{ "componentChunkName": "component---src-templates-plugin-docs-tsx", "path": "/plugins/scm-oauth2-plugin/docs/latest/COMPLIANCE_BERICHT/", "result": {"data":{"plugin":{"name":"scm-oauth2-plugin","displayName":"OAuth2/OIDC","description":"Authentication for SCM-Manager using OAuth2/OIDC","author":"Thorsten Ludewig","documentation":[{"version":"1.0.x","languages":["DATENSCHUTZ_FOLGEABSCHAETZUNG","PROZESS_BESCHREIBUNG","COMPLIANCE_BERICHT","SOURCECODE_STATISTIK","javadoc"]}]},"navigation":{"nodes":[]},"versions":{"group":[{"fieldValue":"1.0.x"}]},"languages":{"group":[{"fieldValue":"COMPLIANCE_BERICHT"},{"fieldValue":"DATENSCHUTZ_FOLGEABSCHAETZUNG"},{"fieldValue":"PROZESS_BESCHREIBUNG"},{"fieldValue":"SOURCECODE_STATISTIK"},{"fieldValue":"javadoc"}]},"markdownRemark":{"html":"

Compliance-Bericht — scm-oauth2-plugin

\n

Dokumentversion: 1.1 · Stand: 17.08.2026 · Softwarestand: scm-oauth2-plugin 1.0.2\nPrüfgegenstand: Quellcode und Konfigurationsverhalten des Plugins\nPrüfmaßstab: DSGVO (VO (EU) 2016/679) und NIS2-Richtlinie (RL (EU) 2022/2555)

\n
\n

Geltungsbereich und Grenzen: Geprüft wurde die Software. Ob eine Instanz insgesamt konform\nbetrieben wird, hängt zusätzlich von Konfiguration, IdP, Betriebsumgebung und organisatorischen\nFestlegungen des Betreibers ab. Dieser Bericht ersetzt keine Rechtsberatung und keine Prüfung\ndurch die zuständige Datenschutzaufsicht.

\n
\n

1. Zusammenfassung

\n

Das Plugin verarbeitet ausschließlich die für Authentifizierung und Zugriffssteuerung\nerforderlichen Identitätsdaten, hält keine Tokens dauerhaft vor und überträgt Daten\nausschließlich an den vom Betreiber konfigurierten Identity Provider. Datenschutzrechtlich\nrelevante Schutzmaßnahmen sind im Code umgesetzt und durch 185 automatisierte Tests abgedeckt.

\n

Gesamteinschätzung: Aus Sicht der Softwareprüfung stehen der konformen Nutzung keine\nstrukturellen Mängel entgegen. Es verbleiben zwei Befunde, beide mit Handlungsbedarf beim\nVerantwortlichen (B-01, B-03), sowie drei Restrisiken, die durch Konfiguration bzw.\nBetriebsvorgaben zu behandeln sind.

\n

Erledigt gegenüber Version 1.0 dieses Berichts: B-02 (E-Mail-Adresse im Protokoll) sowie die\nRestrisiken R-01 und R-02 — ID Token und Access Token werden jetzt kryptografisch geprüft\n(Abschnitt 2.4, Maßnahmen M-16 bis M-19).

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
KategorieAnzahl
Umgesetzte technische Maßnahmen (Art. 32 DSGVO / Art. 21 NIS2)19
Befunde mit Handlungsbedarf2
Dokumentierte Restrisiken3
Automatisierte Tests, davon fehlgeschlagen185 / 0
\n

2. Prüfung nach DSGVO

\n

2.1 Grundsätze, Art. 5

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
GrundsatzBewertungNachweis im Code
Rechtmäßigkeit, Art. 5 Abs. 1 lit. aoffen beim Verantwortlichen — die Rechtsgrundlage (regelmäßig Art. 6 Abs. 1 lit. b/f, im Beschäftigungsverhältnis ggf. § 26 BDSG) ist instanzabhängig—
Zweckbindung, lit. berfüllt: die gelesenen Claims werden ausschließlich für Kontoführung und Zugriffssteuerung verwendetUserInfoMapper, AuthenticationInfoBuilder
Datenminimierung, lit. cteilweise — nur die konfigurierten Claims werden gelesen, Tokens nicht gespeichert; der Gruppen-Claim wird jedoch unverändert vollständig übernommen → Befund B-03UserInfoMapper, GroupStore
Richtigkeit, lit. derfüllt: Anzeigename, E-Mail und Gruppen werden bei jeder Anmeldung aus der führenden Quelle aktualisiertUserMigration, GroupSynchronizer
Speicherbegrenzung, lit. eteilweise — flüchtige Speicher mit 10 min / 12 h Frist; die Gruppendatei je Benutzer wird bei Kontolöschung nicht entfernt → Befund B-01StateStore, IdTokenStore, GroupStore
Integrität und Vertraulichkeit, lit. ferfüllt, siehe Abschnitt 2.4; die Identitätsdaten werden nur aus kryptografisch geprüften Tokens übernommenmehrere, u. a. TokenVerifier
Rechenschaftspflicht, Abs. 2unterstützt durch Prozessbeschreibung, diesen Bericht und die DSFA—
\n

