>Renamed app "standards" to "dokumente" - finally working as expected.

Reviewed-on: #1

.gitignore

@@ -1,4 +1,3 @@
-r0126.txt
 __pycache__/
 **/*.pyc
 lib/
@@ -7,5 +6,7 @@ bin/
 pyvenv.cfg
 include/
 keys/
+.venv/
+.idea/
 
 *.kate-swp

Dockerfile

@@ -29,5 +29,6 @@ RUN rm -rf /app/Dockerfile* \
            /app/data-loader \
            /app/keys \
            /app/requirements.txt
+RUN python3 manage.py collectstatic
 CMD ["gunicorn","--bind","0.0.0.0:8000","--workers","3","VorgabenUI.wsgi:application"]
 

Documentation/import formats/r009.txt

@@ -0,0 +1,337 @@
+>>>Einleitung
+>>>text
+Dieser Standard unterliegt den Definitionen vom Zentraldokument für Standard IT-Sicherheit. Ziel & Zweck, Änderungswesen etc. sind da definiert und werden hier nicht ein zweites Mal aufgeführt.
+
+
+>>>geltungsbereich
+>>>text
+Dieser Standard dient als Umsetzungsanforderung für Richtlinien IT-Sicherheit zu Serversystemen im BIT. Betroffen sind von diesem Standard grundsätzlich alle Serversysteme . Einzelne, explizite Ausschlüsse werden in den Anforderungen spezifiziert
+
+>>>Vorgabe Organisation
+>>>Nummer 1
+>>>Titel
+R0009.2.1	CMDB-Erfassung
+>>>Kurztext
+>>>Text
+Die Konfigurationsmanagement-Datenbank stellt die integrierte Informationsgrundlage für das Service-Management BIT sicher und ist das IT-Repository fürs IT-Sicherheitsmanagement.
+>>>Langtext
+>>>Text
+Jedes Asset (Server, Gateway, Router, Switch usw.), dass sich im BIT-Netz befindet, muss in einer möglichst standardisierten Form dokumentiert sein. Ist die Betriebsverantwortung bei einem anderen Leistungserbringer, ist dies entsprechend zu dokumentieren und einzufordern.
+
+
+>>>Vorgabe Technik
+>>>Nummer 1
+>>>Titel
+Dienste und Protokolle
+>>>Kurztext
+>>>Text
+Nicht benötigte Dienste und Protokolle deaktivieren
+>>>Langtext
+>>>Text
+Nach einer Standardinstallation von Systemen und Softwareprodukten sind typischerweise lokale oder aus dem Netz erreichbare Dienste und Protokolle aktiv, die für den Betreib und die Funktionalität des Systems nicht notwendig sind. Hierzu gehören auch Dienste und Protokolle, die aufgrund ihrer bekannten Sicherheits-Schwachstellen, die gegebenen falls für die Verletzung von Schutzzielen wie Vertraulichkeit, Integrität und Verfügbarkeit genutzt werden können. Solche Dienste (wie z.B. SSL anstatt TLS) und Protokolle müssen auf einem System vollständig deaktiviert sein (System-Härtung). Dabei ist es wichtig zu beachten, dass die Deaktivierung auch nach einem Neustart des Systems bestehen bleibt.
+
+Als Referenz für System-Härtung sollen die spezifischen Hersteller Sicherheits-Konfigurationen und weitere Referenzen wie CIS-Workbench angewendet werden.
+
+>>>Vorgabe Technik
+>>>Nummer 2
+>>>Titel
+Einschränkungen Tools auf Serversystemen
+>>>Kurztext
+>>>Text
+Es dürfen keine Entwicklungstools, wie Compiler und Debugger, sowie Source Code Repositories auf einem produktiven Server vorhanden sein.
+>>>Langtext
+>>>Text
+Es dürfen keine Entwicklungstools, wie Compiler und Debugger, sowie Source Code Repositories auf einem produktiven Server vorhanden sein. Falls diese temporär benötigt werden (z.B. in einer krisenbedingten Restore-Situation) dürfen sie nur punktuell und so lange wie nötig auf den Systemen installiert werden.
+
+>>>Vorgabe Technik
+>>>Nummer 3
+>>>Titel
+Erreichbarkeit von Diensten
+>>>Kurztext
+>>>Text
+Dienste können nur eingeschränkt erreichbar sein und die Konfiguration darf nur autorisiert erfolgen.
+>>>Langtext
+>>>Text
+In der Regel sind aktivierte Dienste in der Grundkonfiguration über alle verfügbaren Schnittstellen eines Systems erreichbar und können von anderen Systemen in den angeschlossenen Netzen erreicht werden. Diese Erreichbarkeit ist funktional weder notwendig noch sinnvoll. Daher dürfen auf einem System die Dienste nur auf Schnittstellen aktiviert werden, auf denen deren Nutzung erforderlich ist. Auf den Schnittstellen, auf denen einen Dienst aktiv ist, muss dessen Erreichbarkeit auf legitime Kommunikationspartner eingeschränkt werden. Diese Einschränkung muss lokal, also ohne zusätzliche netzseitige Massnahmen, wie z. B. eine Firewall, erfolgen
+
+Dies kann zum Beispiel durch gegenseitige Authentisierung der Serversysteme mittels Zertifikats oder Key-Austausch erreicht werden.
+
+
+>>>Vorgabe Technik
+>>>Nummer 4
+>>>Titel
+Lokale Firewalls anwenden
+>>>Kurztext
+>>>Text
+Vorgeschaltete Firewwalls bieten keinen umfassenden Schutz.
+>>>Langtext
+>>>Text
+Zonen Übergreifende Firewall oder Netz-Segmentierung sind keine Garantie für eine effiziente Einschränkung an nur berechtigte Zugriffe.
+Ein lokaler Paketfilter (Firewall) stellt sicher, dass Dienste, insbesondere Management-Dienste, nur an den erforderlichen Schnittstellen erreichbar sind.
+
+Ist auch Teil der Grund-Konfiguration durch System-Härtung (R0009.T.1).
+
+
+>>>Vorgabe Informationen
+>>>Nummer 1
+>>>Titel
+BIT-Externer Betrieb
+>>>Kurztext
+>>>Text
+Die Verschlüsselung der Datenträger soll wo immer möglich verwendet werden. Es ist ein MUSS wo keine angepasste physische Zugriff Sicherheit gesichert werden kann.
+>>>Langtext
+>>>Text
+Falls sich das System nicht in einem BIT betriebenen RZ oder in einem abgesicherten Raum mit mindestens «Sehr hohem Schutzbedarf» befindet, müssen verwendete Datenträger vollständig verschlüsselt sein.
+
+Der Schutzbedarf oder auch die Schutzklassen (SK) sind in der (Richtlinie Informationssicherheit)[https://community.bit.admin.ch/team/eabit/Private/iktvorgaben/IKTVorgaben%20genehmigt/R0135_V5.2.pdf] BIT definiert.
+
+>>>Vorgabe Informationen
+>>>Nummer 2
+>>>Titel
+Vermeiden von Überlastsituationen
+>>>Kurztext
+>>>Text
+Das System muss sich gegen Überlastsituationen schützen
+>>>Langtext
+>>>Text
+Ein System muss über Schutzmechanismen verfügen, die Überlastsituationen soweit wie möglich verhindern. Insbesondere ist eine partielle oder komplette Beeinträchtigung der Verfügbarkeit des Systems zu vermeiden. Beispiele für mögliche Schutzmassnahmen sind:
+>>>Liste-ungeordnet
+Begrenzung auf Netzwerkzonen
+Begrenzung des pro Anwendung verfügbaren Arbeitsspeichers
+Begrenzung der maximalen Sessions einer Web-Anwendung
+Festlegen der maximalen Grösse eines Datensatzes
+Begrenzung von CPU-Ressourcen pro Prozess
+Priorisieren von Prozessen
+>>>Text
+Begrenzung der Anzahl oder der Grösse von Transaktionen eines Benutzers oder von einer IP-Adresse in einem bestimmten Zeitraum.
+
+
+>>>Vorgabe Informationen
+>>>Nummer 3
+>>>Titel
+Reaktion auf Überlastsituationen
+>>>Kurztext
+>>>Text
+Falls eine Überlastsituation nicht verhindert werden kann muss sich das System berechenbar verhalten.
+>>>Langtext
+>>>Text
+Ein System muss so konzipiert sein, dass es mit Überlastsituationen in kontrollierter Weise umgeht. Trotzdem kann es zu Situationen kommen, bei denen die Schutzmassnahmen gegen Überlastungen nicht mehr 
+ausreichend sind.
+
+In einem solchen Fall muss sichergestellt sein, dass das System nicht in einen undefinierten und möglicherweise unsicheren Zustand gerät. Dies kann im Extremfall bedeuten, dass ein kontrolliertes Herunterfahren des Systems eher hinnehmbar ist als ein unkontrolliertes Versagen der Sicherheitsfunktionen und somit ein Verlust des 
+Systemschutzes.
+
+
+>>>Vorgabe Informationen
+>>>Nummer 4
+>>>Titel
+Dynamische Inhalte
+>>>Kurztext
+>>>Text
+Zunehmende (dynamische) Inhalte dürfen Systemfunktionen nicht beeinträchtigen.
+>>>Langtext
+>>>Text
+Zunehmende Logdaten oder Uploads dürfen die Funktionalität des Systems nicht beeinträchtigen.
+
+>>>Vorgabe Informationen
+>>>Nummer 5
+>>>Titel
+IP-Schnittstellen
+>>>Kurztext
+>>>Text
+Das System darf keine IP-Pakete verarbeiten, deren Absenderadresse nicht über die Schnittstelle erreicht wird, an der das Paket eingegangen ist.
+>>>Langtext
+>>>Text
+Es muss darauf geachtet werden, dass Systeme nicht über unnötige Default-Routen verfügen, was z. B. der Fall ist, wenn Systeme nur intern verwendet werden.
+>>>Text
+In einer solchen Konstellation handelt es sich i. d. R. um Pakete mit gefälschten Absenderadressen oder einen Fehler im Routing. Das eintreffende Paket muss als nicht vertrauenswürdig verworfen werden, Ein Umsetzungsbeispiel: Die Verwendung der Funktion «Reverse Path Filter» (RPF), die dafür sorgt, dass genau solche Pakete verworfen werden.
+
+>>>Vorgabe Informationen
+>>>Nummer 6
+>>>Titel
+Disaster Recovery Plan
+>>>Kurztext
+>>>Text
+Ein Wiederanlaufplan / Disaster Revovery Plan muss beschrieben und sichergestellt sein.
+>>>Langtext
+>>>Text
+Wiederaufsetz- und Neustart Prozeduren im Fehlerfall, sowie Notfallpläne müssen dokumentiert sein. Die Vorbereitung und das Testen von Routine-Betriebsabläufen müssen nach festgelegten Standards erfolgen. Definierte Sicherheitsmassnahmen müssen nachweislich wirksam implementiert sein. Verfahren zur Sicherstellung des Geschäftsbetriebs müssen definiert und geregelt sein.
+
+>>>Vorgabe Informationen
+>>>Nummer 7
+>>>Titel
+Partitionierung
+>>>Kurztext
+>>>Text
+Partitionen müssen, wenn möglich, getrennt werden.
+>>>Langtext
+>>>Text
+Daten-, Applikations- und Systempartitionen müssen, wenn möglich, getrennt werden. Eine Trennung der Daten liefert einen zusätzlichen Sicherheitslayer, sollte es zu Systemausfällen oder Malware-Befall kommen.
+Abhängig vom Schutzbedarf sollte auch entsprechend sichergestellt werden, dass die einzelnen Partitionen mit einer RAID-Funktionalität geschützt werden.
+
+
+>>>Vorgabe Systeme
+>>>Nummer 1
+>>>Titel
+Softwareinstallation
+>>>Kurztext
+>>>Text
+Nicht benötigte (autorisierte) Software darf nicht installiert oder muss deinstalliert werden
+>>>Langtext
+>>>Text
+Bei der Installation eines Systems werden oftmals Software-Komponenten installiert oder auch einzelne Teile einer Software aktiviert, die für den Betrieb und die Funktion des Systems nicht notwendig sind. Hierzu zählen auch Teile einer Software, die als Anwendungsbeispiele (z. B. Default-Web-Seiten, Beispieldatenbanken, Testdaten) installiert werden, aber typischerweise nicht verwendet werden. Solche Komponenten dürfen entweder bei der Installation nicht mit installiert werden oder müssen im Anschluss an die Installation gelöscht werden. Des Weiteren ist es nicht erlaubt Software auf einem System zu installieren, die nicht für den Betrieb, die Wartung oder Funktion des Systems notwendig ist
+
+
+>>>Vorgabe Systeme
+>>>Nummer 2
+>>>Titel
+Softwarefunktionen
+>>>Kurztext
+>>>Text
+Nicht benötigte Funktionen der eingesetzten Software und Hardware müssen deaktiviert werden
+>>>Langtext
+>>>Text
+Bei der Installation von Software und Hardware werden oftmals Funktionen aktiviert, die nicht für den Betrieb und die Funktionalität des Systems notwendig sind. Funktionen der Software sind meistens ein fester Bestandteil, der nicht einzeln gelöscht oder deinstalliert werden kann. Solche Funktionen müssen über die Konfiguration oder Einstellungen dauerhaft deaktiviert werden
+
+Neben Funktionen der Software sind nach der Systeminstallation oftmals Hardware-Funktionen aktiviert, die nicht für den Einsatz des Systems benötigt werden. Solche Funktionen, wie beispielsweise nicht benötigte Schnittstellen, müssen dauerhaft deaktiviert werden, so dass sie auch nach einem Neustart deaktiviert bleiben.
+
+
+>>>Vorgabe Systeme
+>>>Nummer 3
+>>>Titel
+Netzwerkprotokolle
+>>>Kurztext
+>>>Text
+Die IPv4-/IPv6-Adressen aller Schnittstellen eines Servers müssen fest konfiguriert werden
+>>>Langtext
+>>>Text
+IP-Adressen, auf denen Dienste angeboten werden, dürfen nicht durch äussere Einflüsse verändert werden können, auch nicht bei einem erzwungenen Reboot. Eine automatische Zuweisung von IP-Adressen, z. B. mittels DHCPv4/v6 oder IPv6-Autokonfiguration, ist nur dann zulässig, wenn sie nach initialer Vergabe der Adresse(n) abgeschaltet oder anderweitig abgesichert wird. IPv6 Router Advertisements müssen ignoriert werden.
+Es wird empfohlen den Host-Anteil der IPv6-Adressen zufällig zu bilden, da auf Grund des sehr grossen Adressbereiches von IPv6 ein Auffinden von Systemen für einen Angreifer durch Scans sehr aufwändig ist.
+
+Nicht benutzte Protokolle (z.B. IPv6) können komplett abgeschaltet werden.
+
+
+>>>Vorgabe Systeme
+>>>Nummer 4
+>>>Titel
+Netzwerkfunktionen
+>>>Kurztext
+>>>Text
+Netzfunktionen im Betriebssystemkern, die für den Betrieb als Server nicht benötigt werden, müssen abgeschaltet werden (Kernel Parameter).
+>>>Langtext
+>>>Text
+Ein Server braucht nicht zu routen, daher muss die Routing-Funktion abgeschaltet sein. Ebenso muss das 
+Antworten auf Broadcast-ICMP-Pakete abgeschaltet sein. Diese und weitere Netzfunktionen sind normalerweise bereits im Auslieferungszustand korrekt gesetzt.
+
+
+>>>Vorgabe Systeme
+>>>Nummer 5
+>>>Titel
+Autorun-Funktionen
+>>>Kurztext
+>>>Text
+Das automatische Starten von Anwendungen auf Wechseldatenträgern muss abgeschaltet werden.
+>>>Langtext
+>>>Text
+Wechseldatenträger – etwa CD-, DVD-, USB-Sticks oder USB-Laufwerke – dürfen darauf enthaltene Anwendungen nicht automatisch starten.
+
+>>>Vorgabe Systeme
+>>>Nummer 6
+>>>Titel
+Verarbeitung von transferierten Daten
+>>>Kurztext
+>>>Text
+Die Verarbeitung von ICMPv4-/ICMPv6-Paketen, die für den Betrieb nicht benötigt werden, muss deaktiviert werden.
+>>>Langtext
+>>>Text
+Es gibt verschiedene Typen von ICMPv4 und ICMPv6, die in den meisten Netzen nicht verwendet werden, aber ein potentielles Risiko darstellen. Diese Typen müssen deaktiviert oder gefiltert werden.
+>>>text
+Folgende ICMP-Typen sind erlaubt und dürfen genutzt werden:
+>>>Liste ungeordnet
+Echo Request [Type 8 (v4), Type 128 (v6)]
+Echo Reply [Type 0 (v4), Type 129 (v6) ]
+Destination Unreachable [Type 3 (v4), Type 1 (v6)]
+Time Exceeded [Type 11 (v4), Type 3 (v6)]
+Parameter Problem [Type 12 (v4), Type 4 (v6)]
+Packet Too Big [Type 2 (nur v6)]
+Neighbor Solicitation [Type 135 (nur v6)]
+Neighbor Advertisement [Type 136 (nur v6)]
+>>>text
+Es besteht die Möglichkeit, dass weitere Typen notwendig sind. Dies ist im Einzelfall zu prüfen.
+
+In *keinem Fall* dürfen beantwortet oder verarbeitet werden:
+>>>Liste ungeordnet
+Timestamp Reply [Type 14 (v4)]
+Netmask Reply [Type 18 (v4)]
+Information Reply [Type 16 (v4)]
+Redirect [Type 5 (v4), Type 137 (v6)]
+Router Solicitation [Type 133 (v6)]
+Router Advertisement [Type 134 (v6)]
+
+
+>>>Vorgabe Systeme
+>>>Nummer 7
+>>>Titel
+IP-Headers
+>>>Kurztext
+>>>Text
+IP-Pakete mit nicht benötigten Optionen oder Erweiterungs-Headern dürfen nicht bearbeitet werden.
+>>>Langtext
+>>>Text
+IP Optionen und Erweiterungs-Header (z. B. Source Routing) werden nur in seltenen Ausnahmefällen benötigt. Somit sind alle Pakete mit gesetzten IP-Optionen und Erweiterungs-Headern auf Standard-Servern zu filtern.
+
+>>>Vorgabe Systeme
+>>>Nummer 8
+>>>Titel
+Default-Konten
+>>>Kurztext
+>>>Text
+Vordefinierte Konten müssen gelöscht oder deaktiviert werden.
+>>>Langtext
+>>>Text
+Auf vielen Systemen existieren vordefinierte Konten (z. B. Gast, Admin) die teilweise ohne oder mit bekannten Passwörtern vorkonfiguriert sind. Diese Standardbenutzer müssen gelöscht oder deaktiviert werden. Sollten diese Massnahmen nicht umsetzbar sein, so sind solche Konten für einen Fernzugriff zu sperren. In jedem Fall müssen gesperrte und deaktivierte Konten mit einem möglichst komplexen Passwort (12 Zeichen und mehr, Nutzung von Gross-/ Kleinbuchstaben, Zahlen und Sonderzeichen) versehen werden, so dass auch im Falle eine Fehlkonfiguration die unberechtigte Nutzung eines solchen Kontos verhindert wird.
+
+Ausgenommen von der Anforderung, Konten zu löschen oder zu deaktivieren, sind Konten, die ausschliesslich der internen Nutzung auf dem entsprechenden System dienen und die für die Funktionalität einer oder mehrerer Anwendungen des Systems notwendig sind. Auch für ein solches Konto muss sichergestellt werden, dass ein Fernzugriff oder eine lokale Anmeldung nicht möglich ist und dass ein Benutzer des Systems ein solches Konto nicht missbräuchlich nutzen kann.
+
+
+>>>Vorgabe Anwendungen
+>>>Nummer 1
+>>>Titel
+Wartung und Pflege
+>>>Kurztext
+>>>Text
+Software- und Hardware-Komponenten, für die es keine Wartung oder Pflege durch den Lieferanten, Hersteller oder Entwickler gibt, dürfen nicht verwendet werden
+>>>Langtext
+>>>Text
+Es dürfen auf einem System nur Betriebssystem-, Middleware- und Anwendungs-Software sowie Hardware- Komponenten eingesetzt werden, für die ein Support durch Lieferanten, Hersteller, Entwickler oder anderen Vertragspartner besteht. Komponenten die End-of-Life oder End-of-Support sind dürfen nicht eingesetzt werden. Ausgenommen hiervon sind Komponenten für die ein spezieller Support-Vertrag abgeschlossen wurde, durch den auch über den Lebendzyklus des Produkts hinaus die Behebung von Sicherheitsschwachstellen gewährleistet ist und von SI-SUR so genehmigt wurdeWeiterführende Informationen
+
+
+>>>Vorgabe Anwendungen
+>>>Nummer 2
+>>>Titel
+Schwachstellen
+>>>Kurztext
+>>>Text
+Bekannt gewordene Schwachstellen in der Software oder Hardware des Systems müssen behoben oder abgesichert werden
+>>>Langtext
+>>>Text
+Vor der Installation einer Software- oder auch Hardware-Komponente muss überprüft werden, ob bereits Schwachstellen in der einzusetzenden Version gefunden und veröffentlicht wurden. Sollte die entsprechende Komponente von einer Schwachstelle betroffen sein, darf sie nicht installiert oder verwendet werden. Eine Ausnahme hiervon sind Komponenten, für die bereits eine Massnahme zum Beheben der Schwachstelle wie z. B. ein Patch, ein Update oder ein Workaround vom Hersteller zur Verfügung gestellt wurde. In diesem Fall muss die zusätzliche Massnahme auf dem System umgesetzt werden. Zudem ist dies ein fortlaufender Prozess während des kompletten Life-Cycles des Systems, um auftretende Schwachstellen zeitnah zu beheben.
+
+Zeitvorgaben für das beheben von entsprechenden Schwachstellen werden vom SI-SUR-CSIRT vorgegeben
+
+
+>>>Vorgabe Zonen
+>>>Nummer 1
+>>>Titel
+Abgesicherte Räume
+>>>Kurztext
+>>>Text
+Falls sich das System nicht in einem BIT-betriebenen abgesicherten Raum (RZ) befindet, muss der Schutzbedarf «sehr hoher Schutzbedarf (SN3)» gewährleistet werden. Das BIOS muss vor nicht autorisierten Veränderungen geschützt werden.
+>>>Langtext
+>>>Text
+Server, die öffentlich oder in Räumlichkeiten von Kunden installiert sind, müssen besonders vor unautorisiertem Zugriff und Veränderungen geschützt werden: Es müssen die Einstellungen des BIOS gegen Auslesen und 
+Manipulation geschützt werden. Bei Verwendung eines Passworts muss dieses exklusiv für den einzelnen Server sein und darf keine Rückschlüsse auf ein Unterscheidungsmerkmal des Servers ermöglichen.
+Das BIOS muss so konfiguriert sein, dass sich darüber ausschliesslich das vorgesehene Betriebssystem von der dafür vorgesehenen Partition starten lässt
+
+
+

