#Sicherheit

Nicht jedes Passwort, das schon in alten Dateien steht, muss sofort ausgetauscht werden, aber jedes muss nach seinem Risiko bewertet werden. In unserem selbst betriebenen Forgejo lagen zwei solche Zugänge: Das Admin-Passwort eines Netzwerk-Switches haben wir sofort geändert und erst danach aus den Dateien entfernt, ein reiner Lesezugang zum WLAN-Controller bleibt vorerst stehen. Nur zu löschen hätte in keinem Fall geholfen, denn der Wert steht weiter in der Versionsgeschichte. Wer alles für gleich dringend hält, wird am Ende mit nichts davon fertig.

Ein harmlos klingender Komfort-Schalter kann die Trennung der Firmennetze wieder aufheben. Wir haben Kameras und smarte Steckdosen in ein eigenes Funknetz gelegt, das keinen Weg ins Firmennetz hat. Im WLAN-Controller gibt es einen freundlich benannten Schalter namens IoT Auto-Discovery. Dahinter steckt genau die Brücke, die Geräte über die Netzgrenzen hinweg sichtbar macht, und die hatten wir nach einem kurzen Test bewusst wieder abgebaut. Der Fernseher kam stattdessen zu den Handys ins Surf-Netz, und das Streamen klappt dort ohne Brücke. Ein Schalter, der Bequemlichkeit verspricht, verrät selten, welche Mauer er dafür einreißt.

Hunderte blockierte Verbindungen im Gäste-WLAN sind nicht automatisch ein Angriff. Bei uns hat ein einziger Gast-Laptop 314 abgewiesene Verbindungsversuche erzeugt, und im Protokoll sah das zunächst bedrohlich aus. Dann habe ich mir die Ziele angesehen: Das Gerät suchte nur seinen Drucker und seine Netzlaufwerke von zu Hause, die es bei uns natürlich nicht fand. Die Firewall hat getan, was sie soll. Eine Zahl sagt nur, dass etwas passiert, erst das Ziel sagt, was.

Damit man vom Handy auf den Fernseher streamen kann, lockert man die Netztrennung nicht, man stellt den Fernseher ins Netz der Handys. Wir haben unser WLAN in drei Zonen geteilt: Rechner, Handys mit Fernsehern und stille Geräte wie Kameras und Schaltsteckdosen. Ein Vermittler, der das Streamen über die Zonengrenze erlaubt hätte, hätte die Kameras wieder erreichbar gemacht. Nach einem kurzen Test haben wir ihn deshalb komplett zurückgebaut. Seitdem funktioniert das Streamen ohne Umweg, und der Fernseher bleibt trotzdem vom Firmennetz getrennt. Geräte ordnet man nach ihrem Risiko, nicht danach, ob sie smart sind.

Eine Einstellung am WLAN hält Gäste fern, aber nur so lange, wie niemand sie verstellt. Bei uns teilen sich Gäste-WLAN und Firmen-WLAN dasselbe Netzsegment, getrennt allein durch eine Regel an den Access Points, und im selben Segment hängt ein Telefon, das für Gebührenbetrüger ein lohnendes Ziel wäre. Die Regel ist sauber gebaut und heute dicht, doch sie hängt an einem einzigen Schalter, den ein Fehlklick oder die Neueinrichtung eines Geräts lautlos umlegt. Echte Trennung braucht zwei Schlösser, nicht eines.

Ein Zugangscode macht das Gäste-WLAN nur dann sicherer, wenn ihn auch jemand pflegt. Bei uns lagen 31 Codes, alle an einem einzigen Tag im Jahr 2020 angelegt, unbegrenzt oft einlösbar und nie gewechselt, und einzelne wanderten nachweislich von Gerät zu Gerät. Genutzt wurde das Portal zwölfmal in zwölf Monaten. Wir ersetzen die Codes jetzt durch ein offenes Portal, das nur zu den Öffnungszeiten sendet und jedem Gast die Bandbreite begrenzt. Ein Schloss, dessen Schlüssel jeder kennt, schützt nicht, es beruhigt nur.

Vollen Zugriff auf das eigene Firmen-WLAN hat man als Inhaber nicht automatisch, man muss es nachprüfen. Als ich bei uns ein neues Netz für Geräte anlegen wollte, zeigte die Steuerung zwei Administratoren: mein eigenes Konto durfte nur zuschauen, ändern konnte allein das Konto unseres früheren Dienstleisters. Dessen Zugang stand nirgends in unserem Passwort-Tresor. Heute liegt er dort. Wer an seiner eigenen Anlage nur zuschauen darf, dem gehört sie nicht ganz.