2.2 Datenschutz durch Technikgestaltung, Art. 25

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
MaßnahmeUmsetzung
Voreinstellungen datenschutzfreundlichPlugin ist nach Installation deaktiviert (enabled = false); forceLogin, ssoLogout, importRealmRoles und migrateLocalUsers sind standardmäßig aus
Übernahme lokaler Konten nur nach ausdrücklicher FreigabeUserMigration verweigert die Anmeldung, wenn ein Konto mit lokalem Passwort existiert, solange migrateLocalUsers nicht gesetzt ist
Keine Tokenhaltung über das Notwendige hinausAccess Token wird nicht gespeichert; ID Token nur im Arbeitsspeicher und nur bis zur Abmeldung
Keine Datenweitergabe an den Herstellerkeine Telemetrie, keine ausgehenden Verbindungen außer zum konfigurierten IdP
Zweckgebundene Speicherstruktureine Datei je Benutzer, ausschließlich mit Gruppennamen — gezielt löschbar
\n

2.3 Verzeichnis von Verarbeitungstätigkeiten, Art. 30

\n

Die für einen Eintrag erforderlichen technischen Angaben liefert die\nProzessbeschreibung: Zwecke (Abschnitt 2), Kategorien betroffener\nPersonen und Daten (3), Empfänger (12), Speicherfristen (10), technische Maßnahmen (siehe unten).\nZu ergänzen sind durch den Verantwortlichen: Name und Kontakt des Verantwortlichen und des\nDatenschutzbeauftragten, Rechtsgrundlage, ggf. Drittlandbezug des IdP.

\n

2.4 Sicherheit der Verarbeitung, Art. 32

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
Nr.MaßnahmeUmsetzung im Code
M-01Authorization Code Flow mit vertraulichem Client; kein Token im Browser-UmlaufOAuth2AuthenticationResource, OAuth2RestClient
M-02PKCE (S256, RFC 7636); Verifier verlässt den Server nichtPkce, StateStore
M-03state als CSRF-Schutz, 24 Byte aus SecureRandom, einmalig einlösbarStateStore
M-04Bindung des state an den Browser über HttpOnly-Cookie; zeitkonstanter Vergleich — verhindert Login-CSRF (RFC 9700 Abschn. 4.7)StateCookie, MessageDigest.isEqual
M-05Cookie-Attribute: HttpOnly, SameSite=Lax, Secure bei HTTPS, Pfad auf den Kontextpfad begrenztStateCookie
M-06Begrenzung offener Anmeldevorgänge auf 10.000 mit Verdrängung der ältesten — begrenzt Speichererschöpfung über den anonymen EndpunktStateStore
M-07Umleitungsziele nur instanzintern; abgewiesen werden fehlende, protokollrelative (//host), /\\-präfixierte sowie CR/LF-behaftete WerteOAuth2AuthenticationResource.sanitizeRedirect
M-08Keine Rückgabe von IdP-Meldungen oder internen Fehlertexten an den Browser (statische 401-Texte)OAuth2AuthenticationResource.unauthorized
M-09Client-Secret verschlüsselt gespeichert, von der API nie ausgeliefert, leere Eingabe erhält den BestandOAuth2Configuration, ConfigurationResource
M-10Endpunkt-URLs auf absolute http/https-URLs mit Host beschränkt — begrenzt SSRF-Fläche des SchreibrechtsConfigurationResource.isHttpUrl
M-11TLS-Zertifikatsprüfung aktiv; Abschaltung ausschließlich in der Entwicklungs-StageOAuth2RestClient, DiscoveryClient
M-12Erzwungene Anmeldung nur mit signaturgeprüftem Access-Token-Cookie umgehbarForceOAuth2LoginFilter
M-13Rechteänderungen nur über die Kern-API mit erweiterten Rechten, begrenzt auf die Einzelberechtigung * des betroffenen BenutzersAdminGroupSynchronizer
M-14Gruppennamen werden normalisiert statt ungeprüft übernommen; identische Namen kollabierenGroupNameSanitizer
M-15Keine Protokollierung von Tokens, code, state, Verifier oder Secret; keine personenbezogenen Inhalte über die Benutzerkennung hinausdurchgängig, UserInfoMapper
M-16Signaturprüfung des ID Tokens gegen den JSON Web Key Set des IdP (RS/PS/ES-Familie) bzw. gegen das Client-Secret (HS-Familie); ein vorhandenes, aber ungültiges Token bricht die Anmeldung abTokenVerifier, Jws, JwsAlgorithm, JwksClient, JwksProvider
M-17Algorithmen-Allowlist: alg: none und unbekannte Verfahren werden abgewiesen, der Algorithmus bestimmt den zulässigen Schlüsseltyp (Schutz vor Algorithm Confusion), ein crit-Header wird abgewiesenJwsAlgorithm, Jws
M-18Nonce je Anmeldung: wird an den Authorization-Endpunkt gesendet und im ID Token geprüft — bindet das Token an genau diese Anmeldung (OIDC Core 3.1.3.7 (11))StateStore, OAuth2AuthenticationResource, TokenVerifier
M-19Claim-Prüfung: iss gegen den Issuer der Discovery, aud/azp gegen die Client-ID, exp/nbf/iat mit 60 s Toleranz; Rollen werden ausschließlich aus einem geprüften Access Token importiertTokenVerifier, AccessTokenRoleReader
\n