Documentation/import formats/r0126.txt

@@ -0,0 +1,629 @@
+>>>Einleitung
+>>>text
+Hier ist die Einleitung
+>>>geltungsbereich
+>>>text
+Container-Sicherheit startet bei fundamentalen Themen wie dem Härten der Systeme, wobei der gesamte Container-Stack hierzu sinnvollerweise in Schichten
+zu betrachten ist. Ausgehend von einer Planungsphase müssen alle vorhandenen Schichten des Container-Stacks betrachtet und gehärtet werden.
+>>>text
+Wir unterscheiden die untenstehenden Schichten:
+>>>liste geordnet
+Container Host
+Container Runtime
+Container Registry
+Container Images
+Container Orchestrator
+Persistent Storage
+>>>text
+In diesem Standard geht es ausschliesslich um die Sicherheitsanforderung zur Einrichtung und Betrieb von Containern (Schicht 2-5). Er konkretisiert den IT-Grundschutz und ergänzt den Standard IT-Sicherheit Serversysteme und die jeweiligen Richtlinien der IT-Sicherheit um Spezifika von Containern. Die Anforderungen der erwähnten Richtlinien sollten von den Container-Hosts (Schicht 1) erfüllt werden, unabhängig davon, ob diese selbst auf physischen Servern ausgeführt werden oder virtualisiert sind. Sicherheitsanforderungen möglicher Server-Funktionen wie Webserver oder Groupware usw. sind Gegenstand eigener Sicherheitsrichtlinien. Der Schwerpunkt des Standards IT-Sicherheit Container liegt auf dem Betrieb von Container-Virtualisierung. Die Installation von Anwendungen innerhalb von Containern wird darin nicht vollständig abgedeckt.
+
+
+>>>Vorgabe Organisation
+>>>Titel
+Resilienz
+>>>Nummer 1
+>>>Kurztext
+>>>Text
+Es muss davon ausgegangen werden, dass nicht immer alle Kommunikationspartner zur Verfügung stehen. Dies muss bereits im Design eines Microservices berücksichtigt werden.
+>>>Langtext
+>>>Text
+In einem verteilten System können Netzwerkprobleme auftreten, z. B. Verzögerungen, Paketverluste oder temporäre Verbindungsabbrüche. Ein Microservice sollte daher darauf vorbereitet sein, dass andere Services zeitweise nicht erreichbar sind oder langsamer reagieren. Wenn jeder Service darauf angewiesen ist, dass alle anderen ständig verfügbar sind, entsteht eine starke Kopplung, die den Vorteil der Microservices-Architektur untergräbt. Services sollten unabhängig voneinander laufen und auch dann ihre Kernfunktionen erfüllen können, wenn andere Teile des Systems ausfallen.
+
+Indem man von vornherein davon ausgeht, dass nicht alle Services jederzeit verfügbar sind, wird die Gesamtarchitektur stabiler, flexibler und besser auf reale Betriebsbedingungen vorbereitet. Für jeden Microservice mit Abhängigkeiten muss daher festgelegt werden, wie er auf Nichterreichbarkeit der Abhängigkeiten reagiert (z.B. "Läuft weiter", "arbeitet die Queue ab und nimmt keine neuen Aufträge entgegen", "stoppt sofort alle Prozesse" oder ähnlich).
+
+
+>>>Vorgabe Organisation
+>>>Nummer 2
+>>>Titel
+Service Discovery
+>>>Kurztext
+>>>Text
+Der Netzwerkstandort einer Microservice-Instanz ist verfügbar und aktuell.
+
+Ein Schlüsselelement bei Service Discovery ist die Service Registry. Weiterhin kennt das Service Discovery alle laufenden Microservices und führt nach, auf welcher IP/Port Kombination diese gerade laufen.
+>>>Langtext
+>>>Text
+Die Verfügbarkeit und Aktualität des Netzwerkstandorts eines Microservices ist ein zentrales Element in Microservices-Architekturen. Mithilfe einer Service Registry und einem effizienten Service Discovery-Mechanismus wird sichergestellt, dass alle Microservices zuverlässig miteinander kommunizieren können, auch in dynamischen und skalierbaren Umgebungen. Dies fördert Resilienz, Flexibilität und Skalierbarkeit des gesamten Systems.
+
+Die Microservices stellen sicher, dass die Service Discovery die entsprechenden Informationen aus den Microservices herauslesen kann.
+
+>>>Vorgabe Organisation
+>>>Nummer 3
+>>>Titel
+Deployment in Container
+>>>Kurztext
+>>>Text
+Als Best Practice gilt ein Microservice pro Container.
+>>>Langtext
+>>>Text
+Das Deployment der Microservices erfolgt in Containern, welche dynamisch bereitgestellt und abgebaut werden, je nach Skalierungsanforderung. Daher gilt als Grundsatz, dass pro Microservice ein eigener Container aufgebaut wird und vice versa in jedem Container ein Microservice läuft. So wird das Deployment neuer Microservices und Microservice Updates vereinfacht.
+
+Zusätzlich reduziert diese Isolation Konflikte zwischen Abhängigkeiten verschiedener Microservices und vereinfacht die Verwaltung.
+>>>Stichworte
+Deployment, Microservice, Isolation
+
+>>>Vorgabe Technik
+>>>Nummer 1
+>>>Titel
+Implementation
+>>>Kurztext
+>>>Text
+Technologien, die bedingen, dass interne Details exponiert werden, müssen vermieden werden.
+>>>Langtext
+>>>Text
+Wie ein Microservice implementiert ist, darf gegen aussen keine Rolle spielen und sollte als Grundsatz nicht offengelegt werden. Die API muss dokumentiert sein, sollte aber nach Möglichkeit keine Rückschlüsse auf die Implementation zulassen.
+
+>>>Vorgabe Technik
+>>>Nummer 2
+>>>Titel
+Microservice-Aufrufe
+>>>Kurztext
+>>>Text
+Microservices kommunizieren über APIs und benutzen, je nach Anwendungs-Scope, den API-Gateway für die Kommunikation.
+>>>Langtext
+>>>Text
+Microservice-zu-Microservice Aufrufe im Kontext derselben Fachanwendung erfolgen direkt von Microservice zu Microservice und gehen nicht über den API Gateway. Microservice Aufrufe, die den Kontext einer Fachanwendung verlassen, gehen über den API Gateway. Dazu bietet jeder Microservice eine Schnittstelle, die nach Bedarf über einen API Microgateway angeboten werden kann. Die Schnittstellen müssen so realisiert sein, dass ein Microservice nicht direkt von den Implementierungsdetails eines anderen Microservice abhängt, wie z. B. dem Datenmodell in der Datenbank (lose Kopplung). Die Kommunikation zwischen Microservices (auch über API Gateway) muss auf einige Protokolle wie REST oder Messaging begrenzt sein.
+
+>>>Vorgabe Technik
+>>>Nummer 3
+>>>Titel
+Identity Provider
+>>>Kurztext
+>>>Text
+Die Authentisierung erfolgt über den Identity Provider.
+>>>Langtext
+>>>Text
+Benutzer-Anfragen werden via IAM Infrastruktur authentifiziert. Benutzer-Identitäten und -Rollen werden zentral in der IAM-Infrastruktur verwaltet.
+
+>>>Vorgabe Technik
+>>>Nummer 4
+>>>Titel
+Authentisierungs-Token
+>>>Kurztext
+>>>Text
+Bei erfolgreicher Authentisierung wird ein Authentisierungs-Token erstellt und signiert, das den Anfrager bei allen folgenden Serviceaufrufen authentisiert.
+>>>Langtext
+>>>Text
+Bei erfolgreicher Authentisierung wird ein Authentisierungs-Token erstellt und signiert, welches den Anfrager bei allen folgenden Serviceaufrufen authentisiert.
+>>>Text
+Die Authentisierungs-Tokens haben mindestens folgende Merkmale:
+>>>Liste-ungeordnet
+Sie müssen eine lokale Validierung durch den Empfänger unterstützen
+Sie müssen leichtgewichtig sein (einfach zu parsen, …)
+Sie müssen klein sein (und können Teil jeder Anfrage sein)
+>>>Text
+Die Authentisierungs-Tokens sollten über eine möglichst kurze Lebensdauer verfügen, damit eine regelmässige Re-Authentisierung forciert wird.
+
+>>>Vorgabe Technik
+>>>Nummer 5
+>>>Titel
+Service-zu-Service-Kommunikation
+>>>Kurztext
+>>>Text
+Service-zu-Service-Kommunikation wird mittels technischem User und Client-Zertifikaten authentisiert.
+>>>Langtext
+>>>Text
+Service-zu-Service-Kommunikation wird mittels technischem User und Client-Zertifikaten authentisiert.
+
+Bei Service zu Service Kommunikation kann die Authentisierung und Autorisierung delegiert werden. Welche Service zu Service Kommunikation mittels Delegation erfolgt, muss fallweise bestimmt werden.
+
+
+>>>Vorgabe Technik
+>>>Nummer 26
+>>>Titel
+Autorisierung durch Microservice und Autorisierungsmechanismen
+>>>Kurztext
+>>>Text
+>>>Langtext
+>>>Text
+Jeder Microservice muss jeden Request autorisieren (anhand AuthToken), da nur der Microservice selbst die Autorisierung auf die Daten vornehmen kann. Diese Aufgabe kann weder an einen API-Gateway noch an ein Service Mesh delegiert werden.
+>>>Liste-ungeordnet
+Die Autorisierungsmechanismen haben folgende Merkmale:
+Sie müssen Rollenbasiert sein
+Sie müssen Genehmigungen / Claims unterstützen
+Sie müssen die unabhängige Entwicklung der Microservices unterstützen
+Es gibt eine zentrale Übersicht und Verwaltung der Rollen und Genehmigungen / Claims
+Sie müssen eine Delegation der Autorisierung unterstützen
+
+
+>>>Vorgabe Technik
+>>>Nummer  7
+>>>Titel
+Persistenz
+>>>Kurztext
+>>>Text
+Microservices sollen ihre Daten selbst führen.
+>>>Langtext
+>>>Text
+In der Regel wird ein Data Store pro Microservice geführt. Mit welcher Art von Datenspeicherung (Relationale Datenbank, Distributed Datenbank, In-Memory Data Store) die Persistenz realisiert wird, ist abhängig von den Anforderungen der Microservices sowie den Technologievorgaben des BIT. Die Abläufe, die diese Data Stores verwalten, sind separate Services.
+
+>>>Vorgabe Technik
+>>>Nummer 8 
+>>>Titel
+Message Oriented Middleware / Event Broker Services
+>>>Kurztext
+>>>Text
+Die Kommunikation zwischen Microservices erfolgt über die MOM. Events werden mit dedizierten Event Broker Services abgefangen und propagiert.
+>>>Langtext
+>>>Text
+Die Message Oriented Middleware (MOM) muss hochverfügbar sein und einen hohen Durchsatz bieten. Einen Datenabgleich zwischen den verschiedenen Microservices und ihren Data Stores erfolgt Event basiert über die MOM.
+
+Eine Event-basierende Kollaboration führt dazu, dass Geschäftslogik nicht zentralisiert, sondern verteilt ist. In einer Event-basierenden Kollaboration sind die Microservices in hohem Masse voneinander entkoppelt. Der Event Broker übernimmt somit die Rolle eines Vermittlers.
+
+
+>>>Vorgabe Technik
+>>>Nummer 9
+>>>Titel
+Correlation IDs
+>>>Kurztext
+>>>Text
+Standardisierte Correlation IDs werden verwendet, damit Microservices-Aufruf-Ketten ausgewertet werden können.
+>>>Langtext
+>>>Text
+In einer Microservice Architektur interagieren in der Regel immer mehrere Microservices, um eine Geschäftsfunktion zu erfüllen. Correlation-IDs werden beim ersten Anruf generiert, in der Kette entlang weitergegeben und jeweils geloggt.
+
+>>>Vorgabe Technik
+>>>Nummer 10 
+>>>Titel
+Monitoring und Logging
+>>>Kurztext
+>>>Text
+Alle Services müssen Monitoring-Metriken und Logs in einer einheitlichen Art und Weise (wenn möglich in Standardformaten) abgeben oder zugänglich machen.
+>>>Langtext
+>>>Text
+Alle Services müssen Monitoring-Metriken und Logs in einer einheitlichen Art und Weise (wenn möglich in Standardformaten) abgeben oder zugänglich machen. Das Monitoring greift dabei auf standardisierte Messpunkte in den Elementen der inneren Architektur (Microservices, APIs) zu. Logs müssen standardisiert erfasst werden. Zusammen mit dem Service Mesh (mit Service Discovery / Registry) wird eine dynamische Übersicht der aktuell instanziierten Microservices geliefert. Auch Metadaten, z. B. zur Authentifizierung müssen standardisiert sein.
+
+Das Monitoring muss ein Synthetic (Semantic) Monitoring unterstützen. Das bedeutet, es muss regelmässig eine Submenge der automatisierten Fachanwendungstests in der Produktionsumgebung durchgeführt werden können. Die Resultate daraus werden in das Monitoring und Event Management eingespielt, welches bei Fehlerfall Alerts ausführt.
