Protokoll der Sicherheitsprüfungen

Hier werden die von SetFN durchgeführten Sicherheitsprüfungen protokolliert, neueste zuerst. Jeder Eintrag enthält den Prüfumfang, die gefundenen Probleme und den Status der Maßnahmen. Die Statuskennzeichnungen entsprechen denen unter Prüfstatus wichtiger Schwachstellen.

Damit keine Anleitung zum Ausnutzen eines Problems entsteht, enthalten die Einträge statt Reproduktionsschritten nur die Auswirkung und die getroffene Maßnahme.

2026-10-24 KI-Gegenprüfung und Folgemaßnahmen

Die Korrekturen von Claude aus den Prüfrunden 1 bis 3 wurden von OpenAI Codex schreibgeschützt erneut geprüft. Geprüft wurde, ob der Code wie beabsichtigt korrigiert wurde, sowie die Bedienbarkeit der Oberfläche (UI/UX); jede Anmerkung wurde anhand des Codes bestätigt, nur tatsächliche Fehler wurden behoben, und Codex hat die korrigierte Version in fünf Runden wiederholt geprüft, bis kein blockierendes Problem mehr übrig war. Die in Runde 3 offen gebliebenen Punkte (Zwei-Faktor-Authentifizierung für Administratoren, längenbasierte Passwortregel, TinyMCE) wurden am selben Tag mit erledigt.

Gefundene Probleme und Maßnahmen

Bereich	Inhalt	Status
Authentifizierung	Für Administratorkonten wurde eine Zwei-Faktor-Authentifizierung per Authenticator-App (einschließlich Wiederherstellungscodes) ergänzt, und in den Sicherheitseinstellungen gibt es die Richtlinie `Zwei-Faktor für Administratoren erzwingen`, nach der alle Administratoren sie einrichten müssen. Siehe Zwei-Faktor-Authentifizierung für Administratoren einrichten.	`Behoben (Auslieferung folgt)`
Authentifizierung	Beim Einrichten oder Ausschalten der Zwei-Faktor-Authentifizierung werden die übrigen Sitzungen des Kontos beendet. Die Pflichtrichtlinie gilt auch für bereits geöffnete Echtzeitverbindungen und laufende MCP-Vorgänge, und eine Passwortänderung macht wartende Anmeldeschritte ungültig.	`Behoben (Auslieferung folgt)`
Authentifizierung	Die Standard-Passwortregel neu installierter Server wurde auf mindestens 12 Zeichen ohne Vorgaben zur Zeichenkombination geändert (NIST SP 800-63B-4). Installationsassistent und Befehlszeilenwerkzeug folgen derselben Regel; die Regeln bestehender Server ändern sich nicht.	`Behoben (Auslieferung folgt)`
Editor	Der Editor für Rundmails wurde durch Tiptap ersetzt, und der visuelle Editor für HTML-Dateien (TinyMCE) wurde entfernt. Die in TinyMCE 6 verbliebenen, nicht behobenen Schwachstellen haben damit keine Auswirkung mehr. HTML-Dateien werden ausschließlich als Quellcode bearbeitet.	`Behoben (Auslieferung folgt)`
Berechtigungen	Für Bilder, die von Präsentationen, Tabellen und der automatischen Konvertierung eingefügt werden, sowie für den Text bei der Suche nach ähnlichen Bildern und in den Belegen von KI-Antworten wird die Berechtigung des anfordernden Benutzers geprüft. Ergebnisse der Office-Vorschau erhält nur, wer sie erstellt hat.	`Behoben (Auslieferung folgt)`
Dokumentkonvertierung	Über TeX-Formeln in einem Dokument konnten Dateien außerhalb des Arbeitsordners gelesen werden. Dateien außerhalb des Arbeitsordners können nicht mehr gelesen werden.	`Behoben (Auslieferung folgt)`
Serverstabilität	Bei der Konvertierung wird die Dokumentstruktur in Teilen gelesen, und die Lesegröße passwortgeschützter Dokumente ist begrenzt. Externe Konvertierungsprogramme werden vor dem Start so gekennzeichnet, dass sie bei Speicherknappheit zuerst beendet werden.	`Behoben (Auslieferung folgt)`
Protokollierung	Die Behandlung nur teilweise erfolgreicher Entsperrungen und fehlende Einträge in der Audit-Aufzeichnung von Einstellungsänderungen wurden ergänzt.	`Behoben (Auslieferung folgt)`
Weboberfläche	Beim Verlassen mit einem nicht gesendeten Rundmail-Entwurf und beim Verlassen ohne gespeicherte Wiederherstellungscodes wird ein Bestätigungsdialog angezeigt; die Bedienbarkeit per Tastatur und Screenreader wurde verbessert.	`Behoben (Auslieferung folgt)`
Authentifizierung	Jedes Konto hat jetzt eine Anmeldedaten-Generation. Nach dem Beenden aller Sitzungen, einer Passwortänderung oder einer Änderung der Zwei-Faktor-Authentifizierung sind frühere Sitzungen sowie daraus abgeleitete Token-Erneuerungen und App-Anmeldungen nicht mehr verwendbar, auch wenn das Löschen der Sitzungen fehlschlägt.	`Behoben (Auslieferung folgt)`
Authentifizierung	Beim Beenden aller Sitzungen werden auch MCP-OAuth-Verbindungen getrennt, die über den Anmelde- und Zustimmungsbildschirm hergestellt wurden. Vom Benutzer selbst erstellte API-Schlüssel bleiben erhalten.	`Behoben (Auslieferung folgt)`
Serverstabilität	Das Sperren von Echtzeitverbindungen wird nicht mehr durch langsame Verbindungen verzögert, und die Verarbeitung passwortgeschützter Dokumente hat jetzt Grenzen für gleichzeitige Ausführungen und wartende Anfragen.	`Behoben (Auslieferung folgt)`
Authentifizierung	Kann der Server den Anmeldestatus vorübergehend nicht prüfen, wird der Benutzer nicht mehr abgemeldet, sondern der Client versucht es erneut.	`Behoben (Auslieferung folgt)`

