← Startseite

Stand 15.10.2026

Sicher­heit und Daten­schutz

Keine Tracking-Dienste, auf den Seiten keine Cookies und nichts von Dritten, verschlüsselte Verbindung, Fernwartung nur mit Schlüssel, automatisch durchgesetzte Löschfristen. Offen sind unter anderem ein zweiter Faktor bei der Anmeldung und eine unabhängige Prüfung.

Die Angaben stammen aus Messungen am laufenden System (das Datum steht je Zeile) oder aus dem Programmcode der Anmeldedienste, der auf dem Server identisch läuft. Wo etwas stattdessen aus der Datenschutzerklärung stammt, steht das dabei. Die Seite beschreibt Maßnahmen, keine Rechtsbewertung.

Gemessen am laufenden System

Verbindung
Verschlüsselt mit TLS 1.2 und 1.3; TLS 1.0 und 1.1 lehnt der Server ab. Anfragen über HTTP werden auf HTTPS umgeleitet. HSTS ist für zwei Jahre gesetzt, einschließlich Subdomains. Das Zertifikat stammt von Let’s Encrypt und wird automatisch erneuert. Ein DNS-Eintrag (CAA) erlaubt nur Let’s Encrypt, Zertifikate für die Domain auszustellen.gemessen am 14.10.2026
Browserschutz
Der Server sendet Strict-Transport-Security, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, Permissions-Policy, Cross-Origin-Opener-Policy, Cross-Origin-Resource-Policy und eine Content-Security-Policy. Zu Letzterer gibt es eine Einschränkung unter „Was offen ist“.gemessen am 15.10.2026
Angriffsfläche
Von 31 geprüften Ports sind von außen erreichbar: 22, 80, 443 (Fernwartung, Umleitung auf HTTPS, HTTPS). Die Firewall ist aktiv. Die Version des Webservers erscheint weder in den Kopfzeilen noch auf Fehlerseiten.gemessen am 14.10.2026
Fernwartung
Anmeldung nur mit Schlüssel; die Anmeldung per Passwort ist abgeschaltet. fail2ban sperrt wiederholte Fehlversuche in fünf Bereichen: Fernwartung, Anmeldung des Webservers, beide Formular-Logins und Anfragefluten, an denen die Ratenbegrenzung des Webservers anschlägt. Wer wiederholt auffällt, wird jedes Mal länger gesperrt, bis zu einer Woche.gemessen am 15.10.2026
Updates
Sicherheitsupdates werden automatisch eingespielt. Zum Messzeitpunkt standen keine aus.gemessen am 14.10.2026
Löschfristen
Ein täglicher Lauf um 04:10 Uhr UTC löscht, was seine Frist überschritten hat. Die Fristen stehen in der Datenschutzerklärung, Punkt 10.gemessen am 14.10.2026 (Zeitplan und Protokoll)
Cookies
Die Seiten setzen keine Cookies und laden beim Aufruf nichts von Dritten. Geprüft: Startseite, englische Fassung, Impressum, Datenschutzerklärung, Salon, die Übersichtsseiten der Hitzekarten und eine öffentliche Stadtkarte. Ein Cookie gibt es nur nach einer Anmeldung in den geschützten Bereichen.gemessen am 14.10.2026
Überwachung
Eine stündliche Prüfung kontrolliert, dass jeder geschützte Bereich ein Passwort verlangt. Eine tägliche Außenprüfung misst Schutzkopfzeilen, die Verschlüsselung (TLS 1.2 und 1.3 müssen funktionieren), die Preisgabe von Serverdaten und die Laufzeit des Zertifikats. Diese Seite wird ebenfalls geprüft: Die markierten Zahlen werden täglich gegen eine frische Messung verglichen und schlagen an, wenn sie abweichen oder das Standdatum zu alt wird.Zeitpläne und Prüfumfang gemessen am 14.10.2026

Anmeldung in den geschützten Bereichen

Je nach Bereich kommt ein Formular-Login (Kundenanmeldung der Hitzekarten, Mandantenbereich) oder die HTTP-Basisauthentifizierung des Webservers zum Einsatz.

