse werden abgelehnt; der Abgleich läuft lokal auf dem Server, es werden keine Passwörter oder Hashes an Dritte gesendet. Wir können dein Passwort nicht einsehen.
• Ratenbegrenzungen für Anmeldung (pro IP-Adresse und pro Konto), Registrierung, Passwort-Reset und weitere sensible Aktionen schützen vor Brute-Force-Angriffen und Credential Stuffing.
• Einheitliche Meldungen und gleichbleibende Antwortzeiten verhindern, dass sich herausfinden lässt, welche E-Mail-Adressen registriert sind.
• Sitzungs-Cookies sind HttpOnly, Secure und SameSite; die Sitzungs-ID wird nach der Anmeldung erneuert. Unter „Konto → Aktive Sitzungen“ siehst du alle Anmeldungen und kannst sie einzeln beenden.
• Passwort-Reset- und Bestätigungslinks sind zeitlich begrenzt, nur einmal verwendbar und werden nur als Hash gespeichert. Ein Passwort-Reset beendet alle bestehenden Sitzungen.
• Kritische Aktionen – Passwort- oder E-Mail-Änderung, Datenexport, Kontolöschung – erfordern die erneute Eingabe deines Passworts.
• Zwei-Faktor-Authentifizierung und Passkeys: Unter „Konto“ richtest du eine Authenticator-App (TOTP, mit QR-Code) und/oder Passkeys (Fingerabdruck, Gesicht, Geräte-PIN oder Sicherheitsschlüssel) ein. Passkeys sind phishing-resistent und ersetzen auch das Passwort. Das TOTP-Geheimnis wird verschlüsselt gespeichert, jeder Code ist nur einmal gültig, Fehlversuche werden begrenzt, und zehn einmalige Wiederherstellungscodes (nur als Hash gespeichert) verhindern eine Aussperrung. Von Passkeys speichern wir nur den öffentlichen Schlüssel. Ein Passwort-Reset per E-Mail umgeht den zweiten Faktor nicht.
• Pflicht-2FA: Administratoren brauchen zwingend einen zweiten Faktor. Organisationen können ihn für alle Mitglieder vorschreiben; wer ihn nicht eingerichtet hat, kommt erst nach der Einrichtung wieder an die Organisation.
• Warnung bei neuem Gerät: Meldest du dich von einem Browser an, den dein Konto noch nicht kennt, erhältst du eine E-Mail mit dem Link „Das war ich nicht“, der alle Sitzungen beendet und einen Passwort-Reset anstößt. Unter „Konto → Sicherheitsprotokoll“ siehst du deine letzten sicherheitsrelevanten Ereignisse.

Daten und Zugriffsrechte

• Jeder Zugriff wird serverseitig gegen deine Rolle geprüft. Fremde Formulare, Antworten und Organisationen sind nicht auffindbar, auch nicht über geratene Adressen.
• Administratoren sehen nur Metadaten. Antwortinhalte sind für sie nicht einsehbar, und jeder Eingriff wird protokolliert.
• Schwer umkehrbare Admin-Aktionen (Konto löschen, Admin-Rolle vergeben) brauchen die Freigabe eines zweiten Administrators (Vier-Augen-Prinzip). In Organisationen lässt sich je Rolle festlegen, wer Antworten ansehen, exportieren oder löschen darf.
• Antwortinhalte verlassen den Server nicht: Benachrichtigungen per E-Mail enthalten nur einen Link.
• IP-Adressen werden nur gekürzt oder als nicht umkehrbarer Hash mit geheimem Schlüssel gespeichert. Es gibt kein Tracking und keine eingebundenen Dienste Dritter.
• Datensparsame Aufbewahrungsfristen werden automatisch durchgesetzt; Details stehen in der Datenschutzerklärung.

Anwendung

• Datenbankzugriffe erfolgen ausschließlich über Prepared Statements; alle Ausgaben werden kontextgerecht maskiert.
• Eine strikte Content-Security-Policy erlaubt nur Skripte von unserem eigenen Server. Dazu kommen Schutz vor gefälschten Anfragen (CSRF) bei jeder Änderung sowie Header gegen Einbettung in fremde Seiten, MIME-Sniffing und unnötige Referrer.
• Logo-Uploads werden anhand ihres tatsächlichen Inhalts geprüft, in Größe und Abmessungen begrenzt, neu codiert und außerhalb des öffentlichen Verzeichnisses gespeichert. SVG-Dateien werden abgelehnt.
• Hochgeladene Dateien durchlaufen eine mehrstufige Prüfung: erlaubte Endungen, tatsächlicher Inhalt statt Dateiendung, keine ausführbaren Dateien, keine Makros in Office-Dokumenten, keine aktiven Inhalte (JavaScript) in PDFs, Schutz vor ZIP-Bomben und anschließend ein Virenscan. Ist der Scanner nicht erreichbar, wird die Datei abgelehnt. Gespeichert wird außerhalb des öffentlichen Bereichs unter zufälligem Namen; Downloads erfolgen nur nach Anmeldung, als Anhang und ohne Ausführung im Browser.
• CSV-Exporte sind gegen Formel-Injection in Tabellenprogrammen abgesichert; Weiterleitungen nach dem Absenden eines Formulars sind auf gültige Web-Adressen beschränkt.
• Spam-Schutz ohne Captcha-Dienst: neben Prüffeld und Mindest-Ausfüllzeit eine kleine Rechenaufgabe im Browser (Proof-of-Work), die bei Andrang automatisch aktiv wird. Es gehen keine Daten an Dritte.
• Verstöße gegen die Content-Security-Policy melden Browser an einen eigenen Endpunkt; wir werten sie aggregiert und ohne IP-Adressen aus.
• Öffentliche Formulare sind ohne Captcha-Dienste gegen Spam geschützt: unsichtbares Prüffeld, signierte Mindest-Ausfüllzeit, Ratenbegrenzungen und Schutz vor doppeltem Absenden.