Verbleibende Einschränkungen

Da der Browser das Passwort als Hash sendet, kann der Server die Längenregel für Passwörter nicht selbst durchsetzen. Längen- und Kombinationsregeln werden in der Oberfläche geprüft, die Sperre häufiger Passwörter auf dem Server.
Der Anwendungsstatus der Richtlinie und wartende Zwei-Faktor-Anmeldungen liegen im Serverspeicher. Nach einem Serverneustart muss eine laufende Anmeldung von vorn begonnen werden.

2026-10-23 Nachfolgeprüfung (Runde 3)

Die in der zweiten Prüfung offen gebliebenen Folgepunkte und die Empfehlungen internationaler Standarddokumente (Passwortkriterien nach NIST SP 800-63B-4, Sicherheitsprotokollierung nach OWASP Top 10:2025 A09) wurden umgesetzt. Berechtigungsprobleme wurden zuerst mit Tests bestätigt, die auf dem Code vor der Korrektur fehlschlagen, und anschließend behoben; die korrigierte Version wurde aus neu bezogenem Quellcode erneut gebaut und getestet.

Gefundene Probleme und Maßnahmen

Bereich	Inhalt	Status
Berechtigungen	Die Dokumentkonvertierung (KI-Konvertierungswerkzeug, Dokumentkonvertierung, Office-Vorschau) holte Bilder aus dem gesamten Quellordner, sodass Bilder aus Unterordnern, die der anfordernde Benutzer nicht lesen darf, in die Ergebnisdatei gelangen konnten. Jetzt werden nur Bilder aufgenommen, die der anfordernde Benutzer lesen darf.	`Behoben (Auslieferung folgt)`
Berechtigungen	Bei der Dokumentkonvertierung konnten über im Dokument angegebene Stylesheet- und Deckblattpfade Inhalte anderer Dateien auf dem Server in die Ergebnisdatei gelangen. Stylesheet-Angaben und unsichere Pfade werden vor der Konvertierung entfernt. Daher werden im Dokument angegebene CSS-Stile nicht auf das Konvertierungsergebnis angewendet.	`Behoben (Auslieferung folgt)`
Berechtigungen	Ergebnisse der Wissenssuche und die Belege von KI-Antworten zeigten Teile des Dokumenttexts bereits mit Leseberechtigung. Der Text wird jetzt nur angezeigt, wenn sowohl Lese- als auch Download-Berechtigung vorliegen; mit Leseberechtigung allein werden nur Titel und Speicherort angezeigt.	`Behoben (Auslieferung folgt)`
Berechtigungen	Favoriten, Office-Vorschau und Online-Bearbeitung sowie der Bearbeitungsverlauf prüften die Zugriffsgrenze der Systemordner im Teambereich und die aktuellen Berechtigungen nicht erneut. Sie werden jetzt bei jeder Anfrage erneut geprüft, und frühere Inhalte im Bearbeitungsverlauf erfordern eine Download-Berechtigung.	`Behoben (Auslieferung folgt)`
Berechtigungen	Aggregationen wie Summe und Durchschnitt in Website-Tabellen (Webspace) berücksichtigten Werte von Spalten mit eingeschränktem Lesezugriff, und das Recht zum Löschen von Zeilen genügte für das endgültige Löschen. Nicht lesbare Spalten werden jetzt aus Aggregationen ausgeschlossen, und endgültiges Löschen ist nur Administratoren und Bereitstellungsverantwortlichen möglich.	`Behoben (Auslieferung folgt)`
Automatisierung	Automatisierungen und Webhooks konnten auch dann ausgeführt werden, wenn eine Aktion wie das Sperren eines Dokuments abgelehnt wurde. Sie werden jetzt nur ausgeführt, wenn die Aktion erfolgreich war.	`Behoben (Auslieferung folgt)`