Ein abgeschottetes Netz für Kameras und smarte Steckdosen sollte man fürs bequeme Streamen nicht öffnen. Wir haben einen Vermittler getestet, der Handy und Fernseher über die Netzgrenze hinweg sichtbar macht, und dabei gemerkt: Casten braucht Verkehr in beide Richtungen, hätte die Isolierung also aufgehoben. Wir haben ihn komplett zurückgebaut und den Fernseher stattdessen zu den Handys gelegt, in eines unserer drei Funknetze, das ebenfalls vom Firmennetz getrennt ist. Geräte sortiert man nach Risiko, nicht danach, ob sie smart sind.

Überwachungskameras und smarte Steckdosen gehören nicht ins Firmennetz, sondern in ein eigenes, abgeschottetes Funknetz. Wir haben unsere Geräte nach Risiko sortiert, nicht danach, ob sie smart sind: Die PCs mit Loco-Soft bleiben im Firmennetz, Handys und Fernseher bekommen ein getrenntes Netz, Kameras und Shellys ein drittes, das nur ins Internet darf, verteilt auf alle sieben Access Points. Eine Brücke fürs bequeme Streamen zwischen den Netzen haben wir getestet und wieder abgebaut, weil sie die Trennung aufgehoben hätte. Eine Mauer mit Komforttür ist keine Mauer mehr.

Passwörter im Betrieb gibt man besser nach Risiko frei als nach Abteilung. Beim Aufräumen unseres Vaultwarden mit 405 Einträgen haben wir fünf Stufen gebaut: Hersteller-Portale und Teilehändler sehen alle elf Mitarbeiter, Banking und Behörden nur die Buchhaltung, die IT-Zugänge nur die Geschäftsführung. Eine eigene Gruppe für die Werkstatt brauchten wir danach gar nicht mehr. Entscheidend ist nicht, wer wo sitzt, sondern welcher Schaden entsteht, wenn ein Zugang in die falschen Hände gerät.

Die Berichtsmails des eigenen Servers kommen nicht an, weil der Empfänger sie zwar annimmt und danach still aussortiert. In einem Betrieb hieß es seit Wochen, es komme keine Sicherungs-Mail mehr. Der Postfix auf dem Gateway hat jeden Abend zugestellt, Microsoft 365 quittierte täglich mit einem sauberen 250, doch der Absender war im SPF-Eintrag der Domain nicht erlaubt. Die Berichte lagen in der Quarantäne. Angenommen ist nicht dasselbe wie gelesen.

Ein Rückweg, den nur ein Papierkorb offen hält, bleibt genau so lange offen, wie dessen Frist läuft. Ich habe in unserer Fotoverwaltung Immich 2.675 Kamera-Bilder durch eigene Entwicklungen ersetzt, mit Protokoll über alte und neue Kennung, damit sich jeder einzelne Schritt zurücknehmen lässt. Nur liegen die Originale im Papierkorb, und der räumt nach dreißig Tagen von selbst auf. Seitdem steht das Ablaufdatum im Kalender und nicht im Kopf. Ein Rückweg mit Verfallsdatum ist nur so lange einer, wie jemand das Datum kennt.

Eine Archivplatte hängt man nicht einfach ein, wenn sie garantiert unverändert bleiben soll. Ich wollte eine alte Linux-Platte am Mac auslesen, und schon das reine Einhängen schreibt ins Journal des Dateisystems. Stattdessen habe ich mit debugfs nur lesend auf das Rohgerät zugegriffen und die Daten mit konstant rund siebzehn Megabyte je Sekunde herausgezogen, ohne ein einziges Byte auf der Platte zu ändern. Wer nur lesen will, sollte sich auch kein Schreibrecht in die Hand geben lassen.

Vor einer Datei, die schon beim Kopieren kaputtging, schützen vier Kopien gar nichts. Beim Sichten meiner alten Festplatten fand ich 61 Dateien mit null Byte Inhalt, und sie waren auf allen vier Platten leer, darunter ein komplettes Fotoshooting von 2007. Kopiert wurde über die Jahre treu, geprüft wurde nie. Seitdem lege ich in jeden Archivordner eine Prüfsummen-Datei, bevor ich ihn weiterreiche. Eine Kopie vervielfältigt nicht die Sicherheit, sondern das, was schon drinsteht.

Vier Kopien einer Datei sind keine Sicherung, wenn die Datei schon beim ersten Kopieren kaputt war. Beim Sichten der alten Platten fand ich 61 Dateien mit null Byte Inhalt, und sie waren auf allen vier Platten gleich leer, darunter ein komplettes Fotoshooting von 2007. Kopiert wurde jahrelang brav weiter, geprüft hatte nie jemand. Eine Prüfsumme ist mehr wert als die dritte Kopie, denn Kopien vervielfältigen auch den Schaden.

