VENTEX / SECURITY CONTROL ROOM / PUBLIC REGISTER

Sicherheit, als prüfbares System.

Eine öffentliche Kontrolloberfläche über der bestehenden Faktenbasis. Jede Aussage zeigt Status, technische Grundlage, Nachweis und Grenze aus derselben datierten Quelle.

ÖFFENTLICHER KONTROLLSTATUSRedaktionell gegen Repository, Tests und Betriebsdokumentation geprüft · 9. September 2026

Claims: 23
Domänen: 6
Intern belegt: 9
Begrenzt / geplant: 4

01Aussage

02Technische Grundlage

03Nachweis

04Grenze

Claim durchsuchen

Domäne

Status

23 / 23

gefilterte Aussagen aus der veröffentlichten Faktenbasis

PRD-01ImplementiertGRD-01

Connect verbindet Direktchat, Gruppen und Mission Rooms in einer gemeinsamen Oberfläche.

Prüfbasis: Routen, Verträge und automatisierte Komponenten-/API-Tests für Unterhaltungen und Nachrichten.
Bewusste Grenze: Mission Rooms enthalten Chat, Mitglieder, operative Rollen, Zustände, Anheftungen und ein verschlüsseltes Einsatzprotokoll; Sensoren, Kameras, Aufgaben und KI-Zusammenfassungen sind nicht aktiv.

PRD-02Intern nachgewiesenGRD-01

Web-App, API, Realtime und Dateien sind voneinander abgegrenzte Produktflächen.

Prüfbasis: Next.js-Web-App, Fastify-API, Socket.IO, PostgreSQL/Prisma und privater S3-kompatibler Speicher.
Bewusste Grenze: Ein modularer Monolith ist keine automatisch hochverfügbare Multi-Region-Plattform.

PRD-03BegrenztGRD-01

Der aktuelle Status ist eine kontrollierte Produktionsfreigabe.

Prüfbasis: Produkt-, Sicherheits-, Status- und Release-Dokumentation verwenden denselben kontrollierten Freigabestatus.
Bewusste Grenze: Keine allgemeine Verfügbarkeit, Zertifizierung oder Freigabe für besonders regulierte Einsätze.

PRD-04ImplementiertGRD-01

Anrufe, Sprachnachrichten, Weiterleitung, vergängliche Nachrichten und kontrollierter Verlaufstransfer sind implementierte Produktpfade.

Prüfbasis: WebRTC-/Bildschirmfreigabe-Implementierung, MediaRecorder-Komposition, Weiterleitungsdialog, Ablaufzeitlogik und Geräte-Verlaufstransfer mit automatisierten Gegenproben.
Bewusste Grenze: Hintergrundverhalten, Push und Bildschirmfreigabe hängen von Browser und Betriebssystem ab; Verlaufstransfer ersetzt kein Server-Klartextarchiv.

IAM-01ImplementiertGRD-02

Passwörter werden mit Argon2id verarbeitet; Access Tokens bleiben kurzlebig.

Prüfbasis: Authentifizierungsdienst, Konfigurationsgrenzen und negative Routentests.
Bewusste Grenze: Sichere Passwortspeicherung verhindert weder Phishing noch kompromittierte Endgeräte.

IAM-02Intern nachgewiesenGRD-02

Refresh Tokens rotieren und Wiederverwendung widerruft die betroffene Token-Familie.

Prüfbasis: Sitzungslogik und automatisierte Reuse-/Widerrufstests.
Bewusste Grenze: Ein bereits kompromittiertes, entsperrtes Gerät bleibt ein eigenes Risiko.

IAM-03ImplementiertGRD-02

Geräte, Sitzungen, Login-Historie und Passkeys sind verwaltbare Sicherheitsobjekte.

Prüfbasis: WebAuthn-Routen, Geräte-/Sitzungsendpunkte und Verwaltungsoberflächen.
Bewusste Grenze: Kein Mandantenmodell, kein SSO und kein SCIM-Provisioning.

IAM-04Intern nachgewiesenGRD-02

E-Mail-Verifikation, Passwortwiederherstellung, Kontolöschung, Panikmodus, Zwangspasswort und Gerätewiderruf besitzen getrennte bestätigte Abläufe.

Prüfbasis: Authentifizierungsrouten, Sicherheitsoberflächen sowie negative Tests für Verifikation, Reset, Löschung, Panik, Zwangsanmeldung, Push-Abbau und lokale Browserbereinigung.
Bewusste Grenze: Ein Serverwiderruf kann ein offline gebliebenes oder kompromittiertes Endgerät nicht physisch löschen. Die lokale Bereinigung läuft beim nächsten geeigneten Anmeldepfad, kann durch offenen Browserzustand blockiert sein und meldet diesen Fall ausdrücklich.