+>>>Text
+Folgende weitere Punkte müssen minimal berücksichtigt werden:
+>>>Liste-ungeordnet
+Antwortzeiten und Fehlerraten von Service-Aufrufen werden aufgezeichnet.
+Antworten von Downstream-Aufrufen (weiterführende Service-Aufrufe) werden aufgezeichnet. Im Minimum die Antwortzeiten der weiterführenden Service-Aufrufe.
+Das darunterliegende OS und dessen Prozesse müssen überwacht werden (Host), damit eine Kapazitätsplanung möglich wird.
+Host-Level, Microservices-Level und System-Level-Metriken können aggregiert werden.
+Die Metriken müssen lange genug verfügbar bleiben, damit Trends erkannt werden können.
+>>>Text
+Logs müssen gespeichert und ausgewertet resp. aggregiert werden können. Dabei sind die entsprechenden Vorgaben betreffend die zentrale Logging-Infrastruktur und die übrigen zu protokollierenden Daten zu berücksichtigen.
+
+
+>>>Vorgabe Technik
+>>>Nummer 11 
+>>>Titel
+Sicherheit des Basis-Images
+>>>Kurztext
+>>>Text
+Alle nicht benötigten Bestandteile der Software, die im Container ausgeführt wird, müssen deinstalliert werden. Die Konfiguration der Software muss gehärtet werden. Images externer Lieferanten müssen einen staging-Prozess durchlaufen.
+>>>Langtext
+>>>Text
+Die für den Container verwendeten Basis-Images müssen bekannt sein und dessen Sicherheits- und Schwachstellenstatus bewertet werden.
+
+Basis-Images müssen aus für das BIT vertrauenswürdigen Quellen stammen und regelmässig aktualisiert und mit den aktuellsten Sicherheits-Patches versehen werden.
+
+Das Image darf nur die für die Lösung/Anforderungen erforderlichen Package-Komponenten/Bibliotheken/Hilfsprogramme enthalten.
+
+_Hinweis:_ Aus Gründen der Unterstützung (Support-Verträge) durch Red Hat empfehlen wir, nur Red Hat UBI-Images als Basis-Images für selbst entwickelte Anwendungen zu verwenden. Es gibt kleinere Versionen von UBI, und es gibt UBI-Images, die Middleware-Pakete und von Red Hat unterstützte Sprachframeworks enthalten. Es gibt keine allgemeine Sicherheitsempfehlung für oder gegen UBI; entscheidend ist die Reduzierung der Angriffsfläche. Ein weiterer Vorteil eines Einsatzes von RedHat Images ist, dass sie VEX Files und die entsprechende Analyse mitliefern, was die Beurteilung von Vulnerabilities stark beschleunigt und unterstützt: https://www.cisa.gov/sites/default/files/2023-01/VEX_Use_Cases_Aprill2022.pdf
+
+Für die Anlieferung von Container Images externer Lieferanten muss ein dedizierter Staging Prozess verwendet werden, damit potentielle Schwachstellen frühzeitig erkannt und behoben werden können. Erst nach erfolgreichem Durchlaufen dieses Prozesses dürfen solche externe Container Images in den BIT internen Entwicklungsprozess und in produktive Umgebungen eingefügt werden.
+
+
+>>>Vorgabe Technik
+>>>Nummer 12
+>>>Titel
+Orchestrator-Installation nur aus offiziellen und vertrauten Quellen
+>>>Kurztext
+>>>Text
+Die Software des Orchestrators muss von einer offiziellen und vertrauten Quelle stammen.
+>>>Langtext
+>>>Text
+Die Software des Orchestrators muss von einer offiziellen und vertrauten Quelle stammen. Dies muss mit einer geeigneten Checksumme oder einem geeigneten Hash mit dem Softwarelieferanten gegengeprüft werden.
+
+>>>Vorgabe Technik
+>>>Nummer 13
+>>>Titel
+Hochverfügbarkeit (HA)
+>>>Kurztext
+>>>Text
+Der Container Orchestrator soll die Verfügbarkeit der Container ihrem Schutzbedarf entsprechend sicherstellen.
+>>>Langtext
+>>>Text
+Der Container Orchestrator sollte alle Container mit hohen oder sehr hohen Anforderungen an die Verfügbarkeit bei Ausfall von einem oder mehrere Knoten automatisch auf noch verfügbaren Knoten neu starten
+
+Der Orchestrator muss für HA, bzw. automatisches Failover konzipiert, bzw. konfiguriert sein.
+
+
+>>>Vorgabe Technik
+>>>Nummer  14
+>>>Titel
+Integritätsschutz für Container Images
+>>>Kurztext
+>>>Text
+Die Integrität der Container-Images muss gewährleistet und überprüfbar sein.
+>>>Langtext
+>>>Text
+Alle angelieferten Container Images müssen entweder signiert (nicht self-signed) sein oder der Hashwert des Container Images muss separat mitgeliefert oder auf der Webseite des Herstellers abrufbar sein.
+
+Wenn eine digitale Signatur vorhanden ist, muss diese geprüft werden, um seine Integrität und Authentizität sicherzustellen. Wenn der Container statt nach Tag nach Hash gezogen wird, ist eine Prüfung nicht erforderlich.
+
+
+>>>Vorgabe Technik
+>>>Nummer 15
+>>>Titel
+Durchführung von Image Rebuilds
+>>>Kurztext
+>>>Text
+Updates von Packages innerhalb eines Containers sind nicht erlaubt.
+>>>Langtext
+>>>Text
+Es ist nicht erlaubt, Updates von Packages durchzuführen, wenn diese Packages Bestandteil des Container Images sind. Der Grund liegt darin, dass falls eine Update Instruktion in einem Dockerfile vorhanden ist, derselbe Update Layer verwendet wird, der sich im Cache befindet. Dies verhindert, dass ein neueres Update nicht Bestandteil von nachfolgenden Builds wird. Dies gilt ebenso für applikatorische Build Images, diese müssen neu gebildet werden und dürfen nicht in einem laufenden Container gepatched werden.
+
+>>>Vorgabe Technik
+>>>Nummer 16
+>>>Titel
+Verwendung von expliziten Versionen bei Basis-Images
+>>>Kurztext
+>>>Text
+Images sollen mit expliziten Versionen geführt werden.
+>>>Langtext
+>>>Text
+Es muss jederzeit verifizierbar sein, welche Versionen der Images im Einsatz sind, dies um die Nachvollziehbarkeit und Reproduzierbarkeit der Images sicher zu stellen. Es muss eine explizite Version angegeben werden. Z. B. ist die Verwendung von Tags wie "latest" nicht zulässig.
+
+Von einer Verwendung des "Stable"-Tags wird ebenfalls abgeraten, da die Absenz einer expliziten Versionsnummern potenzielle Inkompatibilitäten zur Folge hat, und da eine Inventarisierung nach Versionsnummern so erschwert wird.
+
+
+>>>Vorgabe Technik
+>>>Nummer 17
+>>>Titel
+Container-Konfiguration
+>>>Kurztext
+>>>Text
+Die Konfiguration des Containers mit den Sicherheitsanforderungen der Applikation übereinstimmen.
+>>>Langtext
+>>>Text
+Die Konfiguration des Containers muss auf offene Ports, Volume-Mounts, Umgebungsvariablen, Einstiegspunkt, etc. geprüft werden und ob diese mit der beabsichtigten Funktionalität und den Sicherheitsanforderungen übereinstimmen.
+>>>text
+Folgende Vorgaben müssen immer umgesetzt sein:
+>>>Liste-geordnet
+Um potentielle Attacken zu minimieren dürfen nicht verwendete Ports nicht exponiert werden. Es dürfen nur Ports exponiert werden, die auch von der Anwendung gebraucht werden.
+Der Port 22 darf nicht verwendet werden. Auch ist die interaktive Verwendung von SSH in der Produktion nur mit einer Ausnahmebewilligung erlaubt.
+Unter 1024 dürfen nur die Standard-Ports verwendet werden. Über 1024 sollten Standard-Ports verwendet werden (siehe Service Name and Transport Protocol Port Number Registry (iana.org)).
+Die Default Security Context Constraints (SCC) unter RedHat dürfen nicht verändert werden (Creating security context constraints).
+
+
+>>>Vorgabe Technik
+>>>Nummer 18
+>>>Titel
+Health-Check
+>>>Kurztext
+>>>Text
+Die Anweisung "HEALTHCHECK" oder ähnliche Funktionalität muss jedem Container-Image hinzugefügt sein.
+>>>Langtext
+>>>Text
+Jeder Container muss über eine Funktionalität verfügen, über welche die aktuelle "Gesundheit" des Containers abgefragt werden kann. Diese Funktionalität muss von der Orchestrierungsinfrastruktur gelesen und ausgewertet werden können. Idealerweise ist die Funktionalität über die Infrastruktur so standardisiert wie möglich.
+
+>>>Vorgabe Technik
+>>>Nummer 19
+>>>Titel
+Konfiguration der Netzwerke
+>>>Kurztext
+>>>Text
+Container-Netzwerkverkehr muss segmentiert werden.
+>>>Langtext
+>>>Text
+Container-Netzwerkverkehr muss mittels Netzwerk Policies beschränkt werden (ein- und ausgehend). Der Ost-West und Nord-Süd-Verkehr muss segmentiert werden, um die Angriffsfläche zu minimieren und den Informationsfluss zu kontrollieren.
+
+Der Datenverkehr innerhalb der Namespaces muss mittels Netzwerk Policies gesteuert werden, um die Kommunikation zwischen Pods auf ein notwendiges Minimum zu beschränken.
+
+
+>>>Vorgabe Anwendungen
+>>>Nummer 1
+>>>Titel
+Persistenz von Zwischenergebnissen
+>>>Kurztext
+>>>Text
+Zwischenergebnisse, auf die die Anwendungen im Container zugreifen, müssen persistent ausserhalb des Containers gespeichert werden.
+>>>Langtext
+>>>Text
+Zwischenergebnisse, auf die die Anwendungen im Container zugreifen, müssen persistent ausserhalb des Containers gespeichert werden.
+
+Nutzdaten der Anwendung werden in der Regel auf einem Persistenten Volume ausserhalb des Containers abgelegt und angehängt und entsprechend gesichert. Zwischenergebnisse oder dateibasierten Protokolldaten, der Verarbeitung fällt eine fehlende Datensicherung oft nur dann auf, wenn ein Container beendet und entfernt ist und die enthaltenen Daten unwiderruflich verloren sind. Sind die Protokolldaten oder Zwischenergebnisse verloren, kann die Verarbeitung nicht lückenlos dokumentiert und somit deren Ergebnisse nicht mehr nachvollzogen werden.
+
+
+>>>Vorgabe Anwendungen
+>>>Nummer 2
+>>>Titel
+Kontinuierliche Container-Laufzeit-Überwachung
+>>>Kurztext
+>>>Text
+Das Laufzeitverhalten der Container muss auf Anomalien hin überwacht werden.
+>>>Langtext
+>>>Text
+Das Laufzeitverhalten der Container muss auf Anomalien hin überwacht werden. Dies umfasst beispielsweise Punkte wie:
+>>>Liste-ungeordnet
+Container kann nicht gestartet werden
+Container starten nicht wie erwartet
+Fehler bei liveness probes
+Überschreitung von Limiten (z.B. Ressourcen)
+
+
+>>>Vorgabe Anwendungen
+>>>Nummer 3
+>>>Titel
+Lizenzen
+>>>Kurztext
+>>>Text
+Die auf den Containern laufende Software muss lizenziert sein.
+>>>Langtext
+>>>Text
+Eine Übersicht der Lizenzbedingungen der eingesetzten Softwarekomponenten muss vorhanden sein und die Bestätigung, dass die Komponenten in der Bundesverwaltung eingesetzt werden dürfen (kommerzielles Einsatzgebiet).
+
+Eine nach Möglichkeit automatisierte Lizenzverwaltung für sämtliche im Container Image enthaltenen Software- Komponenten muss geführt werden.
+
+
+>>>Vorgabe Informationen
+>>>Nummer 1
+>>>Titel
+Container-Image-Metadaten
+>>>Kurztext
+>>>Text
+Die Metadaten der Container Images müssen in aktueller Version vorliegen und gepflegt werden.
+>>>Langtext
+>>>Text
+Die Metadaten des Container Images müssen geprüft werden (z. B. den Namen, die Version und die Beschreibung), um sicher zu stellen, dass die Metadaten den Zweck und den Inhalt des Containers genau wiedergeben.
+
+Für die Nachverfolgung (Nachvollziehbarkeit) und für die Behebung von Schwachstellen ist es notwendig die Images mit folgenden Informationen (Labels) zu ergänzen: Besitzer, Entwicklerteam, Lizenzinformation, Herleitung, Abhängigkeiten.
+
+
+>>>Vorgabe Informationen
+>>>Nummer 2
+>>>Titel
+Umgang mit Secrets
+>>>Kurztext
+>>>Text
+Container müssen auf Secrets gescannt werden.
+>>>Langtext
+>>>Text
+Container Images müssen regelmässig auf offengelegte Geheimnisse (Secrets, Passwörter, Schlüssel, etc.) gescannt werden. Secrets, Passwörter und Schlüssel dürfen nicht in Dockerfiles geschrieben werden.
+
+
+>>>Vorgabe Systeme
+>>>Nummer 1
+>>>Titel
+Identitätsmanagement der Administratoren
+>>>Kurztext
+>>>Text