Eine Sicherheitsfunktion, die eingeschaltet, aber nie zu Ende eingerichtet wurde, schützt gar nichts. Bei uns war eine Domain seit März 2025 kryptografisch signiert, 133 Signaturen, jeden Tag um 17:20 automatisch erneuert. Es fehlte nur der letzte Schritt, der Eintrag beim Registrar, der die Vertrauenskette schließt. Anderthalb Jahre lang hat die Maschine für nichts gerechnet, und aufgefallen wäre es von allein nie. Halber Schutz ist kein halber Schutz, sondern nur die Ruhe, die dazugehört.

Das Internet kennt einen neuen Server, sobald er sein erstes Zertifikat bekommt, auch wenn man die Adresse niemandem gesagt hat. Bei der Inbetriebnahme unseres Bildarchivs mit Immich hinter Traefik wird jedes ausgestellte Zertifikat in öffentliche Protokolle geschrieben, und die liest jeder mit. Bei Immich wird zugleich der erste, der sich registriert, automatisch Administrator. Also habe ich das Admin-Konto in derselben Minute angelegt, in der die Seite zum ersten Mal über HTTPS erreichbar war. Zwischen Türöffnen und Abschließen darf kein Abend liegen.

Ein externer Dienstleister sieht bei uns mit seinem eigenen Zugang genau einen Kanal und sonst nichts. In Authentik hängt jede Anwendung an einer Gruppe: Externe bekommen eine eigene, die alles außer dem Support-Chat sperrt, Interne je nach Aufgabe zwei oder drei. Als ich zuletzt einen Zugang anlegte und die Gruppe vergaß, sah der Kollege eine völlig leere Startseite, und genau so soll es sein. Ein Zugang, der von sich aus nichts zeigt, ist der einzige, den man ruhig vergibt.

Ein geändertes Passwort gilt nicht automatisch in allen Firmensystemen, auch wenn es überall dasselbe ist. Unsere Anmeldung über Authentik und das Microsoft-Konto der Mitarbeiter sind technisch nicht gekoppelt: Wer sein Passwort ändert, muss es an zwei Stellen setzen, sonst sperrt ihn die zweite aus. Seitdem steht dieser Hinweis im Notizfeld jedes betroffenen Eintrags, direkt beim Zugang selbst. Wissen, das nur im Kopf eines Einzelnen liegt, ist kein Wissen des Betriebs.

Ein Muster-Suchlauf allein reicht nicht, um Passwörter in alten Dateien zu finden. Als ich den Code unserer zweiten Firmen-Website erstmals unter Versionsverwaltung stellte, fand die automatische Suche nach typischen Passwort-Mustern das meiste, aber zwei Dateien kamen erst ans Licht, als ich gezielt nach den bereits bekannten Klartext-Werten suchte. In einer davon steckte das Passwort mitten in einem Datensatz und sah aus wie ein ganz normaler Wert. Seitdem mache ich immer beides. Ein Suchmuster findet nur, was es erwartet.

Sicherheitsregeln für öffentliche Plattformen muss man nicht ungeprüft übernehmen, man muss wissen, wogegen sie schützen. In allen dreiundzwanzig meiner Repositories stand eine Ausschlussliste aus der GitHub-Welt, die Schlüssel- und Zugangsdateien grundsätzlich draußen hielt. Mein Forgejo läuft auf eigener Hardware und hat genau drei Konten, die alle mir gehören, also habe ich die Liste umgedreht: draußen bleibt nur, was auf jedem Rechner ohnehin neu entsteht. Eine Regel ohne ihren Grund ist nur noch eine Gewohnheit.

Eine Sicherung, die jemand erst anstecken muss, taugt nur so weit wie die Gewohnheit dahinter. Unser Borg-Lauf schreibt auf eine externe Platte, und weil die monatelang nicht am Rechner hing, kam einhundertsiebzehn Tage lang keine einzige Sicherung durch, 404 Fehlversuche im Protokoll, die niemand gelesen hat. Time Machine stand ohne Ziel daneben. Erst als ich die Platte wieder ansteckte, lief alles durch. Eine Sicherung, die an einem Handgriff hängt, ist ein Vorsatz und keine Sicherung.

Ein VPN lehnt die Anmeldung auch dann ab, wenn das Passwort stimmt, die Programmversion auf dem eigenen Rechner aber zu alt ist. Bei uns brach OpenVPN jeden Verbindungsversuch mit einer Anmeldefehler-Meldung ab, obwohl die Zertifikatsprüfung eine Zeile vorher sauber durchlief. Der Gegenstelle war die Version zu alt, sie verlangt mindestens 2.6.12. Wer nur die letzte Zeile liest, sucht am falschen Ende.

Unser Dateiserver meldete sich nie, weil seine Warnmails an einen Mailserver gingen, den es auf dieser Maschine gar nicht gab. Fünfzehn Monate lang lief unsere Nextcloud so, und in dieser Zeit hat der Speicheranbieter 634 Zugriffe gedrosselt, ohne dass ein Mensch je davon erfuhr. Erst nach der Umstellung auf unser echtes Postfach kamen die ersten Meldungen an. Ein Alarm, den niemand empfängt, ist kein Alarm, sondern nur eine Zeile im Protokoll.

