Ihre Daten sind für Ihren Dienstleister unlesbar — und für uns

„Und Sie — können Sie unsere Daten lesen?“

Es ist die Frage, die im Gespräch früher oder später kommt. Die Antwort muss überprüfbar sein, nicht beruhigend.

Viele Lösungen verschlüsseln im Ruhezustand, auf Serverseite: die Daten werden auf der Festplatte des Sicherungsservers verschlüsselt. Das schützt gegen den physischen Diebstahl der Festplatte. Es schützt nicht, wenn jemand Zugang zum Server erlangt, denn der Server hält den Schlüssel.

BeBackup verschlüsselt an der Quelle. Die Daten werden auf der gesicherten Maschine verschlüsselt, bevor sie sie verlassen, mit einem Schlüssel, der diese Maschine nie verlässt. Der Server speichert nur unverständliche Blöcke und die Prüfsumme des Schlüssels — genug, um zu prüfen, ob ein Agent den richtigen Schlüssel vorlegt, nie genug zum Entschlüsseln.

Der Preis dafür, offen gesagt

Eine Verschlüsselung, deren Schlüssel beim Kunden bleibt, hat eine Folge, die man klar aussprechen muss: der Schlüssel gehört zu genau einem Arbeitsplatz und ist unersetzlich. Niemand kann ihn neu erzeugen — weder Sie noch wir.

Genau das macht die Zusage zur Vertraulichkeit glaubwürdig — und genau das macht die die sichere Aufbewahrung des Wiederherstellungsschlüssels eine Betriebsaufgabe für sich, die vor dem ersten Rollout zu organisieren ist. Für einen Dienstleister mit einem Bestand ist das eine zu schreibende Prozedur, kein Häkchen.

Ein Dienstleister kann sich auch dafür entscheiden,einen Schlüssel serverseitig vorzugeben für die von ihm verwalteten Arbeitsplätze, wenn er diese Verantwortung bündeln möchte, statt sie jeder Maschine zu überlassen. Was ein Dienstleister übernimmt

Zertifikate: ausgestellt, importiert, erneuert

• Interne Zertifizierungsstelle: Anlegen der CA und der Zertifikate, Erzeugen von CSR-Anfragen, Import externer Zertifikate und Neuerzeugung des Serverzertifikats — alles über die Oberfläche.
• Let's Encrypt automatisch: Ausstellung über die Oberfläche mittels ACME v2 (tls-alpn-01 und http-01), dann automatische Erneuerung 30 Tage vor Ablauf. Let's Encrypt, Buypass und ZeroSSL stehen zur Wahl, und eine eigene Zertifizierungsstelle lässt sich per URL angeben.
• Mindestens TLS 1.2 für Browser, TLS 1.3 für Agenten.

Das Zertifikat, das an einem Sonntagmorgen abläuft, ist ein Klassiker des Betriebs. Hier hängt die Erneuerung weder an einer zu schreibenden geplanten Aufgabe noch an einer Erinnerung im Kalender.