+Alle administrativen Zugänge zum Container-Diensten muss durch personenbezogene Accounts und starke Authentisierung geschützt sein.
+>>>Langtext
+>>>Text
+Alle administrativen Zugänge zum Container-Diensten muss durch personenbezogene Accounts und starke Authentisierung geschützt sein. Zugänge, die von der Verwaltungssoftware genutzt werden, sollten ebenfalls durch separate Accounts und starke Authentisierung geschützt sein.
+
+Benutzerkonten und die zugehörigen Berechtigungen werden im BIT auf zentralen Systemen für das Identity-Management verwaltet. Damit diese Berechtigungsinformationen provisioniert werden können, muss das System entweder zentrale Schnittstellen (z. B. EIAM zur Autorisierung, Kerberos zur Authentisierung, Sperrlisteninformation bei Zertifikaten) oder dezentrale Mechanismen (z. B. Public-Key-Authentifizierung) unterstützen. Eine zentrale Lösung für das Identity-Management ist vorrangig zu nutzen.
+
+
+>>>Vorgabe Systeme
+>>>Nummer 2
+>>>Titel
+Accounts der Anwendungsdienste
+>>>Kurztext
+>>>Text
+Die Accounts innerhalb der Container dürfen keine Berechtigungen auf den Container-Host haben.
+>>>Langtext
+>>>Text
+Die Accounts innerhalb der Container dürfen keine Berechtigungen auf den Container-Host haben. Idealerweise sind die Accounts auf den Containern komplett auf die Container isoliert. Wenn es technisch notwendig ist, können Accounts über Container im gleichen Namespace geteilt werden.
+
+>>>Vorgabe Systeme
+>>>Nummer 3
+>>>Titel
+Verwendung einer Trusted Registry
+>>>Kurztext
+>>>Text
+Es muss sichergestellt sein, dass Images nur aus vertrauenswürdigen Quellen stammen.
+>>>Langtext
+>>>Text
+Die Container Images müssen in die Private Registry des BIT eingebunden werden können. Der Lieferant/Entwickler/Hersteller muss bestätigen, dass für alle im Container Image enthaltenen Software-Komponenten dies rechtlich in Ordnung ist. Alle Images werden vor der Aufnahme in die Private Registry auf Schwachstellen gescannt, bei schwerwiegenden Schwachstellen müssen die Container-Images vor der Aufnahme überarbeitet werden.
+
+Es dürfen keine Images von unbekannten Registries verwendet werden.
+
+
+>>>Vorgabe Systeme
+>>>Nummer 4
+>>>Titel
+Speicherung von Zugangsdaten für die Repositories
+>>>Kurztext
+>>>Text
+Zugangsdaten müssen so gespeichert und verwaltet werden, dass nur berechtigte Personen hierauf zugreifen können.
+>>>Langtext
+>>>Text
+Zugangsdaten müssen so gespeichert und verwaltet werden, dass nur berechtigte Personen hierauf zugreifen können. Insbesondere muss bei der Verwaltung der Images und der in den Images betriebenen Anwendungen darauf geachtet werden, dass die Zugangsdaten nur an zugangsgeschützten Orten gespeichert werden. Die von der Container-Software bereitgestellten Verwaltungsmechanismen für Zugangsdaten sollten eingesetzt werden.
+>>>Text
+Folgende Zugangsdaten müssen mindestens berücksichtigt werden:
+>>>Liste-ungeordnet
+Passwörter jeglicher Accounts,
+API-Keys für von der Anwendung genutzte Dienste sowie Private Schlüssel bei Public-Key Authentisierung
+
+
+>>>Vorgabe Systeme
+>>>Nummer 5
+>>>Titel
+Freigabe von Images (Containerfile)
+>>>Kurztext
+>>>Text
+Alle Containerfiles für den produktiven Betrieb müssen einen geeigneten Freigabeprozess durchlaufen.
+>>>Langtext
+>>>Text
+Alle Containerfiles für den produktiven Betrieb müssen einen geeigneten Freigabeprozess durchlaufen.
+
+Containerfiles enthalten die Bauanleitung für ein Image. D.h. enthält die notwendigen Anweisungen zum Erstellen eines Images und stellt so die Reproduzierbarkeit eines Images bei jeder neuen Erstellung sicher. Images sollten stets nur ein absolutes Minimum an Code beinhalten, gerade so viel, wie zwingend erforderlich ist, um den Service oder die Applikation auszuführen, für den das Image gedacht ist.
+
+
+>>>Vorgabe Systeme
+>>>Nummer 6
+>>>Titel
+Updates von Containern
+>>>Kurztext
+>>>Text
+Wenn sicherheitsrelevante Updates der zugrundeliegenden Images oder der betriebenen Software des Anwendungsdienstes erscheinen, müssen die Images für die Container neu erstellt und daraus neue Container instanziiert werden.
+>>>Langtext
+>>>Text
+Wenn sicherheitsrelevante Updates der zugrundeliegenden Images oder der betriebenen Software des Anwendungsdienstes erscheinen, müssen die Images für die Container neu erstellt und daraus neue Container instanziiert werden.
+
+Von extern bezogene Images sollten nur dann eingesetzt werden, wenn der Anbieter für diese Images auch regelmässig und bei sicherheitsrelevanten Änderungen schnell neue Versionen bereitstellt. Besser ist, wenn eine eigene Trusted Registry (z.B. Docker Trusted Registry DTR) bereitgestellt wird. Diese erweitert die klassische Registry um ein rollenbasiertes Zugangsmodell (RBAC), die Möglichkeit, Images digital zu signieren, und einen eingebauten Image-Scanner. Dabei sollte nebst den technische Massnahmen sichergestellt sein, dass nur Images aus dieser Registry eingesetzt werden.
+
+Hierbei hilft der Image-Scanner, die bekannten Verwundbarkeiten in Container-Images zu finden.
+
+
+>>>Vorgabe Systeme
+>>>Nummer 7
+>>>Titel
+Einbinden von Volumes
+>>>Kurztext
+>>>Text
+Die Container dürfen nur auf die für den Betrieb notwendigen Volumes und Verzeichnisse zugreifen können.
+>>>Langtext
+>>>Text
+Die Container dürfen nur auf die für den Betrieb notwendigen Volumes und Verzeichnisse zugreifen können. Wenn Schreibrechte nicht benötigt werden, müssen diese eingeschränkt werden. Der private Modus von Volumes muss genutzt werden, sofern es keine Notwendigkeit für den Shared-Modus gibt. Meist benötigen Container gar keinen Schreib-Zugriff auf ein Container-Directory im Shared-Storage-Modus. Gut ist es auch, wenn das verwendete Dateisystem Roll-Backs unterstützt.
+
+>>>Vorgabe Systeme
+>>>Nummer 8
+>>>Titel
+Sicherer Zugang zur Registry
+>>>Kurztext
+>>>Text
+Der Zugriff auf die Registry muss abgesichert werden.
+>>>Langtext
+>>>Text
+Der Zugriff auf die Registry muss zusätzlich zu den weiteren relevanten Vorgaben (z. B. IT-Grundschutz) wie folgt abgesichert werden:
+>>>Liste-ungeordnet
+Admin Zugriffe müssen via Privileged Access Management (PAM) erfolgen.
+RBAC (Role Based Access Management)
+
+
+>>>Vorgabe Systeme
+>>>Nummer 9
+>>>Titel
+Mengengerüst
+>>>Kurztext
+>>>Text
+Requests und Limits müssen entsprechend den Anforderungen der Anwendungen definiert sein.
+>>>Langtext
+>>>Text
+Requests und Limits müssen entsprechend den Anforderungen der Anwendungen definiert sein.
+>>>text
+Bedeutung:
+>>>Liste-ungeordnet
+Angemessene CPU- und Speicheranforderungen und Grenzwerte für Pods auf der Grundlage der erwarteten Last müssen definiert sein.
+Es muss ein Kapazitätsmanagement-/Rechte-Sizing-Prozess definiert und angewandt werden. Der Ressourcenverbrauch der Pods muss regelmässig überprüft und an die Anforderungen/Limits angepasst werden.
+Ein Leistungstest kann definiert und durchgeführt werden, um zu verstehen, wo die Grenzen der Anwendung liegen und wie hoch die durchschnittliche Arbeitslast ist.
+Deployments müssen über mindestens zwei RZ bereitgestellt sein.
+>>>text
+Mehr Information: [RedHat OpenShift](https://docs.openshift.com/container-platform/4.12/applications/quotas/quotas-setting-per-project.html)
+
+
+>>>Vorgabe Systeme
+>>>Nummer 10
+>>>Titel
+Externe Libraries
+>>>Kurztext
+>>>Text
+Externe Libraries müssen sicherheitsüberprüft sein
+>>>Langtext
+>>>Text
+Externe Libraries müssen sicherheitsüberprüft sein
+>>>Liste-ungeordnet
+Ein automatisiertes Dependency Scanning der im Container Image enthaltenen Third Party Libraries muss durchgeführt werden.
+Es muss geprüft werden, ob es veraltete oder anfällige Komponenten gibt. Für diese Pakete müssen die neuesten Sicherheitspatches eingepflegt werden, bevor sie in Produktion gehen.
+
+
+>>>Vorgabe Systeme
+>>>Nummer 11
+>>>Titel
+Schwachstellenanalyse für Container Images
+>>>Kurztext
+>>>Text
+Container-Images müssen auf Schwachstellen gescannt werden.
+>>>Langtext
+>>>Text
+Container Images sollten zum Zeitpunkt der Erstellung, in der Registrierung, bei der Bereitstellung und während der Laufzeit regelmässig gescannt werden, um neue Schwachstellen im Laufe der Zeit (Drift) erkennen zu können.
+
+>>>Vorgabe Systeme
+>>>Nummer 12
+>>>Titel
+Bekannte Schwachstellen
+>>>Kurztext
+>>>Text
+Deployment aktualisierter Container Images mit bekannten Schwachstellen wird eingeschränkt
+>>>Langtext
+>>>Text
+Eine aktualisierte Version eines Container Images mit bekannten Schwachstellen, welches heute bereits in Produktion ist, darf nur eingespielt werden, wenn die aktualisierte Version nur die gleichen Schwachstellen oder (besser) weniger Schwachstellen aufweist. Dies muss durch den ISBO des Data Owners abgenommen sein.
+
+>>>Vorgabe Systeme
+>>>Nummer 13
+>>>Titel
+Registries / Partitionen für die Bereitstellung
+>>>Kurztext
+>>>Text
+Produktive und nicht-produktive Umgebungen müssen getrennt werden.
+>>>Langtext
+>>>Text
+Produktionsumgebungen müssen von Entwicklungs- und/oder nicht-Produktiven Umgebungen getrennt werden, das heisst es müssen separate Registries oder Partitionen verwendet werden.
+
+>>>Vorgabe Systeme
+>>>Nummer 14
+>>>Titel
+Privilegien / Zugriffsrechte
+>>>Kurztext
+>>>Text
+Das "Least Privilege"-Prinzip muss auf Containern umgesetzt werden.
+>>>Langtext
+>>>Text
+Container müssen als Nicht-Root-Benutzer ausgeführt werden (z.B. USER ${UID} for OpenShift "mustRunAsNonRoot"). Container werden standardmäßig als "root" ausgeführt, dies ist ein Risiko, insbesondere wenn der Container mit erhöhten Privilegien ausgeführt wird.
+
+Container müssen immer mit so wenig Privilegien wie möglich ausgestattet sein. Es dürfen nur ein minimales Set an privilegierten Zugriffen vorhanden sein und diese sind nur für die Behandlung von Notfällen vorgesehen. Namespaces müssen als "read-only" laufen.
+
+Für die Definition von Rollen darf nur das notwendige Set an Ressourcen und Manipulationen verwendet werden.
+
+
+
+>>>Vorgabe Zonen
+>>>Nummer 1
+>>>Titel
+Separierung der Netze
+>>>Kurztext
+>>>Text
+Die Netze müssen der jeweiligen Zonen-Policy der Bundesverwaltung entsprechen.
+>>>Langtext
+>>>Text
+Die Netze für die Administration des Hosts, die Administration der Container- und die einzelnen Netze der Anwendungsdienste müssen den jeweiligen Zonenpolicies entsprechen. Wenn Unbefugte auf das Datennetz oder auf den Containern-Hosts zugreifen, können sie nicht über ungeschützte administrative Zugänge Befehle ausführen, die der Verfügbarkeit, Vertraulichkeit und Integrität der verarbeitenden Daten schaden.
+
+>>>Vorgabe Zonen
+>>>Nummer 2
+>>>Titel
+Verschlüsselung der Netzkommunikation
+>>>Kurztext
+>>>Text
+Daten, die über virtuelle oder physische Netze zwischen den Containern übertragen werden, müssen verschlüsselt sein.
+>>>Langtext
+>>>Text
+Mechanismen zur Authentisierung und Verschlüsselung der Zugänge sind häufig vorhanden, aber nicht standardmässig aktiviert. Entwickler müssen sich auf das „Absichern” der Applikation konzentrieren, als sich auf physische Netzwerk-Security-Tools zu verlassen. Physische Firewalls und andere Arten von Perimeter-Netzwerken/DMZs funktionieren nämlich in einer Container-basierten Umgebung meist nicht.
+>>>Stichworte Netzwerkkommunikation, Verschlüsselung
+>>>Checkliste
+Die Netzkommunikation ist verschlüsselt.

