Eine Version wird nur angenommen, wenn Quell-Commit, Build-Manifest, Prüfsummen, Migrationen und Rückweg-Befehl übereinstimmen.
Die öffentliche Website und die Betriebsplattform werden unabhängig ausgeliefert, verweisen aber auf denselben kanonischen Quellstand.
Die genaue Quellcode-Version des Builds.
Integritätswerte für ausgelieferte Pakete und Konfiguration.
Die von dieser Version erwartete Datenbankversion.
Ein getesteter Befehl und das vorherige kompatible Artefakt.
Beim Deployment entstehen die meisten Vorfälle. Unseres ist bewusst langweilig.
Jede Version wird als versiegeltes Archiv mit Prüfsumme gepackt, in einen eigenen Ordner entpackt und unangetastet gelassen. Veröffentlichen heißt, einen Schalter auf den neuen Ordner zu richten — ein einziger, sofortiger Vorgang. Die vorige Version bleibt unverändert auf der Platte.
Da der alte Ordner nie verändert wurde, heißt eine Version zurückzunehmen, den Schalter zurückzustellen. Es gibt kein Wiederherstellungsverfahren, das man um zwei Uhr nachts improvisieren müsste, und der Befehl steht vor der Auslieferung fest, nicht erst wenn etwas kaputtgeht.
Die Website, die Sie lesen, und die Betriebsplattform werden unabhängig veröffentlicht — eine Textänderung kann den Schutz also nie stören, und eine Plattformkorrektur wartet nicht auf Marketingtext. Jede führt ihre eigene Versionshistorie.
Automatisierte Tests, eine Typprüfung, eine Link- und Strukturprüfung jeder erzeugten Seite und ein Aussagen-Audit, das den Build scheitern lässt, wenn eine öffentliche Seite einen Bezeichner oder eine Versionsnummer ohne geprüfte Quelle enthält.
Die Einträge beschreiben, was sich für Sie geändert hat — nicht, welche interne Komponente angefasst wurde.
Ändert eine Version, was eine Funktion kann, ändert sich ihr Zustand auf der Statusseite mit — eine Funktion wird nie stillschweigend «verfügbar», ohne dass eine Prüfung dahintersteht. Sie können Versionen auch in einem Feed-Reader verfolgen.
Bemerkenswerte Plattformversionen, in umgekehrter zeitlicher Reihenfolge.RSS
Öffentliche Reputations-Feeds werden gelesen und jede Adresse, die wir bereits von Ihnen haben, dagegen geprüft. An Ihre Server geht nichts: Die Listen werden gelesen und die Namen aufgelöst, die Sie uns genannt haben. Der Befund, auf den es ankommt, ist der unangenehme — Ihre eigene Adresse in einem gelisteten Netz. Genau so fangen E-Mails an zurückzukommen und andere Netze an, Ihren Verkehr zu verwerfen, meist ohne dass es Ihnen jemand sagt. Wir nutzen Spamhaus DROP, weil dessen Bedingungen klar sagen, dass es für alle kostenlos ist, und die Namensnennung reist in jeder gespeicherten Zeile mit. Tor-Exit-Knoten werden ebenfalls gemeldet, aber als Kontext und nicht als Verfehlung: einen zu betreiben ist kein Angriff, und ein System, das es so nennt, brächte Ihnen bei, es zu ignorieren. Ein bekannter Feed blieb außen vor, weil seine Bedingungen nirgends sagen, ob kommerzielle Nutzung erlaubt ist — derselbe Test, den ein anderer Feed früher in diesem Jahr nicht bestanden hat.
Zwei Funktionen waren gebaut und erreichten niemanden: Das Browser-Snippet und der WordPress-Konnektor brauchten beide eine öffentliche Adresse, und die einzige veröffentlichte lag hinter einem Zugriffs-Proxy, der jedem 401 antwortet. Jetzt gibt es einen eigenen Hostnamen mit genau vier Routen — Beacon, Inventar, Malware-Berichte, öffentlicher Scan — und 404 für alles andere; die Oberfläche ist damit eine Liste, die man lesen kann, statt einer Proxy-Regel, der man vertrauen muss. Der Malware-Agent braucht seinen Kurier nicht mehr und meldet direkt. Die Integrität der Zahlungsseite wird dadurch von nicht verfügbar zu verfügbar — nicht durch ein Versprechen.
Für Websites auf unserer eigenen Infrastruktur liest ein Agent neben dem Scanner täglich die Web-Inhalte und meldet Ergebnisse — einen Pfad, einen Signaturnamen, einen Hash — nie die Dateien selbst. Er fand eine platzierte Testdatei unter 9.415 Dateien in rund siebzig Sekunden. Eine Web-Shell ist kritisch, ein gepackter Installer ist ein Ärgernis, und die Testsignatur ist weder das eine noch das andere: alles gleich zu melden würde einem Operator beibringen, das Panel zu ignorieren. Ergänzt 38.927 kostenlose Fremdsignaturen, weil der Kern-Scanner bei Binärdateien stark und bei den PHP-Shells schwach ist, die im Shared Hosting tatsächlich auftauchen.
Ein Karten-Skimmer berührt den Server nie: Er kommt als ein weiteres Skript auf der Checkout-Seite und liest die Nummer aus dem Formular, bevor Ihr eigener Code sie sieht. Der Ursprung bleibt also unverändert und ein Inhalts-Hash sieht nichts. Dies beobachtet von dem einzigen Ort, an dem er existiert — dem Browser der besuchenden Person — und meldet Struktur, nie Inhalt: welche Skript-Hosts geladen werden, ob eine native Browser-Funktion ersetzt wurde, wie viele Eingabefelder dort sitzen, wo sie niemand sieht. Der erste Bericht ist eine stille Ausgangslinie. Eine ersetzte Funktion ist etwas zu Erklärendes, kein Beweis: So arbeitet auch jedes Session-Replay-Werkzeug.
