Raumbyte
Projekt anfragen

Sicherheit & Souveränität

Sicherheit, die man nachprüfen kann.

Wir schreiben nicht „100 % sicher“. Wir beschreiben, welche Maßnahmen wir treffen, wie wir sie prüfen und wo die Grenzen liegen.

Live aus unserem Betrieb Lagekarte: Was gerade an unserer Tür klopft. Sondierungen, Exploit-Versuche, bekannte Angreifer: ohne Adressen, nach Herkunft, Art und Ziel, mit wenigen Minuten Verzögerung. Zur Lagekarte

Maßnahmen

Verteidigung in Schichten.

Kein einzelner Mechanismus ist perfekt. Deshalb greifen mehrere ineinander, und jeder wird automatisch überprüft.

Netz

Segmentierung

Sieben getrennte Netzzonen. Verkehr zwischen ihnen ist einzeln freigegeben. Alles andere wird verworfen, auch im Fehlerfall.

Zugang

Zero Trust

Betriebsoberflächen und Entwicklungswerkzeuge sind nicht öffentlich. Zugriff über ein verschlüsseltes Overlay-Netz mit Single Sign-on und zweitem Faktor.

Erkennung

SIEM und IDS

Ein SIEM sammelt und korreliert Ereignisse aller Systeme, ein IDS liest den Netzwerkverkehr mit. Alarme gehen direkt an die Betreiber.

Ausgang

Kontrollierter Ausgang

Produktive Anwendungen haben keinen freien Internetzugang. Was keine Daten nach außen schicken kann, kann sie auch nicht abfließen lassen.

Aktualität

Release-Wächter

Alle Komponenten sind auf eine Version festgelegt. Alle sechs Stunden werden sie mit den Sicherheitsmeldungen der Hersteller abgeglichen.

Wiederherstellung

Sicherung, die funktioniert

Nächtliche Sicherungen, regelmäßig auf dem Zielsystem zurückgespielt und überwacht. Eine Sicherung, die nie zurückgespielt wurde, ist nur eine Hoffnung.

Sicherheit / 01 von 06
MGMTEDGEKERNSOCCIDEVPRODNETZ

Netz

Segmentierung

Verwaltung, Eingang, Kerndienste, Produktion, Entwicklung, CI und Überwachung liegen in eigenen Netzen. Eine Anwendung in der Produktion sieht weder die Entwicklungsumgebung noch die Verwaltung.

So funktioniert es

  1. Jede Zone hat ein eigenes Netz; der Host routet nur, was eine Regel ausdrücklich erlaubt.
  2. Die Firewall startet geschlossen: Fehlt eine Regel oder scheitert ihr Laden, geht nichts durch.
  3. Projekte bekommen innerhalb der Zone eigene Netze. So sind auch zwei Kunden untereinander getrennt.
  4. Öffentlich erreichbar ist nur der Eingang mit genau den Namen, die dort freigegeben sind.

So prüfen wir es

Bei jeder Änderung vergleicht eine automatische Prüfung die Regeln mit dem beschriebenen Soll. Negativproben versuchen verbotene Wege tatsächlich und müssen dabei scheitern.

Grenze

Segmentierung begrenzt die Reichweite eines Angriffs. Sie ersetzt nicht die Sicherheit der Anwendung selbst.

Host-Firewallfail-closed7 ZonenNegativproben
Sicherheit / 02 von 06
GERÄT WEBAUTHN SSO DIENST

Zugang

Zero Trust

Wer auf Code-Plattform, Registry, Monitoring oder SIEM zugreifen will, braucht ein zugelassenes Gerät im Overlay-Netz und eine Anmeldung mit zweitem Faktor, in der Regel per Sicherheitsschlüssel oder Smartphone. Ein Passwort allein reicht dafür nicht.

So funktioniert es

  1. Das Overlay-Netz verbindet nur freigegebene Geräte, Ende zu Ende verschlüsselt.
  2. Die Anmeldung läuft über einen zentralen Identitätsdienst mit zweitem Faktor: als Regel WebAuthn, ein Einmalcode nur als benannte Ausnahme.
  3. Rollen trennen Betrieb und Entwicklung: Entwickler erreichen ihre Werkzeuge, nicht die Betriebsdienste.
  4. Betriebsoberflächen verlangen zusätzlich eine Sitzung am Eingang; ohne sie kommt keine Antwort des Dienstes.

