Kinder-Messenger · Sicherheit · v469

Was passiert, wenn jemand
sich reinhacken will?

Jede bekannte Angriffsart und die Antwort des Systems — von Passwort-Raten über Scanner bis zum gestohlenen Sitzungs-Token. Ohne Umgehungswege, ohne echte Zugangsdaten.

3Fehlversuche bis zur dauerhaften Mehrfach-Sperre
0automatische Entsperrung — nur der Betreiber löst manuell
18dokumentierte Angriffsarten (Art 1 – Art 18)
31Sperrarten im Katalog
🔒 Dauersperre = kein Zeitlimit 🚫 IP + Netz + Konto + Gerät 📧 Panel-Versuche per E-Mail gemeldet 💬 Neuer Link + Passwort nur über Discord 🧾 Jede Sperre im Protokoll
Art 1

Passwort raten (App-Anmeldung)

Angriff: Jemand probiert fremde E-Mail-Adressen mit Wörterbuch-Passwörtern durch.

  • 3 Fehlversuche je Konto und Rechner — danach ist die IP DAUERHAFT gesperrt.
  • Die Sperre gilt für die gesamte App-API und den Echtzeit-Kanal, nicht nur für den Login.
  • Kein Zeitlimit, kein automatisches Freischalten. Ein erfolgreicher Login setzt den Zähler zurück.
  • Entsperren kann nur der Betreiber — manuell, nach Prüfung.
DAUERSPERRE
Art 2

Geheim-ID raten

Angriff: Jemand rät die Geheim-ID (3 Buchstaben + 6 Ziffern), mit der sich Kinder ohne E-Mail anmelden.

  • Formatfehler, unbekannte ID und falscher 2FA-Code zählen als Fehlversuch.
  • Beim dritten Fehlversuch wird die IP dauerhaft gesperrt — überall, ohne Zeitfenster.
  • Die reine Aufforderung „2FA-Code eingeben“ ist KEIN Fehlversuch.
  • Ein richtiger Login setzt den Zähler dieser IP zurück.
DAUERSPERRE
Art 3

Eltern-Code / Kontowiederherstellung

Angriff: Jemand versucht, über den Eltern-Code ein Kindskonto zu übernehmen.

  • Der Eltern-Code ist einmalig, zeitlich begrenzt und an die verknüpfte Eltern-E-Mail gebunden.
  • Falsche Codes zählen in denselben Fehlversuch-Topf wie Passwort und Geheim-ID.
  • Beim dritten echten Fehler: dauerhafte IP-Sperre für Panel und App.
  • Ein erfolgreicher Abschluss setzt den Zähler zurück.
DAUERSPERRE
Art 4

2FA-Code raten

Angriff: Jemand hat ein Passwort und probiert jetzt die sechsstellige Zwei-Faktor-App durch.

  • TOTP-Codes gelten 30 Sekunden; geprüft wird mit ±30 Sekunden Toleranz.
  • Notfall-Codes sind einmalig gültig und werden nach Benutzung verbraucht.
  • Jeder falsche Code zählt als Fehlversuch — beim dritten ist die IP dauerhaft gesperrt.
  • Ohne gültigen zweiten Faktor gibt es keine Sitzung.
DAUERSPERRE
Art 5

6-stelligen E-Mail-Code raten

Angriff: Jemand fordert einen Login-Code an und probiert die 1.000.000 Möglichkeiten durch.

  • Pro Code sind genau 3 Versuche erlaubt; danach ist der Code endgültig verbraucht.
  • Ein Code gilt 15 Minuten, ist einmalig und an die E-Mail-Adresse gebunden.
  • Ein neuer Code kann erst nach 60 Sekunden angefordert werden.
  • Ein Login-Ticket ist ebenfalls einmalig, 10 Minuten gültig und adressgebunden.
MAX. 3 VERSUCHE
Art 6

Verknüpfungscode raten (Eltern ↔ Kind)

Angriff: Ein Elternkonto probiert die sechsstelligen Verknüpfungscodes durch.