Beim Umzug einer Website kommt erst das Zertifikat, dann die DNS-Umstellung. Wir ziehen zwei unserer Domains auf einen neuen Reverse Proxy, und in der umgekehrten Reihenfolge entsteht ein Zeitfenster, in dem Besucher auf einem Server landen, der für diese Adresse noch gar kein gültiges Zertifikat hat: Warnseite im Browser, mitten am Werktag. Also erst den Traefik-Router scharf schalten, dann den Wegweiser umstellen. Man baut die Brücke fertig, bevor man den Verkehr darüberschickt.

Eine Login-Sperre schützt nur den Weg, für den sie geschrieben wurde, die Hintertüren bleiben offen. Auf der Website eines Betriebs prasselten an einem Vormittag 1.426 Anfragen in achtundzwanzig Minuten auf eine Programmier-Schnittstelle ein, getarnt als Suchmaschinen-Crawler. Unsere Sperre mit fail2ban wachte am Anmeldeformular und ließ das alles ungebremst durch. Ich habe eine zweite Regel für diesen Weg gebaut und gegen das echte Protokoll geprüft, 1.453 Treffer, ausschließlich Angreifer. Ein Wachhund vor der einen Tür sagt nichts darüber, wie viele Türen das Haus hat.

Im Namen der eigenen Firma kann jeder Mails verschicken, und man merkt es nur, wenn man die Berichte dazu liest. Unser Mailserver, Stalwart, sammelt solche Meldungen seit März 2025 in einem Postfach, das ich bis heute nie geöffnet hatte: 517 Berichte über gut vierzehntausend Mails. Darin stand, dass im Mai ein fremder Anbieter drei Mails unter unserem Absender verschickt hat, abgewiesen allein deshalb, weil unsere Regel streng auf Ablehnung steht. Der Beweis lag über ein Jahr ungelesen im eigenen Haus.

Die Warnmails der eigenen Server landen in der Quarantäne, wenn sie ohne digitale Signatur verschickt werden. Aus den Berichten unseres Mailservers ging hervor, dass 125 von 222 Systemmails eines Verwaltungsrechners beim Empfänger aussortiert wurden, still, ohne dass bei mir eine Fehlermeldung ankam. Betroffen war genau der Kanal, über den sich abgelaufene Zertifikate und fehlgeschlagene Sicherungen melden. Eine Warnung, die niemanden erreicht, ist keine Warnung, sondern nur eine Zeile in einem Protokoll, das keiner liest.

Wenn die Fernwartung abbricht und das eigene Netz sauber ist, liegt die Ursache oft außerhalb des Hauses. Ich habe an unserer Telefonanlage lange gemessen, null Prozent Paketverlust und neun Millisekunden zum Herstellerserver, bis ich die Mitteilung des Herstellers fand: seit Mitte Mai gelten nur noch Zertifikate ab Firmware 4.2, unsere Anlage läuft auf 4.1d von 2024. Telefonie und lokaler Zugang liefen die ganze Zeit weiter, ausgefallen war nur, was über die Herstellerwolke geht. Ein Ausfall ohne eigenen Anlass hat meistens einen fremden Stichtag.

Eine Software, an der der Betrieb hängt, sollte sich nicht selbst auf die neueste Version aktualisieren. Unser Passwort-Tresor Vaultwarden lief auf dem Automatik-Kanal, zog Ende Juli die Version 1.37.0, und seitdem konnte niemand mehr eine Einladung in die Firmen-Organisation annehmen. Die letzte, die funktioniert hatte, war sechs Wochen alt; der Fehler war beim Hersteller gemeldet, die Korrektur noch nicht fertig. Wer immer die neueste Version nimmt, testet sie für alle anderen mit.

Ein Gerät im Netz, das niemand zuordnen kann, muss identifiziert werden, nicht geduldet. Beim Durchsehen unseres Werkstattnetzes fand ich einen Teilnehmer ohne sprechenden Namen, ein eingebettetes Funkmodul, das im Sekundentakt eine Zieladresse anruft, die es bei uns gar nicht gibt. Es steckt in irgendeinem Gerät in der Halle, nur in welchem, sagt kein Papier. Ein Netz, dessen Teilnehmer man nicht benennen kann, ist keine Infrastruktur, sondern eine Ansammlung von Zufällen.