So prüfen wir es

Alle fünf Minuten prüft die Überwachung, ob jede Betriebsoberfläche ohne Sitzung wirklich zur Anmeldung umleitet. Weicht eine ab, gibt es Alarm.

Grenze

Ein kompromittiertes, zugelassenes Gerät bleibt ein Risiko. Deshalb sind Sitzungen begrenzt und Konten personengebunden.

Overlay-Netzzentrale IdentitätWebAuthnvorgeschaltete Anmeldung
Sicherheit / 03 von 06
HOSTNETZAUTH SIEM ALARM

Erkennung

SIEM und IDS

Logs, Anmeldungen, Dateiänderungen und Netzwerkauffälligkeiten laufen zentral zusammen. Aus einzelnen Spuren wird ein Ereignis mit Zusammenhang und bei Bedarf ein Alarm.

So funktioniert es

  1. Agenten auf allen Maschinen melden Systemereignisse und überwachen die Integrität wichtiger Dateien.
  2. Ein Intrusion-Detection-System liest den Verkehr zwischen den Zonen mit.
  3. Regeln korrelieren Ereignisse (etwa viele Fehlversuche, gefolgt von einer erfolgreichen Anmeldung).
  4. Alarme gehen per E-Mail direkt an die Betreiber, mit Ursache und betroffenem System.

So prüfen wir es

Härtungsprüfungen laufen regelmäßig gegen jede Maschine. Neue Erkennungsregeln testen wir mit nachgestellten Ereignissen, bevor wir uns auf sie verlassen.

Grenze

Kein Erkennungssystem sieht jeden Angriff, und verschlüsselter Verkehr ist nur begrenzt einsehbar. Erkennung ergänzt die Vorbeugung, sie ersetzt sie nicht.

SIEMIDS zwischen ZonenKorrelationsregelnDateiintegrität
Sicherheit / 04 von 06
BESUCH APP · PROD AUSGANG INTERNET

Ausgang

Kontrollierter Ausgang

Die meisten Angriffe brauchen einen Rückkanal: Schadcode nachladen, Daten hinausschicken. In unserer Produktion gibt es diesen Kanal nicht.

So funktioniert es

  1. Die Produktion darf antworten, aber nicht selbst ins Internet verbinden. Die Regel sitzt am Host, nicht in der Anwendung.
  2. Updates laufen in festen, kurzen Zeitfenstern über ausdrücklich freigegebene Ziele.
  3. Ein blockierter Versuch wird protokolliert und als Ereignis gemeldet.
  4. Andere Zonen protokollieren ihren Ausgang, sodass Auffälligkeiten sichtbar werden.

So prüfen wir es

Ein Alarm meldet verworfene Verbindungen. Bei Abnahmen versuchen wir selbst, aus der Produktion hinauszukommen. Es gelingt nicht.

Grenze

Braucht eine Anwendung eine externe Schnittstelle, wird genau dieser Weg freigegeben und dokumentiert. Darüber hinaus nichts.

Egress gesperrtUpdate-FensterEreignis bei Verstoß
Sicherheit / 05 von 06
ALLE 6 H EDGEGITSIEMMAIL UPDATE GEMELDET

Aktualität

Release-Wächter

Veraltete Software ist eine der häufigsten Ursachen für Vorfälle. Wir verlassen uns nicht auf Erinnerung, sondern auf einen Wächter, der jede Komponente kennt.

So funktioniert es

  1. Jede eingesetzte Komponente ist mit exakter Version festgehalten. Wandernde Versionen gibt es nicht.
  2. Alle sechs Stunden vergleicht der Wächter jede Version mit der aktuellen stabilen Fassung des Herstellers.
  3. Sicherheitsmeldungen lösen sofort eine Benachrichtigung aus, ein Rückstand nach sieben Tagen.
  4. Updates laufen geplant, geprüft und mit Rückweg.