README.md

@@ -1 +1,4 @@
-# VDeployment2
+# vgui-cicd
+
+There are examples for importing text in the "Documentation"-directory. Actual documentation follows.
+

VorgabenUI/settings-docker.py

@@ -38,7 +38,7 @@ INSTALLED_APPS = [
     'django.contrib.sessions',
     'django.contrib.messages',
     'django.contrib.staticfiles',
-    'standards',
+    'dokumente',
     'abschnitte',
     'stichworte',
     'mptt',

VorgabenUI/settings.py

@@ -43,7 +43,7 @@ INSTALLED_APPS = [
     'django.contrib.sessions',
     'django.contrib.messages',
     'django.contrib.staticfiles',
-    'standards',
+    'dokumente',
     'abschnitte',
     'stichworte',
     'referenzen',
@@ -52,11 +52,9 @@ INSTALLED_APPS = [
     'pages',
     'nested_admin',
     'revproxy.apps.RevProxyConfig',
-    'debug_toolbar',
 ]
 
 MIDDLEWARE = [
-    'debug_toolbar.middleware.DebugToolbarMiddleware',
     'django.middleware.security.SecurityMiddleware',
     'django.contrib.sessions.middleware.SessionMiddleware',
     'django.middleware.common.CommonMiddleware',

VorgabenUI/urls.py

@@ -18,9 +18,8 @@ from django.contrib import admin
 from django.urls import include, path, re_path
 from django.conf import settings
 from django.conf.urls.static import static
-from debug_toolbar.toolbar import debug_toolbar_urls
 from diagramm_proxy.views import DiagrammProxyView
-import standards.views
+import dokumente.views
 import pages.views
 import referenzen.views
 