Formular-Login
Das Sitzungs-Cookie trägt das Präfix __Host- und die Attribute Secure, HttpOnly und SameSite=Strict und enthält nur eine zufällige Kennung. Passwörter werden als bcrypt-Wert (Kostenfaktor 12) gespeichert; wer sein Passwort selbst festlegt, dessen Passwort kennt der Betreiber nicht. Einladungslinks gelten 72 Stunden, höchstens 14 Tage, sind einmal verwendbar und werden nur als Prüfwert gespeichert.Programmcode, auf dem Server identisch
Sitzung
Das Cookie endet mit dem Schließen des Browsers. Nach Inaktivität läuft die Sitzung ab. Sitzungen liegen nur im Arbeitsspeicher: Ein Neustart des Dienstes meldet alle ab.Programmcode, auf dem Server identisch
Gegen Durchprobieren
Fehlversuche werden je Adresse und je Konto gezählt und führen zu einer zeitweisen Sperre. Jede Prüfung dauert gleich lang, die Antwortzeit verrät also nicht, ob es ein Konto gibt.Programmcode, auf dem Server identisch
Ablauf von Konten
Kundenkonten können ein Ablaufdatum tragen; unbefristet ist eine bewusste Einzelentscheidung.Programmcode, auf dem Server identisch
Basisauthentifizierung
Auch bei der Basisauthentifizierung werden Passwörter nur als bcrypt-Wert gespeichert.gemessen am 14.10.2026

Wer sonst Daten sieht

Hosting
Hetzner Online GmbH, Server in Deutschland. Mit Hetzner besteht ein Vertrag zur Auftragsverarbeitung nach Art. 28 DSGVO.Datenschutzerklärung, Punkt 2
Kartendienste
Die Kartendaten liegen auf dem eigenen Server. Verbindungen zu Dritten entstehen erst, wenn jemand die Adresssuche benutzt (Nominatim der OpenStreetMap Foundation) oder eine Luftbild-Ebene einschaltet; dann sieht die jeweilige Stelle die IP-Adresse. Die Sicherheitsrichtlinie der Website lässt dafür zehn Geodienste zu: geoservices.bayern.de, gdi.berlin.de, www.wms.nrw.de, owsproxy.lgl-bw.de, www.gds-srv.hessen.de, geo4.service24.rlp.de, isk.geobasis-bb.de, opendata.lgln.niedersachsen.de, wms.geo.admin.ch (Schweiz) und gis.tirol.gv.at (Tirol).Sicherheitsrichtlinie gemessen am 14.10.2026; Verhalten laut Datenschutzerklärung, Punkt 6
E-Mail
Der Mail-Eingang für kontakt@julianzuber.de läuft laut DNS-Einträgen über den Weiterleitungsdienst ImprovMX (ImprovMX Incorporated, USA). Nach Angaben des Anbieters werden eingehende Nachrichten nur vorübergehend in Frankreich gespeichert und nach der Zustellung gelöscht; die Auslieferung läuft über Infrastruktur in Frankreich und in den USA.MX-Einträge gemessen am 14.10.2026; Angaben des Anbieters; Datenschutzerklärung, Punkt 8

Was offen ist

Zweiter Faktor
Weder das Formular-Login noch die Basisauthentifizierung kennt einen zweiten Faktor.Programmcode und Messung
Inhaltsrichtlinie
Auf den Anmeldeseiten (Kundenlogin und Mandantenbereich) laufen Inline-Skripte seit dem 15.10.2026 nur noch mit einer Nonce, die bei jedem Abruf neu entsteht; ein eingeschleustes Skript blockiert der Browser. Für die übrigen Seiten und für Formatvorlagen erlaubt die Content-Security-Policy weiter 'unsafe-inline'. Das Risiko dort ist begrenzt, weil diese Seiten statisch aus einem versionierten Bestand erzeugt werden; die Härtung mit Hashes steht aus.Programmcode und Messung am 15.10.2026; Selbsttest vom 13.09.2026
Unabhängige Prüfung
Bisher gibt es nur einen Selbsttest vom 13. September 2026, durchgeführt mit Kenntnis des Aufbaus, kein Blindtest und keine Prüfung durch Dritte. Ein beauftragter Penetrationstest wäre der nächste Schritt.Bericht vom 13.09.2026
Domain
Die Domain ist nicht mit DNSSEC signiert. Der DMARC-Eintrag steht auf Beobachtung (p=none), nicht auf Ablehnung.gemessen am 14.10.2026
Weitere Einzelheiten
Weitere offene Punkte und die technischen und organisatorischen Maßnahmen im Einzelnen nenne ich Datenschutzbeauftragten auf Anfrage an kontakt@julianzuber.de.nicht öffentlich

Selbst nachprüfen

Drei Dinge lassen sich ohne jeden Zugang prüfen:

Fragen und Meldungen

Fragen von Datenschutzbeauftragten und Hinweise auf Schwachstellen bitte an kontakt@julianzuber.de. Wie Hinweise willkommen sind, steht in der security.txt. Rechtliche Texte: Impressum und Datenschutzerklärung.