#Sicherheit

Wenn die Fernwartung abbricht und das eigene Netz sauber ist, liegt die Ursache oft außerhalb des Hauses. Ich habe an unserer Telefonanlage lange gemessen, null Prozent Paketverlust und neun Millisekunden zum Herstellerserver, bis ich die Mitteilung des Herstellers fand: seit Mitte Mai gelten nur noch Zertifikate ab Firmware 4.2, unsere Anlage läuft auf 4.1d von 2024. Telefonie und lokaler Zugang liefen die ganze Zeit weiter, ausgefallen war nur, was über die Herstellerwolke geht. Ein Ausfall ohne eigenen Anlass hat meistens einen fremden Stichtag.

Eine Software, an der der Betrieb hängt, sollte sich nicht selbst auf die neueste Version aktualisieren. Unser Passwort-Tresor Vaultwarden lief auf dem Automatik-Kanal, zog Ende Juli die Version 1.37.0, und seitdem konnte niemand mehr eine Einladung in die Firmen-Organisation annehmen. Die letzte, die funktioniert hatte, war sechs Wochen alt; der Fehler war beim Hersteller gemeldet, die Korrektur noch nicht fertig. Wer immer die neueste Version nimmt, testet sie für alle anderen mit.

Ein Gerät im Netz, das niemand zuordnen kann, muss identifiziert werden, nicht geduldet. Beim Durchsehen unseres Werkstattnetzes fand ich einen Teilnehmer ohne sprechenden Namen, ein eingebettetes Funkmodul, das im Sekundentakt eine Zieladresse anruft, die es bei uns gar nicht gibt. Es steckt in irgendeinem Gerät in der Halle, nur in welchem, sagt kein Papier. Ein Netz, dessen Teilnehmer man nicht benennen kann, ist keine Infrastruktur, sondern eine Ansammlung von Zufällen.

Einen fehlgeschlagenen Login darf eine Sperr-Automatik nur an einem Muster erkennen, das bei Erfolg sicher anders aussieht. Nach einem Angriff mit 2.743 Anfragen auf unsere Anmeldeseiten wollte ich zuerst jeden Zugriff auf eine zweite Schnittstelle mitzählen. Diese Regel hätte den ganz normalen Verkehr eines Zusatzdienstes gesperrt, denn dort antwortet der Server bei Fehler und Erfolg gleich. Jetzt sperre ich nach fünf Fehlversuchen in zehn Minuten, aber nur bei einem Muster, das ein Erfolg nie erzeugt. Wer automatisch aussperrt, muss den Unterschied beweisen können, nicht vermuten.

Aktuell ist ein Programm nicht, nur weil irgendwo automatisch danebensteht. Unser Vaultwarden lief unter der Kennzeichnung neueste Version und war trotzdem sechs Wochen hinterher, weil die neue Fassung nie geholt wurde. Das nachgezogene Update schloss neun Sicherheitslücken auf einmal, darunter eine, die Zugriff über Mandantengrenzen hinweg erlaubte. Seitdem schaue ich nicht in die Einstellung, sondern in die laufende Version. Automatisch heißt nur, dass es jemand einmal so eingerichtet hat, nicht, dass es geschieht.

Eine KI, die öffentlich spricht, darf nur wissen, was auch öffentlich gesagt werden darf. Ich baue gerade einen Interviewer, der mich vor der Kamera befragt, und der eigentliche Hebel war nicht die Technik, sondern das Vorwissen: echte Projekte, harte Zahlen, eigene Fehlschläge, etwa 819 statt 1.176 verarbeiteter Dokumente. Deshalb gilt bei mir eine einfache Regel: Was im Briefing steht, kann die Maschine aussprechen, also stehen dort keine Kundennamen und keine Kennzeichen. Was eine Maschine weiß, sagt sie irgendwann, und selten im passenden Moment.

Ob eine Firewall wirklich dicht ist, prüft man von einem fremden Rechner aus, nicht aus dem eigenen Netz. Beim Absichern unseres neuen Hetzner-Servers zeigte mein Port-Scan hinter dem VPN einen offenen Port 80, der von außen gar nicht offen war. Erst die Prüfung von einem neutralen Host ergab das echte Bild: öffentlich erreichbar ist nur noch der Fernzugang. Eine Tür testet man von der Seite, von der ein Einbrecher kommen würde.