  • Gezählt wird pro Elternkonto, nicht pro IP — wechselnde IP-Köpfe helfen nicht.
  • Nach 3 Fehlversuchen: 10 Minuten Pause und die Aufforderung, einen neuen Code anzufordern.
  • Erst ein erfolgreicher Abschluss löscht den Zähler.
10 MIN. PAUSE
Art 7

Panel-Schlüssel raten

Angriff: Jemand will ins Betreiber-Panel und probiert den Zugangsschlüssel durch.

  • 3 Fehlversuche — danach ist die IP dauerhaft gesperrt, für Panel UND gesamte App.
  • Jeder Versuch wird protokolliert; ist ein Mail-Weg eingerichtet, geht sofort eine E-Mail an den Betreiber.
  • Die E-Mail nennt Zeit, Ergebnis, IP, Land, Stadt, Anbieter, Gerät, Pfad und Kopfzeilen.
  • Das eingegebene Passwort steht NICHT im Klartext in der Mail — nur Länge und SHA-256-Präfix.
  • Zusätzlich meldet sich der Alarm-Webhook (Discord/Telegram), wenn eingerichtet.
DAUERSPERRE
Art 8

Panel-Link (50 Zeichen) raten

Angriff: Jemand hat die Panel-Adresse gefunden und probiert den wechselnden Link-Token durch.

  • Der Link besteht aus 50 zufälligen Zeichen; geraten wird daran nichts.
  • 3 falsche Links — danach ist die IP dauerhaft gesperrt.
  • Die Tür dreht sich automatisch: neuer Link und neues Passwort, höchstens einmal pro Stunde.
  • Der neue Zugang geht über Discord an den Betreiber — ausdrücklich NICHT per E-Mail.
  • Die E-Mail meldet nur den Angriff und ob der Discord-Versand geklappt hat.
DAUERSPERRE + WECHSEL
Art 9

Gesperrte Sicherheits-ID oder alter Link

Angriff: Jemand benutzt einen alten, gefundenen oder ausdrücklich gesperrten Zugang.

  • Keine drei Versuche: Die IP wird SOFORT dauerhaft gesperrt.
  • Der alte Link ist nach jeder Rotation tot; das alte Passwort kann zusätzlich gesperrt werden.
  • Betreiber erhalten sofort E-Mail und Alarm mit allen Zugangsdaten.
  • Weitere Versuche laufen nur noch in die Dauersperre (429).
SOFORTSPERRE
Art 10

Scanner, Honeypot und verbotene Pfade

Angriff: Bots suchen nach /admin, /.env, /.git, wp-admin, phpmyadmin, config.php, backup, shell und Ähnlichem.

  • Die Cloud antwortet mit 404 — die Pfade existieren dort nicht.
  • Der PC-Server hat einen Honeypot: Treffer bedeuten 24 Stunden Sperre und einen Alarm.
  • Verdächtige Pfade werden gezählt, protokolliert und ab einer Grenze mit 403 und Alarm beantwortet.
  • Pfad-Manipulation mit .., Null-Bytes oder kodierten Punkten wird ebenfalls abgewiesen.
404 / 403 / ALARM
Art 11

CSRF und fremde Herkunft

Angriff: Eine fremde Webseite schickt im Hintergrund POST-Anfragen an die API.

  • Schreibende Anfragen mit fremder Herkunft werden mit 403 abgewiesen.
  • Cross-Site-Anfragen (Sec-Fetch-Site: cross-site) werden ebenfalls blockiert.
  • Erlaubt sind nur die eigenen Adressen und ausdrücklich eingetragene Origins.
  • Aufrufe ohne Origin brauchen weiterhin ein gültiges Bearer-Token.
403
Art 12

Anfragen-Flut und DDoS

Angriff: Jemand schickt tausende Anfragen, um den Dienst lahmzulegen.

  • PC-Server: 600 Anfragen pro Minute und 60 Schreibzugriffe pro Minute je Rechner.
  • Danach: 429 mit Wartezeit — der Dienst bleibt für alle anderen erreichbar.
  • Cloud: Login, Geheim-ID und Panel haben eigene harte Grenzen; Cloudflare WAF und DDoS-Schutz liegen davor.
  • Der Echtzeit-Kanal prüft die IP-Sperre VOR dem WebSocket-Handshake.
429
Art 13

Gast-Konten-Spam

Angriff: Jemand legt automatisch hunderte Test-Konten an.

