Sicherheit & Compliance

Sicherheit & OWASP-Konformität

StreamWizard orientiert sich an etablierten Sicherheitsstandards. Auf dieser Seite findest du eine Übersicht, an welchen OWASP-Vorgaben wir uns ausrichten und welche technischen Maßnahmen wir umsetzen.

OWASP Top 10 (2025) OWASP ASVS v4.0.3 TLS 1.2+ / HSTS AES-GCM & SHA-256

Datenschutz Impressum Kontakt

Kurzfassung:Sicherheitsstatus: Grün StreamWizard ist nicht offiziell von einer Prüfstelle zertifiziert, richtet seine Architektur und seinen Betrieb jedoch konsequent an den OWASP Top 10 (2025) und an Empfehlungen aus dem OWASP Application Security Verification Standard (ASVS) v4.0.3 aus. Sicherheitslücken können vertraulich an support@streamwizard.de gemeldet werden.

Sicherheitsampel

Stand: 29.07.2026

Öffentliche Kurzfassung der internen Prüfung, gemappt auf OWASP Top 10 (2025) und OWASP ASVS v4.0.3 (Level 1 als Baseline, Level 2 für Login/Lizenz/Zahlung). Ohne interne Prüfdaten oder Angriffsdetails.

Referenz A02: Transport & Browser-Schutz

Grün

TLS 1.2+, HSTS mit Preload, Content-Security-Policy mit Nonces, X-Frame-Options/Referrer-Policy/Permissions-Policy, kein Mixed-Content auf öffentlichen Profilen.

Referenz A07/A01: Login, Sessions & CSRF

Grün

OAuth (Discord/Twitch/Kick), HttpOnly/Secure/SameSite-Cookies, Session-Rotation nach Login, CSRF-Token, Rate-Limits gegen Brute-Force.

Referenz A05: Eingaben & Injection-Schutz

Grün

Ausschließlich Prepared Statements (PDO), kontext-bewusstes Escaping (htmlspecialchars/ENT_QUOTES), strikte Validierung an System-Grenzen, keine String-Konkatenation in Queries.

Referenz A04: Secrets & gespeicherte Daten

Grün

AES-GCM für reversible Werte, SHA-256/HMAC-SHA-256 für Lookups, rotierbare Schlüssel, keine Secrets im Code oder in Logs, Runtime-Pepper für sensitive Operationen.

Referenz A01: Datenexport & Kontorechte

Grün

Rollenbasierte Freigaben (Owner/Delegate/Admin), signierte Einmal-Token, nutzerlesbarer Datenexport plus technische JSON-Datei, vollständige Konto-Löschung möglich.

Referenz A03: Abhängigkeiten & Lieferkette

Grün

Vendored Frontend-Bibliotheken mit Subresource Integrity (SRI) und versioniertem Vendor-Manifest inkl. Drift-Prüfung; kontinuierlicher CVE-Scan (OWASP dependency-check) und SBOM-Erzeugung (CycloneDX) der Java-Module in der CI, Build bricht ab CVSS ≥ 7 ab.

Referenz A08: Release-Integrität & Code-Signing

Grün

JAR-Signierung über YubiKey/PKCS#11, fail-closed Laufzeit-Signaturprüfung der JAR vor der Installation durch den Updater (gepinnter Signierer-Fingerprint), SHA-256-Integritäts-Header (Repr-Digest) auf statischen Downloads, signierte Einmal-Download-Links, Stripe-Webhook-Signaturen geprüft, HMAC-signierte API-Calls zwischen Java und PHP.

Referenz A09: Logging & Alerting

Grün

Sicherheitsereignisse werden protokolliert (Login, API, Downloads, SSRF-Blocks). IP-Adressen werden auf /24 (IPv4) bzw. /64 (IPv6) anonymisiert, sensible Werte landen nicht in Logs. Kritische Muster (gehäufte Auth-Fehler, ungültige OAuth-States, CSP-/SSRF-Spikes) eskalieren automatisch per Schwellwert und alarmieren – dedupliziert und fail-open – über Discord-Webhook und/oder E-Mail.

Referenz A01: SSRF & Outbound-Aufrufe

Grün

Outbound-Requests gehen ausschließlich an hartkodierte Plattform-Endpunkte (Discord, Twitch, Kick, Stripe, YouTube). Fetches mit von Creatorn beeinflussten Bild-URLs laufen über einen zentralen SSRF-Guard: https-only, DNS-Auflösung mit Block privater/Loopback-/Link-local-/CGNAT-Ziele, IP-Pinning gegen DNS-Rebinding und Revalidierung jedes Redirects.