@@ -29,11 +28,11 @@ admin.site.site_header="Autorenumgebung"
 urlpatterns = [
     path('',pages.views.startseite),
     path('search/',pages.views.search),
-    path('standards/', include("standards.urls")),
+    path('dokumente/', include("dokumente.urls")),
     path('autorenumgebung/', admin.site.urls),
     path('stichworte/', include("stichworte.urls")),
     path('referenzen/', referenzen.views.tree, name="referenz_tree"),
     path('referenzen/<str:refid>/', referenzen.views.detail, name="referenz_detail"),
     re_path(r'^diagramm/(?P<path>.*)$', DiagrammProxyView.as_view()),
-] + static(settings.STATIC_URL, document_root=settings.STATIC_ROOT) +debug_toolbar_urls()
+] + static(settings.STATIC_URL, document_root=settings.STATIC_ROOT)
 

argocd/001_pvc.yaml

@@ -0,0 +1,12 @@
+apiVersion: v1
+kind: PersistentVolumeClaim
+metadata:
+  name: django-data-pvc
+  namespace: vorgabenui
+spec:
+  accessModes:
+    - ReadWriteOnce
+  resources:
+    requests:
+      storage: 2Gi
+

argocd/deployment.yaml

@@ -16,9 +16,16 @@ spec:
       securityContext:
         fsGroup: 999
         fsGroupChangePolicy: "OnRootMismatch"
+      initContainers:
+        - name: loader
+          image: git.baumann.gr/adebaumann/vgui-data-loader:0.5
+          command: [ "sh","-c","cp -n preload/preload.sqlite3 /data/db.sqlite3; chown -R 999:999 /data; ls -la /data; sleep 10; exit 0" ]
+          volumeMounts:
+            - name: data
+              mountPath: /data
       containers:
         - name: web
-          image: git.baumann.gr/adebaumann/vui:0.922 
+          image: git.baumann.gr/adebaumann/vui:0.929
           imagePullPolicy: Always
           ports:
             - containerPort: 8000

argocd/diagrammer.yaml

@@ -15,7 +15,7 @@ spec:
     spec:
       containers:
         - name: kroki
-          image: docker.io/yuzutech/kroki:latest
+          image: git.baumann.gr/adebaumann/kroki:0.026
           ports:
             - containerPort: 8000
           readinessProbe:
@@ -35,15 +35,15 @@ spec:
             timeoutSeconds: 2
             failureThreshold: 3
         - name: mermaid
-          image: docker.io/yuzutech/kroki-mermaid:latest
+          image: git.baumann.gr/adebaumann/kroki-mermaid:0.026
           ports:
             - containerPort: 8002
         - name: bpmn
-          image: docker.io/yuzutech/kroki-bpmn:latest
+          image: git.baumann.gr/adebaumann/kroki-bpmn:0.026
           ports:
             - containerPort: 8003
         - name: excalidraw
-          image: docker.io/yuzutech/kroki-excalidraw:latest
+          image: git.baumann.gr/adebaumann/kroki-excalidraw:0.026
           ports:
             - containerPort: 8004
 ---

argocd/ingress.yaml

@@ -7,7 +7,7 @@ metadata:
     nginx.ingress.kubernetes.io/rewrite-target: /
 spec:
   rules:
-    - host: vorgabenui.adebaumann.com
+    - host: vorgabenportal.knowyoursecurity.com
       http:
         paths:
           - path: /

data-loader/Dockerfile

@@ -8,5 +8,4 @@ RUN chown appuser:appuser /preload/preload.sqlite3
 RUN mkdir /data
 RUN chown appuser:appuser /data
 USER root
-CMD ["sh"]
 

dokumente/admin.py

@@ -99,8 +99,8 @@ class PersonAdmin(admin.ModelAdmin):
     
 
 
-@admin.register(Standard)
-class StandardAdmin(NestedModelAdmin):
+@admin.register(Dokument)
+class DokumentAdmin(NestedModelAdmin):
     actions_on_top=True
     inlines = [EinleitungInline,GeltungsbereichInline,VorgabeInline]
     #filter_horizontal=['autoren','pruefende']
@@ -118,7 +118,7 @@ class StandardAdmin(NestedModelAdmin):
 #admin.site.register(Stichwort)
 
 admin.site.register(Checklistenfrage)
-#admin.site.register(Dokumententyp)
+admin.site.register(Dokumententyp)
 #admin.site.register(Person)
 admin.site.register(Thema)
 #admin.site.register(Referenz, DraggableM§PTTAdmin)

dokumente/apps.py

@@ -3,4 +3,4 @@ from django.apps import AppConfig
 
 class standardsConfig(AppConfig):
     default_auto_field = 'django.db.models.BigAutoField'
-    name = 'standards'
+    name = 'dokumente'

dokumente/management/commands/import-document.py

@@ -1,11 +1,11 @@
-# Standards/management/commands/import_standard.py
+# Document/management/commands/import_standard.py
 import re
 from pathlib import Path
 from django.core.management.base import BaseCommand, CommandError
 from django.utils import timezone
 
-from standards.models import (
-    Standard,
+from dokumente.models import (
+    Dokument,
     Dokumententyp,
     Thema,
     Vorgabe,
@@ -21,15 +21,15 @@ from stichworte.models import Stichwort
 
 class Command(BaseCommand):
     help = (
-        "Import a security standard from a structured text file.\n"
+        "Import a policy document from a structured text file.\n"
         "Supports Einleitung, Geltungsbereich, Vorgaben (Kurztext/Langtext with AbschnittTyp), "
         "Stichworte (comma-separated), Checklistenfragen, dry-run, verbose, and purge."
     )
 
     def add_arguments(self, parser):
         parser.add_argument("file_path", type=str, help="Path to the plaintext file")
-        parser.add_argument("--nummer", required=True, help="Standard number (e.g., STD-001)")
-        parser.add_argument("--name", required=True, help='Standard name (e.g., "IT-Sicherheit Container")')
+        parser.add_argument("--nummer", required=True, help="Document number (e.g., STD-001)")
+        parser.add_argument("--name", required=True, help='Document name (e.g., "IT-Sicherheit Container")')
         parser.add_argument("--dokumententyp", required=True, help='Dokumententyp name (e.g., "IT-Sicherheit")')
         parser.add_argument("--gueltigkeit_von", default=None, help="Start date (YYYY-MM-DD)")
         parser.add_argument("--gueltigkeit_bis", default=None, help="End date (YYYY-MM-DD)")
@@ -63,8 +63,8 @@ class Command(BaseCommand):
         if dry_run:
             self.stdout.write(self.style.WARNING("Dry run: no database changes will be made."))
 
-        # get or create Standard (we want a real instance even in purge to count existing rows)
-        standard, created = Standard.objects.get_or_create(
+        # get or create Document (we want a real instance even in purge to count existing rows)
+        standard, created = Dokument.objects.get_or_create(
             nummer=nummer,
             defaults={
                 "dokumententyp": dokumententyp,
@@ -74,9 +74,9 @@ class Command(BaseCommand):
             },
         )
         if created:
-            self.stdout.write(self.style.SUCCESS(f"Created Standard {nummer} – {name}"))
+            self.stdout.write(self.style.SUCCESS(f"Created Document {nummer} – {name}"))
         else:
-            self.stdout.write(self.style.WARNING(f"Standard {nummer} already exists; content may be updated."))
+            self.stdout.write(self.style.WARNING(f"Document {nummer} already exists; content may be updated."))
 
         # purge (Einleitung + Geltungsbereich + Vorgaben cascade)
         if purge:
@@ -347,6 +347,6 @@ class Command(BaseCommand):
                     )
 
         self.stdout.write(self.style.SUCCESS(
-            "Dry run complete" if dry_run else f"Imported standard {nummer} – {name} with {len(vorgaben_data)} Vorgaben"
+            "Dry run complete" if dry_run else f"Imported document {nummer} – {name} with {len(vorgaben_data)} Vorgaben"
         ))
 

dokumente/migrations/0001_initial.py

@@ -53,7 +53,7 @@ class Migration(migrations.Migration):
                 ('rght', models.PositiveIntegerField(editable=False)),
                 ('tree_id', models.PositiveIntegerField(db_index=True, editable=False)),
                 ('level', models.PositiveIntegerField(editable=False)),
-                ('oberreferenz', mptt.fields.TreeForeignKey(blank=True, null=True, on_delete=django.db.models.deletion.SET_NULL, related_name='unterreferenzen', to='standards.referenz')),
+                ('oberreferenz', mptt.fields.TreeForeignKey(blank=True, null=True, on_delete=django.db.models.deletion.SET_NULL, related_name='unterreferenzen', to='dokumente.referenz')),
             ],
             options={
                 'verbose_name_plural': 'Referenzen',
@@ -65,7 +65,7 @@ class Migration(migrations.Migration):
                 ('id', models.BigAutoField(auto_created=True, primary_key=True, serialize=False, verbose_name='ID')),
                 ('inhalt', models.TextField(blank=True, null=True)),
                 ('abschnitttyp', models.ForeignKey(blank=True, null=True, on_delete=django.db.models.deletion.PROTECT, to='abschnitte.abschnitttyp')),
-                ('erklaerung', models.ForeignKey(on_delete=django.db.models.deletion.CASCADE, to='standards.referenz')),
+                ('erklaerung', models.ForeignKey(on_delete=django.db.models.deletion.CASCADE, to='dokumente.referenz')),
             ],
             options={
                 'verbose_name': 'Erklärung',
@@ -80,9 +80,9 @@ class Migration(migrations.Migration):
                 ('gueltigkeit_bis', models.DateField(blank=True, null=True)),
                 ('signatur_cso', models.CharField(blank=True, max_length=255)),
                 ('anhaenge', models.TextField(blank=True)),
-                ('autoren', models.ManyToManyField(related_name='verfasste_dokumente', to='standards.person')),
-                ('dokumententyp', models.ForeignKey(on_delete=django.db.models.deletion.PROTECT, to='standards.dokumententyp')),
-                ('pruefende', models.ManyToManyField(related_name='gepruefte_dokumente', to='standards.person')),
+                ('autoren', models.ManyToManyField(related_name='verfasste_dokumente', to='dokumente.person')),
+                ('dokumententyp', models.ForeignKey(on_delete=django.db.models.deletion.PROTECT, to='dokumente.dokumententyp')),
+                ('pruefende', models.ManyToManyField(related_name='gepruefte_dokumente', to='dokumente.person')),
             ],
             options={
                 'verbose_name': 'Standard',
@@ -95,7 +95,7 @@ class Migration(migrations.Migration):
                 ('id', models.BigAutoField(auto_created=True, primary_key=True, serialize=False, verbose_name='ID')),
                 ('inhalt', models.TextField(blank=True, null=True)),
                 ('abschnitttyp', models.ForeignKey(blank=True, null=True, on_delete=django.db.models.deletion.PROTECT, to='abschnitte.abschnitttyp')),
-                ('geltungsbereich', models.ForeignKey(on_delete=django.db.models.deletion.CASCADE, to='standards.standard')),
+                ('geltungsbereich', models.ForeignKey(on_delete=django.db.models.deletion.CASCADE, to='dokumente.standard')),
             ],
             options={
                 'verbose_name': 'Geltungsbereichs-Abschnitt',
@@ -108,8 +108,8 @@ class Migration(migrations.Migration):
                 ('id', models.BigAutoField(auto_created=True, primary_key=True, serialize=False, verbose_name='ID')),
                 ('datum', models.DateField()),
                 ('aenderung', models.TextField()),
-                ('autoren', models.ManyToManyField(to='standards.person')),
-                ('dokument', models.ForeignKey(on_delete=django.db.models.deletion.CASCADE, related_name='changelog', to='standards.standard')),
+                ('autoren', models.ManyToManyField(to='dokumente.person')),
+                ('dokument', models.ForeignKey(on_delete=django.db.models.deletion.CASCADE, related_name='changelog', to='dokumente.standard')),
             ],
         ),
         migrations.CreateModel(
@@ -120,10 +120,10 @@ class Migration(migrations.Migration):
                 ('titel', models.CharField(max_length=255)),
                 ('gueltigkeit_von', models.DateField()),
                 ('gueltigkeit_bis', models.DateField(blank=True, null=True)),
-                ('dokument', models.ForeignKey(on_delete=django.db.models.deletion.CASCADE, related_name='vorgaben', to='standards.standard')),
-                ('referenzen', models.ManyToManyField(blank=True, to='standards.referenz')),
+                ('dokument', models.ForeignKey(on_delete=django.db.models.deletion.CASCADE, related_name='vorgaben', to='dokumente.standard')),
+                ('referenzen', models.ManyToManyField(blank=True, to='dokumente.referenz')),
                 ('stichworte', models.ManyToManyField(blank=True, to='stichworte.stichwort')),
-                ('thema', models.ForeignKey(on_delete=django.db.models.deletion.PROTECT, to='standards.thema')),
+                ('thema', models.ForeignKey(on_delete=django.db.models.deletion.PROTECT, to='dokumente.thema')),
             ],
             options={
                 'verbose_name_plural': 'Vorgaben',
@@ -134,7 +134,7 @@ class Migration(migrations.Migration):
             fields=[
                 ('id', models.BigAutoField(auto_created=True, primary_key=True, serialize=False, verbose_name='ID')),
                 ('frage', models.CharField(max_length=255)),
-                ('vorgabe', models.ForeignKey(on_delete=django.db.models.deletion.CASCADE, related_name='checklistenfragen', to='standards.vorgabe')),
+                ('vorgabe', models.ForeignKey(on_delete=django.db.models.deletion.CASCADE, related_name='checklistenfragen', to='dokumente.vorgabe')),
             ],
             options={
                 'verbose_name_plural': 'Fragen für Checkliste',
@@ -145,7 +145,7 @@ class Migration(migrations.Migration):
             fields=[
                 ('id', models.BigAutoField(auto_created=True, primary_key=True, serialize=False, verbose_name='ID')),
                 ('inhalt', models.TextField(blank=True, null=True)),
-                ('abschnitt', models.ForeignKey(on_delete=django.db.models.deletion.CASCADE, to='standards.vorgabe')),
+                ('abschnitt', models.ForeignKey(on_delete=django.db.models.deletion.CASCADE, to='dokumente.vorgabe')),
                 ('abschnitttyp', models.ForeignKey(blank=True, null=True, on_delete=django.db.models.deletion.PROTECT, to='abschnitte.abschnitttyp')),
             ],
             options={
@@ -158,7 +158,7 @@ class Migration(migrations.Migration):
             fields=[
                 ('id', models.BigAutoField(auto_created=True, primary_key=True, serialize=False, verbose_name='ID')),
                 ('inhalt', models.TextField(blank=True, null=True)),
-                ('abschnitt', models.ForeignKey(on_delete=django.db.models.deletion.CASCADE, to='standards.vorgabe')),
+                ('abschnitt', models.ForeignKey(on_delete=django.db.models.deletion.CASCADE, to='dokumente.vorgabe')),
                 ('abschnitttyp', models.ForeignKey(blank=True, null=True, on_delete=django.db.models.deletion.PROTECT, to='abschnitte.abschnitttyp')),
             ],
             options={

