Zum Hauptinhalt springen

Schutzmechanismen

Bereich: Plattform · Status: aktiv Verfügbar für: automatisch

In einem Satz​

Cofys schützt sich gegen Passwort-Raten, Bots und eingeschleusten Code mit IP-Sperre, Captcha, Rechteprüfung und Sicherheitsrichtlinie.

Wofür brauche ich das?​

  • Teilnehmerdaten und Zahlungen bleiben geschützt.

Wo finde ich es?​

Keine Oberfläche.

So funktioniert es​

  • Brute-Force-Schutz: Mehr als 2 Fehlversuche je IP in 5 Minuten → Captcha beim Login.
  • Captcha bei Registrierung, Passwort vergessen, anonymem Widerruf – über Altcha, eine datenschutzfreundliche europäische Alternative zu Google reCAPTCHA (Rechenaufgabe im Browser, kein Tracking).
  • CSRF-Schutz für Formulare, Rechteprüfung im Server, Zwei-Faktor für sensible Daten.
  • Content Security Policy: blockiert fremde und eingebettete Skripte im Live-Betrieb.
  • AbuseIPDB: meldet IPs, die nicht vorhandene Pfade mit typischen Scanner-Mustern abrufen (z. B. .env, wp-, .git); sie erhalten nach 5 Sekunden „Access blocked“ (429). Pfade, zu denen es eine Route gibt, werden nie gemeldet (Cofys-Profil bei AbuseIPDB).
  • Nicht fortlaufende IDs: Inhalte werden über zufällige NanoIDs adressiert statt über fortlaufende Nummern. So lassen sich keine Rückschlüsse auf Geschäftszahlen ziehen (Anzahl Benutzer, Events) und keine IDs erraten (Hintergrund, Verfahren). Einige ältere Inhalte (z. B. Foren, Beiträge) nutzen noch numerische IDs.
  • Sicherheits-Header: Content-Security-Policy, Permissions-Policy, Referrer-Policy, Strict-Transport-Security (2 Jahre, inkl. Subdomains, Preload), X-Content-Type-Options, X-Frame-Options.

Externe Sicherheitsprüfungen​

DatumPrüfungErgebnisBericht
25.10.2026Snyk API & Web (ehemals Probely), Full-Scan, 34 Minuten0 kritisch, 0 hoch, 0 mittel, 1 niedrig (akzeptiert)PDF
25.10.2026Mozilla HTTP ObservatoryA+ (110/100, 11 von 12 Tests)PDF
25.10.2026Security HeadersA+PDF
19.01.2022Crashtest Security2 mittel, 1 niedrig, 3 informativPDF
19.01.2022Mozilla ObservatoryA+PDF
19.01.2022Security HeadersAPDF

Der Snyk-Scan prüfte u. a. SQL-, Befehls-, Template- und PHP-Code-Injection, XSS, CSRF, SSRF, Path Traversal, unsichere Deserialisierung, TLS, JWT und bekannte Schwachstellen in JavaScript-Bibliotheken. Der Bericht ordnet die Prüfungen den technischen Controls aus ISO 27001 Annex A zu; er ist kein ISO-27001-Zertifikat.

Kommentare zu den Befunden

  • 'unsafe-inline' in style-src (Snyk 2026, ähnlich Crashtest 2022): Inline-Styles sind nötig, damit Nutzer Texte im Forum formatieren können. script-src erlaubt weder 'unsafe-inline' noch 'unsafe-eval'; eingeschleustes JavaScript wird nicht ausgeführt. Nutzerinhalte werden zusätzlich serverseitig gefiltert.
  • Subresource Integrity nicht umgesetzt (Mozilla 2026): inzwischen umgesetzt. Skripte und Stylesheets vom eigenen CDN werden mit integrity-Hash eingebunden; der Browser verweigert veränderte Dateien. Zusätzlich sind erlaubte Quellen per CSP auf eine Whitelist beschränkt.
  • CSP erlaubt externe URLs (Crashtest 2022): nötig für das eigene CDN; Whitelist-Prinzip.

Hosting und Betrieb​

  • Server mit Standort in Deutschland; Strom, Netzanbindung und Klimatisierung redundant; physischer Zugang nur für autorisierte Personen.
  • Automatisiertes Monitoring erkennt Abstürze und Fehler .
  • Server zusätzlich gegen automatisierte Angriffe abgesichert; Software erkennt Angriffe auf die Weboberfläche.
  • Backups nach dem 3-2-1-Prinzip (siehe Datensicherung).

Einstellungen und Optionen​

Keine im Panel.

Was passiert automatisch?​

Siehe oben.

Hängt zusammen mit​