Referenz ASVS L2: Zahlungen & Lizenzpfad

Grün

Stripe Checkout/Webhook mit Signaturprüfung, Trennung von Lizenz- und Bot-Steuerdaten, fail-closed bei Lizenz-/Auth-Fehlern, Single-Instance-Lock zur Durchsetzung.

Referenz CSP: CSP-Reporting & Frame-Schutz

Grün

CSP-Verstöße werden an /api/csp_report.php gemeldet (Legacy report-uri + moderne Reporting-API), Frame-Ancestors-Allowlist für öffentliche Seiten, SAMEORIGIN bzw. DENY auf sensiblen Routen.

Referenz CVD: Schwachstellen-Meldung & Triage

Grün

Coordinated Vulnerability Disclosure über support@streamwizard.de, Eingangsbestätigung innerhalb von 72h, Erst-Triage in der Regel binnen 7 Tagen, /.well-known/security.txt mit PGP-Key verfügbar.

Referenz EXT: Externe Plattformen

Orange

Discord, Twitch, Kick, Stripe, Google und Trustpilot haben eigene Verantwortungsbereiche und Datenschutzhinweise; Ausfälle oder Policy-Änderungen dort liegen außerhalb unseres direkten Einflusses.

Referenz LOC: Lokaler Bot-Betrieb

Orange

Lokale OBSBot-Caches, OAuth-Tokens, Konfigurationsdateien und exportierte Videodaten liegen am Nutzersystem und müssen dort durch Festplattenverschlüsselung, Benutzerrechte und aktuellen Virenschutz gesichert werden.

Referenz NOW: Akuter Handlungsbedarf

Grün

Derzeit ist keine rote Nutzerwarnung ausgewiesen. Kritische Sofortmaßnahmen würden hier klar markiert und zusätzlich per Statusseite/Mail kommuniziert.

umgesetzt / unauffälligabhängig von externen Diensten oder Nutzerbetriebakuter Handlungsbedarf

1. Standards, an denen wir uns orientieren

OWASP Top 10 (2025) – die zehn kritischsten Risiken für Webanwendungen.
OWASP ASVS v4.0.3 – Anforderungskatalog für sichere Webanwendungen (Level 1 als Mindestziel, Level 2 für sicherheitskritische Pfade wie Login, Lizenzen, Zahlungen).
OWASP Cheat Sheet Series – konkrete Empfehlungen zu Sessions, CSP, Passwort-/Token-Speicherung, Logging usw.
OWASP Secure Headers Project – Referenz für sicherheitsrelevante HTTP-Header.

Diese Standards verstehen wir als laufenden Prozess: Maßnahmen werden regelmäßig überprüft und an neue Empfehlungen angepasst.