2.5 Betroffenenrechte, Art. 15–22

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
RechtErfüllbarkeitFundstellen der Daten
Auskunft, Art. 15gegebenBenutzerkonto (Kern), var/data/oauth2Groups/<kennung>.xml, Gruppenmitgliedschaften (Kern), Protokolldateien
Berichtigung, Art. 16über den IdP als führende Quelle; Übernahme mit der nächsten Anmeldung—
Löschung, Art. 17gegeben, jedoch nicht vollständig automatisiert → Befund B-01: die Gruppendatei ist zusätzlich manuell zu entfernen
Einschränkung, Art. 18organisatorisch: Konto deaktivieren (Kern)—
Datenübertragbarkeit, Art. 20regelmäßig nicht anwendbar (keine auf Einwilligung oder Vertrag mit der betroffenen Person gestützte Verarbeitung im Sinne der Norm)—
Automatisierte Entscheidung, Art. 22Zuweisung/Entzug von Zugriffsrechten anhand der Gruppenzugehörigkeit; nach hiesiger Einschätzung kein Fall des Art. 22 Abs. 1, da keine Entscheidung mit rechtlicher Wirkung oder ähnlich erheblicher Beeinträchtigung — Bewertung im Einsatzkontext beim VerantwortlichenAdminGroupSynchronizer, GroupSynchronizer
\n

2.6 Meldung von Verletzungen, Art. 33/34

\n

Das Plugin liefert die für eine Bewertung nötigen Spuren: fehlgeschlagene Anmeldungen und\nabgelehnte Kontoübernahmen auf WARN, Rechtezuweisungen und Mitgliedschaftsänderungen auf INFO.\nZu beachten: abgewiesene state-Prüfungen (state does not match) sind der Indikator für einen\nLogin-CSRF-Versuch und sollten in die Auswertung aufgenommen werden.

\n

3. Prüfung nach NIS2

\n

Das Plugin ist keine „Einrichtung\" im Sinne der Richtlinie; Adressat der Pflichten ist der\nBetreiber. Die Tabelle weist nach, welchen Beitrag die Software zu den Risikomanagement-Maßnahmen\nnach Art. 21 Abs. 2 leistet und welche Aufgabe beim Betreiber bleibt.