Ein Prüfstands-PC gehört auf eigene Hardware, nicht als virtuelle Maschine auf den Server. Ich habe es für unsere AU-Software durchgerechnet: Der Virtualisierungs-Host ist mit 67 von 80 Gigabyte Arbeitsspeicher schon belegt, und die Anbindung an Abgastester und Bremsprüfstand hängt an echten Geräten im Haus. Dazu kämen Umgehungen für die Sicherheitschips, die Windows 11 verlangt. Wo ein Rechner an Messtechnik hängt und Prüfnachweise dokumentiert, ist die langweilige Kiste unterm Tisch die ehrlichere Lösung.

Dass zu einem System irgendein Passwort im Tresor liegt, reicht nicht, es muss das richtige sein. Als ich am UniFi-Controller unseres WLAN eine Port-Einstellung ändern wollte, fand ich im Tresor nur ein Konto mit Lesezugriff; das Admin-Konto mit vollen Rechten war nie abgelegt worden. Von zwei Konten fehlte ausgerechnet das wichtigere, und der vorhandene Eintrag gaukelte Vollständigkeit vor. Eine halbe Dokumentation ist tückischer als gar keine, denn die Lücke fällt erst auf, wenn man sie braucht.

Den ganzen Server schützt man vor einem einzelnen fehlerhaften Programm wie das Auto vor einem defekten Verbraucher: mit einer Sicherung. Unsere Dokumentenverwaltung hat ein Speicherleck und füllt rund acht Gigabyte in acht Stunden, behoben ist das noch nicht. Deshalb hat der Dienst eine feste Speichergrenze bekommen, und heute Mittag griff sie zum ersten Mal: kurzer Neustart des einen Dienstes, der Rest des Servers lief ungestört weiter. Eine Grenze behebt den Fehler nicht, aber sie bestimmt, wie groß er werden darf.

Ein Erpressungstrojaner kann unsere Datensicherung nicht verschlüsseln, weil sich die Kopie selbst gegen jeden Zugriff sperrt, auch gegen meinen. Unsere Belege liegen zusätzlich im Hetzner Object Storage mit echtem Object-Lock: 14.138 Dokumente, zehn Jahre unveränderbar, unlöschbar selbst mit gestohlenen Administrator-Rechten. Als sich ein lokales Original änderte, verweigerte der Speicher die Überschreibung, genau wie er soll. Ein Backup, das ich selbst noch löschen kann, kann auch ein Angreifer löschen.

Meine eigenen Belege nicht löschen zu können, ist kein Mangel, sondern der ganze Sinn eines revisionssicheren Archivs. Unsere Dokumente wandern jede Nacht in einen Hetzner Object Storage mit echtem Object-Lock, Modus Compliance und zehn Jahren Aufbewahrung, aktuell 14.138 Objekte, die auch ich als Administrator oder ein Angreifer mit gestohlenen Zugängen nicht mehr überschreiben kann. Als der Lauf Fehler meldete, weil sich lokale Originale geändert hatten, war das kein Defekt, sondern die Sperre, die ihre Arbeit tat. Ein Archiv, das der Besitzer selbst überschreiben kann, kann auch ein Angreifer überschreiben.

Ein Datenbank-Backup, dessen Schlüssel fehlt, nützt im Ernstfall gar nichts. Beim Härten unserer Sicherungen fiel auf, dass unser Skript zwar jede Datenbank zog, die Service-Schlüssel aber nicht mitsicherte, den Vaultwarden-Schlüssel, die n8n-Verschlüsselung, die Matrix-Signaturen. Ohne die wären die Daten nur unlesbarer Zeichensalat gewesen. Jetzt wandern rund neun Megabyte Schlüssel bei jedem Lauf mit ins Archiv. Ein Backup, das man nicht wieder aufschließen kann, ist ein Schrank ohne Schlüssel.

Eine Änderung an einem System, in dem tagsüber mehrere Kollegen live arbeiten, spielt man erst abends ein, wenn niemand mehr darin sitzt. Unsere Aktendigitalisierung läuft über einen Dauerdienst mit Gemma, und jedes Deploy heißt Neustart: die laufende Verarbeitung bricht ab, der neue Code wird scharf. Tagsüber wartet vielleicht eine Anmeldung auf die Bestätigung eines Scans, also baue und teste ich tagsüber nur trocken gegen eine Kopie und rolle erst nach Feierabend aus. Man fährt die Bühne nicht hoch, solange das Auto darauf steht.