CRY-01ImplementiertGRD-03

Nachrichten-, Datei- und Reaktionsinhalte besitzen geschützte Client-Payloads.

Prüfbasis: Verschlüsselungsbibliotheken, API-Verträge und Kryptografie-/Mehrgeräte-Tests.
Bewusste Grenze: Der aktive Dienst benötigt weiterhin Routing-, Mitgliedschafts- und Zeitinformationen; ein metadatenfreier Betrieb wird nicht behauptet.

CRY-02Intern nachgewiesenGRD-03

Der Double Ratchet ist ohne Unterhaltungs-Freigabeliste der Standard-Sendepfad; Geräteumschläge, Epochen und eine Downgrade-Sperre unterstützen Rotation und Mehrgerätebetrieb.

Prüfbasis: Rotations-, Geräte-, Doppel-Ratchet- und Mitgliedschaftsbelege im Prüfstapel.
Bewusste Grenze: Interner Nachweis ersetzt keinen unabhängigen Protokoll- und Implementierungsaudit.

CRY-04Intern nachgewiesenGRD-03

Der Fassung-3-Pfad nutzt für fähige Geräte einen hybriden PQXDH-Sitzungsaufbau aus X25519 und ML-KEM-1024; das abgeleitete Geheimnis wird Wurzelschlüssel des Double Ratchet.

Prüfbasis: Automatisierte Krypto- und Schlüsseldienstprüfungen, 308 zugeordnete Bruchproben, 19 reale Browser-Durchgänge mit 189 Prüfungen, Mehrgeräte- und Downgrade-Szenarien, einmalige PreKey-Vergabe sowie ein kontrollierter Produktionsdurchstich am 6. September 2026; erneut nachgefahren am 9. September 2026.
Bewusste Grenze: Der Post-Quantum-Anteil schützt den Sitzungsaufbau, nicht einen fortlaufend post-quanten-sicheren Ratchet. Der Rollout ist geräteabhängig und bislang nicht unabhängig extern auditiert.

CRY-05BegrenztGRD-03

Profilbilder werden nur nach Anmeldung abgerufen und ruhend geschützt, sind aber nicht Ende-zu-Ende-verschlüsselt.

Prüfbasis: Geschützte Abrufroute, authentifizierter Byte-Abruf im Client und aktuelle Produktions-Claim-Prüfung.
Bewusste Grenze: Der Dienst kann Profilbilder lesen. Der Abruf verlangt eine Anmeldung, prüft bei einer exakten Kontokennung aber keine bestehende Kommunikationsbeziehung.

META-03Intern nachgewiesenGRD-03

Direkte Identifikatoren wurden aus mehreren gespeicherten Kommunikationspfaden entfernt oder durch opake, unterhaltungsbezogene Referenzen ersetzt.

Prüfbasis: Keine senderId in Nachrichtenzeilen, signierte Autorenschaft im Chiffrat, HMAC-Direktchatwerte, Empfängermarken statt Geräte-ID in Schlüsselumschlägen, memberRef für Reaktionen, Favoriten und Mentions sowie neue Lesestände ohne neue Receipt-Zeilen. Im aktuellen Quell-/Prüfstand stellt der Kaltstartpfad das Kennungsverzeichnis aus dem verschlüsselten Kontozustand her und wertet eine leere Beweismenge nicht als Erfolg. Verlaufsübergaben verwenden dort eine einmal berechnete opake Zielmarke und überspringen ältere unmarkierte Umschläge statt ihre Zuordnung zu erraten.
Bewusste Grenze: Der laufende Dienst benötigt für Autorisierung und Zustellung weiterhin begrenzte Konto-, Beziehungs- und technische Metadaten. Die live signierte Laufzeit wurde in diesem Website-Auftrag nicht aktualisiert; neue Kaltstart- und Verlaufsübergabe-Korrekturen gelten dort erst nach getrenntem App-Release und Migration. Historische Zeit-/Geräteverweise und aufbewahrte Sicherheitsdaten bleiben bis zur vorgesehenen Aktualisierung oder Bereinigung sichtbar. Metadatenminimierung ist keine Metadatenfreiheit.

FIL-03ImplementiertGRD-03

Uploads sind an Nutzer und Unterhaltung gebunden und liegen nicht in öffentlichen Buckets.

