diff --git a/app/api/admin/branding/route.ts b/app/api/admin/branding/route.ts
index ed7afb0..70fa3ec 100644
--- a/app/api/admin/branding/route.ts
+++ b/app/api/admin/branding/route.ts
@@ -14,6 +14,22 @@ function isAssetKind(value: unknown): value is AssetKind {
   return value === "logo" || value === "favicon";
 }
 
+// Whitelist statt "image/*": svg absichtlich ausgeschlossen. Eine SVG
+// mit eingebettetem <script> würde als image/svg+xml auf der eigenen
+// Origin ausgeliefert und bei direktem Aufruf der Datei-URL ausgeführt
+// (inkl. Session-Cookie) – anders als Rasterformate. Die Dateiendung
+// wird aus dem geprüften MIME-Typ abgeleitet statt aus dem vom Client
+// gesendeten Dateinamen, damit der gespeicherte Dateiname nicht vom
+// Client bestimmt wird.
+const ALLOWED_IMAGE_TYPES: Record<string, string> = {
+  "image/png": "png",
+  "image/jpeg": "jpg",
+  "image/webp": "webp",
+  "image/gif": "gif",
+  "image/x-icon": "ico",
+  "image/vnd.microsoft.icon": "ico",
+};
+
 export async function POST(request: Request) {
   if (!isSameOrigin(request)) {
     return NextResponse.json({ error: "Nicht erlaubt." }, { status: 403 });
@@ -26,7 +42,8 @@ export async function POST(request: Request) {
     if (!isAssetKind(kind) || !(file instanceof File)) {
       return NextResponse.json({ error: "invalid_input" }, { status: 400 });
     }
-    if (!file.type.startsWith("image/")) {
+    const ext = ALLOWED_IMAGE_TYPES[file.type];
+    if (!ext) {
       return NextResponse.json({ error: "invalid_image" }, { status: 400 });
     }
 
@@ -34,7 +51,6 @@ export async function POST(request: Request) {
       `select ${ASSET_COLUMN[kind]} as path from settings where id = 1`
     );
 
-    const ext = file.name.split(".").pop()?.toLowerCase() ?? "png";
     const filename = `${kind}-${Date.now()}.${ext}`;
     const buffer = Buffer.from(await file.arrayBuffer());
     await saveBrandingFile(filename, buffer);
diff --git a/app/branding/[filename]/route.ts b/app/branding/[filename]/route.ts
index 9b0ca80..45e7534 100644
--- a/app/branding/[filename]/route.ts
+++ b/app/branding/[filename]/route.ts
@@ -1,11 +1,15 @@
 import { readBrandingFile } from "@/lib/branding";
 
+// Kein svg: würde mit Content-Type image/svg+xml ausgeliefert und ist
+// bei direkter Navigation auf die Datei aktiv ausführbar (eingebettetes
+// <script> läuft dann same-origin inkl. Session-Cookie) – anders als bei
+// Einbettung per <img>/<link rel="icon">. Nur ungefährliche Rasterformate
+// zulassen, siehe auch die Whitelist beim Upload in api/admin/branding.
 const CONTENT_TYPES: Record<string, string> = {
   png: "image/png",
   jpg: "image/jpeg",
   jpeg: "image/jpeg",
   webp: "image/webp",
-  svg: "image/svg+xml",
   ico: "image/x-icon",
   gif: "image/gif",
 };
diff --git a/components/DesignEditor.tsx b/components/DesignEditor.tsx
index 8c71063..d0148ed 100644
--- a/components/DesignEditor.tsx
+++ b/components/DesignEditor.tsx
@@ -164,7 +164,7 @@ export default function DesignEditor() {
             {dict.designEditor.logoUpload}
             <input
               type="file"
-              accept="image/*"
+              accept="image/png,image/jpeg,image/webp,image/gif,image/x-icon"
               className="hidden"
               onChange={(e) => uploadAsset("logo", e)}
               disabled={busy}
@@ -201,7 +201,7 @@ export default function DesignEditor() {
             {dict.designEditor.faviconUpload}
             <input
               type="file"
-              accept="image/*"
+              accept="image/png,image/jpeg,image/webp,image/gif,image/x-icon"
               className="hidden"
               onChange={(e) => uploadAsset("favicon", e)}
               disabled={busy}