Einstellungen	Beim Anwenden eines Ordnereinstellungspakets konnten die Wissensnutzungseinstellungen des Ordners gelöscht werden. Bestehende Einstellungen bleiben jetzt erhalten.	`Behoben (Auslieferung folgt)`
Authentifizierung	Beim Festlegen eines neuen Passworts werden rund 20.000 häufig verwendete oder aus Datenlecks bekannte Passwörter gesperrt (NIST SP 800-63B-4). Dies gilt für die Registrierung, das Ändern und Zurücksetzen von Passwörtern, das Anlegen von Konten und das Zurücksetzen von Passwörtern durch Administratoren, das Befehlszeilenwerkzeug und den Installationsassistenten; die Anmeldung mit dem aktuellen Passwort bleibt unverändert.	`Behoben (Auslieferung folgt)`
Protokollierung	Änderungen von Administratoren an Sicherheits- und Richtlinieneinstellungen, Sperren und Entsperren, Änderungen von Benutzerberechtigungen, Anlegen und Löschen von Konten, Zurücksetzen von Passwörtern, Genehmigen und Ablehnen von Geräten sowie Änderungen an Sitzungs- und CAPTCHA-Richtlinien werden im Auditprotokoll festgehalten. Erfasst werden der ändernde Administrator, der Zeitpunkt, die Client-IP und die geänderten Punkte; Geheimnisse wie Passwörter und Schlüssel werden nicht erfasst.	`Behoben (Auslieferung folgt)`
Externe Freigabe	Die Oberfläche wurde so angepasst, dass Ersteller von Links bestehende Links auch dann einsehen und löschen können, wenn ein Administrator die externe Freigabe abschaltet. Neue Links können nicht erstellt werden.	`Behoben (Auslieferung folgt)`
Weboberfläche	Neue Ablehnungsgründe des Servers wie das KI-Anfragelimit oder das Warten auf einen komprimierten Download werden als Hinweistext in der Sprache des Benutzers angezeigt.	`Behoben (Auslieferung folgt)`
Serverstabilität	Beim Öffnen großer Textdateien (z. B. umfangreicher CSV-Dateien) wurde die gesamte Datei in den Speicher geladen, sodass der Serverspeicher erschöpft werden konnte, wenn mehrere Personen solche Dateien gleichzeitig öffneten. Dateien über 16 MB werden jetzt in Teilen gesendet.	`Behoben (Auslieferung folgt)`
Serverstabilität	Branding-Logos und KI-Bildzusammenfassungen dekodierten Bilder, ohne deren Breite und Höhe zu prüfen. Die Abmessungen werden jetzt zuerst geprüft, und übermäßig große Bilder werden nicht dekodiert.	`Behoben (Auslieferung folgt)`
Serverstabilität	Ein Teil des Codes zur Verarbeitung von E-Mails mit beschädigten Grenzen oder sehr tiefer Verschachtelung (derzeit nicht in Verwendung) hatte keine Tiefenbegrenzung und konnte endlos weiterlaufen. Die Verschachtelungstiefe ist jetzt begrenzt, und bei einem Fehler wird die Verarbeitung abgebrochen.	`Behoben (Auslieferung folgt)`
Serverstabilität	Wenn die Programme für Dokumentkonvertierung, Bild- und Videoverarbeitung viel Speicher belegten, konnte stattdessen der SetFN-Server beendet werden. Diese Programme sind jetzt so gekennzeichnet, dass sie bei Speicherknappheit zuerst beendet werden.	`Behoben (Auslieferung folgt)`