Prüfbasis: Upload-Freigaben, Größen-/MIME-/Prüfsummenprüfung und kurzlebige Download-URLs.
Bewusste Grenze: Malware-Scanning, DLP und serverseitiges Video-Transcoding sind nicht aktiv.

PWA-01ImplementiertGRD-04

Die Web-App besitzt Manifest, Service Worker, App-Icons und Standalone-Darstellung.

Prüfbasis: Öffentliche PWA-Ressourcen, Installationsoberfläche und Service-Worker-Tests.
Bewusste Grenze: iOS installiert über Safari und nicht über den App Store.

PWA-02Intern nachgewiesenGRD-04

Der Service Worker cached nur öffentliche App-Ressourcen und keine API-Antworten oder Nachrichten.

Prüfbasis: Explizite Cache-Allowlist, Offline- und Update-Prüfungen.
Bewusste Grenze: Offline zeigt Connect keine beliebig alte Einsatzhistorie; ungesendete Nachrichten nutzen eine lokale Outbox.

PWA-03BegrenztGRD-04

Web Push ist gerätegebunden, kann ohne Nachrichtenklartext betrieben werden und wird beim Gerätewiderruf mit abgebaut.

Prüfbasis: VAPID-Konfiguration, Push-Abonnement-Endpunkte, Standardwert ohne Nachrichtenvorschau sowie negative Widerrufs- und Anruf-Push-Tests.
Bewusste Grenze: iOS-Push benötigt eine installierte Home-Screen-App und eine bewusste Berechtigung; Zustellung bleibt unter Betriebssystemkontrolle.

MSN-01ImplementiertGRD-05

Mission Rooms sind als eigener Conversation-Typ modelliert.

Prüfbasis: Gemeinsame Verträge, Datenmodell, API-Routen und Benutzeroberfläche.
Bewusste Grenze: Eigener Typ bedeutet noch keinen vollständigen Einsatzführungsprozess.

MSN-02ImplementiertGRD-05

Erstellen, öffnen, Mitglieder hinzufügen, kommunizieren, Dateien und Pins verwalten sowie den Room-Lebenszyklus steuern ist vorhanden.

Prüfbasis: Conversation-/Membership-Flows, Rollenmatrix, Lifecycle-Routen, Dateipfade, Pins und verschlüsseltes Einsatzprotokoll.
Bewusste Grenze: Aufgaben, Live Events, Kamera-/Sensorfeeds und KI-Zusammenfassungen sind nicht aktiv.

MSN-03Intern nachgewiesenGRD-05

Die öffentliche Demo zeigt den Arbeitsansatz ohne ein produktives Einsatzsystem vorzutäuschen.

Prüfbasis: Lokaler, nicht angemeldeter Mission-Room-Simulator mit getrennten Ansichten für Verlauf, Aufgaben und Nachweise.
Bewusste Grenze: Demo-Daten sind illustrativ und kein Live-Zugriff auf die Connect-Produktion.

OPS-01ImplementiertGRD-06

Der Stack besitzt containerisierte Web-, API-, Datenbank-, Redis- und Speicherkomponenten.

Prüfbasis: Produktions-Compose, Multi-Stage-Images, Health-Endpunkte und Migrationsjob.
Bewusste Grenze: Single Host ist keine Hochverfügbarkeit und kein Multi-Region-Betrieb.

OPS-02Intern nachgewiesenGRD-06

Freigaben können über Typprüfung, Tests, Build, Migration, Smoke Checks und signierten Release-Nachweis geführt werden.

Prüfbasis: Release-Skript, Claims-Prüfung, Schema-Migrations-Abgleich, Browser-Durchstiche und serverseitiger Trockenlauf offener Migrationen in einer Wegwerfkopie des laufenden Bestands.
Bewusste Grenze: Ein internes Release Gate ersetzt weder Penetrationstest noch Betriebszertifizierung. Der Migrationstrockenlauf verändert den laufenden Bestand nicht; eine echte Wiederherstellungsübung aus der verschlüsselten Sicherung bleibt ein getrennter operativer Nachweis.

OPS-03GeplantGRD-06

On-Premises ist architektonisch vorgesehen, aber kein pauschal fertiges Standardpaket.

Prüfbasis: Container- und Modulgrenzen ermöglichen isolierte Zielumgebungen.
Bewusste Grenze: Netz, Secrets, Backups, Monitoring, Restore, Patchprozess und Abnahme müssen je Umgebung festgelegt werden.