Zertifikatsprotokolle verraten uns bereits die Namen, für die jemand ein Zertifikat beantragt hat. Dies findet den Rest, indem es öffentliche Verzeichnisse liest und DNS-Resolver befragt — an Ihre Server geht nichts. Der Befund, auf den es ankommt, ist ein Eintrag, der auf einen Dienst zeigt, den es nicht mehr gibt: Ihre Subdomain ist beim Anbieter nicht beansprucht, und wer sie dort registriert, liefert Inhalte von einer Adresse, die weiterhin Ihren Namen trägt. Gemeldet erst, wenn zwei aufeinanderfolgende Durchläufe übereinstimmen, damit ein Resolver mit einer schlechten Minute nicht zur Anschuldigung wird. Die Kartierung unseres eigenen Bestands ergab 29 Namen, darunter einen Host, den wir nirgends verzeichnet hatten.
Erstellen Sie einen Bericht für einen Zeitraum: Er nennt für jede Maßnahme aus Artikel 21 ein Urteil, zitiert die genauen zugrunde liegenden Datensätze — Audit-Einträge, signierte Pakete, Übungsnachweise, Fallzeiten — und trägt einen Inhalts-Hash, damit Lesende erkennen, dass er nicht verändert wurde. Eine Maßnahme ohne aktuellen Nachweis wird als Unbekannt gemeldet, nie als bestanden. Drei der zehn Maßnahmen sind organisatorisch, und das Dokument sagt klar, dass wir sie nicht beobachten: Schulung, Personalsicherheit und gesicherte Notfallkommunikation.
Jede geprüfte Aktion zeigt jetzt, wer sie ausgeführt hat und wie die Konfiguration davor und danach aussah; die Datensätze enthielten das immer, der Bildschirm zeigte es nie. Periodische Aufgaben laufen nicht mehr in der gemeinsamen Schleife, sodass ein langsamer Scan nichts anderes mehr verzögert, und fehlgeschlagene Hintergrundaufgaben warten zunehmend länger und landen im Dead-Letter, statt endlos zu wiederholen. Der Wordfence-Feed wurde entfernt: Er ist für die von uns beabsichtigte kommerzielle Nutzung nicht lizenziert. WordPress-Advisories stammen jetzt aus den öffentlichen CPE-Daten des NVD — dünner und langsamer, und wir sagen das.
Ein kurzes Snippet, wie ein Analytics-Tag in die Seite eingefügt, meldet Content-Security-Policy-Verstöße und nicht abgefangene JavaScript-Fehler aus den Browsern echter Besucher. Der Schlüssel ist öffentlich und trägt kein Geheimnis; gespeichert werden nur Aggregate, nie ein Besucher.
Sie nennen die URL und woran man erkennt, dass sie gesund ist — ein Statuscode, eine Markierung in der Seite. Alle fünf Minuten prüfen wir sie von außen, und ein Fehlschlag eröffnet einen Fall, statt zu warten, bis ein Kunde es bemerkt.
Wir erzeugen die Namen, die ein Betrüger gegen Ihren registrieren würde — ein fehlender Buchstabe, eine getauschte Endung, eine Null statt eines O — und prüfen, welche davon tatsächlich auflösen. Im aktuellen Portfolio kamen so 45 bereits registrierte Doppelgänger zum Vorschein.
Für jede überwachte Domain werden die öffentlichen Certificate-Transparency-Logs gelesen. Was zu Beginn der Überwachung existiert, wird still als Ausgangswert erfasst; ein danach auftauchendes Zertifikat eröffnet einen Fall, denn das ist der Moment zu fragen, ob Sie es ausgestellt haben.
TLS, Security-Header, Cookie-Flags, Versionsoffenlegung, SPF, DKIM, DMARC, MTA-STS, TLS-RPT und CAA werden von außerhalb des Perimeters geprüft und zu einer Note von A bis F zusammengefasst. Es wird nichts installiert und kein Verkehr umgeleitet; eine Domain kann ausschließlich so überwacht werden.
Fälle lassen sich übernehmen, kommentieren, schließen, wieder öffnen und zurückstellen, mit gefilterter und seitenweiser Operator-Warteschlange. Benachrichtigungs-E-Mail mit doppelter Bestätigung und periodischer Zusammenfassung. Konto-, Team- und Tarifeinstellungen auf eigenen Seiten statt in einem langen Formular. Autonomie-Voreinstellungen mit Ausnahmen.
Aktivierungsführung, Wiederherstellungs-Übung auf der Testadresse und Nachweis des privaten Ursprungsservers kamen in die Steuerungsebene. Die Durchsetzung bleibt an Stabilitätsfenster und Rückweg-Nachweise gebunden.
Minutenaggregate des Traffics, Beobachtungszuordnung und geprüfte Statusanzeigen speisen nun das Betriebs-Dashboard, ohne den Anfragepfad zu betreten.
Das Kunden-Dashboard wechselte zu routenbezogenem Laden, ausdrücklichen Unbekannt-Zuständen und einer dauerhaften Struktur für Portfolio- und Domain-Betrieb.
Policy-Replay, Edge-Ausweichrouten und Aktualitätskontrollen wurden durchgängig geprüft, inklusive einer Ursprungsausfall-Übung.
Die Anmeldung wechselte zum selbstgehosteten AegiFlow-Identitätsablauf: OIDC-Sitzungen, Passkeys, TOTP und Zusatzprüfung vor sensiblen Aktionen, mit rumänischem Onboarding.
Die Website wechselte zu einer einzigen zweisprachigen Astro-Quelle mit unveränderlichen Versionen, Prüfsummen und geprüftem Rückweg.