dokumente/migrations/0002_einleitung.py

@@ -8,7 +8,7 @@ class Migration(migrations.Migration):
 
     dependencies = [
         ('abschnitte', '0001_initial'),
-        ('standards', '0001_initial'),
+        ('dokumente', '0001_initial'),
     ]
 
     operations = [
@@ -18,7 +18,7 @@ class Migration(migrations.Migration):
                 ('id', models.BigAutoField(auto_created=True, primary_key=True, serialize=False, verbose_name='ID')),
                 ('inhalt', models.TextField(blank=True, null=True)),
                 ('abschnitttyp', models.ForeignKey(blank=True, null=True, on_delete=django.db.models.deletion.PROTECT, to='abschnitte.abschnitttyp')),
-                ('einleitung', models.ForeignKey(on_delete=django.db.models.deletion.CASCADE, to='standards.standard')),
+                ('einleitung', models.ForeignKey(on_delete=django.db.models.deletion.CASCADE, to='dokumente.standard')),
             ],
             options={
                 'verbose_name': 'Einleitungs-Abschnitt',

dokumente/migrations/0003_einleitung_order_geltungsbereich_order_and_more.py

@@ -6,7 +6,7 @@ from django.db import migrations, models
 class Migration(migrations.Migration):
 
     dependencies = [
-        ('standards', '0002_einleitung'),
+        ('dokumente', '0002_einleitung'),
     ]
 
     operations = [

dokumente/migrations/0004_remove_referenzerklaerung_erklaerung_and_more.py

@@ -7,7 +7,7 @@ class Migration(migrations.Migration):
 
     dependencies = [
         ('referenzen', '0001_initial'),
-        ('standards', '0003_einleitung_order_geltungsbereich_order_and_more'),
+        ('dokumente', '0003_einleitung_order_geltungsbereich_order_and_more'),
     ]
 
     operations = [

dokumente/migrations/0005_vorgabe_relevanz.py

@@ -7,7 +7,7 @@ class Migration(migrations.Migration):
 
     dependencies = [
         ('rollen', '0001_initial'),
-        ('standards', '0004_remove_referenzerklaerung_erklaerung_and_more'),
+        ('dokumente', '0004_remove_referenzerklaerung_erklaerung_and_more'),
     ]
 
     operations = [

dokumente/migrations/0006_rename_standard_dokument_alter_dokument_options.py

@@ -0,0 +1,21 @@
+# Generated by Django 5.2.5 on 2025-10-02 12:13
+
+from django.db import migrations
+
+
+class Migration(migrations.Migration):
+
+    dependencies = [
+        ('dokumente', '0005_vorgabe_relevanz'),
+    ]
+
+    operations = [
+        migrations.RenameModel(
+            old_name='Standard',
+            new_name='Dokument',
+        ),
+        migrations.AlterModelOptions(
+            name='dokument',
+            options={'verbose_name': 'Dokument', 'verbose_name_plural': 'Dokumente'},
+        ),
+    ]

dokumente/migrations/0007_alter_changelog_options_and_more.py

@@ -0,0 +1,29 @@
+# Generated by Django 5.2.5 on 2025-10-06 11:29
+
+from django.db import migrations
+
+
+class Migration(migrations.Migration):
+
+    dependencies = [
+        ('dokumente', '0006_rename_standard_dokument_alter_dokument_options'),
+    ]
+
+    operations = [
+        migrations.AlterModelOptions(
+            name='changelog',
+            options={'verbose_name': 'Changelog-Eintrag', 'verbose_name_plural': 'Changelog'},
+        ),
+        migrations.AlterModelOptions(
+            name='checklistenfrage',
+            options={'verbose_name': 'Frage für Checkliste', 'verbose_name_plural': 'Fragen für Checkliste'},
+        ),
+        migrations.AlterModelOptions(
+            name='dokumententyp',
+            options={'verbose_name': 'Dokumententyp', 'verbose_name_plural': 'Dokumententypen'},
+        ),
+        migrations.AlterModelOptions(
+            name='vorgabelangtext',
+            options={'verbose_name': 'Langtext-Abschnitt', 'verbose_name_plural': 'Langtext'},
+        ),
+    ]

dokumente/models.py

@@ -13,6 +13,10 @@ class Dokumententyp(models.Model):
     def __str__(self):
         return self.name
 
+    class Meta:
+        verbose_name="Dokumententyp"
+        verbose_name_plural="Dokumententypen"
+
 
 class Person(models.Model):
     name = models.CharField(max_length=100, primary_key=True)
@@ -33,7 +37,7 @@ class Thema(models.Model):
         verbose_name_plural="Themen"
 
 
-class Standard(models.Model):
+class Dokument(models.Model):
     nummer = models.CharField(max_length=50, primary_key=True)
     dokumententyp = models.ForeignKey(Dokumententyp, on_delete=models.PROTECT)
     name = models.CharField(max_length=255)
@@ -48,12 +52,12 @@ class Standard(models.Model):
         return f"{self.nummer} – {self.name}"
 
     class Meta:
-        verbose_name_plural="Standards"
-        verbose_name="Standard"
+        verbose_name_plural="Dokumente"
+        verbose_name="Dokument"
 
 class Vorgabe(models.Model):
     nummer = models.IntegerField()
-    dokument = models.ForeignKey(Standard, on_delete=models.CASCADE, related_name='vorgaben')
+    dokument = models.ForeignKey(Dokument, on_delete=models.CASCADE, related_name='vorgaben')
     thema = models.ForeignKey(Thema, on_delete=models.PROTECT)
     titel = models.CharField(max_length=255)
     referenzen = models.ManyToManyField(Referenz, blank=True)
@@ -77,17 +81,17 @@ class Vorgabe(models.Model):
 
         return "expired" if not verbose else "Ist seit dem "+self.gueltigkeit_bis.strftime('%d.%m.%Y')+" nicht mehr in Kraft."
 
+    def __str__(self):
+        return f"{self.Vorgabennummer()}: {self.titel}"
 
     class Meta:
         verbose_name_plural="Vorgaben"
 
-    def __str__(self):
-        return f"{self.Vorgabennummer()}: {self.titel}"
 
 class VorgabeLangtext(Textabschnitt):
     abschnitt=models.ForeignKey(Vorgabe,on_delete=models.CASCADE)
     class Meta:
-        verbose_name_plural="Langtext-Abschnitte"
+        verbose_name_plural="Langtext"
         verbose_name="Langtext-Abschnitt"
 
 class VorgabeKurztext(Textabschnitt):
@@ -97,13 +101,13 @@ class VorgabeKurztext(Textabschnitt):
         verbose_name="Kurztext-Abschnitt"
 
 class Geltungsbereich(Textabschnitt):
-    geltungsbereich=models.ForeignKey(Standard,on_delete=models.CASCADE)
+    geltungsbereich=models.ForeignKey(Dokument,on_delete=models.CASCADE)
     class Meta:
         verbose_name_plural="Geltungsbereich"
         verbose_name="Geltungsbereichs-Abschnitt"
 
 class Einleitung(Textabschnitt):
-    einleitung=models.ForeignKey(Standard,on_delete=models.CASCADE)
+    einleitung=models.ForeignKey(Dokument,on_delete=models.CASCADE)
     class Meta:
         verbose_name_plural="Einleitung"
         verbose_name="Einleitungs-Abschnitt"
@@ -117,12 +121,17 @@ class Checklistenfrage(models.Model):
 
     class Meta:
         verbose_name_plural="Fragen für Checkliste"
+        verbose_name="Frage für Checkliste"
 
 class Changelog(models.Model):
-    dokument = models.ForeignKey(Standard, on_delete=models.CASCADE, related_name='changelog')
+    dokument = models.ForeignKey(Dokument, on_delete=models.CASCADE, related_name='changelog')
     autoren = models.ManyToManyField(Person)
     datum = models.DateField()
     aenderung = models.TextField()
 
     def __str__(self):
         return f"{self.datum} – {self.dokument.nummer}"
+
+    class Meta:
+        verbose_name_plural="Changelog"
+        verbose_name="Changelog-Eintrag"

dokumente/templates/standards/standard_detail.html

@@ -5,27 +5,32 @@
 {% if standard.history == True %}
 <h2>Version vom {{ standard.check_date }}</h2>
 {% endif %}
-
+<!-- Autoren, Prüfende etc. -->
 <p><strong>Autoren:</strong> {{ standard.autoren.all|join:", " }}</p>
 <p><strong>Prüfende:</strong> {{ standard.pruefende.all|join:", " }}</p>
 <p><strong>Gültigkeit:</strong> {{ standard.gueltigkeit_von }} bis {{ standard.gueltigkeit_bis }}</p>
 
+<!-- Start Einleitung -->
 {% if standard.einleitung_html %}
 <h2>Einleitung</h2>
 {% for typ, html in standard.einleitung_html %}
 <div>{{ html|safe }}</div>
 {% endfor %}
 {% endif %}
+<!-- End Einleitung -->
 
+<!-- Start Geltungsbereich -->
 {% if standard.geltungsbereich_html %}
 <h2>Geltungsbereich</h2>
 {% for typ, html in standard.geltungsbereich_html %}
 <div>{{ html|safe }}</div>
 {% endfor %}
 {% endif %}
+<!-- End Geltungsbereich -->
 
 <h2>Vorgaben</h2>
 {% for vorgabe in vorgaben %}
+<!-- Start Vorgabe -->
 {% if standard.history == True or vorgabe.long_status == "active" %}
   <a id="{{ vorgabe.Vorgabennummer }}"></a><div class="card mb-4">
     {% if vorgabe.long_status == "active"%}
@@ -46,7 +51,7 @@
     </div>
 
     <div class="card-body p-0">
-
+<!-- Start Kurztext -->
       {% comment %} KURZTEXT BLOCK {% endcomment %}
       {% if vorgabe.kurztext_html.0.1 %}
       <div class="p-3 mb-3 bg-light border-3" style="width: 100%;">
@@ -57,13 +62,14 @@
         {% endfor %}
       </div>
       {% endif %}
+      <!-- Langtext -->
       <div class="p-3 mb-3">
       {% comment %} LANGTEXT BLOCK {% endcomment %}
       {# <h5>Langtext</h5> #}
       {% for typ, html in vorgabe.langtext_html %}
         {% if html %}<div class="mb-3">{{ html|safe }}</div>{% endif %}
       {% endfor %}
-
+<!-- Checklistenfragen -->
       {% comment %} CHECKLISTENFRAGEN BLOCK {% endcomment %}
       <h5>Checklistenfragen</h5>
       {% if vorgabe.checklistenfragen.all %}

dokumente/views.py

@@ -1,5 +1,5 @@
 from django.shortcuts import render, get_object_or_404
-from .models import Standard
+from .models import Dokument
 from abschnitte.utils import render_textabschnitte
 
 from datetime import date
@@ -9,14 +9,14 @@ calendar=parsedatetime.Calendar()
 
 
 def standard_list(request):
-    standards = Standard.objects.all()
+    standards = Dokument.objects.all()
     return render(request, 'standards/standard_list.html',
-                  {'standards': standards}
+                  {'dokumente': standards}
                   )
 
 
 def standard_detail(request, nummer,check_date=""):
-    standard = get_object_or_404(Standard, nummer=nummer)
+    standard = get_object_or_404(Dokument, nummer=nummer)
 
     if check_date:
         check_date = calendar.parseDT(check_date)[0].date()
@@ -48,7 +48,7 @@ def standard_detail(request, nummer,check_date=""):
 
 
 def standard_checkliste(request, nummer):
-    standard = get_object_or_404(Standard, nummer=nummer)
+    standard = get_object_or_404(Dokument, nummer=nummer)
     vorgaben = list(standard.vorgaben.all())
     return render(request, 'standards/standard_checkliste.html', {
         'standard': standard,