Offene Punkte

Die in dieser Prüfung offen gebliebenen Punkte Zwei-Faktor-Authentifizierung für Administratoren, längenbasierte Passwortregel (Standard für Neuinstallationen) und Ersatz von TinyMCE wurden in der KI-Gegenprüfung vom 2026-10-24 erledigt.

2026-10-23 Zweite Prüfung (Runde 2)

Nach den Korrekturen der ersten Runde wurde am selben Tag das gesamte System erneut geprüft. Die Korrekturen der ersten Runde wurden auf Lücken untersucht, und die in der ersten Runde nicht behandelten Bereiche (Umfang der Berechtigungsprüfung je Funktion, Eingabeverarbeitung, Berechtigungsgrenzen von E-Mail-, Webhook- und KI-Werkzeugen, Weboberfläche, Geheimnisse und Einstellungen) wurden mit KI (Claude) getrennt geprüft. Gefundene Probleme wurden mit Tests bestätigt, die auf dem Code vor der Korrektur fehlschlagen, und anschließend behoben.

Gefundene Probleme und Maßnahmen

Bereich	Inhalt	Status
Berechtigungen	In Suche, Ordnerbaum, Echtzeitdateien und KI-Dateiwerkzeugen konnten normale Benutzer den Administrationsbereich (die persönlichen Bereiche aller Benutzer) angeben. Er lässt sich jetzt nur noch von Gesamtadministratoren öffnen.	`Behoben (Auslieferung folgt)`
Berechtigungen	Ein Dateipfad konnte in den persönlichen Bereich eines anderen Benutzers mit ähnlichem Namen ausbrechen. Der Dateizugriff in allen Bereichen prüft jetzt die Grenzen.	`Behoben (Auslieferung folgt)`
Berechtigungen	Die Funktion zum direkten Abfragen von Datenbankdateien hatte keine Pfadberechtigungsprüfung und konnte andere Datenbankdateien öffnen. Berechtigungsprüfung und Sperre gefährlicher Befehle wurden ergänzt.	`Behoben (Auslieferung folgt)`
Berechtigungen	Das KI-Terminwerkzeug prüfte den Eigentümer eines Termins nicht, und das KI-Dateiwerkzeug prüfte die Berechtigung nicht erneut, wenn es stattdessen eine Datei mit ähnlichem Namen las.	`Behoben (Auslieferung folgt)`
Berechtigungen	Die Eigentümerprüfung wurde ergänzt für Aktivitätsprotokolle des persönlichen Bereichs, die Quellberechtigung beim Kopieren zwischen Bereichen, die Berechtigungsprüfung bei unterschiedlicher Schreibweise koreanischer Jamo, Favoriten, Konvertierungsstatus und das Abbrechen von Aufgaben.	`Behoben (Auslieferung folgt)`
Berechtigungen	Die Lese- und Schreibbeschränkungen für Spalten von Website-Tabellen (Webspace) wurden nicht angewendet. Gelöschte Zeilen und die Autorenspalte werden jetzt ebenfalls geschützt.	`Behoben (Auslieferung folgt)`
Berechtigungen	Fehlte beim Speichern der Einstellungen der Eintrag für die IP-Zugriffsbeschränkung, konnte die Beschränkung abgeschaltet werden.	`Behoben (Auslieferung folgt)`
Datentrennung	In der Teamterminliste, im Posteingang und in Benachrichtigungen konnten persönliche Termine anderer Benutzer erscheinen.	`Behoben (Auslieferung folgt)`
Serverstabilität	Gleichzeitig eintreffende Autovervollständigungsanfragen konnten den Server zum Stillstand bringen.	`Behoben (Auslieferung folgt)`
Ausgehende Anfragen	Die KI-Modellanbindung leitete Anfragen normaler Benutzer bis zu Verwaltungsfunktionen weiter, und einige Funktionen konnten Anfragen an interne Serveradressen senden. Auch die Weitergabe von Anmeldeinformationen an Plugins wurde unterbunden.	`Behoben (Auslieferung folgt)`
Inhaltsisolierung	Statische Website-Dateien (XML, XHTML), die Vorschau der Dokumentkonvertierung, Werte der Branding-Einstellungen, das PDF-Konvertierungsmodul und die Weiterleitungsadresse nach der Anmeldung wurden verstärkt.	`Behoben (Auslieferung folgt)`
