BACKCLICK 5 – Changelog

Zusammenfassung der Änderungen an BACKCLICK 5. Neueste Version zuerst.

Version 5.10.4 – Aktualisierung vom 06.11.2026 (Stand d5095e23)

Die Versionsnummer bleibt 5.10.4. Die Update-Seite zeigt den Stand dahinter als Kennung (hier d5095e23).

• Neu – Anmeldung freiwillig absichern: Jeder Benutzer kann unter „Persönliche Einstellungen“ → „Anmeldung absichern“ seine Anmeldung verstärken. Wer nichts einrichtet, meldet sich unverändert an.
• Neu – Zweiter Faktor: Nach dem Kennwort wird ein Code aus einer Authenticator-App oder ein Code per E-Mail abgefragt. Bei der ersten Einrichtung gibt es zehn Wiederherstellungscodes für den Notfall. Der QR-Code für die App entsteht lokal, die Anlage braucht dafür keinen Internetzugang.
• Neu – Passkeys: Anmeldung ohne Benutzername und Kennwort, mit PIN oder Biometrie am Gerät. Das Kennwort bleibt immer als Alternative bestehen und zieht dann den zweiten Faktor. Passkeys brauchen HTTPS und eine feste Domain und gelten für interne Konten, nicht für LDAP und TAM.
• Für Administratoren: Ein Administrator des Mandanten kann die Verfahren eines Benutzers zurücksetzen. Nach fünf Fehlversuchen ist die Anmeldung 15 Minuten gesperrt. SOAP und die weiteren maschinellen Zugänge verlangen weiterhin nur ihre bisherigen Zugangsdaten.

Version 5.10.4 – Aktualisierung vom 05.11.2026 (Stand 3c0c5a34)

Die Versionsnummer bleibt 5.10.4. Die Update-Seite zeigt den Stand dahinter als Kennung (hier 3c0c5a34).

• Neu – Offline-Paket hochladen: Auf der Seite „Update“ lässt sich das Offline-Paket direkt hinter der Paketauswahl vom eigenen Rechner hochladen, mit Fortschrittsbalken. Eine unterbrochene Übertragung wird fortgesetzt. Danach wird das Update wie gewohnt gestartet; nicht mehr benötigte Pakete lassen sich entfernen.
• Neu – Offline-Paket herunterladen: Die Seite „Update“ nennt die Download-Adresse und zeigt auf Wunsch die Zugangsdaten zum Kopieren an. So kann das Paket auf einem Rechner mit Internetzugang geladen werden.
• Neu – Tägliche Sicherung: Optionaler Sicherungsdienst im Stack. Die Ziele wählt der Betreiber selbst, auch mehrere: Verzeichnis, rsync, restic oder Proxmox Backup Server.
• Neu – Zertifikate automatisch: Der Proxy kann TLS-Zertifikate per ACME beziehen und erneuern (optional, z. B. Let’s Encrypt). Bestehende Installationen behalten ihre Einstellung.
• Neu – Zurück zur Vorversion: Nach einem erfolgreichen Update führt update.sh --zurueck auf der Kommandozeile zur vorherigen Version zurück. Die Datenbank bleibt dabei erhalten, sofern die Vorversion mit ihr zurechtkommt; alternativ wird sie aus der Sicherung wiederhergestellt.
• Verbessert – Leistung: Newsletterliste und Statistik reagieren bei großen Beständen deutlich schneller. Der Datenbank-Speicher richtet sich nach dem vorhandenen Arbeitsspeicher und ist einstellbar.
• Verbessert – Update: Während eines Updates erscheint ein Hinweisband statt einer Fehlermeldung, die Seite verbindet sich danach selbst neu. Nach einem erfolgreichen Update aktualisiert sich der Updater automatisch mit.
• Verbessert – Postfächer: Verlangt ein Bounce- oder Abuse-Postfach eine verschlüsselte Verbindung, nennt die Meldung das jetzt ausdrücklich statt „Invalid credentials“. Nach Fehlschlägen wächst der Abstand zwischen den Versuchen, damit der Mailserver den Zugang nicht sperrt. Neue Postfächer starten mit POP3S.
• Verbessert – Übernahme bestehender Installationen: Die Übernahme läuft zunächst im Probemodus, ohne Versand und ohne Postfachabruf. Absender-IPs werden gesichert und vor dem Start geprüft, der Rechnername wird gegen den Reverse-DNS-Eintrag geprüft.
• Geändert – Versand: Die Message-ID enthält jetzt die Absenderdomain. Die veraltete DomainKey-Signatur wird nur noch auf ausdrücklichen Wunsch erzeugt; DKIM bleibt davon unberührt.
• Korrigiert: Bounce- und Abuse-Verarbeitung sowie weitere Hintergrundaufgaben konnten nach dem Neuanlegen eines Containers, etwa nach einem Update, ausbleiben.
• Korrigiert: Adressen bis 320 Zeichen werden in der Bounce- und Abuse-Verarbeitung vollständig gespeichert; längere Werte werden gekürzt, die Bounce-Mail geht nicht mehr verloren.
• Korrigiert: Der Testversand-Dialog liegt immer im sichtbaren Bereich und passt sich der Fenstergröße an.
• Korrigiert: Abonnenten- und PDF-Upload funktionieren für den Systemadministrator auch dann, wenn nur die Datei übertragen wird.
• Korrigiert: Interne Docker-Adressen werden nicht mehr als Absender-IP eingetragen.
• Sicherheit: Container laufen mit weniger Rechten; wo möglich ist das Dateisystem schreibgeschützt.