  • Höchstens 200 Gast-Konten pro IP und Stunde — eine ganze Schulklasse passt bequem hinein.
  • Danach: 429 „Zu viele Test-Konten von dieser Adresse“.
  • Wer sich mit einer Geheim-ID anmeldet, zählt dabei nicht mit.
429
Art 14

Sperre umgehen (neuer Browser, Privatmodus)

Angriff: Jemand löscht Cookies und localStorage und hofft, die Sperre sei damit weg.

  • Die Sperre hängt an der IP und steht in der zentralen Datenbank — nicht im Browser.
  • Alle Worker-Knoten und der Echtzeit-Kanal sehen dieselbe Sperre.
  • Ein neuer Browser, ein neues Gerät oder der Privatmodus ändern daran nichts.
  • Aufheben kann sie nur der Betreiber; sie endet nicht von selbst.
DAUERSPERRE
Art 15

Gestohlener Sitzungs-Token

Angriff: Jemand kopiert einen Sitzungs-Token aus einem Browser oder Netzwerk.

  • Panel-Sitzungen gelten höchstens 30 Minuten; danach ist der Token wertlos.
  • Das wechselnde Panel-Passwort liegt nur als SHA-256-Hash in der Datenbank.
  • App-Sitzungen lassen sich geräteweise und komplett beenden; Abmelden löscht die Sitzung.
  • Ein Sitzungs-Token ersetzt nie den zweiten Faktor beim Login.
MAX. 30 MIN.
Art 16

Fremde Daten abrufen

Angriff: Ein manipulierter API-Aufruf versucht Chats, Standort oder Meldungen anderer Familien zu lesen.

  • Ohne gültige Sitzung: 401. Ohne Berechtigung: 403.
  • Eltern sehen nur ihr eigenes verknüpftes Kind im Klartext — fremde Kinder bleiben gefiltert.
  • Gemeldete Nachrichten sind die einzige Ausnahme, und nur für die zuständigen Eltern.
  • Die API verrät nicht, ob eine E-Mail-Adresse existiert oder ein Elternkonto hat.
401 / 403
Art 17

Notfall-Modus und laufender Angriff

Angriff: Ein Angriff läuft bereits — oder es besteht der Verdacht auf einen Einbruch.

  • Notfall-Modus: Schreiben wird mit 503 gesperrt, Lesen und Health bleiben erreichbar.
  • Der Betreiber kann Schlüssel, Panel-Zugang und Discord-Ziel sofort ändern.
  • Alle Sperren, Honeypot-Treffer und Panel-Versuche landen im Protokoll und im Alarm.
  • Es werden KEINE echten Konten, Chats oder Nachrichten gelöscht — nur Zugänge gesperrt.
503 / PROTOKOLL
Art 18

Mehrfach-Sperre — nicht nur die IP

Angriff: Jemand versucht nach drei Fehlversuchen mit neuem Browser, neuer Sitzung oder anderem Gerät weiterzumachen.

  • Gesperrt werden IP, IPv4, IPv6, das Netz (/24 bzw. /64), Session, Token, Konto, Gerät und Cookie — soweit vorhanden.
  • Die Sperre steht zentral in der Datenbank; alle Worker-Knoten und der Echtzeit-Kanal prüfen sie.
  • Ein neuer Browser oder ein gelöschtes Cookie hilft nicht: IP- und Netz-Sperre bleiben.
  • ASN, Internetanbieter, Land und Region sind vorhanden, werden aber nur mit SPERR_WEIT=1 automatisch gesetzt — sonst würde ein Angreifer ganze Regionen aussperren.
  • Browser-, User-Agent- und Fingerprint-Sperren sind manuell, weil sie leicht fälschbar sind. MAC und Hardware-ID sind im Internet technisch nicht verfügbar.
MEHRFACH-SPERRE

Die 31 Sperrarten

Nicht nur die IP: Bei einer Sperre werden alle Kennungen erfasst, die die Anfrage hergibt. Die Stufe steht an jeder Karte — AUTO gilt sofort, SPERR_WEIT nur mit ausdrücklichem Schalter, NETZ liegt vor dem Worker, MANUELL bleibt dem Betreiber vorbehalten.

IP-BanAUTO

Die einzelne IP-Adresse wird dauerhaft gesperrt.