Überlastschutz	Die Begrenzung der Anfragegröße richtet sich jetzt nach dem Funktionspfad, langsame Anfragetexte haben ein Zeitlimit, gleichzeitige Uploads reservieren ihr Speicherkontingent, und IPv6-Anfragelimits werden nach Adressbereich zusammengefasst.	`Behoben (Auslieferung folgt)`
Datenerhalt	Liefert die Texterkennung (OCR) kein Ergebnis, wird das Original nicht mehr gelöscht.	`Behoben (Auslieferung folgt)`
Weboberfläche	Die HTML-Bereinigung des E-Mail-Editors wurde auf ein Standardwerkzeug (DOMPurify) umgestellt, und Links, die in einem neuen Fenster öffnen, wurden geschützt.	`Behoben (Auslieferung folgt)`
E-Mail	Das Bearbeiten eines Kontakts konnte Kontakte anderer Benutzer beeinflussen, und ein externes E-Mail-Konto konnte eine interne Firmenadresse belegen. Auch der Zugriff auf deaktivierte Postfächer und auf Rohdateien gemeinsamer Postfächer, die im Teambereich gespeichert sind, wurde unterbunden.	`Behoben (Auslieferung folgt)`
Dateien und Anbindungen	Eine Dateispeichersperre konnte auch gleichnamige Dateien anderer Benutzer blockieren, und Namen in einem heruntergeladenen Archiv konnten in einen anderen Ordner entpackt werden. Die Workflow-Anbindung prüft den Benutzer jetzt jedes Mal erneut, Webhook-Tokens werden in Protokollen maskiert, und die Einstellung „Signatur erforderlich“ gilt auch für bestehende Webhooks.	`Behoben (Auslieferung folgt)`
Freigabe	Bestehende Freigabelinks blieben auch nach dem Abschalten externer Freigaben oder dem Entzug der Freigabeberechtigung des Erstellers geöffnet, und das Nutzungslimit konnte durch gleichzeitige Zugriffe überschritten werden. Auch bei abgeschalteter Funktion kann der Ersteller seine eigenen Links einsehen und widerrufen.	`Behoben (Auslieferung folgt)`
Berechtigungen	Anhänge aus 1:1- und Gruppen-Chaträumen konnten von anderen Benutzern desselben Teams über die Dateifunktionen geöffnet werden. Jetzt können sie nur noch die Teilnehmer des Raums und Administratoren öffnen.	`Behoben (Auslieferung folgt)`
Berechtigungen	Die Antwort auf eine wegen fehlender Berechtigung abgelehnte Ordnerabfrage konnte Informationen zu den Elementen im Ordner enthalten.	`Behoben (Auslieferung folgt)`
Berechtigungen	Anfragen zum Speichern einer Datei oder zum Erfassen einer Genehmigungsentscheidung konnten weiter ausgeführt werden, obwohl bereits eine Antwort „Zugriff verweigert“ gesendet wurde. Sie werden jetzt sofort beendet, sobald der Zugriff verweigert wird.	`Behoben (Auslieferung folgt)`
Berechtigungen	Berechtigungsprüfungen wurden für das Lesen und Ändern von Ordnereinstellungen durch KI-Werkzeuge sowie für aus Dateiinhalten erzeugte Ergebnisse (Recherche, ähnliche Bilder, Ordneranalyse) ergänzt.	`Behoben (Auslieferung folgt)`
Einstellungen und Geheimnisse	Bestätigt wurde, dass das Repository keine geheimen Schlüssel enthält und dass Passwort-Hashing, Token-Signierung und die Verschlüsselung von E-Mail-Konten angemessen sind. Die Veröffentlichung der API-Beschreibungsseite über den Reverse-Proxy wurde unterbunden, und eine ungenutzte schwache Kryptofunktion wurde entfernt.	`Behoben (Auslieferung folgt)`

Hinweise für Betreiber

Wenn eine externe KI-Anbindung (AP-Bridge) /api/ai-proxy verwendet, muss auf dem Server und auf der Seite der Anbindung derselbe Wert für SETFN_AI_PROXY_TOKEN gesetzt sein. Ab dieser Korrektur ist der Zugriff allein über lokale Anfragen ohne Token nicht mehr möglich.