Belege per Mail darf nicht jeder einspeisen, sondern nur vier bekannte Absender-Domains. Wir richten gerade eine Sammeladresse ein: Anhänge, die dort ankommen, laufen durch denselben Scan-Flow wie am Gerät, mit Texterkennung und Gemma. Damit uns niemand Fremdes Dokumente ins System kippt, dürfen nur vier feste Domains schicken, alles andere wird verworfen. Eine Tür, die jeder öffnen kann, ist kein Eingang, sondern ein Loch.

Ein versehentlich committetes Passwort wieder zu löschen reicht nicht, denn die Versionsverwaltung behält jede frühere Fassung. Beim Aufräumen meiner Infrastruktur-Dokumentation fand ich in einem Forgejo-Repo mehrere Klartext-Passwörter in alten Skripten. Ich ersetze sie jetzt durch Platzhalter, die nur auf den Passwortspeicher verweisen, aber die alten Werte stehen längst in der Historie und gelten damit als verbrannt, also setze ich sie neu. Was einmal eingecheckt ist, lässt sich verstecken, aber nicht zurücknehmen.

Ein vergessenes Master-Passwort kann man nirgends nachschlagen, auch nicht als Administrator. Bei Vaultwarden liegt es nie im Klartext, der Server kennt nur einen Hash mit sechshunderttausend Iterationen, aus dem erst auf dem Gerät der Schlüssel abgeleitet wird. Ich habe lange auf dem Server gesucht und musste am Ende einsehen, dass es schlicht nicht abrufbar ist, weil es so gebaut wurde. Genau das ist der Sinn: Was niemand auslesen kann, kann auch niemand stehlen.

In eine laufende Produktiv-Datenbank schaut man nur mit einem Zugang, der ausschließlich lesen darf. Für die Bestandsaufnahme unserer Loco-Soft-Daten habe ich einen eigenen PostgreSQL-Nutzer benutzt, der nichts schreiben und nichts löschen kann, nur abfragen. So konnte das Stöbern im Produktivsystem nichts beschädigen, egal welche Abfrage ich abschickte. Ein Zugang, der nur lesen kann, richtet auch im falschen Moment keinen Schaden an.

Ein öffentliches Repository auf privat zu stellen reicht nicht, man muss prüfen, ob Suchmaschinen es schon gespeichert haben, solange es offen war. Nachdem ich alle Forgejo-Repos privat gestellt hatte, habe ich es mit vier unabhängigen Prüfungen kontrolliert: Exakt-Suchen nach den einmaligen Repo-Namen, die anonyme Übersichtsseite und der direkte Aufruf, der jetzt mit 404 antwortet. Alle vier waren negativ. Privat schalten ist der erste Schritt, nachsehen, was schon nach draußen gelangt ist, der zweite.

In die Datenschutzerklärung gehören die Namen der eigenen Server nicht. Beim Schreiben der Erklärung für meine Seite wollte ich zuerst jedes selbst betriebene Werkzeug nennen, Listmonk für den Newsletter, den Mailserver, den Automatisierungsdienst. Die Vorschrift verlangt aber nur Empfänger oder Kategorien von Empfängern, kein Software-Inventar, und der einzige echte externe Auftragsverarbeiter ist der Hosting-Dienstleister Hetzner. Aus drei selbst betriebenen Diensten wurde ein einziger zu nennender Empfänger. Eine Liste interner Namen schützt niemanden, sie zeichnet Angreifern nur eine Karte.

Im Mailprogramm funktioniert das normale Passwort nicht, weil zentraler Login und Postfach zwei verschiedene Türen sind. Bei uns meldet sich der Mensch über Authentik per Single Sign-on an, doch unser Mailserver Stalwart lehnt genau dieses Passwort im Mailprogramm ab. Erst ein eigenes App-Passwort, das nur ein einziges Mal angezeigt wird, lässt das Programm durch. Ein Schlüssel für die Haustür ist eben kein Schlüssel für den Tresor.

