Wer darf wohin — und über welchen Weg.
Overlay-Netze über gewachsene Infrastruktur, privilegierter Zugriff über eine PAM-Strecke statt über dauerhafte Tunnel, Trennung auf Protokollebene statt einer Firewall-Regel, die ein Netzwerk durchreicht. Wir haben das gebaut und betreiben es — mit offenen Standards, nicht mit einer Produktlizenz.
Warum diese Seite kein Produkt beschreibt
Wir hatten dafür einmal einen Produktnamen. Verkauft wurde er nicht, und im Nachhinein zu Recht: Niemand kauft ein Netzwerkprodukt von einem Betreiber. Was Kunden von uns wollen, ist die Entscheidung darüber, wie Zugriff aussieht — und jemanden, der sie danach hält.
Overlay statt Umbau
Gewachsene Landschaften lassen sich selten in einem Zug neu schneiden. Ein Overlay legt eine eigene, verschlüsselte Transportebene über das, was vorhanden ist: Standorte, Anlagen und Dienste werden darüber verbunden, ohne die darunterliegenden Netzwerke zu vermischen. Das macht den Umbau planbar, weil er in Stufen läuft — und es macht den Zugriff beschreibbar, weil jede Verbindung eine Identität hat statt nur eine Adresse.
Technisch arbeiten wir mit dem, was offen und prüfbar ist: WireGuard und IPsec für den Transport, gegenseitig authentifiziertes TLS für Dienste, X.509 und SSH-Zertifikate statt verteilter Schlüsseldateien, Identitäten aus einer führenden Quelle über OIDC oder SAML, 802.1X und RADIUS dort, wo der Port selbst die Grenze ist.
Privilegierter Zugriff
Administrativer und Herstellerzugriff läuft über eine PAM-Strecke: Freigabe je Einsatz, festes Zeitfenster, Sitzungsaufzeichnung, und keine Anmeldedaten, die dauerhaft bei einem Dienstleister liegen. Der praktische Unterschied zeigt sich nicht im Normalbetrieb, sondern hinterher — wenn jemand rekonstruieren muss, wer wann was geändert hat.
Dazu gehört ein ehrlicher Notfallweg. Ein Zugang, der im Störfall nicht funktioniert, wird umgangen, und dann gilt die ganze Konstruktion nicht mehr. Also wird der Ausnahmeweg mitgebaut, dokumentiert und beübt, statt ihn zu verschweigen.
Trennung, die hält
Zwischen Zonen terminieren wir. Übergänge laufen über Proxys, Sprungpunkte und protokollbewusste Übergabepunkte, die das Protokoll prüfen und nur Zulässiges weitergeben — nicht über eine Regel, die ein Netzwerk einfach durchreicht. In Prozess- und Anlagennetzen ist das die einzige Variante, die ohne Agenten auf den Geräten auskommt.
Was wir in diesem Bereich machen
-
Overlay-Netz aufbauen und betreiben
Verschlüsselte Transportebene über die vorhandene Infrastruktur, identitätsgebunden, in Stufen einführbar statt als Komplettumbau.
-
PAM für privilegierten Zugriff
Freigabe je Einsatz, Zeitfenster, Sitzungsaufzeichnung, keine dauerhaft hinterlegten Anmeldedaten — inklusive beübtem Notfallweg.
-
Zonen- und Übergangsanalyse
Was redet heute mit wem, worüber, und wer hat es freigegeben. Ergebnis ist eine Liste mit Reihenfolge, kein Architekturbild ohne Konsequenz.
-
Terminierende Übergänge
Proxys, Sprungpunkte und protokollbewusste Gateways zwischen Büro-IT, Prozess- und Anlagennetz.
-
Zertifikate statt Schlüsseldateien
SSH- und X.509-Zertifikate mit kurzer Laufzeit aus einer eigenen Ausgabestelle, damit Zugriff abläuft statt vergessen zu werden.
-
Eine führende Identitätsquelle
Konten, Rollen und Berechtigungen aus einer Quelle, aus der Netzwerke, Server, Endpoints und Anwendungen versorgt werden.
Woran wir arbeiten
| Transport | WireGuard · IPsec/IKEv2 · gegenseitig authentifiziertes TLS |
|---|---|
| Identität | OIDC · SAML · X.509 · SSH-Zertifikate · RADIUS · 802.1X |
| Privilegierter Zugriff | Freigabe je Einsatz · Zeitfenster · Sitzungsaufzeichnung · kein Dauerzugang |
| Übergänge | Terminierend: Proxy, Sprungpunkt, protokollbewusstes Gateway |
| Betriebsmodell | In Ihrer Infrastruktur oder bei uns · Übergabe an Ihr Team vorgesehen |
| Was es nicht ist | Kein Lizenzprodukt, keine Appliance, keine Preistafel |
Was dazu oft gefragt wird
-
Ist das ein VPN-Ersatz?
In der Wirkung oft ja, im Denkmodell nein. Ein klassisches VPN verbindet ein Gerät mit einem Netzwerk. Ein Overlay verbindet eine Identität mit einem Dienst. Der Unterschied wird dann wichtig, wenn ein Gerät kompromittiert ist: Es hat dann Zugriff auf das, was ihm zugewiesen wurde, und nicht auf ein Netzsegment. -
Müssen wir dafür ein bestimmtes Produkt kaufen?
Nein. Wir arbeiten mit offenen Standards und betreiben auch vorhandene Produkte weiter, wenn Sie welche haben. Wo wir eigene Implementierungen einsetzen, sagen wir das und beschreiben, was sie tun. -
Wie halten Sie das im laufenden Betrieb aktuell?
Regelwerke, Übergänge und Zugriffsdefinitionen liegen als Code vor und werden mit Ansible und Terraform ausgerollt. Ein Stand ist damit reproduzierbar und rückrollbar — und nicht davon abhängig, wer gerade Dienst hatte. -
Funktioniert das in Prozess- und Anlagennetzen?
Ja, und dort ist es meist der einzige gangbare Weg. Auf Geräten der Fernwirk- und Stationsebene laufen keine Agenten. Die Kontrolle sitzt am Übergang: terminieren, prüfen, weitergeben oder ablehnen.
Wie viele dauerhafte Zugänge hat Ihr Netzwerk, die niemand mehr begründen kann?
Wir gehen Ihre Zonen, Übergänge und privilegierten Zugriffe durch und legen eine Reihenfolge fest — beginnend bei dem, was heute offen steht und ohne Umbau geschlossen werden kann.