IPv4-BanAUTO

IPv4-Adresse wird zusätzlich als eigener Eintrag gesperrt.

IPv6-BanAUTO

IPv6-Adresse wird zusätzlich als eigener Eintrag gesperrt.

IP-Range-BanAUTO

Das umliegende Netz wird gesperrt (IPv4 /24, IPv6 /64).

Subnet-BanAUTO

Dasselbe Netzsegment wie IP-Range, als eigene Sperre geführt.

ASN-BanSPERR_WEIT

Der gesamte Internet-Anschluss (ASN) wird gesperrt. Nur mit SPERR_WEIT=1.

ISP-BanSPERR_WEIT

Der Internetanbieter wird gesperrt. Nur mit SPERR_WEIT=1.

Country-BanSPERR_WEIT

Das Land der IP wird gesperrt. Nur mit SPERR_WEIT=1.

Region-BanSPERR_WEIT

Die Region der IP wird gesperrt. Nur mit SPERR_WEIT=1.

VPN-BanBEDINGT

VPN-Adressen aus SPERR_VPN_ASNS werden erkannt und gesperrt.

Proxy-BanBEDINGT

Proxy-Adressen aus SPERR_PROXY_IPS werden erkannt und gesperrt.

Tor-BanBEDINGT

Tor-Ausgänge aus SPERR_TOR_EXITS werden erkannt und gesperrt.

DNS-BlockNETZ

Domain-Sperre auf DNS-/Firewall-Ebene — nicht im Worker.

Cookie-BanAUTO

Die Kennung im Cookie km_kennung wird gesperrt.

Session-BanAUTO

Die laufende Sitzung wird sofort ungültig.

Token-BanAUTO

Bearer- und Panel-Token werden gehasht gesperrt.

Account-BanAUTO

Das angemeldete Konto wird gesperrt (nicht bei fremden Fehlversuchen).

Device-BanAUTO

Die Geräte-ID (x-geraet / Sitzung) wird gehasht gesperrt.

Browser-BanMANUELL

Browser-Kennung — nur manuell, sonst trifft es ganze Browserfamilien.

User-Agent-BanMANUELL

Exakter User-Agent — nur manuell, weil er leicht fälschbar ist.

Fingerprint-BanMANUELL

Browser-Fingerprint — nur manuell und nur wenn der Client ihn sendet.

Hardware-ID-BanMANUELL

Hardware-Kennung — im Browser nicht verfügbar, nur manuell/lokal.

MAC-BanMANUELL

MAC-Adresse — nur im lokalen Netzwerk möglich, nicht im Internet.

Rate-LimitAUTO

Bremse für Anfragen und Schreibzugriffe (429).

API-BanAUTO

Jede API-Route antwortet für die gesperrte Identität mit 429.

Port-BlockNETZ

Port-Sperre auf Firewall-Ebene — nicht im Worker.

Firewall-BanNETZ

Netzwerkzugriff auf Firewall-/Host-Ebene sperren.

WAF-BanNETZ

Webanfragen an der Cloudflare-WAF abweisen.

CAPTCHA-ZwangNETZ

Zugriff erst nach Prüfung — braucht einen CAPTCHA-Dienst.

Geo-IP-BlockSPERR_WEIT

Zugriff anhand des IP-Standorts sperren. Nur mit SPERR_WEIT=1.

Referrer-BlockBEDINGT

Zugriffe mit fremdem Referrer werden abgewiesen (nur mit SPERR_REFERRER=1).

Erkannte Identifikatoren

Warum nicht alles automatisch? ASN-, ISP-, Länder- und Regionssperren können tausende unbeteiligte Familien treffen. Sie sind eingebaut, aber nur mit SPERR_WEIT=1 scharf. MAC- und Hardware-Sperren sind im offenen Internet nicht möglich, DNS-, Port-, Firewall- und WAF-Sperren gehören auf die Netzwerkebene. Diese Seite behauptet nichts, was der Worker nicht kann.
Wichtig: Diese Seite beschreibt ausschließlich, wie das System reagiert. Sie enthält keine Schlüssel, keine Passwörter, keine Umgehungsanleitungen und keine personenbezogenen Daten. Bei einer Sperre werden keine Konten, Chats oder Nachrichten gelöscht — nur der Zugang wird gesperrt.