Auf einem laufenden Produktivsystem fragt man, wenn man nicht weiterkommt, statt zu raten. Als ich kürzlich Matrix als Chat-Dienst neben den rund zwanzig Containern unserer Hetzner-Cloud einrichten wollte, war an einer Stelle unklar, wie sich die Anbindung sauber ins bestehende Muster fügt. Früher hätte ich eine plausible Variante einfach ausprobiert; heute halte ich an und kläre die Frage, bevor ich an Mail, Passwörter und Dokumente rühre, an denen der ganze Betrieb hängt. Ein geratener Eingriff am Produktivsystem ist billig im Moment und teuer in der Woche danach.

Automatisch nur für die eigenen Leute zugänglich ist ein selbst gehosteter Dienst nicht, eine App ohne ausdrückliche Zugriffsregel steht jedem offen. Beim Aufbau unseres Matrix-Support-Systems fiel mir auf, dass vierzehn Anwendungen hinter Authentik ohne Richtlinien-Bindung liefen, und manche legten bei der ersten Anmeldung sogar selbst ein Konto an. Ich habe eine Gruppe externe gebaut und allen vierzehn bis auf eine eine Sperre verpasst. Was keine Regel hat, hat als Regel: alle dürfen herein.

Anmelden heißt noch nicht berechtigen, das sind zwei verschiedene Schritte. Bei uns synchronisiert Authentik die Gruppen sauber ins Dokumenten-Archiv, und trotzdem hatten 1.747 von 1.749 Dokumenten keinen Besitzer hinterlegt, also sah jeder Nutzer jedes Dokument. Die Stufen regelten nur, wer löschen darf, nicht, wer sehen darf. Eine Tür, die jeden hereinlässt, ist keine Tür, auch wenn das Schloss teuer war.

Eine kaputt synchronisierte Datei loescht man nicht, um sie neu zu laden, denn das Loeschen wandert bidirektional zum Server. Mein Nextcloud-Client auf dem Mac hatte einen Anmeldefehler als XML in eine meiner Notizen geschrieben, statt ihn zu melden; als ich die eine Datei lokal entfernte, um einen frischen Download zu erzwingen, war sie auch auf dem Server weg. Gerettet hat mich allein die Versionierung, die noch den Stand von Minuten vorher kannte. Sync ist kein Backup, und Loeschen ist ueberall Loeschen.

Bei einem Konflikt zwischen zwei Netzwerk-Schnittstellen auf demselben Subnetz schaltet man nie die Verbindung ab, über die man gerade selbst arbeitet. Beim Debuggen einer Wallbox lagen das WLAN und ein zweiter Netzwerkadapter meines Macs auf demselben Subnetz, und um den Routing-Konflikt zu lösen, flog ausgerechnet das WLAN raus, also mein eigener Zugang. Heute gebe ich der zweiten Schnittstelle ein anderes Subnetz oder gehe über den Hotspot meines Handys. Man kappt nicht den Ast, auf dem man sitzt.

Als zweiter Faktor taugt ein Mailcode nichts, wenn man sich über genau dieselbe Anmeldung erst einloggen muss, um die Mail zu lesen. In Authentik geht der Code an die im Profil hinterlegte Firmenadresse, und auf die kommt unser Mitarbeiter erst nach dem Login, vor dem der Code ihn ja schützen soll. Wir bleiben deshalb bei einer App, die ohne Postfach auskommt. Ein Schlüssel, der hinter der Tür liegt, die er öffnen soll, ist keiner.

Ein Passkey, der nur im iPhone liegt, sperrt am Windows-PC aus, weil er das Apple-Ökosystem nie verlässt. Bei uns hatte ein Mitarbeiter in Authentik als einzige Anmeldemethode einen Apple-Passkey hinterlegt, und am Windows-Rechner bot ihm das System nur den QR-Code für den Geräte-Wechsel an, der zuverlässig nicht funktionierte. Ich habe den Schlüssel gelöscht und auf eine geräteunabhängige Methode umgestellt. Ein zweiter Faktor, der nur an einem Gerät lebt, ist kein Zugang, sondern eine Falle.

Ein Firmendokument gehoert nicht der Person, die es einscannt, sondern niemandem persoenlich. Bei uns hingen siebenhundertneunundachtzig Dokumente am Konto eines einzelnen Mitarbeiters, und ich fragte mich, was passiert, wenn der einmal kuendigt. Heute entscheidet das Scan-Profil am Geraet: Firmenpost bekommt keinen Eigentuemer und laeuft ueber den Posteingang, nur Privates bleibt an einer Person. Was allen gehoert, sollte an keinem Einzelnen haengen.

