Daten, Protokoll und Datenhoheit
Die letzten drei Fragen eines skeptischen Technikers lauten: Was wisst ihr über meine Kunden? Wer kann nachweisen, was passiert ist? Und kann ich das Ganze bei mir behalten? Diese Seite beantwortet sie.
Was der Controller speichert
| Datenart | Inhalt |
|---|---|
| Anlagenstammdaten | Anzeigename, Hardware-Kennung, Serverlizenzschlüssel, STARFACE-Version, Modulversion |
| Zustand | online/offline, letztes Lebenszeichen, Zeitzone, Wartungsfenster |
| Identität | nur der öffentliche Ed25519-Schlüssel der Anlage |
| Berechtigungen | Zustand, Werkzeugliste, Nur-Lesen-Schalter, Löschrecht, wer wann zugestimmt hat |
| Fähigkeiten | je Bereich verfügbar oder nicht, samt Begründung |
| Inventar | Momentaufnahmen zu Modulen, Lizenzen, Status und Fähigkeiten, jeweils mit Zeitstempel |
| Kommandos | der signierte Auftrag, sein Zustand und sein Ergebnis |
| Protokoll | Zeit, handelnde Person, Anlage, Aktion, Ergebnis |
Das Inventar entsteht ausschließlich aus lesenden Werkzeugen. Welche Informationen darin landen, bestimmt die Berechtigung auf der Anlage – was dort nicht freigegeben ist, kommt auch nicht im Controller an.
Was der Controller ausdrücklich nicht speichert
- Keine privaten Schlüssel. Weder von Anlagen noch geteilte Zugangstoken. Ein Datenbankabzug gibt nichts her, womit sich eine Anlage nachbilden ließe.
- Keine Zugangsdaten zum STARFACE-Partnerportal. Sie werden für die Dauer eines Abgleichs verwendet und danach verworfen – sie landen weder in der Datenbank noch in einem Log noch in einem Zwischenspeicher.
- Keine Gesprächsinhalte, keine Aufzeichnungen, keine Verbindungsdatensätze. StarfleetController führt Bestands- und Zustandsdaten, keine Telefoniedaten.
Ein Zwischenspeicher würde bedeuten, dass ein einzelner Einbruch in den Controller den Partnerzugang aller Mandanten mitnimmt. Ein Bestandsabgleich ist eine Handlung, die jemand hin und wieder auslöst – sich dafür jedes Mal neu anzumelden kostet nichts.
Das Protokoll
Jeder Kommandoversand und jedes Ergebnis wird protokolliert: Zeit, handelnde Person, Anlage, Werkzeug, Ergebnis. Das Protokoll ist als anfügend angelegt – Einträge werden geschrieben, nicht geändert.
Zusätzlich ist eine Hash-Verkettung vorgesehen: Jeder Eintrag trägt den Hash seines Vorgängers, sodass ein nachträgliches Entfernen oder Verändern auffällt.
Die Spalten für die Verkettung existieren und werden befüllt, die Kette ist aber noch nicht geschlossen. Ein Eintrag belegt heute, dass etwas geschehen ist – noch nicht, dass nichts entfernt wurde. Die Fertigstellung ist eingeplant; bis dahin steht das hier, statt eine Eigenschaft zu versprechen, die es noch nicht gibt.
Das maßgebliche Protokoll steht auf der Anlage
Unabhängig vom Protokoll des Controllers schreibt die Anlage ihr eigenes Protokoll über jeden Werkzeugaufruf – mit der handelnden Person, die das Kommando mitgeführt hat. Das ist für den Kunden die wichtigere Quelle, denn es ist die einzige, die er selbst einsehen kann und die nicht in der Hand seines Dienstleisters liegt.
Nach einer Konfigurationsänderung fragt der Kunde, wer sie vorgenommen hat. Er muss Ihnen nicht glauben und keinen Auszug von Ihnen anfordern: Auf seiner eigenen Anlage steht, welches Werkzeug wann von welchem Techniker welches Partners aufgerufen wurde.
Mehrere Partner, getrennte Sichten
Eine Anlage gehört keinem Partner. Sie kann von mehreren gleichzeitig betreut werden, und jeder sieht ausschließlich das, wofür ihm auf dieser Anlage ein Recht erteilt wurde. Die Sichtbarkeit hängt an der Berechtigung, nicht an einem Besitzvermerk – im Datenmodell gibt es bewusst keine Spalte, die eine Anlage einem Partner zuordnet.
Datenhoheit: der Controller im eigenen Haus
Die vollständigste Antwort auf Bedenken zur Datenhoheit ist der Selbstbetrieb:
- Eigener Container-Host, eigene PostgreSQL-Instanz.
- Die Anlagen verbinden sich gegen Ihren Namen.
- Nichts verlässt Ihr Haus – weder Bestandsdaten noch Protokolle noch Inventar.
- Die Anmeldung funktioniert mit lokalen Konten, ganz ohne Internetanbindung.
- Es gibt keinen Funktionsunterschied zum gehosteten Betrieb.
Details unter Betriebsmodelle und Kosten.
Auftragsverarbeitung
Die Grundlage für die Fernadministration ist die Zustimmung, die ein Administrator auf der Anlage erteilt – festgehalten mit Person und Zeitpunkt. Sie ist jederzeit widerrufbar, und der Widerruf wirkt sofort und lokal, ohne Beteiligung des Controllers.
Die technische Einwilligung ersetzt keinen Vertrag. Welche Unterlagen Sie mit Ihren Kunden zusätzlich schließen, klären Sie bitte mit Ihrem Ansprechpartner bei der Fluxpunkt GmbH.
Kurz zusammengefasst
- Zentral liegen Bestands- und Zustandsdaten – keine privaten Schlüssel, keine Portalzugangsdaten, keine Telefoniedaten.
- Jeder Vorgang wird protokolliert; die manipulationssichere Verkettung ist in Arbeit.
- Das für den Kunden maßgebliche Protokoll steht ohnehin auf seiner eigenen Anlage.
- Wer alles im Haus behalten will, betreibt den Controller selbst – ohne Funktionsverlust.
Zurück zur Übersicht des Sicherheitskapitels oder weiter zur Anbindung der ersten Anlage.