2026-10-23 Vollständige Sicherheitsprüfung vor der Auslieferung

Nachdem eine Angriffsart bekannt wurde, die auf Speichermangel abzielt, wurde der gesamte Server vor der Auslieferung erneut geprüft. Der Code wurde mit KI (Claude) in fünf Bereichen geprüft; die gefundenen Probleme wurden anhand von Code und Tests bestätigt und anschließend behoben.

Prüfumfang

Anfragegröße und Verbindungsdauer bei Funktionen, die ohne Anmeldung aufrufbar sind
Pfade, über die Anfragedaten eines Benutzers in die Antwort an einen anderen Benutzer gelangen könnten
Pfade, über die unvollständige Daten als gültige Daten gespeichert werden
Zustände, die sich bei wiederholten Anfragen im Serverspeicher ansammeln
Bekannte Schwachstellen in Server- und Weboberflächen-Bibliotheken, wichtige Schwachstellen der Dokumentverarbeitungsprogramme seit 2025
463 KISA-Sicherheitshinweise (2025-01-01 bis 2026-10-22)
OWASP Top 10:2025, OWASP ASVS 5.0, NIST SP 800-63B-4, KISA-Prüfpunkte für Web-Schwachstellen

Gefundene Probleme und Maßnahmen

Bereich	Inhalt	Status
Datentrennung zwischen Benutzern	In der Autovervollständigung von Dateinamen konnten Dateinamen aus dem persönlichen Bereich anderer Benutzer erscheinen. Der Index wird jetzt nach Bereich und Benutzer getrennt, und den Administrationsbereich können nur Administratoren abfragen.	`Behoben (Auslieferung folgt)`
Datentrennung zwischen Benutzern	Beim gleichzeitigen Abruf von Team- und persönlichen Terminen konnten persönliche Termine anderer Benutzer erscheinen. Der Speicherort der Termine wird jetzt pro Anfrage festgelegt.	`Behoben (Auslieferung folgt)`
Datentrennung zwischen Benutzern	Beim Wiederherstellen aus dem Papierkorb mit Überschreiben einer gleichnamigen Datei konnten Kommentare und Änderungsverlauf einer anderen Datei verändert werden.	`Behoben (Auslieferung folgt)`
Serverstabilität	Wurde die Verbindung während der Echtzeitübertragung von Suchergebnissen unterbrochen, wurde nach Ende der Antwort noch ein Schreibversuch unternommen, der den Server zum Absturz bringen konnte.	`Behoben (Auslieferung folgt)`
Serverstabilität	Ein Wettlauf beim gleichzeitigen Lesen und Schreiben der aktuellen Ansichtsinformationen einer Echtzeitverbindung durch mehrere Vorgänge wurde beseitigt.	`Behoben (Auslieferung folgt)`
Überlastschutz	Serververbindungen hatten kein Zeitlimit, sodass ein Angriff mit vielen langsam gehaltenen Verbindungen möglich war. Es gibt jetzt Limits für die Empfangsdauer der Header, die Leerlaufzeit von Verbindungen und die Header-Größe.	`Behoben (Auslieferung folgt)`
Überlastschutz	Bei einigen Funktionen war die Größe des Anfragetexts nicht begrenzt. Für die gesamte API gilt jetzt eine Standardobergrenze; für die ohne Anmeldung aufrufbaren Funktionen App-Anmeldevorbereitung, Prüfung der Geräteregistrierung und Installationsbildschirm gelten eigene Obergrenzen.	`Behoben (Auslieferung folgt)`
Überlastschutz	Die Einträge fehlgeschlagener Anmeldungen und wartende App-Anmeldeanfragen konnten unbegrenzt wachsen. Es gibt jetzt eine Obergrenze für die Gesamtzahl und pro Zugriffsort.	`Behoben (Auslieferung folgt)`
Überlastschutz	Die Deduplizierungseinträge von E-Mails, Echtzeitabonnements von Websites, gleichzeitige KI-Anfragen, gleichzeitige Archiv-Downloads und der Ordnerbaum-Cache konnten unbegrenzt wachsen. Für jeden davon gibt es jetzt eine Obergrenze und eine regelmäßige Bereinigung.	`Behoben (Auslieferung folgt)`
