Sicherheit

Was die App auf dem Computer tut

Die Desktop-App läuft unter Windows. Das Overlay im Spiel wird über dem Spielfenster gezeichnet.

• Spieldaten werden nur aus offiziellen lokalen Quellen gelesen, die die Spiele bereitstellen: Game State Integration für CS2 und Dota unter 127.0.0.1, die Kampflogdatei von World of Warcraft und der gemeinsame Speicher von iRacing.
• Diese Quellen werden nur auf demselben Computer gelesen.
• Bildschirmfreigabe, Spielfreigabe und Clipaufnahme finden nur statt, wenn der Spieler sie einschaltet.
• Spielclips werden lokal auf dem Computer gespeichert.

Was die App nicht tut

• Sie hat keinen Kerneltreiber.
• Sie schleust keinen Code in Spielprozesse ein.
• Sie liest den Speicher anderer Programme nicht. Die einzige Ausnahme ist der gemeinsame Speicher, den iRacing zu diesem Zweck über sein SDK bereitstellt.
• Sie läuft nicht mit Administratorrechten.

Updates

Jedes Update ist kryptografisch signiert (minisign, über den Tauri-Updater). Die App lehnt ein Update ab, dessen Signatur nicht zu dem in die App eingebauten Schlüssel passt.

Updates werden über HTTPS von GitHub Releases heruntergeladen.

Konten

• TeamBase speichert Passwörter nie im Klartext. Die Anmeldung übernimmt Supabase Auth, das Passwörter mit bcrypt speichert.
• Die Anmeldung läuft über eine Serverfunktion, die ein CAPTCHA (Cloudflare Turnstile), eine Begrenzung der Versuche und die E-Mail-Bestätigung neuer Geräte verwendet.
• Bei der Registrierung und bei einer Passwortänderung wird das Passwort mit der Datenbank geleakter Passwörter Have I Been Pwned nach der k-Anonymity-Methode abgeglichen.

Datenzugriff

• Zugriffsregeln werden auf dem Server in der Datenbank durchgesetzt (Row-Level Security). Die App kann keine privaten Nachrichten, Gilden oder Kanäle lesen, die der Server nicht erlaubt.
• Sprache läuft über LiveKit (WebRTC) und ist bei der Übertragung verschlüsselt.
• Die Spielfreigabe zwischen Freunden erfolgt direkt zwischen den Computern (Peer-to-Peer).

Tests und Prüfungen

Vor jeder Veröffentlichung laufen Tausende automatisierter Tests. Die Desktop-App hat etwa 1.200 Backend-Tests und etwa 3.900 Frontend-Tests.

TeamBase führt außerdem interne Sicherheitsprüfungen durch. Die letzte, vom 14. Oktober 2026, betraf die Datenbankregeln, die Serverfunktionen, die Desktop-App und die Website. Die gefundenen Probleme wurden in Version 0.1.96 behoben.

Grenzen

Der Quellcode ist nicht offen. Ein unabhängiges externes Audit hat bisher nicht stattgefunden. Es ist geplant, sobald die Zahl der Nutzer wächst. Bis dahin sind Meldungen von außen willkommen.

Schwachstelle melden

Meldungen gehen an support@teambase.lol. In der Nachricht sollten das Problem und die Schritte zu seiner Reproduktion beschrieben werden.

• Bitte nicht an Konten oder Daten anderer Nutzer testen.
• Bitte keine Denial-of-Service-Angriffe durchführen.
• Eine Antwort erfolgt innerhalb weniger Tage.
• Auf Wunsch wird der Melder im Changelog genannt.