Version 5.10.4

• Neu – Externe Datenbank: BACKCLICK 5 kann eine vorhandene MySQL-5.7-Datenbank nutzen, auch einen Percona-Cluster hinter ProxySQL.
• Verbessert – Übernahme: Bestände der Version 5.9.74 werden vor der Übernahme automatisch auf den benötigten Stand 5.9.75 gebracht.
• Verbessert – Update-Seite: Sie zeigt neben der Versionsnummer die Kennung des installierten Stands.
• Geändert: Der Update-Kanal für Live-Installationen heißt jetzt „produktion“. Die bisherige Einstellung „aktuell“ gilt weiter und wird als „produktion“ gelesen.

Version 5.10.3

• Verbessert: „Nach Updates suchen“ meldet jetzt direkt, wenn die installierte Version bereits aktuell ist („kein Update notwendig“); „Update starten“ ist dann gesperrt.
• Korrigiert: Installationen mit Developer-Lizenz zeigen oben rechts „Developer Edition“ statt „Enterprise Edition“.

Version 5.10.2

• Korrigiert: Die Versionsanzeige oben rechts zeigt wieder die tatsächlich installierte Version (bisher blieb dort 5.9.81 stehen). Sie wird künftig bei jedem Update automatisch nachgeführt.

Version 5.10.1 – Sicherheit & Neuinstallation

• Sicherheit: Strengere Zugriffsprüfung in der Administrationsoberfläche: Benutzer können nur noch auf Daten ihres eigenen Mandanten zugreifen; systemweite Funktionen sind dem Systemadministrator vorbehalten.
• Sicherheit: Gespeicherte Passwörter (z. B. SMTP, Postfächer, API-Zugänge) werden nicht mehr an den Browser ausgeliefert. Fehlermeldungen zeigen nur noch eine Referenznummer; Einzelheiten stehen im Server-Log.
• Sicherheit: Verschlüsselte Verbindungen zu LDAP- und Postfach-Servern (LDAPS, POP3S, IMAPS) prüfen jetzt Zertifikat und Servernamen. Benutzer-Kennwörter werden mit einem modernen Verfahren (PBKDF2) gespeichert; bestehende Kennwörter werden beim Start automatisch umgestellt.
• Neu – Lizenzschlüssel: Neues, digital signiertes Lizenzschlüssel-Format. Bestehende Lizenzschlüssel bleiben gültig.
• Verbessert: Neuinstallationen enthalten die Standard-Abonnentenfelder; zahlreiche Einzelkorrekturen an Web-Formularen (An-/Abmeldung, Profiländerung, Passwort vergessen).
• Komponenten: PDF-Erzeugung auf OpenPDF 3; veraltete Bibliotheken zur XML- und CSS-Verarbeitung durch eigene, gepflegte Lösungen ersetzt.

Version 5.10.0 – Technische Erneuerung

BACKCLICK 5 wurde technisch vollständig erneuert. Alle nicht mehr gepflegten (End-of-Life-) Komponenten wurden ersetzt; Funktionen und Bedienung bleiben unverändert. Jede Version wird vor der Freigabe automatisch gegen den bisherigen Funktionsumfang geprüft.