Datenerhalt	Uploads ohne angegebene Länge konnten die Prüfung des Speicherkontingents umgehen, und das Setzen eines Dokumentpassworts überschrieb die Datei an Ort und Stelle, sodass bei einem Fehler das Original beschädigt werden konnte. Das Kontingent wird jetzt beim Zählen der empfangenen Daten geprüft; das Setzen eines Dokumentpassworts und das Speichern von Konvertierungsergebnissen schreiben zuerst in eine temporäre Datei und tauschen sie dann aus.	`Behoben (Auslieferung folgt)`
Datenerhalt	Eine zu große Patent-XML-Datei konnte abgeschnitten verarbeitet und das Original anschließend gelöscht werden. Wird die Größe überschritten, gilt die Verarbeitung jetzt als fehlgeschlagen, und ein nur teilweise ausgewertetes Original wird nicht gelöscht.	`Behoben (Auslieferung folgt)`
Dokumentverarbeitungsprogramme	LibreOffice hat eine Schwachstelle (CVE-2026-63277), die unter Ubuntu 24.04 noch nicht behoben ist. Im LibreOffice-Profil, das für die Dokumentkonvertierung verwendet wird, ist Java jetzt deaktiviert.	`Behoben (Auslieferung folgt)`
Dokumentverarbeitungsprogramme	Die Größenobergrenzen bei der Verarbeitung von Archiv-, Bild- und Dokumentdateien werden verstärkt.	`In Bearbeitung`
Abhängigkeiten	41 bekannte Schwachstellen in Go-Serverbibliotheken wurden auf die korrigierte Version angehoben; eine nicht mehr gepflegte Archivbibliothek wurde durch ein eigenes Modul ersetzt.	`Behoben (Auslieferung folgt)`
Abhängigkeiten	20 Schwachstellen mit Schweregrad Hoch oder höher in Weboberflächen-Bibliotheken (Dokumenteditor, PDF-Ansicht, Markdown-Ansicht usw.) wurden auf die korrigierte Version angehoben.	`Behoben (Auslieferung folgt)`
Abhängigkeiten	Einige Schwachstellen des HTML-Dateieditors (TinyMCE) sind nur in einer höheren Hauptversion behoben; der Wechsel wird geprüft. Im E-Mail-Editor werden sie durch Eingabebereinigung abgefangen.	`In Bearbeitung`
Sicherheits-Header	Administrations- und Kontoseiten können nicht mehr in fremde Websites eingebettet werden; das Erraten des Antwortformats der API und die nach außen weitergegebenen Adressinformationen wurden eingeschränkt.	`Behoben (Auslieferung folgt)`
Authentifizierung	Die Passwortrichtlinie wird auf den NIST-Standard umgestellt (Länge und Sperre häufiger Passwörter statt Zusammensetzungsregeln), und eine Zwei-Faktor-Authentifizierung für Administratoren wird ergänzt.	`Verbesserung geplant`
Externe Hinweise	Kein KISA-Hinweis betrifft SetFN direkt. Die 32 Hinweise, die je nach Betriebsumgebung relevant sind, wurden als Prüfpunkte für Betreiber zusammengestellt.	`Betreibermaßnahme erforderlich`

Verifizierung der Korrekturen

Jeder Korrektur wurde ein Test beigefügt, der auf dem Code vor der Korrektur fehlschlägt. Nach der Korrektur wurde ein von den Produktionsdaten getrennter Testserver separat gestartet; mit dem Befehlszeilentool wurden ein Administrator- und ein normales Benutzerkonto angelegt und mit echten Anfragen Folgendes bestätigt.

Dateinamen aus dem persönlichen Bereich anderer Benutzer erscheinen nicht in der Autovervollständigung
Bei 40 gleichzeitigen Abrufen von Team- und persönlichen Terminen gelangen keine persönlichen Termine in die Teamliste
Der Server trennt langsame Verbindungen, die die Header nicht abschließen, nach Ablauf des Zeitlimits
Übermäßig große Anfragen und lange Eingaben werden abgelehnt, bevor der Anfragetext gelesen wird
Die Administrationsseite erhält den Clickjacking-Schutz-Header, die Seiten der Kunden-Website nicht

Hinweise für Betreiber

Das Dokument Sicherheitsupdates des Servers prüfen ist neu. Es erläutert, wie Sie Sicherheitskorrekturen für Ubuntu-Pakete aus universe erhalten und warum MuPDF nicht installiert werden sollte.
mupdf-tools wurde aus den empfohlenen Paketen der Installationsanleitungen für Linux und Windows entfernt.