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
Lit.Maßnahme nach Art. 21 Abs. 2Beitrag des PluginsAufgabe des Betreibers
aRisikoanalyse, Sicherheit für Informationssystemedokumentierte Datenflüsse, Angriffsflächen und Restrisiken (Prozessbeschreibung, Abschnitt 4 dieses Berichts)Einordnung in das eigene ISMS
bBewältigung von SicherheitsvorfällenProtokollierung sicherheitsrelevanter Ereignisse (Abschnitt 2.6)Auswertung, Alarmierung, Meldewege nach Art. 23
cBetriebskontinuität, Backup, Krisenmanagementzustandsarme Auslegung: nur config/oauth2.xml und var/data/oauth2Groups/ sind sicherungsrelevant; flüchtige Speicher sind nach einem Neustart entbehrlich (Anmeldung wiederholen, Abmeldung ohne Hint)Backup dieser Pfade, Wiederanlaufprüfung, Verfügbarkeit des IdP als Single Point of Failure
dSicherheit der Lieferkettekeine eigenen Laufzeitabhängigkeiten — alle genutzten Bibliotheken stellt der SCM-Manager-Kern bereit; Lizenz AGPL-3.0-only, Quellcode vollständig einsehbar; Build über den offiziellen org.scm-manager.smp-Gradle-PluginBezugsquelle des .smp prüfen, Kern aktuell halten, IdP-Anbieter bewerten
eSicherheit bei Entwicklung und Wartung, Schwachstellenmanagement185 automatisierte Tests (0 Fehler), drei durchgeführte Sicherheitsprüfungen mit umgesetzten Maßnahmen, vollständige Quellcodedokumentation, Sourcecode-StatistikUpdate-Prozess, Meldeweg für Schwachstellen, Beobachtung des Projekts
fBewertung der WirksamkeitTests decken die Schutzmaßnahmen gezielt ab (u. a. state-Bindung, gefälschtes Cookie, Umleitung auf Fremdhost, PKCE, Secret-Handhabung sowie 28 Fälle zur Signatur- und Claim-Prüfung gegen echte Schlüsselpaare)regelmäßige Wirksamkeitsprüfung, ggf. Penetrationstest
gCyberhygiene und SchulungAdministrationsoberfläche mit Hilfetexten zu jedem Feld, ausführliche Betriebsdokumentation in zwei SprachenSchulung der Administratoren
hKryptografie und VerschlüsselungTLS mit Zertifikatsprüfung, PKCE mit SHA-256, SecureRandom für state, Verifier und Nonce, verschlüsseltes Client-Secret, signaturgeprüfte Access Tokens des Kerns sowie Signatur- und Claim-Prüfung der IdP-Tokens gegen den JWKS-EndpunktTLS-Konfiguration und Zertifikatsverwaltung, Schlüsselmaterial des Kerns
iPersonalsicherheit, Zugriffskontrolle, Anlagenverwaltungrechtebasierter Zugang zur Konfiguration (configuration:read/write:oauth2), zentrale Rechtevergabe über IdP-Gruppen, automatischer Entzug bei WegfallVergabe des Schreibrechts nach Vier-Augen-Prinzip (siehe R-04), Pflege der Gruppen im IdP
jMFA, gesicherte Kommunikation, NotfallkommunikationMehrfaktor-Authentifizierung wird an den IdP delegiert und damit für SCM-Manager wirksam; SSO ist der Zweck der KomponenteMFA im IdP erzwingen, Notfallzugang ohne SSO vorhalten (siehe R-05)
\n

Meldepflichten, Art. 23

\n

Für die Fristen (Frühwarnung 24 h, Meldung 72 h) sind die in Abschnitt 2.6 genannten Ereignisse die\ntechnische Grundlage. Das Plugin selbst versendet keine Meldungen.

\n

4. Befunde und Maßnahmen

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
IDBefundEinstufungMaßnahmeZuständig
B-01Bei Löschung eines Benutzerkontos bleibt var/data/oauth2Groups/<kennung>.xml bestehen; das Plugin registriert keinen Listener auf Löschereignisse. Der Dateiname ist die Benutzerkennung, der Inhalt sind Gruppenzugehörigkeiten.mittel — Art. 5 Abs. 1 lit. e, Art. 17 DSGVOkurzfristig: Löschung in den Offboarding-Prozess aufnehmen (Datei entfernen). Mittelfristig: Ereignis-Listener im Plugin ergänzen, der die Datei beim Löschen des Benutzers entfernt.Betreiber / Entwicklung
B-02UserInfoMapper protokolliert bei syntaktisch ungültiger Adresse die E-Mail-Adresse samt Benutzerkennung auf INFO.gering — Datenminimierung in ProtokollenErledigt in 1.0.2: die Adresse wird nicht mehr protokolliert, die Meldung nennt nur noch Benutzerkennung und Länge des Wertes.—
B-03Der Gruppen-Claim wird vollständig übernommen. Produktive IdP-Installationen liefern dort häufig auch Organisations-, Beschäftigungs- oder Standortmerkmale, die für SCM-Manager nicht erforderlich sind.mittel — Art. 5 Abs. 1 lit. c DSGVOGruppen-/Rollen-Claim im IdP auf die für SCM-Manager benötigten Gruppen beschränken (dedizierter Client-Scope bzw. gefilterter Mapper). Zusätzlich prüfen, ob importRealmRoles benötigt wird.Betreiber
\n

