Station 04 · Wie viel Schutz braucht diese Anwendung?/Phase 4
„Und wenn wir kein Firmennetz haben?"
Der häufigere Fall im Mittelstand — kein Server, kein VPN, keine IT. Vier Wege, die Erreichbarkeitsgrenze ohne IT-Projekt nachzurüsten.
Kein eigener Server, kein VPN, keine IT-Abteilung: Dann landet die Anwendung auf einem gemieteten Server und ist damit erst einmal in Aufstellung D. Das ist kein Grund, das ganze Programm zu fahren — Aufstellung C lässt sich nachrüsten, und zwar in Stunden statt in Wochen.
| Weg | Aufwand | Was er leistet | Vorbehalt |
|---|---|---|---|
| Anmeldeschranke am Vorschaltproxy Basic-Auth vor der Anwendung, in Traefik zwei Zeilen | eine halbe Stunde | Kein Unbefugter erreicht die Anwendung überhaupt — auch kein Scanner | Ein gemeinsames Passwort ist keine Benutzerverwaltung |
| Freigabe der Firmen-IP | eine Stunde | Nur aus dem Büro erreichbar | Fällt bei Homeoffice und wechselnder IP aus |
| Tailscale oder eigenes WireGuard die Anwendung ist gar nicht im Internet | ein halber Tag | Aufstellung C mit Benutzern und Geräten, ohne VPN-Projekt | Jeder Nutzer braucht das Programm auf seinem Gerät |
| Vorschaltproxy mit echter Anmeldung Authelia oder Pocket ID | ein bis zwei Tage | Anmeldung, bevor die Anwendung überhaupt gefragt wird | Ein weiterer Dienst, der betrieben werden will |
Die Erreichbarkeitsgrenze ist die billigste Sicherheitsmaßnahme, die es gibt. Eine halbe Stunde für eine Anmeldeschranke ersetzt Wochen an Härtungsarbeit. Sie ersetzt aber niemals die Rechteprüfung in der Anwendung — weil hinter der Grenze Kollegen stehen und nicht Fremde.
Souveränität, nüchtern: Für die Wege 3 und 4 gibt es Anbieter außerhalb der EU, die bequemer sind. Sie werden hier genannt, aber nicht empfohlen — Tailscale lässt sich mit einem eigenen Koordinationsserver (Headscale) betreiben, WireGuard ohnehin. Wer das Aussperren ganzer Regionen erwägt: Das reduziert Lärm im Protokoll und ist keine Absicherung; das Verfahren dazu liegt im Haus getrennt vor.
- Die Prüfliste zur Grenze
SelbstcheckErst überlegen, dann aufklappen — es zählt niemand mit.
1Eine Anwendung läuft nur im Firmennetz und verwaltet Urlaubsanträge — also Beschäftigtendaten. Ein Kollege sagt: „Rechteprüfung brauchen wir nicht, hier kommt eh nur die Belegschaft rein." Was antworten Sie?
Dass genau das der Punkt ist. Ein Urlaubsantrag enthält Abwesenheiten, manchmal Krankheitsbezüge — und die Belegschaft ist die Gruppe, die daran ein Interesse hat. Die Rechteprüfung schützt hier nicht gegen Fremde, sondern gegen die Kollegin, die die Nummer hochzählt. Sie ist auf keiner Stufe verzichtbar, und intern ist sie der Hauptfall statt eines Nebenfalls.
2Sie stufen eine interne Anwendung als „Werkzeug" ein und lassen den Bot-Schutz und die Fehlversuchssperre weg. Ein halbes Jahr später soll ein externer Dienstleister mitarbeiten. Was ist jetzt zu tun?
Die Einstufung neu machen — die Aufstellung hat sich von B nach C oder D geändert. Genau dafür steht im Einstufungsblatt der Punkt, wann die Einstufung zu wiederholen ist. Das Weglassen war nicht falsch; falsch wäre, es nach der Änderung nicht zu bemerken.
3Warum ist eine Anmeldeschranke am Vorschaltproxy in einer halben Stunde mehr wert als ein Tag Härtungsarbeit an der Anwendung?
Weil sie eine ganze Klasse von Angreifern entfernt, statt einzelne Lücken zu schließen. Wer die Anwendung nicht erreicht, kann keine Schwachstelle in ihr ausnutzen — auch keine, die Sie noch nicht kennen. Die Härtung wirkt gegen bekannte Angriffe, die Grenze gegen alle automatisierten. Was sie nicht leistet: Schutz vor denen, die legitim hindurchkommen.
Zugang erhalten
Fortschritt merken?Mit Zugang bleiben Häkchen und erledigte Phasen am Konto — auf jedem Gerät.