So prüfen wir es

Der Wächter meldet seinen eigenen Zustand; bleibt ein Lauf aus, fällt das auf. Alle 14 Tage sehen wir die Liste gemeinsam durch.

Grenze

Zwischen Veröffentlichung einer Lücke und Update vergeht Zeit. Wir halten sie kurz, aber auf null bringen kann sie niemand.

6-h-Taktfeste VersionenHerstellermeldungen
Sicherheit / 06 von 06
DATEN SICHERUNG NÄCHTLICHRESTORE-PROBE

Wiederherstellung

Sicherung, die funktioniert

Entscheidend ist nicht, dass gesichert wird, sondern dass die Wiederherstellung gelingt. Deshalb spielen wir Sicherungen regelmäßig zurück und messen das Ergebnis.

So funktioniert es

  1. Produktive Daten werden jede Nacht gesichert, Anwendungen und Datenbanken eingeschlossen.
  2. Wiederherstellungen werden regelmäßig auf einer Testmaschine durchgespielt.
  3. Bleibt eine Wiederherstellungsprobe zu lange aus, gibt es einen Alarm.
  4. Scheitert eine neue Version, läuft automatisch der vorige Stand weiter.

So prüfen wir es

Jede Probe endet mit einer Prüfung der zurückgespielten Dienste, nicht nur mit „Datei vorhanden“.

Grenze

Wo die Sicherungen liegen, sagen wir offen. Wer eine zusätzliche, räumlich getrennte Kopie braucht, vereinbart sie mit uns.

nächtlichRestore geprobtAlarm bei Ausbleiben

Schutzraum

Sechs Schichten um Ihre Anwendung.

Kein Schutz ist perfekt. Darum liegen sechs Schichten um Ihre Anwendung: jede mit genau einem Tor, jede für sich geprüft, alle zusammen überwacht.

  1. 01
    Netz

    Getrennte Zonen statt eines offenen Raums.

    Edge, Anwendungen, Verwaltung und Daten liegen in getrennten Netzen. Jeder Übergang ist eine ausdrückliche Regel. Alles andere bleibt zu.

    SegmentierungStandard: gesperrtHost-Firewall
  2. 02
    Zugang

    Verwaltung nur mit Identität.

    Betriebsoberflächen sind aus dem Internet nicht erreichbar. Wer administriert, kommt personengebunden und protokolliert über Zero Trust mit zweitem Faktor, auf Server und Hypervisor über einen eigenen Tunnel.

    Zero TrustWebAuthnpersonengebunden
  3. 03
    Härtung

    Gehärtet und auf aktuellem Stand.

    Systeme starten minimal und gehärtet, Abbilder sind per Digest festgelegt. Ein Release-Wächter gleicht alle sechs Stunden jede eingesetzte Komponente mit den Sicherheitsmeldungen der Hersteller ab.

    alle 6 hper DigestHärtungsprüfungen
  4. 04
    Erkennung

    Auffälliges fällt auf.

    SIEM und Intrusion Detection werten Protokolle, Netzverkehr und Dateiänderungen zentral aus. Wiederholte Angriffe sperrt das System automatisch, bevor sie lästig werden.

    SIEMIDSautomatische Sperren
  5. 05
    Ausgang

    Nichts verlässt den Raum unbemerkt.

    Anwendungen in Produktion dürfen nicht beliebig nach außen sprechen. Ausgehender Verkehr bleibt gesperrt, bis er bewusst freigegeben wird. So wird aus einer Lücke kein Datenabfluss.

    Ausgang gesperrtFreigabe nach Bedarfprotokolliert
  6. 06
    Souveränität

    Ihre Daten bleiben in Deutschland.

    Server, Sicherungen und Betrieb liegen in Deutschland, auf dedizierter Hardware, die nur wir verwalten. Kein US-Hyperscaler verarbeitet Ihre Inhalte; offene Formate halten Sie unabhängig, auch von uns.

    Deutschlanddediziertportabel

Live-Lagekarte: was gerade anklopftSchwachstelle melden

Souveränität konkret

Die Fragen, die Sie stellen sollten.

Souveränität ist kein Siegel, sondern eine Reihe überprüfbarer Antworten. Hier sind unsere.

