API-Ebene: Alle REST-Anfragekörper und Pfadparameter werden durch Schema-Validierung geprüft. Ungültige Anfragen werden vor Erreichen der Geschäftslogik abgelehnt.

Datenbankebene: Ausschliesslich parametrisierte Abfragen — keine Zeichenkettenverkettung, kein rohes SQL. Dies verhindert SQL-Injection per Design.

WAF-Ebene: JSON-Content-Type wird auf API-Anfragen erzwungen. Bekannte Injection-Muster werden automatisch blockiert.

Frontend-Ebene: Vue 3 Auto-Escaping in Templates. Sichere DOM-Verarbeitung für HTML-Inhalte (kein direktes Einfügen von Roh-HTML).

Datei-Uploads: Grössen- und Typprüfung — der Dateityp wird aus dem Dateiinhalt erkannt, nie aus dem Dateinamen; Archive, Ordner und Postfächer werden, sofern für deinen Workspace freigeschaltet, mit festen Limits entpackt (höchstens 500 Einträge pro Archiv, höchstens das 100-Fache der Archivgrösse, mindestens aber 32 MB, und höchstens 8 GB entpackt, keine einzelne Datei über 2 GB); Webseiten und XML werden ohne Netzwerkzugriff gerendert.

Fehlerbehandlung: Fehlermeldungen enthalten keine Stacktraces oder internen Details. 404 und 403 werden ohne Body zurückgegeben. Fehlerberichte werden automatisch von personenbezogenen Daten (PII) bereinigt.