2026-10-20 bis 2026-10-22 Erneute Prüfung der Berechtigungsgrenzen

Der Code für Berechtigungen und Freigaben wurde mit KI (OpenAI Codex) parallel erneut geprüft. Gefundene Fehler wurden mit Tests bestätigt, die auf dem Code vor der Korrektur fehlschlagen, und anschließend behoben.

Inhalt	Status
Die Desktop-Synchronisierungsliste enthielt Namen und Dateigrößen von Ordnern ohne Auflistungsberechtigung	`Behoben`
Fehler in der Berechtigungsprüfung bei Freigabelinks, Papierkorb-Wiederherstellung und Dokumentübertragung; Berechtigungsverweigerungen erschienen als Serverfehler (500)	`Behoben`
Reihenfolgeproblem, durch das entzogene Berechtigungen in Echtzeitverbindungen wieder aufleben konnten; Empfängerkreis von Dateibenachrichtigungen	`Behoben`
Verspätet eintreffende KI-Antworten waren in einem bereits verlassenen Chatraum sichtbar	`Behoben`
Ergänzte Berechtigungsprüfung im Menü Dokumentkonvertierung und beim Speichern von OCR-Ergebnissen	`Behoben`

2026-10-19 Begrenzung des Anfragetexts in KI-Protokollen

Der Umfang der Diagnoseprotokolle der KI-Funktionen wurde reduziert, damit der ursprüngliche Anfragetext nicht in übermäßigem Umfang protokolliert wird. Behoben

2026-10-13 Verstärkte Berechtigungen für Konvertierung und öffentliche Websites

Inhalt	Status
Die Funktion zur erneuten Verarbeitung von Konvertierungsordnern hatte keine Pfadberechtigungsprüfung	`Behoben`
Der Standardwert, nach dem Originale in Ordnern ohne Konvertierungseinstellung gelöscht wurden, wurde auf Beibehalten geändert	`Behoben`
Verstärkte Leseberechtigung für öffentliche Websites und Grenzen des Dokumentverlaufs; Regression bei der erneuten Authentifizierung von Echtzeitverbindungen behoben	`Behoben`

2026-09-25 Umfassende Sicherheitsprüfung

Geprüft wurden Berechtigungen, Freigaben, Authentifizierung, Skriptausführung in der Weboberfläche (XSS), serverseitige Anfragefälschung (SSRF) sowie KI- und Workflow-Werkzeuge. Die Probleme wurden mit echten Anfragen an einen isolierten Testserver bestätigt und anschließend behoben.

Inhalt	Status
Strengere Prüfung von Typ, Aussteller und Pfadbereich bei Tokens von Freigabelinks	`Behoben`
Berechtigungen werden erst nach der Pfadnormalisierung geprüft; die Berechtigung des übergeordneten Ordners gilt auch für Auflistungen	`Behoben`
Strengere Bedingungen für CSRF-Ausnahmen, Port im CORS-Herkunftsvergleich, Beenden aller Sitzungen bei Passwortänderung	`Behoben`
Pfadberechtigung und Ordnerrichtlinie gelten auch für Speichern und Sperren von Office-Dokumenten	`Behoben`
KI-Werkzeuge nehmen keine internen Argumente mehr an; Berechtigungen und Bearbeitungssperre gelten für Erstellen und Überschreiben von Dateien	`Behoben`
Token für die Workflow-Anbindung erforderlich; Berechtigungsprüfung in Dateiwerkzeugen	`Behoben`
Stärkere HTML-Bereinigung bei der Anzeige von E-Mails, Markdown- und Word-Dokumenten; isolierte Auslieferung hochgeladener Dateien	`Behoben`
Ausnahme für IP-Adressen mit kürzlich erfolgreicher Anmeldung, damit die Kontosperre nicht missbraucht werden kann	`Behoben`
Strengere Berechtigungen für Administratoraktionen in Echtzeitfunktionen (z. B. Zwangsentfernung)	`Behoben`