Betrieb

• Alle Verbindungen sind per TLS verschlüsselt; Browser werden per HSTS angewiesen, ausschließlich HTTPS zu verwenden.
• Fehlermeldungen enthalten keine technischen Details. Protokolle schwärzen Passwörter, Tokens und Schlüssel und enthalten keine Formularinhalte.
• AstroForms verzichtet auf externe Software-Abhängigkeiten, wird auf einem vom Betreiber selbst verwalteten Server betrieben, regelmäßig aktualisiert und gesichert.
• Rechteprüfungen, Uploads, CSRF-Schutz, Passwort-Reset und weitere sicherheitsrelevante Abläufe sind durch automatische Tests abgedeckt.

7. Bekannte Grenzen

Wir möchten offen sein, was es (noch) nicht gibt:

• Die Warnung bei neuen Geräten erkennt neue Browser, nicht neue Länder: Dafür würden wir Standortdaten auswerten, worauf wir bewusst verzichten. Passkeys und Authenticator-Apps ersetzen keinen Schutz deines Geräts. Wer ohne Gerät und ohne Wiederherstellungscodes dasteht, muss sich beim Betreiber melden; das Konto wird erst nach Prüfung der Identität zurückgesetzt.
• Ende-zu-Ende-verschlüsselte Formulare sind eine Option für besonders vertrauliche Formulare. Sie sind mit Einschränkungen verbunden: Der Server kann Eingaben nicht prüfen (Pflichtfelder gelten nur im Browser), es gibt keinen CSV-Export, keine Suche, keine Auswertung und keine Datei-Uploads, und wer die Schlüsseldatei verliert, kann die Antworten nie wieder lesen.
• Ein externer Penetrationstest wurde bisher nicht durchgeführt. Er ist vor dem öffentlichen Start vorgesehen; Umfang, Testumgebung und Regeln sind vorbereitet. Bis dahin beruht die Sicherheit auf sorgfältigem Code-Review und umfangreichen automatischen Tests (unter anderem eine Prüfung aller Routen auf Anmeldung, Rechte und CSRF-Schutz) – und auf Hinweisen wie deinem.
• AstroForms ist nicht für besonders schützenswerte Daten (z. B. Gesundheitsdaten nach Art. 9 DSGVO) oder für Zugangs- und Zahlungsdaten ausgelegt; deren Abfrage ist nach den Nutzungsbedingungen ohnehin unzulässig.

8. Sicherheitsvorfälle

Sollte es trotz aller Vorkehrungen zu einer Verletzung des Schutzes personenbezogener Daten kommen, dämmen wir den Vorfall unverzüglich ein, melden ihn – wo erforderlich – innerhalb von 72 Stunden der zuständigen Datenschutzaufsichtsbehörde (Art. 33 DSGVO) und informieren betroffene Nutzerinnen und Nutzer per E-Mail, wenn ein hohes Risiko für sie besteht (Art. 34 DSGVO). Formularersteller, deren Antworten betroffen sind, unterstützen wir bei ihren eigenen Meldepflichten.

9. Was du selbst tun kannst

• Verwende für AstroForms ein langes Passwort, das du nirgends sonst nutzt – am besten mit einem Passwort-Manager – und aktiviere unter „Konto“ die Zwei-Faktor-Authentifizierung. Bewahre die Wiederherstellungscodes getrennt vom Gerät mit der App auf.
• Prüfe gelegentlich unter „Konto → Aktive Sitzungen“, wo du angemeldet bist, und beende unbekannte Sitzungen. Nutze „Angemeldet bleiben“ nicht auf fremden Geräten.
• Schütze Formulare mit vertraulichem Zweck mit einem Zugangspasswort, frage nur ab, was du wirklich brauchst, und lösche Antworten, sobald du sie nicht mehr benötigst.
• Wir fragen dich niemals per E-Mail oder über ein Formular nach deinem Passwort. Prüfe vor der Anmeldung, dass du dich auf dieser Domain befindest.
• Wenn du vermutest, dass jemand Zugriff auf dein Konto hat: Passwort sofort ändern, alle anderen Sitzungen beenden und uns über das Kontaktformular informieren.

Stand: Oktober 2026