2. OWASP Top 10 (2025) – wie wir die Risiken adressieren

Risiko	Maßnahmen bei StreamWizard
A01 – Broken Access Control	Zentrale Session-Prüfung und fail-closed Access-Guard, rollenbasierte Freigaben (Owner/Delegate/Admin), Lizenz- und API-Key-Validierung, signierte Einmal-Token für Downloads, Tenant-Delegation mit Widerruf, nicht delegierbare Admin-Freischaltung für Streamstats. Serverseitige Bild-Fetches mit creator-beeinflussten URLs laufen über einen zentralen SSRF-Guard (https-only, Block privater/Loopback-/Link-local-/CGNAT-Ziele per DNS-Auflösung, IP-Pinning gegen DNS-Rebinding, Redirect-Revalidierung).
A02 – Security Misconfiguration	Strict Transport Security, Content-Security-Policy mit Nonces, X-Content-Type-Options, X-Frame-Options, Referrer-Policy, X-XSS-Protection: 0 (OWASP-konform), gehärtete .htaccess-Regeln für API, Assets und no-store auf sensiblen API-Endpunkten.
A03 – Software Supply Chain Failures	Vendored Drittanbieter-Bibliotheken mit Subresource Integrity (SRI) und versioniertem Vendor-Manifest inkl. Drift-Prüfung; kontinuierlicher CVE-Scan (OWASP dependency-check) und SBOM-Erzeugung (CycloneDX) der Java-Module in der CI, Build bricht ab CVSS ≥ 7 ab; gepinnte Abhängigkeitsversionen; vollständige Third-Party-Liste auf der Webseite.
A04 – Cryptographic Failures	Sensible Identifikatoren und zentrale Feature-Tokens werden im Enc/Hash-Modell gespeichert: SHA-256/HMAC-SHA-256 für Lookups, AES-GCM für reversible Werte. TLS 1.2+ erzwungen, HSTS aktiv, geheime Schlüssel rotierbar dokumentiert.
A05 – Injection	Ausschließlich Prepared Statements (PDO) für SQL, Kontext-bewusstes Escaping (htmlspecialchars mit ENT_QUOTES), strikte Eingabe-Validierung an System-Grenzen.
A06 – Insecure Design	Datensparsamkeit (z. B. nur Steuermetadaten in Backup-Queues und keine dauerhafte Speicherung von Streamstats-Chattexten), Single-Instance-Lock zur Lizenzdurchsetzung, abgestufte Berechtigungsmodelle für Delegates.
A07 – Authentication Failures	OAuth über Discord/Twitch/Kick, sichere Session-Konfiguration (HttpOnly, Secure, SameSite), Session-Regeneration nach Login für alle eingeloggten Nutzer, Session-Token-Entropie nach OWASP-Empfehlung, Brute-Force-Schutz über Rate Limiting.
A08 – Software or Data Integrity Failures	Signierte Release-Artefakte (YubiKey/PKCS#11), fail-closed Laufzeit-Signaturprüfung der JAR vor der Installation durch den Updater (gepinnter Signierer-Fingerprint), SHA-256-Integritäts-Header (Repr-Digest) auf statischen Downloads, signierte Einmal-Download-Links, geprüfte Stripe-Webhook-Signaturen.
A09 – Security Logging & Alerting Failures	Sicherheitsereignisse werden protokolliert (Logins, API-Zugriffe, Download-Events, SSRF-Blocks). IP-Adressen werden auf Präfixe (IPv4 /24, IPv6 /64) anonymisiert; sensible Werte landen nicht in Logs. Kritische Muster (gehäufte Auth-Fehler, ungültige OAuth-States, CSP-/SSRF-Spikes) eskalieren automatisch per Schwellwert und alarmieren – dedupliziert und fail-open – über Discord-Webhook und/oder E-Mail.
A10 – Mishandling of Exceptional Conditions	Sicherheitskritische Pfade (Auth, Lizenz, Krypto, Signaturprüfung, Zugriffskontrolle) sind fail-closed – bei Fehler wird verweigert, nicht gewährt. Kein stilles Verschlucken von Ausnahmen (Logging-Pflicht), keine Stacktrace-Leaks an Nutzer (display_errors deaktiviert, generische Fehlerseiten). Dokumentierte Exception-Handling-Policy.

3. Zusätzliche technische Maßnahmen

Content Security Policy mit pro Anfrage erzeugtem Nonce für Scripte und Styles.
Rate Limiting auf API- und Login-Endpunkten gegen Brute-Force und Scraping.
Subresource Integrity (SRI) für eigene und vendored Assets.
Cookie-Consent-Layer mit getrennten Kategorien Notwendig / Analytics / Marketing.
Dokumentierte Schlüssel-Rotation für API-, Crypto- und Webhook-Secrets.
Trennung von Lizenzdaten und Bot-Steuerdaten – Delegates erhalten keinen Zugriff auf Zahlungs- oder Lizenzinformationen.
Zentraler SSRF-Guard für serverseitige Bild-Fetches: https-only, Block privater/Loopback-/Link-local-/CGNAT-Ziele per DNS-Auflösung, IP-Pinning gegen DNS-Rebinding.
Aktives Security-Alerting: kritische Ereignis-Häufungen eskalieren automatisch (Schwellwert + Dedup) per Discord-Webhook und/oder E-Mail.
Kontinuierlicher Lieferketten-Scan: CVE-Prüfung (OWASP dependency-check) und SBOM (CycloneDX) der Java-Module in der CI, Laufzeit-Signaturprüfung der Update-Artefakte vor der Installation.

4. Verantwortungsvolle Schwachstellen-Meldung

Bitte melde Sicherheitslücken nicht öffentlich, sondern vertraulich:

E-Mail: support@streamwizard.de
Betreff: Security Report - StreamWizard

Wir bestätigen den Eingang innerhalb von 72 Stunden und liefern eine erste Triage in der Regel innerhalb von 7 Tagen. Eine koordinierte Veröffentlichung nach erfolgter Behebung ist ausdrücklich willkommen.

5. Hinweis zur Konformität

„OWASP-konform" bedeutet hier: StreamWizard orientiert sich an den oben genannten OWASP-Projekten und setzt deren Empfehlungen aktiv um. Es handelt sich nicht um eine offizielle Zertifizierung durch OWASP oder eine externe Prüfstelle. OWASP ist eine eingetragene Marke der OWASP Foundation.