Angreifer, die fuer jeden Login-Versuch die Adresse wechseln, sperrt man nicht einzeln, sondern als ganzes Netz. Unser Mailserver Stalwart bannt eine Adresse erst nach hundert Fehlversuchen, doch die Probierversuche kamen aus einem ganzen Adressblock, jede Adresse genau einmal, alle dreissig Sekunden eine neue. So lief der Zaehler nie voll. Erst die Sperre des kompletten Blocks in der Hetzner-Firewall brachte Ruhe. Wer nur das einzelne Tuerschloss zaehlt, uebersieht, dass der Angreifer die ganze Strasse hat.

Ein zentraler, gut gesicherter Login mit zweitem Faktor. Wir haben unsere Dienste an einen einzigen Identitäts-Anbieter, Authentik, angebunden. Statt zwanzig Passwörtern auf Zetteln gibt es einen Schlüssel, dafür richtig geschützt. Bequemlichkeit und Sicherheit sind kein Gegensatz, wenn man sie zusammen plant.

Erst wenn ich ihn mit eigenen Augen geprüft habe, im Browser, am echten Fall. Erledigt im Kopf ist nicht erledigt in der Realität. Zwischen beiden liegt genau der Fehler, den sonst der Kunde findet. Umsetzen und nachprüfen sind ein Schritt, nicht zwei.

Nicht vom Kunden, wenn man es richtig macht. Wir überwachen die wichtigen Dienste durchgehend mit Uptime Kuma und bekommen eine Meldung, bevor jemand anruft. Was man nicht misst, bemerkt man erst, wenn der Schaden schon da ist. Stille Überwachung ist der Unterschied zwischen reagieren und überrascht werden.

Vor jeder Änderung eine Sicherung, ausnahmslos. Am produktiven System arbeitet man wie am offenen Herzen: erst sichern, dann schneiden, und nur das anfassen, was man wirklich anfassen muss. Mut ohne Netz ist kein Mut, sondern Leichtsinn, und hier hängen echte Menschen dran.

Abbrechen, laut und sichtbar. Einer unserer Abläufe machte bei fehlgeschlagener Datenanreicherung einfach mit leeren Werten weiter, und die leeren Werte richteten den Schaden an. Heute bricht er ab, sobald die Daten nicht stimmen. Ein sichtbarer Fehler ist ein Geschenk, ein stiller frisst sich durch, bis ihn der Kunde findet.

Nein. Seit ein fehlerhafter Abgleich unsere Website einmal komplett geleert hat, gilt bei uns eine harte Grenze: Kein einzelner Lauf darf mehr als einen Bruchteil des Bestands auf einmal entfernen. Maschinen brauchen solche Grenzen, gerade weil sie nicht zögern. Ein Sicherheitsnetz im Code ist kein Misstrauen, sondern Vorsicht.

Erst wenn man den Moment davor zurückholen konnte. Eine Sicherung, die man nie zurückgespielt hat, ist nur eine Hoffnung. Wir haben deshalb mit pgBackRest eine punktgenaue Wiederherstellung eingerichtet und geprobt. Erst die geglückte Rückspielung macht aus Daten ein Netz.

Weil sie einem sonst nicht wirklich gehört. Was nicht dokumentiert ist, gehört dem, der es zuletzt angefasst hat, und der ist vielleicht weg. Wir haben Netzwerk, Server und Zugänge sauber aufgeschrieben. Eine Topologie auf Papier ist ein Stück Unabhängigkeit, gerade im Kleinbetrieb.

Gerade die. Ein verschwiegenes Risiko verschwindet nicht, es wartet nur auf den ungünstigsten Moment. Wir führen eine offene Liste der bekannten Schwachstellen, auch der peinlichen. Verschwiegene Risiken werden teuer, benannte werden abgearbeitet.

Nur lesend. Auf Loco-Soft, die Software im Autohaus, greife ich ausschließlich lesend zu, nie schreibend. Wer in eine Quelle schreibt, die er nicht vollständig versteht, riskiert mehr, als er gewinnt. Lesen ist umkehrbar, ein falscher Schreibzugriff selten.