Sicherheit

Aktivierte Kontrollen

• EU-gehostete Datenbank und Foto-Storage.
• HTTPS überall; Verschlüsselung in Transit.
• Event-bezogene Datenbankzugriffe werden per Row-Level-Security und serverseitigen Berechtigungsprüfungen getrennt. Foto-Objekte werden aktuell noch über öffentliche, nicht in der Galerie aufgelistete Storage-URLs ausgeliefert; die Umstellung auf einen privaten Bucket mit kurzlebig signierten URLs ist der nächste Privacy-Hardening-Schritt.
• Strikte serverseitige Eigentums- und Event-Prüfungen für Host-Aktionen.
• Gast-Foto-Uploads werden in einer gemeinsamen Sanitizing-Pipeline vereinheitlicht: unterstützte Bildtypen, Magic-Byte-Prüfung, Größenlimit und Re-Encoding vor Storage.
• Beim Re-Encoding werden eingebettete EXIF-/GPS-Metadaten entfernt.
• Größenlimits (20 MB Foto, 6 MB Voice-Note) werden zusätzlich serverseitig begrenzt.
• Re-Authentifizierung für sensitive Aktionen (Account- und Privacy-Löschung).
• Pseudonymisierte Fehler-Logs ohne volle IP-Adressen.
• Service-Role-Keys ausschließlich serverseitig in Edge-Funktionen.

Verifikation & Hardening

Sicherheitskritische Regeln werden schrittweise durch automatisierte Cross-Event-, Upload- und Release-Tests abgesichert. Bis diese Release-Gates vollständig aktiv sind, veröffentlichen wir hier keine darüber hinausgehenden Zertifizierungs- oder Testversprechen.

Schwachstellen melden

Sicherheitsmeldungen über /data-request mit Auswahl „Sonstiges". Bitte keine Details öffentlich teilen, bis wir gepatcht haben.

Die Liste beschreibt aktive App-Funktionen und laufendes Hardening. Eine externe Zertifizierung (z. B. SOC 2, ISO 27001) besteht derzeit nicht.