Single Sign-On und PassKey über Authentik oder Keycloak sind derzeit das sicherste Authentifizierungsverfahren und werden vom BSI empfohlen. Ein Login für alle Systeme, ohne dass irgendwo ein Passwort liegt, das gestohlen werden kann.
Single Sign-On heißt: Alle Systeme vertrauen einer zentralen Anmeldung. Was das im Alltag ändert, und warum es sicherer ist als ein Passwort pro System, zeigt der Weg in vier Schritten.
Dateien, Projekte, Wiki, Warenwirtschaft, Server: Jedes System will seine eigene Anmeldung. Wer sechs Passwörter braucht, nimmt schnell dasselbe mehrfach oder schreibt sie auf.
Eine gut gemachte Phishing-Mail reicht, und ein Passwort ist weg. Wurde es mehrfach verwendet, stehen damit gleich mehrere Systeme offen.
Rollen und Berechtigungen werden an einer Stelle vergeben und entzogen. Verlässt jemand das Unternehmen, ist der Zugang zu allen angebundenen Systemen in einem Schritt gesperrt, statt in jedem System einzeln, mit dem Risiko, eines zu vergessen.
Die Software dahinterEs gibt keinen Baustein, den man kauft und danach ist es sicher. Es gibt Stellen, an denen etwas passieren kann, und an jeder davon sitzt etwas.
Mail läuft nicht durch diese Kette. Das Proxmox Mail Gateway sitzt deshalb direkt vor dem Mailserver und filtert Phishing, bevor es im Postfach landet.
Der Proxmox Backup Server steht bewusst nicht in dieser Reihe, sondern daneben, auf eigenem Storage. Ein Backup im selben System wie die Daten ist keins.
OPNsense als UTM-Firewall mit VPN. Davor liegt nichts, was nicht geprüft ist. Traefik übernimmt als Proxy vor den Containern denselben Job eine Ebene tiefer. Zusätzlich möglich: eine Web Application Firewall, die Anfragen an eure Webanwendungen auf Angriffsmuster prüft, bevor sie dort ankommen.
Authentik oder Keycloak als zentrale Stelle für alle Anmeldungen. PassKey statt Passwort: Es gibt kein Geheimnis mehr, das jemand abgreifen könnte. Passwörter, die trotzdem gebraucht werden, liegen in Passbolt im eigenen Haus.
Trivy prüft jedes Image auf bekannte Schwachstellen, bevor es läuft. Harbor hält als eigene Registry nur das bereit, was diese Prüfung bestanden hat. Diese Disziplin bietet kaum ein Systemhaus an.
Wazuh sammelt als SIEM sicherheitsrelevante Ereignisse über alle Systeme und wertet sie aus. Das ist zugleich der Nachweis, den Compliance-Prüfungen verlangen.
Das Proxmox Mail Gateway sitzt vor dem Mailserver und filtert Phishing heraus, bevor es im Postfach landet. Der häufigste Angriffsweg ist immer noch eine Mail.
Der Proxmox Backup Server sichert die virtuellen Maschinen auf eigenen Storage. Ein Backup, das im selben System liegt wie die Daten, ist keins.
Wer nicht selbst hostet, hostet im Rechenzentrum Südstraße auf Cloud-Level 2. Das Cloud-Leveling richtet sich nach den Vorgaben des BSI und betrifft die Punkte, die im Ernstfall zählen.
Zulässige Ausfallzeit pro Jahr nach BSI-Vorgabe. Nachgewiesen, nicht behauptet.
Baulicher und technischer Brandschutz nach den Anforderungen des jeweiligen Levels.
Unterbrechungsfreie Stromversorgung, damit ein Netzausfall kein Datenverlust wird.
Redundante Internetanbindung: Eine Leitung ist keine Leitung.
Sicherheit, die wir nicht nur beschreiben, sondern nachweisen. Was hinter den drei Nachweisen steckt und was sie für euch bedeuten:
Wir schauen uns an, wie bei euch angemeldet wird, was in Containern läuft und was am Übergang nach außen passiert.