5. Dokumentierte Restrisiken

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
IDRestrisikoBewertungBehandlung
R-01Das ID Token wird nicht signaturgeprüft, ein nonce wird nicht verwendet.Erledigt in 1.0.2: Signatur, Issuer, Audience, Laufzeit und Nonce werden geprüft; ein ungültiges Token bricht die Anmeldung ab—
R-02Der Payload des Access Tokens wird für den Rollenimport ohne Signaturprüfung gelesen.Erledigt in 1.0.2: Rollen werden nur aus einem signatur- und claimgeprüften Access Token importiert; andernfalls keine Rollen—
R-06Ohne JWKS-Endpunkt (manuelle Endpunkt-Konfiguration ohne jwksUrl) kann kein Token geprüft werden. In diesem Fall wird das ID Token verworfen und es werden keine Rollen aus dem Access Token importiert; der SSO-Logout erfolgt dann ohne id_token_hint. Ist ein Schlüsselsatz konfiguriert, aber nicht erreichbar, scheitert die Anmeldung (fail closed) — neue Abhängigkeit der Verfügbarkeit vom JWKS-Endpunkt.bewusst gewählt: nicht überprüfbare Daten werden nicht verwendetDiscovery-URL nutzen oder jwksUrl konfigurieren; Erreichbarkeit des JWKS-Endpunkts überwachen (liegt in der Regel auf demselben Host wie der Authorization-Endpunkt); Warnungen des Plugins auswerten
R-03In der Entwicklungs-Stage ist die TLS-Zertifikatsprüfung abgeschaltet.im Produktivbetrieb nicht wirksamBetriebsvorgabe: Produktivsysteme nie in der Entwicklungs-Stage betreiben
R-04Wer configuration:write:oauth2 besitzt, kann den IdP umkonfigurieren und damit faktisch Administratorrechte erlangen.strukturell, nicht auflösbarRecht wie ein Administratorrecht behandeln, restriktiv vergeben, Änderungen protokollieren/reviewen
R-05Vertrauensmodell: Wer Gruppen im IdP pflegen kann, steuert über die Admin-Gruppe die Administratorrechte in SCM-Manager. Fällt der IdP aus, ist bei aktiviertem forceLogin keine Anmeldung möglich.inhärent für SSOÄnderungen an der Admin-Gruppe im IdP der Änderungskontrolle unterwerfen; lokales Notfallkonto vorhalten und forceLogin bewusst wählen
\n

6. Nachweise

\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
NachweisFundstelle
Datenflüsse, Speicherorte, FristenPROZESS_BESCHREIBUNG.md
Risikobetrachtung für betroffene PersonenDATENSCHUTZ_FOLGEABSCHAETZUNG.md
Umfang, Testabdeckung, DokumentationsgradSOURCECODE_STATISTIK.md
Sicherheitshinweise für den Betrieb../README_de.md, Abschnitt „Sicherheitshinweise\"
Änderungsverlauf../CHANGELOG.md
API-Dokumentationjavadoc/index.html
Testergebnisse./gradlew test, Berichte unter build/reports/tests/test/
Wirksamkeitsnachweis der Tokenprüfung (Art. 21 Abs. 2 lit. f NIS2)Live-Verifikation am 17.08.2026 gegen die Keycloak-Testinstanz: Anmeldung, Prüfung von ID Token und Access Token (RS256), Rollenimport und RP-initiated Logout mit id_token_hint erfolgreich; der Verschlüsselungsschlüssel des Schlüsselsatzes wurde erwartungsgemäß übersprungen. Protokollauszug bei aktivem DEBUG-Level
\n

Nächste Überprüfung: bei jeder Änderung der verarbeiteten Claims, der Speicherorte oder der\nDatenflüsse, mindestens jedoch bei jedem Minor-Release.

","description":"Compliance-Bericht — scm-oauth2-plugin Dokumentversion: 1.1 · Stand: 17.08.2026 · Softwarestand: scm-oauth2-plugin 1.0.2\nPrüfgegenstand: Quellcode und…","tableOfContents":"","frontmatter":{"title":"","subtitle":null,"description":null,"keywords":null,"displayToc":null,"image":null}}},"pageContext":{"name":"scm-oauth2-plugin","slug":"/plugins/scm-oauth2-plugin/docs/1.0.x/COMPLIANCE_BERICHT/","version":"1.0.x","latestVersion":"1.0.x","latestPageVersion":"1.0.x","language":"COMPLIANCE_BERICHT","canonicalPath":"/plugins/scm-oauth2-plugin/docs/latest/COMPLIANCE_BERICHT/","latestRootPath":"/plugins/scm-oauth2-plugin/docs/1.0.x/COMPLIANCE_BERICHT/"}}, "staticQueryHashes": ["1973669194","2742214048","2956773653","2957019495","698804963"]}