Einen fehlgeschlagenen Login darf eine Sperr-Automatik nur an einem Muster erkennen, das bei Erfolg sicher anders aussieht. Nach einem Angriff mit 2.743 Anfragen auf unsere Anmeldeseiten wollte ich zuerst jeden Zugriff auf eine zweite Schnittstelle mitzählen. Diese Regel hätte den ganz normalen Verkehr eines Zusatzdienstes gesperrt, denn dort antwortet der Server bei Fehler und Erfolg gleich. Jetzt sperre ich nach fünf Fehlversuchen in zehn Minuten, aber nur bei einem Muster, das ein Erfolg nie erzeugt. Wer automatisch aussperrt, muss den Unterschied beweisen können, nicht vermuten.

Aktuell ist ein Programm nicht, nur weil irgendwo automatisch danebensteht. Unser Vaultwarden lief unter der Kennzeichnung neueste Version und war trotzdem sechs Wochen hinterher, weil die neue Fassung nie geholt wurde. Das nachgezogene Update schloss neun Sicherheitslücken auf einmal, darunter eine, die Zugriff über Mandantengrenzen hinweg erlaubte. Seitdem schaue ich nicht in die Einstellung, sondern in die laufende Version. Automatisch heißt nur, dass es jemand einmal so eingerichtet hat, nicht, dass es geschieht.

Eine KI, die öffentlich spricht, darf nur wissen, was auch öffentlich gesagt werden darf. Ich baue gerade einen Interviewer, der mich vor der Kamera befragt, und der eigentliche Hebel war nicht die Technik, sondern das Vorwissen: echte Projekte, harte Zahlen, eigene Fehlschläge, etwa 819 statt 1.176 verarbeiteter Dokumente. Deshalb gilt bei mir eine einfache Regel: Was im Briefing steht, kann die Maschine aussprechen, also stehen dort keine Kundennamen und keine Kennzeichen. Was eine Maschine weiß, sagt sie irgendwann, und selten im passenden Moment.

Ob eine Firewall wirklich dicht ist, prüft man von einem fremden Rechner aus, nicht aus dem eigenen Netz. Beim Absichern unseres neuen Hetzner-Servers zeigte mein Port-Scan hinter dem VPN einen offenen Port 80, der von außen gar nicht offen war. Erst die Prüfung von einem neutralen Host ergab das echte Bild: öffentlich erreichbar ist nur noch der Fernzugang. Eine Tür testet man von der Seite, von der ein Einbrecher kommen würde.

Ein Prüfstands-PC gehört auf eigene Hardware, nicht als virtuelle Maschine auf den Server. Ich habe es für unsere AU-Software durchgerechnet: Der Virtualisierungs-Host ist mit 67 von 80 Gigabyte Arbeitsspeicher schon belegt, und die Anbindung an Abgastester und Bremsprüfstand hängt an echten Geräten im Haus. Dazu kämen Umgehungen für die Sicherheitschips, die Windows 11 verlangt. Wo ein Rechner an Messtechnik hängt und Prüfnachweise dokumentiert, ist die langweilige Kiste unterm Tisch die ehrlichere Lösung.

Dass zu einem System irgendein Passwort im Tresor liegt, reicht nicht, es muss das richtige sein. Als ich am UniFi-Controller unseres WLAN eine Port-Einstellung ändern wollte, fand ich im Tresor nur ein Konto mit Lesezugriff; das Admin-Konto mit vollen Rechten war nie abgelegt worden. Von zwei Konten fehlte ausgerechnet das wichtigere, und der vorhandene Eintrag gaukelte Vollständigkeit vor. Eine halbe Dokumentation ist tückischer als gar keine, denn die Lücke fällt erst auf, wenn man sie braucht.

Den ganzen Server schützt man vor einem einzelnen fehlerhaften Programm wie das Auto vor einem defekten Verbraucher: mit einer Sicherung. Unsere Dokumentenverwaltung hat ein Speicherleck und füllt rund acht Gigabyte in acht Stunden, behoben ist das noch nicht. Deshalb hat der Dienst eine feste Speichergrenze bekommen, und heute Mittag griff sie zum ersten Mal: kurzer Neustart des einen Dienstes, der Rest des Servers lief ungestört weiter. Eine Grenze behebt den Fehler nicht, aber sie bestimmt, wie groß er werden darf.

Ein Erpressungstrojaner kann unsere Datensicherung nicht verschlüsseln, weil sich die Kopie selbst gegen jeden Zugriff sperrt, auch gegen meinen. Unsere Belege liegen zusätzlich im Hetzner Object Storage mit echtem Object-Lock: 14.138 Dokumente, zehn Jahre unveränderbar, unlöschbar selbst mit gestohlenen Administrator-Rechten. Als sich ein lokales Original änderte, verweigerte der Speicher die Überschreibung, genau wie er soll. Ein Backup, das ich selbst noch löschen kann, kann auch ein Angreifer löschen.

