Sicherheit, verständlich erklärt.

Zugriff richtet sich nach dem Zweck

• Redaktionsseiten und gespeicherte Entwurfsvorschauen erfordern ein authentifiziertes Konto mit Redaktions- oder Administrationsrolle.
• Zeilenbezogene Supabase-Regeln trennen veröffentlichte Beiträge von privaten Entwürfen und beschränken Beitrags- und Bildverwaltung auf berechtigte Redaktionskonten.
• Kontakt- und Terminanfragen können von öffentlichen oder redaktionellen Browserkonten nicht direkt gelesen werden. Die Verarbeitung erfolgt über vertrauenswürdige Servervorgänge und die Datenbankadministration des Unternehmens.
• Der privilegierte Datenbankschlüssel verbleibt in der Serverumgebung und wird nicht in öffentlichen Browservariablen hinterlegt.

Formulare und hochgeladene Inhalte

Der Server prüft Anfragefelder, Nachrichtengröße und die Bestätigung der Datenschutzhinweise. Die Web-API weist Browseranfragen fremder Herkunft zurück und verlangt JSON für Formularübermittlungen. Ein Honeypot und eine einfache prozesslokale Anfragebegrenzung bieten zusätzlichen Missbrauchsschutz.

Beitragsinhalte werden als Text und nicht als ausführbares HTML ausgegeben. Bild-Uploads sind nach Typ, Größe und Redaktionsberechtigung begrenzt. Blogmedien sind öffentlich und sollten keine vertraulichen Inhalte enthalten.

Browserschutz

Antwortheader reduzieren MIME-Sniffing, Framing und die Weitergabe von Referrer-Informationen. Die Content Security Policy beschränkt eingebettete Objekte, Änderungen der Basis-URL und Formularziele. Die Permissions Policy deaktiviert Kamera, Mikrofon, Standort, Zahlung und USB-Zugriff für diese Website.

Die lokale Entwicklungswebsite nutzt HTTP über Loopback. Eine öffentliche Bereitstellung muss HTTPS über die Hostingplattform anbieten. HSTS wird in der Anwendung aktiviert, wenn die kanonische öffentliche Adresse HTTPS verwendet.

Normales Surfen ohne unnötige externe Aufrufe

Schriftarten werden mit der Website bereitgestellt, sodass der Browser keine Anfrage an Google Fonts senden muss. Karten öffnen sich nur über einen Link. Ein optionaler Buchungskalender eines Drittanbieters lädt erst nach Auswahl durch den Besucher.

Kontakt- und Terminformulare senden Anfragen nicht an ein KI-Modell und veröffentlichen sie nicht als Websiteinhalt.

Umfang und Verantwortung für die Bereitstellung

Diese Seite beschreibt Schutzmaßnahmen im Quellcode und in der lokalen Einrichtung. Sie ist kein Penetrationstestbericht, keine Sicherheitszertifizierung und keine Garantie vollständiger DSGVO-Konformität.

Produktionshosting, Datenbankregion, Auftragsverarbeitung, Backups, Aufbewahrung, Überwachung und Betriebszugriffe müssen für die tatsächliche Bereitstellung eingerichtet und geprüft werden. Die prozesslokale Anfragebegrenzung ist eine Grundmaßnahme und ersetzt keinen produktiven Verkehrsschutz.

Informationen zur Verarbeitung personenbezogener Daten und zu Ihren Rechten finden Sie in der Datenschutzerklärung. Für jedes eigenständige Berrinex-Produkt gelten eigene Betriebs- und Datenschutzbedingungen.

Sicherheitsproblem melden

E-Mail office@berrinex.com mit „Website-Sicherheitsmeldung“ im Betreff. Nennen Sie die betroffene URL, eine kurze Beschreibung und Schritte oder Nachweise zum Verständnis des Problems.

Übermitteln Sie keine Passwörter, gültigen Zugriffstoken, Kundendaten oder unnötigen personenbezogenen Daten. Greifen Sie bei der Untersuchung nicht auf fremde Informationen zu und stören Sie den Dienst nicht.