k8s/data-loader-pod.yaml

@@ -7,8 +7,8 @@ spec:
   restartPolicy: Never
   containers:
     - name: loader
-      image: adebaumann/vgui-preloader:0.4
-      command: ["sh","-c","cp -v /preload/preload.sqlite3 /data/db.sqlite3; chown -R 999:999 /data; ls -la /data"]
+      image: adebaumann/vgui-preloader:0.5
+      command: ["sh","-c","cp -v --debug --update=none /preload/preload.sqlite3 /data/db.sqlite3; chown -R 999:999 /data; ls -la /data; exit 0"]
       volumeMounts:
         - name: data
           mountPath: /data

k8s/deployment.yaml

@@ -16,6 +16,13 @@ spec:
       securityContext:
         fsGroup: 999
         fsGroupChangePolicy: "OnRootMismatch"
+      initContainers:
+        - name: loader
+          image: adebaumann/vgui-preloader:0.5
+          command: [ "sh","-c","cp -v --debug --update=none /preload/preload.sqlite3 /data/db.sqlite3; chown -R 999:999 /data; ls -la /data; exit 0" ]
+          volumeMounts:
+            - name: data
+              mountPath: /data
       containers:
         - name: web
           image: docker.io/adebaumann/vui:0.917

pages/templates/base.html

@@ -16,7 +16,7 @@
   </button>
   <div class="collapse navbar-collapse" id="navbarNavAltMarkup">
     <div class="navbar-nav">
-      <a class="nav-item nav-link active" href="/standards">Standards</a>
+      <a class="nav-item nav-link active" href="/dokumente">Standards</a>
       <a class="nav-item nav-link" href="/referenzen">Referenzen</a>
       <a class="nav-item nav-link" href="/stichworte">Stichworte</a>
       <a class="nav-item nav-link" href="/search">Suche</a>
@@ -28,6 +28,6 @@
     <div class="flex-fill">{% block content %}Main Content{% endblock %}</div>
     <div class="col-md-2">{% block sidebar_right %}{% endblock %}</div>
 </div>
-<div>VorgabenUI v0.8</div>
+<div>VorgabenUI v0.927</div>
 </body>
 </html>

pages/templates/startseite.html

@@ -3,7 +3,7 @@
 <h1>Vorgaben Informatiksicherheit BIT</h1>
 <h2>Aktuell erfasste Standards</h2>
 <ul>
-    {% for standard in standards %}
+    {% for standard in dokumente %}
     <li><a href="{% url 'standard_detail' nummer=standard.nummer %}">{{ standard }}</a></li>
     {% endfor %}
 </ul>

pages/views.py

@@ -1,12 +1,12 @@
 from django.shortcuts import render
 from abschnitte.utils import render_textabschnitte
-from standards.models import Standard, VorgabeLangtext, VorgabeKurztext, Geltungsbereich
+from dokumente.models import Dokument, VorgabeLangtext, VorgabeKurztext, Geltungsbereich
 from itertools import groupby
 import datetime
 
 def startseite(request):
-    standards=list(Standard.objects.all())
-    return render(request, 'startseite.html', {"standards":standards,})
+    standards=list(Dokument.objects.all())
+    return render(request, 'startseite.html', {"dokumente":standards,})
 
 def search(request):
     if request.method == "GET":

requirements.txt

@@ -6,7 +6,6 @@ charset-normalizer==3.4.3
 curtsies==0.4.3
 cwcwidth==0.1.10
 Django==5.2.5
-django-debug-toolbar==6.0.0
 django-js-asset==3.1.2
 django-mptt==0.17.0
 django-mptt-admin==2.8.0

standards/management/commands/import-standard1.py

@@ -1,177 +0,0 @@
-# Standards/management/commands/import_standard.py
-import re
-from pathlib import Path
-from django.core.management.base import BaseCommand, CommandError
-from django.utils import timezone
-
-from standards.models import (
-    Standard,
-    Vorgabe,
-    VorgabeKurztext,
-    VorgabeLangtext,
-    Geltungsbereich,
-    Dokumententyp,
-    Thema,
-)
-from abschnitte.models import AbschnittTyp
-
-
-class Command(BaseCommand):
-    help = "Import a security standard from a structured text file"
-
-    def add_arguments(self, parser):
-        parser.add_argument("file_path", type=str, help="Path to the plaintext file")
-        parser.add_argument("--nummer", required=True, help="Standard number (e.g., STD-001)")
-        parser.add_argument("--name", required=True, help="Standard name (e.g., IT-Sicherheit Container)")
-        parser.add_argument("--dokumententyp", required=True, help="Dokumententyp name")
-        parser.add_argument("--gueltigkeit_von", default=None, help="Start date (YYYY-MM-DD)")
-        parser.add_argument("--gueltigkeit_bis", default=None, help="End date (YYYY-MM-DD)")
-        parser.add_argument("--dry-run", action="store_true", help="Perform a dry run without saving to the database")
-        parser.add_argument("--verbose", action="store_true", help="Verbose output for dry run")
-
-    def handle(self, *args, **options):
-        dry_run = options["dry_run"]
-        verbose = options["verbose"]
-        file_path = Path(options["file_path"])
-        if not file_path.exists():
-            raise CommandError(f"File {file_path} does not exist")
-
-        nummer = options["nummer"]
-        name = options["name"]
-        dokumententyp_name = options["dokumententyp"]
-
-        try:
-            dokumententyp = Dokumententyp.objects.get(name=dokumententyp_name)
-        except Dokumententyp.DoesNotExist:
-            raise CommandError(f"Dokumententyp '{dokumententyp_name}' does not exist")
-
-        if dry_run:
-            self.stdout.write(self.style.WARNING("Dry run: no database changes will be made"))
-
-        # Create or get the Standard
-        if dry_run:
-            standard = {"nummer": nummer, "name": name, "dokumententyp": dokumententyp}
-        else:
-            standard, created = Standard.objects.get_or_create(
-                nummer=nummer,
-                defaults={
-                    "dokumententyp": dokumententyp,
-                    "name": name,
-                    "gueltigkeit_von": options["gueltigkeit_von"],
-                    "gueltigkeit_bis": options["gueltigkeit_bis"],
-                },
-            )
-            if not created:
-                self.stdout.write(self.style.WARNING(f"Standard {nummer} already exists, updating content"))
-
-        # Read and parse the file
-        content = file_path.read_text(encoding="utf-8")
-        blocks = re.split(r"^>>>", content, flags=re.MULTILINE)
-        blocks = [b.strip() for b in blocks if b.strip()]
-
-        geltungsbereich_sections = []
-        current_vorgabe = None
-        vorgaben_data = []
-        current_context = "geltungsbereich"
-        abschnittstyp_headers = ["text", "liste geordnet", "liste ungeordnet"]
-
-        for block in blocks:
-            lines = block.splitlines()
-            header = lines[0].strip()
-            text = "\n".join(lines[1:]).strip()
-            header_lower = header.lower()
-
-            # Determine AbschnittTyp if applicable
-            abschnitt_typ = None
-            if header_lower in abschnittstyp_headers:
-                try:
-                    abschnitt_typ = AbschnittTyp.objects.get(abschnitttyp=header_lower)
-                except AbschnittTyp.DoesNotExist:
-                    self.stdout.write(self.style.WARNING(f"AbschnittTyp '{header_lower}' not found, defaulting to 'text'"))
-                    abschnitt_typ = AbschnittTyp.objects.get(abschnitttyp="text")
-
-            if header_lower == "geltungsbereich":
-                current_context = "geltungsbereich"
-
-            elif header_lower.startswith("vorgabe"):
-                if current_vorgabe:
-                    vorgaben_data.append(current_vorgabe)
-                thema_name = header.split(" ", 1)[1].strip()
-                current_vorgabe = {"thema": thema_name, "titel": "", "nummer": None, "kurztext": [], "langtext": []}
-                current_context = "vorgabe_none"
-
-            elif header_lower.startswith("titel") and current_vorgabe:
-                current_vorgabe["titel"] = text
-
-            elif header_lower.startswith("nummer") and current_vorgabe:
-                nummer_match = re.search(r"\d+", header)
-                if nummer_match:
-                    current_vorgabe["nummer"] = int(nummer_match.group())
-                current_context = "vorgabe_none"
-
-            elif header_lower == "kurztext":
-                current_context = "vorgabe_kurztext"
-
-            elif header_lower == "langtext":
-                current_context = "vorgabe_langtext"
-
-            elif header_lower in abschnittstyp_headers:
-                abschnitt = {"inhalt": text, "typ": abschnitt_typ}
-                if current_context == "geltungsbereich":
-                    geltungsbereich_sections.append(abschnitt)
-                    if dry_run and verbose:
-                        self.stdout.write(self.style.SUCCESS(f"[DRY RUN] Geltungsbereich Abschnitt (Abschnittstyp: {abschnitt_typ}): {text[:50]}..."))
-                elif current_context == "vorgabe_kurztext" and current_vorgabe:
-                    current_vorgabe["kurztext"].append(abschnitt)
-                    if dry_run and verbose:
-                        self.stdout.write(self.style.SUCCESS(f"[DRY RUN] Vorgabe {current_vorgabe['nummer']} Kurztext Abschnitt (Abschnittstyp: {abschnitt_typ}): {text[:50]}..."))
-                elif current_context == "vorgabe_langtext" and current_vorgabe:
-                    current_vorgabe["langtext"].append(abschnitt)
-                    if dry_run and verbose:
-                        self.stdout.write(self.style.SUCCESS(f"[DRY RUN] Vorgabe {current_vorgabe['nummer']} Langtext Abschnitt (Abschnittstyp: {abschnitt_typ}): {text[:50]}..."))
-
-        if current_vorgabe:
-            vorgaben_data.append(current_vorgabe)
-
-        # Save Geltungsbereich
-        for sektion in geltungsbereich_sections:
-            if dry_run:
-                self.stdout.write(self.style.SUCCESS(f"[DRY RUN] Would create Geltungsbereich Abschnitt (Abschnittstyp: {sektion['typ']}): {sektion['inhalt'][:50]}..."))
-            else:
-                Geltungsbereich.objects.create(
-                    geltungsbereich=standard,
-                    abschnitttyp=sektion["typ"],
-                    inhalt=sektion["inhalt"],
-                )
-
-        # Save Vorgaben
-        for v in vorgaben_data:
-            try:
-                thema = Thema.objects.get(name=v["thema"])
-            except Thema.DoesNotExist:
-                self.stdout.write(self.style.WARNING(f"Thema '{v['thema']}' not found, skipping Vorgabe {v['nummer']}"))
-                continue
-
-            if dry_run:
-                self.stdout.write(self.style.SUCCESS(f"[DRY RUN] Would create Vorgabe {v['nummer']}: '{v['titel']}' (Thema: {v['thema']})"))
-                for sektion in v["kurztext"]:
-                    self.stdout.write(self.style.SUCCESS(f"[DRY RUN]   Kurztext Abschnitt (Abschnittstyp: {sektion['typ']}): {sektion['inhalt'][:50]}..."))
-                for sektion in v["langtext"]:
-                    self.stdout.write(self.style.SUCCESS(f"[DRY RUN]   Langtext Abschnitt (Abschnittstyp: {sektion['typ']}): {sektion['inhalt'][:50]}..."))
-            else:
-                vorgabe = Vorgabe.objects.create(
-                    nummer=v["nummer"],
-                    dokument=standard,
-                    thema=thema,
-                    titel=v["titel"],
-                    gueltigkeit_von=timezone.now().date(),
-                )
-                for sektion in v["kurztext"]:
-                    VorgabeKurztext.objects.create(abschnitt=vorgabe, abschnitttyp=sektion["typ"], inhalt=sektion["inhalt"])
-                for sektion in v["langtext"]:
-                    VorgabeLangtext.objects.create(abschnitt=vorgabe, abschnitttyp=sektion["typ"], inhalt=sektion["inhalt"])
-
-        self.stdout.write(self.style.SUCCESS(
-            f"{'Dry run complete' if dry_run else f'Imported standard {standard} with {len(vorgaben_data)} Vorgaben'}"
-        ))
-

staticfiles/css/admin_extras.css

@@ -1,14 +0,0 @@
-.nested-inline h3 {
-    background-color: #f3f3f3;
-    border-bottom: 1px solid #ccc;
-    padding: 0.4em;
-    margin: 0;
-    font-weight: bold;
-    cursor: pointer;
-  }
-  
-  .nested-inline fieldset.module {
-    margin-bottom: 1em;
-    border: 1px solid #ccc;
-    padding: 0;
-  }

staticfiles/js/inline_toggle.js

@@ -1,24 +0,0 @@
-document.addEventListener("DOMContentLoaded", function () {
-  const inlineSections = document.querySelectorAll(".nested-inline fieldset.module");
-
-  inlineSections.forEach(section => {
-    const header = section.querySelector("h2");
-    const content = Array.from(section.children).filter(child => !child.matches("h2"));
-
-    if (header && content.length > 0) {
-      header.style.cursor = "pointer";
-      header.style.userSelect = "none";
-      header.style.background = "#f3f3f3";
-      header.style.borderBottom = "1px solid #ccc";
-      header.style.padding = "4px";
-
-      // Collapse by default
-      content.forEach(el => el.style.display = "none");
-
-      header.addEventListener("click", () => {
-        const currentlyVisible = content[0].style.display !== "none";
-        content.forEach(el => el.style.display = currentlyVisible ? "none" : "block");
-      });
-    }
-  });
-});