• Plattform: Betrieb als Docker-Stack auf Ubuntu 26.04; Java 25 (bisher Java 8), Apache Tomcat 11, Spring 7 (Jakarta EE).
• Datenbank: MariaDB 12.3 mit aktuellem Datenbanktreiber; Datenbank-Änderungen werden bei jedem Update automatisch und nachvollziehbar eingespielt.
• Neu – Update per Klick: Updates lassen sich in der Administrationsoberfläche unter „Update“ suchen und einspielen – online oder als Offline-Paket. Alle Pakete sind digital signiert; schlägt ein Update fehl, wird der vorherige Stand automatisch wiederhergestellt.
• Neu – Übernahme bestehender Installationen: Ein Migrationswerkzeug überführt eine bisherige Installation samt Daten in den neuen Stack.
• Sicherheit: Zentraler Schutz gegen Cross-Site-Request-Forgery (CSRF) und Cross-Site-Scripting (XSS).
• Komponenten ersetzt: CORBA/JacORB durch gRPC (interne Kommunikation), Apache Axis 1.4 und DWR 1.1 abgelöst, PhantomJS/Selenium durch Chrome Headless (Bild-Erzeugung), javax.mail durch Jakarta Mail; dazu zahlreiche Bibliotheken auf aktuelle, sicherheitsgepflegte Stände (u. a. Apache POI 6, Guava 33, Log4j 2.26).
• Entfernt: Nicht mehr genutzte Datenbank-Anbindungen für Oracle, DB2 und Sybase.

Version 5.9.81 – Sicherheits-Härtung Medien-Import

• Sicherheit: Der Medien-Import kann keine internen Netzwerk- oder Metadaten-Adressen mehr ansprechen (Schutz vor Missbrauch als Proxy); echte Firmen-NAS-Ziele bleiben nutzbar.
• Sicherheit: Zugangs-Tokens verbundener Cloud-Speicher (Dropbox, Google Drive, OneDrive, Google Fotos) werden jetzt verschlüsselt gespeichert.

Version 5.9.80

• Neu: Die Versionsnummer in der Administrationsoberfläche (oben rechts) verlinkt jetzt direkt auf dieses öffentliche Changelog.

Version 5.9.79 – Neue Medienverwaltung & Medien-Import

• Neu – MediaExplorer: Die Bild- und Dateiverwaltung wurde komplett neu aufgebaut: Verzeichnisbaum, Vorschau, Kachel- und Listenansicht, Hochladen, Umbenennen, Verschieben, Kopieren und Löschen. Im Kampagnen-Editor lassen sich Bilder direkt einfügen und Dateien als Anhang übernehmen.
• Neu – Medien-Import: Bilder und Dateien lassen sich aus 14 Quellen importieren – u. a. freie Bilddatenbanken (Wikimedia, Openverse, Pixabay, Pexels, Unsplash), Museen/Archive (Met Museum, NASA, Art Institute of Chicago), die eigene Firmen-Cloud (WebDAV/Nextcloud) sowie Dropbox, Google Drive, OneDrive und Google Fotos. Lizenz- und Quellenangaben werden mitgeführt.
• Sicherheit: Die veraltete, nicht mehr gepflegte Medienverwaltungs-Komponente (AjaXplorer) wurde vollständig entfernt. Damit sind die im Sicherheits-Advisory SYSS-2022-027 beschriebenen Schwachstellen (Directory-Traversal, unbeschränkter Datei-Upload, Remote Code Execution) behoben. Uploads werden nur noch über eine Endungs-Freigabeliste angenommen; ausführbare Skripte sind ausgeschlossen.
• Verbessert: Die Administrationsoberfläche arbeitet zuverlässig hinter Reverse-Proxy/CDN (der Kampagnen-Editor lädt seine Registerkarten korrekt).

Version 5.9.78 – Stabilität & Codequalität

• Verbessert: 36 Robustheits- und Codequalitäts-Verbesserungen aus einem internen Review (Fehlerbehandlung, Ressourcen- und Zeichensatz-Härtung).

Version 5.9.77 – Sicherheits-Härtung

• Sicherheit: Härtung gegen Cross-Site-Scripting (XSS) und XML-External-Entity (XXE); strengere TLS-Zertifikatsprüfung bei ausgehenden Verbindungen; Dokumentation des CSRF-/Cookie-Verhaltens.

Version 5.9.76 – Sicherheits-Review Teil 1

• Sicherheit: Erste Runde Sicherheits-Korrekturen; Umstellung der Passwort-Speicherung auf ein modernes, gesalzenes Verfahren (PBKDF2).