Meine eigenen Belege nicht löschen zu können, ist kein Mangel, sondern der ganze Sinn eines revisionssicheren Archivs. Unsere Dokumente wandern jede Nacht in einen Hetzner Object Storage mit echtem Object-Lock, Modus Compliance und zehn Jahren Aufbewahrung, aktuell 14.138 Objekte, die auch ich als Administrator oder ein Angreifer mit gestohlenen Zugängen nicht mehr überschreiben kann. Als der Lauf Fehler meldete, weil sich lokale Originale geändert hatten, war das kein Defekt, sondern die Sperre, die ihre Arbeit tat. Ein Archiv, das der Besitzer selbst überschreiben kann, kann auch ein Angreifer überschreiben.

Ein Datenbank-Backup, dessen Schlüssel fehlt, nützt im Ernstfall gar nichts. Beim Härten unserer Sicherungen fiel auf, dass unser Skript zwar jede Datenbank zog, die Service-Schlüssel aber nicht mitsicherte, den Vaultwarden-Schlüssel, die n8n-Verschlüsselung, die Matrix-Signaturen. Ohne die wären die Daten nur unlesbarer Zeichensalat gewesen. Jetzt wandern rund neun Megabyte Schlüssel bei jedem Lauf mit ins Archiv. Ein Backup, das man nicht wieder aufschließen kann, ist ein Schrank ohne Schlüssel.

Eine Änderung an einem System, in dem tagsüber mehrere Kollegen live arbeiten, spielt man erst abends ein, wenn niemand mehr darin sitzt. Unsere Aktendigitalisierung läuft über einen Dauerdienst mit Gemma, und jedes Deploy heißt Neustart: die laufende Verarbeitung bricht ab, der neue Code wird scharf. Tagsüber wartet vielleicht eine Anmeldung auf die Bestätigung eines Scans, also baue und teste ich tagsüber nur trocken gegen eine Kopie und rolle erst nach Feierabend aus. Man fährt die Bühne nicht hoch, solange das Auto darauf steht.

Belege per Mail darf nicht jeder einspeisen, sondern nur vier bekannte Absender-Domains. Wir richten gerade eine Sammeladresse ein: Anhänge, die dort ankommen, laufen durch denselben Scan-Flow wie am Gerät, mit Texterkennung und Gemma. Damit uns niemand Fremdes Dokumente ins System kippt, dürfen nur vier feste Domains schicken, alles andere wird verworfen. Eine Tür, die jeder öffnen kann, ist kein Eingang, sondern ein Loch.

Ein versehentlich committetes Passwort wieder zu löschen reicht nicht, denn die Versionsverwaltung behält jede frühere Fassung. Beim Aufräumen meiner Infrastruktur-Dokumentation fand ich in einem Forgejo-Repo mehrere Klartext-Passwörter in alten Skripten. Ich ersetze sie jetzt durch Platzhalter, die nur auf den Passwortspeicher verweisen, aber die alten Werte stehen längst in der Historie und gelten damit als verbrannt, also setze ich sie neu. Was einmal eingecheckt ist, lässt sich verstecken, aber nicht zurücknehmen.

Ein vergessenes Master-Passwort kann man nirgends nachschlagen, auch nicht als Administrator. Bei Vaultwarden liegt es nie im Klartext, der Server kennt nur einen Hash mit sechshunderttausend Iterationen, aus dem erst auf dem Gerät der Schlüssel abgeleitet wird. Ich habe lange auf dem Server gesucht und musste am Ende einsehen, dass es schlicht nicht abrufbar ist, weil es so gebaut wurde. Genau das ist der Sinn: Was niemand auslesen kann, kann auch niemand stehlen.

In eine laufende Produktiv-Datenbank schaut man nur mit einem Zugang, der ausschließlich lesen darf. Für die Bestandsaufnahme unserer Loco-Soft-Daten habe ich einen eigenen PostgreSQL-Nutzer benutzt, der nichts schreiben und nichts löschen kann, nur abfragen. So konnte das Stöbern im Produktivsystem nichts beschädigen, egal welche Abfrage ich abschickte. Ein Zugang, der nur lesen kann, richtet auch im falschen Moment keinen Schaden an.

Ein öffentliches Repository auf privat zu stellen reicht nicht, man muss prüfen, ob Suchmaschinen es schon gespeichert haben, solange es offen war. Nachdem ich alle Forgejo-Repos privat gestellt hatte, habe ich es mit vier unabhängigen Prüfungen kontrolliert: Exakt-Suchen nach den einmaligen Repo-Namen, die anonyme Übersichtsseite und der direkte Aufruf, der jetzt mit 404 antwortet. Alle vier waren negativ. Privat schalten ist der erste Schritt, nachsehen, was schon nach draußen gelangt ist, der zweite.