FrageAntwort von Raumbyte
Wo liegen die Daten?In einem Rechenzentrum in Deutschland, auf dedizierter Hardware. Betreiber des Rechenzentrums ist die Hetzner Online GmbH; die Server verwalten ausschließlich wir.
Wer hat administrativen Zugriff?Nur Raumbyte-Betreiber, personengebunden: Betriebsoberflächen über ein Overlay-Netz mit Single Sign-on und zweitem Faktor, Server und Hypervisor über einen eigenen verschlüsselten Tunnel mit Schlüssel. Es gibt keine geteilten Administratorkonten.
Welche US-Dienste sind beteiligt?Keiner verarbeitet Ihre Inhalte. Zur Einordnung: Die DNS-Zonen unserer eigenen Domains liegen bei Cloudflare, TLS-Zertifikate stellt Let’s Encrypt aus. Beide sehen Domainnamen, keine Inhalte.
Wie unabhängig bin ich von Raumbyte?Anwendungen laufen als Standard-Container mit offenen Formaten. Ein Umzug zu einem anderen Anbieter ist ohne Umbau möglich.
Welche Software läuft?Überwiegend etablierte Open-Source-Komponenten, deren Namen wir auf der Plattform-Seite nennen. Keine Telemetrie an Hersteller.
Gibt es Zertifizierungen?Derzeit keine ISO-27001- oder C5-Testierung. Wir legen Maßnahmen offen und orientieren uns an anerkannten Härtungsleitfäden. Braucht Ihr Vorhaben ein Testat, sprechen wir offen darüber.

Grenzen

Was kein System leisten kann.

Erkennungssysteme sehen nicht jeden Angriff, verschlüsselter Verkehr ist nur begrenzt analysierbar, und jede Software hat unbekannte Fehler. Deshalb verlassen wir uns nicht auf eine Maßnahme, sondern auf mehrere Schichten, schnelle Updates und eine geübte Wiederherstellung.

Anforderungen an Verfügbarkeit und Redundanz besprechen wir projektbezogen. Wenn eine Anwendung mehr braucht, als unsere Plattform heute bietet, sagen wir das vor Vertragsschluss.

Verantwortungsvolle Offenlegung

Eine Schwachstelle gefunden?

Danke, dass Sie uns Bescheid geben. Schreiben Sie an security@raumbyte.de, mit einer Beschreibung, betroffenen Adressen und, wenn möglich, Schritten zum Nachvollziehen.

Bitte greifen Sie nicht auf fremde Daten zu, stören Sie keine Dienste und geben Sie uns angemessen Zeit zur Behebung, bevor Sie veröffentlichen. Maschinenlesbar: security.txt nach RFC 9116.

Meldung schreiben

FAQ

Häufige Fragen

Sind Sie nach ISO 27001 oder BSI C5 zertifiziert?

Nein, derzeit nicht. Wir orientieren uns an anerkannten Härtungsleitfäden, prüfen unsere Maßnahmen automatisiert und legen sie offen. Wenn Ihr Vorhaben ein Testat verlangt, klären wir gemeinsam, was dafür nötig ist.

Wer kann meine Daten sehen?

Nur die Raumbyte-Betreiber, personengebunden und protokolliert, und nur soweit es der Betrieb erfordert. Für personenbezogene Daten schließen wir einen Vertrag zur Auftragsverarbeitung.

Was passiert bei einem Sicherheitsvorfall?

Erkennung und Alarmierung laufen automatisch. Wir grenzen ein, beheben, stellen bei Bedarf aus Sicherungen wieder her und informieren Sie unverzüglich, wie es Ihr Vertrag und die gesetzlichen Meldepflichten verlangen.

Kann ich die Maßnahmen prüfen lassen?

Ja. Wir stellen technische und organisatorische Maßnahmen dokumentiert bereit und unterstützen Prüfungen durch Sie oder Ihre Prüfer nach Absprache.

Kontakt

Fragen zur Sicherheit?

Wir erklären Ihnen gern, wie unsere Plattform aufgebaut ist und was das für Ihr Vorhaben bedeutet: technisch, konkret, ohne Marketing.

E-Mailkontakt@raumbyte.de AnfrageProjekt beschreiben