diff --git a/ajax/tahoma.php b/ajax/tahoma.php
index 99c0d64..c4e0175 100644
--- a/ajax/tahoma.php
+++ b/ajax/tahoma.php
@@ -1,7 +1,16 @@
 <?php
 set_time_limit(60);
 ob_start();
+require_once("../helper.php");
 require_once("../restricted/tahoma_EG.php");
+
+// Ohne diese Pruefung liessen sich Rollladen von beliebiger Stelle abfragen
+// und verfahren - das Tahoma-Token liegt serverseitig, ein Angreifer braucht
+// es also gar nicht.
+if (!checkLogin()) {
+	http_response_code(403);
+	exit;
+}
 //67ebd23e3a61763386d9
 function getSSLPage($url, $tahoma_token)
 {