In die Datenschutzerklärung gehören die Namen der eigenen Server nicht. Beim Schreiben der Erklärung für meine Seite wollte ich zuerst jedes selbst betriebene Werkzeug nennen, Listmonk für den Newsletter, den Mailserver, den Automatisierungsdienst. Die Vorschrift verlangt aber nur Empfänger oder Kategorien von Empfängern, kein Software-Inventar, und der einzige echte externe Auftragsverarbeiter ist der Hosting-Dienstleister Hetzner. Aus drei selbst betriebenen Diensten wurde ein einziger zu nennender Empfänger. Eine Liste interner Namen schützt niemanden, sie zeichnet Angreifern nur eine Karte.

Im Mailprogramm funktioniert das normale Passwort nicht, weil zentraler Login und Postfach zwei verschiedene Türen sind. Bei uns meldet sich der Mensch über Authentik per Single Sign-on an, doch unser Mailserver Stalwart lehnt genau dieses Passwort im Mailprogramm ab. Erst ein eigenes App-Passwort, das nur ein einziges Mal angezeigt wird, lässt das Programm durch. Ein Schlüssel für die Haustür ist eben kein Schlüssel für den Tresor.

Auf einem laufenden Produktivsystem fragt man, wenn man nicht weiterkommt, statt zu raten. Als ich kürzlich Matrix als Chat-Dienst neben den rund zwanzig Containern unserer Hetzner-Cloud einrichten wollte, war an einer Stelle unklar, wie sich die Anbindung sauber ins bestehende Muster fügt. Früher hätte ich eine plausible Variante einfach ausprobiert; heute halte ich an und kläre die Frage, bevor ich an Mail, Passwörter und Dokumente rühre, an denen der ganze Betrieb hängt. Ein geratener Eingriff am Produktivsystem ist billig im Moment und teuer in der Woche danach.

Automatisch nur für die eigenen Leute zugänglich ist ein selbst gehosteter Dienst nicht, eine App ohne ausdrückliche Zugriffsregel steht jedem offen. Beim Aufbau unseres Matrix-Support-Systems fiel mir auf, dass vierzehn Anwendungen hinter Authentik ohne Richtlinien-Bindung liefen, und manche legten bei der ersten Anmeldung sogar selbst ein Konto an. Ich habe eine Gruppe externe gebaut und allen vierzehn bis auf eine eine Sperre verpasst. Was keine Regel hat, hat als Regel: alle dürfen herein.

Anmelden heißt noch nicht berechtigen, das sind zwei verschiedene Schritte. Bei uns synchronisiert Authentik die Gruppen sauber ins Dokumenten-Archiv, und trotzdem hatten 1.747 von 1.749 Dokumenten keinen Besitzer hinterlegt, also sah jeder Nutzer jedes Dokument. Die Stufen regelten nur, wer löschen darf, nicht, wer sehen darf. Eine Tür, die jeden hereinlässt, ist keine Tür, auch wenn das Schloss teuer war.

Eine kaputt synchronisierte Datei loescht man nicht, um sie neu zu laden, denn das Loeschen wandert bidirektional zum Server. Mein Nextcloud-Client auf dem Mac hatte einen Anmeldefehler als XML in eine meiner Notizen geschrieben, statt ihn zu melden; als ich die eine Datei lokal entfernte, um einen frischen Download zu erzwingen, war sie auch auf dem Server weg. Gerettet hat mich allein die Versionierung, die noch den Stand von Minuten vorher kannte. Sync ist kein Backup, und Loeschen ist ueberall Loeschen.

Bei einem Konflikt zwischen zwei Netzwerk-Schnittstellen auf demselben Subnetz schaltet man nie die Verbindung ab, über die man gerade selbst arbeitet. Beim Debuggen einer Wallbox lagen das WLAN und ein zweiter Netzwerkadapter meines Macs auf demselben Subnetz, und um den Routing-Konflikt zu lösen, flog ausgerechnet das WLAN raus, also mein eigener Zugang. Heute gebe ich der zweiten Schnittstelle ein anderes Subnetz oder gehe über den Hotspot meines Handys. Man kappt nicht den Ast, auf dem man sitzt.

Als zweiter Faktor taugt ein Mailcode nichts, wenn man sich über genau dieselbe Anmeldung erst einloggen muss, um die Mail zu lesen. In Authentik geht der Code an die im Profil hinterlegte Firmenadresse, und auf die kommt unser Mitarbeiter erst nach dem Login, vor dem der Code ihn ja schützen soll. Wir bleiben deshalb bei einer App, die ohne Postfach auskommt. Ein Schlüssel, der hinter der Tür liegt, die er öffnen soll, ist keiner.

Ein Passkey, der nur im iPhone liegt, sperrt am Windows-PC aus, weil er das Apple-Ökosystem nie verlässt. Bei uns hatte ein Mitarbeiter in Authentik als einzige Anmeldemethode einen Apple-Passkey hinterlegt, und am Windows-Rechner bot ihm das System nur den QR-Code für den Geräte-Wechsel an, der zuverlässig nicht funktionierte. Ich habe den Schlüssel gelöscht und auf eine geräteunabhängige Methode umgestellt. Ein zweiter Faktor, der nur an einem Gerät lebt, ist kein Zugang, sondern eine Falle.

