Ergebnisse auf einen Blick
Ein vollständiges Audit des Ende-zu-Ende-Verschlüsselungssystems wurde im gesamten Quellcode durchgeführt. Hier sind die überprüfbaren Ergebnisse:
14
Identifizierte und behobene Verbesserungspunkte
0
Offene kritische Schwachstellen
774+
Ausgeführte automatisierte Tests
📋 Version 2.0 (2026-05-18) — Cette attestation cumule :
- 9 findings de l'audit v1.0 (16/05) — tous corrigés et vérifiés non-régression
- 5 findings de l'audit v2.0 (18/05) — 1 HIGH bug fonctionnel + 2 MED (SQL placeholders) + 2 LOW (rate-limit + constant-time) — tous corrigés
- Aucune faille cryptographique. Aucun changement de modèle de menace.
- Pile crypto inchangée : XChaCha20-Poly1305 (RFC 8439), X25519 (RFC 7748), Argon2id (RFC 9106), Shamir GF(2⁸).
Was wurde geprüft
Das Audit deckte alle technischen Komponenten ab, die Ihre verschlüsselten Daten verarbeiten:
- Die 13 serverseitigen Einstiegspunkte (API), die Ihre verschlüsselten Inhalte empfangen und speichern
- Die 7 JavaScript-Module, die in Ihrem Browser ausgeführt werden, insbesondere der isolierte „Web Worker", der allein Ihre Verschlüsselungsschlüssel hält
- Die Sicherheitsinfrastruktur (Content-Security-Policies, Skript-Integritätssignaturen, HTTPS-Header)
- Der Post-mortem-Wiederherstellungsmechanismus (Schlüssel in Shamir-Anteile zerlegt, Hauptschlüssel durch Ihre Verwahrer rekonstituiert)
- Schutzmaßnahmen gegen Missbrauch: Rate-Limiting, Protokollierung, Erkennung verdächtiger Aktivitäten
Wer hat das Audit durchgeführt
Das Audit wurde von einem automatisierten Agenten durchgeführt, der auf Anwendungssicherheitsanalyse spezialisiert ist und den OWASP ASVS Level 2 Check-Listen folgt, ergänzt durch eine manuelle Überprüfung der kryptografischen Invarianten (Bedrohungsmodell, Schlüsselisolierung, Konsistenz der kryptografischen Wraps).
⚠️ In voller Transparenz
Dieses Audit wurde von einem Künstliche-Intelligenz-Agenten (Claude AI, Anthropic) durchgeführt, und nicht von einem zertifizierten menschlichen Berater (CISSP, OSCP usw.). Diese Bescheinigung ist ein technisches Transparenzdokument — sie hat nicht den Wert einer formellen Pentest-Zertifizierung. Vor jeder größeren öffentlichen Kommunikation dieser Funktion verpflichtet sich leggit, ein externes menschliches Audit durch eine professionelle Pentest-Firma durchführen zu lassen.
Der gesamte Prozess ist dokumentiert und reproduzierbar: Jeder Entwickler mit Code-Zugriff kann die 753 automatisierten Tests erneut ausführen und das gleiche Ergebnis erhalten. Keine Grauzone, kein „Vertrauen Sie uns auf unser Wort".
Angewendete Standards
Das Audit basiert auf offenen und anerkannten internationalen Standards:
- OWASP ASVS 4.0 Level 2 — OWASP-Standard zur Anwendungssicherheitsverifikation — Abschnitte Authentifizierung, Sitzung, Kryptografie, Protokollierung, Datenschutz
- NIST SP 800-175B — Empfehlungen des US-amerikanischen NIST zur Verwendung kryptografischer Standards
- RFC 8439 — Spezifikation des ChaCha20-Poly1305-Algorithmus zur Verschlüsselung Ihrer Inhalte
- RFC 7748 — Spezifikation der Curve25519 für den Schlüsselaustausch zwischen Ihnen und Ihren Empfängern
- RFC 9106 — Spezifikation von Argon2 zur Ableitung Ihres Hauptschlüssels aus Ihrem Passwort
Wovor wir Sie schützen — und unsere Grenzen
✅ Ihre Daten bleiben geschützt vor
- Beschlagnahme oder Diebstahl unserer Server: Die gespeicherten Daten sind verschlüsselt und ohne Ihren persönlichen Schlüssel unlesbar
- Einem neugierigen oder böswilligen leggit-Administrator: Wir haben technisch keine Möglichkeit, Ihre Inhalte zu lesen
- Einem vorübergehenden Eindringen in unsere Systeme: Ohne Änderung des Quellcodes kann der Angreifer nichts entschlüsseln
- Diebstahl einer Browser-Sitzung: Sensible Vorgänge (z. B. Hinzufügen eines Empfängers) erfordern eine erneute Authentifizierung
- Fälschung von Phantom-Empfängern: Jeder Empfänger wird gegen eine serverseitige Whitelist verifiziert
⚠️ Wir können nichts gegen
- Ein aktiver Eingriff, der den von leggit ausgelieferten JavaScript-Code modifiziert. Wir begrenzen dieses Risiko durch Integritätssignaturen (SRI), eliminieren es aber nicht vollständig.
- Ein kompromittierter Browser oder ein kompromittiertes Gerät (Malware, bösartige Erweiterung, Keylogger) — es liegt in Ihrer Verantwortung, ein sauberes Gerät zu verwenden.
- Eine gerichtliche Anordnung, die uns zwingt, unseren Code zu ändern (Lawfare). leggit ist ein französisches Unternehmen und wendet französisches Recht an.
- Künftige Fortschritte in der Kryptoanalyse (10-20 Jahre). Wir folgen den NIST/IETF-Empfehlungen und migrieren bei Bedarf.
Diese Grenzen sind jedem in einem Webbrowser ausgeführten Ende-zu-Ende-Verschlüsselungssystem inhärent. Kein seriöser Akteur dieses Marktes kann darüber hinausgehende Zusicherungen machen.
Unsere operativen Verpflichtungen
leggit verpflichtet sich:
- Die gesamten automatisierten Tests jedes Quartal erneut durchzuführen und die Ergebnisse auf dieser Seite zu veröffentlichen
- Das System von einem externen menschlichen Pentest-Büro auditieren zu lassen, bevor diese E2EE-Funktion öffentlich groß kommuniziert wird
- Die Fingerabdrücke (SRI-Hashes) der kritischen JavaScript-Skripte zu veröffentlichen, damit ein erfahrener Benutzer die Integrität des in seinem Browser ausgeführten Codes überprüfen kann
- Die Grenzen des Schutzmodells öffentlich und ehrlich zu dokumentieren — ohne irreführende Marketing-Formulierungen
- Unsere Nutzer bei größeren Änderungen der kryptografischen Politik oder bei Entdeckung einer Schwachstelle zu benachrichtigen
Rechtliche Tragweite dieses Dokuments
Diese Bescheinigung ist ein technisches Transparenzdokument. Sie kann an Interessenten, Kunden, Rechtspartner (Notare) oder Aufsichtsbehörden (CNIL) weitergegeben werden, die verstehen möchten, wie leggit die ihm anvertrauten Daten schützt.
Sie stellt keine Zertifizierung nach ISO 27001, PASSI, RGS oder SecNumCloud dar. Diese Zertifizierungen erfordern ein Audit durch eine akkreditierte Stelle (Bureau Veritas, AFNOR usw.) und sind Teil der mittelfristigen Roadmap von leggit.