Aktuell wird der main-Branch als Referenz für Sicherheitsfixes betrachtet.

Bitte melde Sicherheitslücken verantwortungsvoll und nicht über öffentliche Issues mit Exploit-Details.

Empfohlener Weg:

• GitHub Security Advisory / private Meldung an Repository-Owner

Bitte in der Meldung enthalten:

• Betroffene Komponente(n)
• Reproduktionsschritte
• Risiko-Einschätzung (Impact)
• Möglicher Fix oder Mitigation

• Provider-API-Keys werden verschlüsselt gespeichert (AES-256-GCM)
• Branch Protection auf main vorgesehen
• CI-Builds für Frontend/Orchestrator aktiv
• Fail-fast für kritische Compose-Secrets (MONGO_PASSWORD, ENCRYPTION_KEY)

• Keine native API-Authentifizierung/Autorisierung
• CORS derzeit ohne Whitelist
• Kein zentrales Secret-Management (Vault/KMS)
• Kein vollständiges SIEM/Alerting

1. AuthN/AuthZ für API-Endpunkte
2. CORS- und Network-Policy-Härtung
3. Secret Manager Integration
4. Dependency- und Image-Scanning in CI
5. Audit/Tracing zentralisieren (OTel + Log-Backend)