Ein Firmendokument gehoert nicht der Person, die es einscannt, sondern niemandem persoenlich. Bei uns hingen siebenhundertneunundachtzig Dokumente am Konto eines einzelnen Mitarbeiters, und ich fragte mich, was passiert, wenn der einmal kuendigt. Heute entscheidet das Scan-Profil am Geraet: Firmenpost bekommt keinen Eigentuemer und laeuft ueber den Posteingang, nur Privates bleibt an einer Person. Was allen gehoert, sollte an keinem Einzelnen haengen.

Angreifer, die fuer jeden Login-Versuch die Adresse wechseln, sperrt man nicht einzeln, sondern als ganzes Netz. Unser Mailserver Stalwart bannt eine Adresse erst nach hundert Fehlversuchen, doch die Probierversuche kamen aus einem ganzen Adressblock, jede Adresse genau einmal, alle dreissig Sekunden eine neue. So lief der Zaehler nie voll. Erst die Sperre des kompletten Blocks in der Hetzner-Firewall brachte Ruhe. Wer nur das einzelne Tuerschloss zaehlt, uebersieht, dass der Angreifer die ganze Strasse hat.

Ein zentraler, gut gesicherter Login mit zweitem Faktor. Wir haben unsere Dienste an einen einzigen Identitäts-Anbieter, Authentik, angebunden. Statt zwanzig Passwörtern auf Zetteln gibt es einen Schlüssel, dafür richtig geschützt. Bequemlichkeit und Sicherheit sind kein Gegensatz, wenn man sie zusammen plant.

Erst wenn ich ihn mit eigenen Augen geprüft habe, im Browser, am echten Fall. Erledigt im Kopf ist nicht erledigt in der Realität. Zwischen beiden liegt genau der Fehler, den sonst der Kunde findet. Umsetzen und nachprüfen sind ein Schritt, nicht zwei.

Nicht vom Kunden, wenn man es richtig macht. Wir überwachen die wichtigen Dienste durchgehend mit Uptime Kuma und bekommen eine Meldung, bevor jemand anruft. Was man nicht misst, bemerkt man erst, wenn der Schaden schon da ist. Stille Überwachung ist der Unterschied zwischen reagieren und überrascht werden.

Vor jeder Änderung eine Sicherung, ausnahmslos. Am produktiven System arbeitet man wie am offenen Herzen: erst sichern, dann schneiden, und nur das anfassen, was man wirklich anfassen muss. Mut ohne Netz ist kein Mut, sondern Leichtsinn, und hier hängen echte Menschen dran.

Abbrechen, laut und sichtbar. Einer unserer Abläufe machte bei fehlgeschlagener Datenanreicherung einfach mit leeren Werten weiter, und die leeren Werte richteten den Schaden an. Heute bricht er ab, sobald die Daten nicht stimmen. Ein sichtbarer Fehler ist ein Geschenk, ein stiller frisst sich durch, bis ihn der Kunde findet.

Nein. Seit ein fehlerhafter Abgleich unsere Website einmal komplett geleert hat, gilt bei uns eine harte Grenze: Kein einzelner Lauf darf mehr als einen Bruchteil des Bestands auf einmal entfernen. Maschinen brauchen solche Grenzen, gerade weil sie nicht zögern. Ein Sicherheitsnetz im Code ist kein Misstrauen, sondern Vorsicht.

Erst wenn man den Moment davor zurückholen konnte. Eine Sicherung, die man nie zurückgespielt hat, ist nur eine Hoffnung. Wir haben deshalb mit pgBackRest eine punktgenaue Wiederherstellung eingerichtet und geprobt. Erst die geglückte Rückspielung macht aus Daten ein Netz.

Weil sie einem sonst nicht wirklich gehört. Was nicht dokumentiert ist, gehört dem, der es zuletzt angefasst hat, und der ist vielleicht weg. Wir haben Netzwerk, Server und Zugänge sauber aufgeschrieben. Eine Topologie auf Papier ist ein Stück Unabhängigkeit, gerade im Kleinbetrieb.

Gerade die. Ein verschwiegenes Risiko verschwindet nicht, es wartet nur auf den ungünstigsten Moment. Wir führen eine offene Liste der bekannten Schwachstellen, auch der peinlichen. Verschwiegene Risiken werden teuer, benannte werden abgearbeitet.

Nur lesend. Auf Loco-Soft, die Software im Autohaus, greife ich ausschließlich lesend zu, nie schreibend. Wer in eine Quelle schreibt, die er nicht vollständig versteht, riskiert mehr, als er gewinnt. Lesen ist umkehrbar, ein falscher Schreibzugriff selten.