Acht Schutzschichten auf einem Bild
Was liegt zwischen einem Angreifer und Ihrem Backup? Ein Schnitt durch lionbackup von außen nach innen, mit der Stelle, an der für jeden Angreifer Schluss ist.
Veröffentlicht am 11. November 2026 · ← Blog
Sicherheitskonzepte lesen sich oft wie Stücklisten: Verschlüsselung, zweiter Faktor, Protokollierung. Was dabei fehlt, ist die Reihenfolge. Wie weit kommt jemand, der eine Hürde genommen hat? Das Bild beantwortet genau diese Frage. Fahren Sie über eine Schicht oder tippen Sie sie an, dann sehen Sie, was noch hält, wenn alles darüber schon gefallen ist.
1Abgeschottetes Netz
Die Zonen liegen in getrennten, privaten Netzsegmenten. Ausgehender Verkehr verlässt sie nur über einen kontrollierten Austrittsknoten. So bleibt die Angriffsfläche nach außen klein.
Endstation für: alle, die das Netz nach offenen Diensten abtasten.
2Verschlüsselte Übertragung
Uploads laufen über HTTPS/TLS direkt zum Speicher-Endpunkt. Zwischen den Zonen sprechen nur Verbindungen, die sich gegenseitig ausweisen.
Endstation für: Mitleser in der Leitung.
3Anmeldung mit zweitem Faktor
Ins Portal führt nur Single Sign-on mit verpflichtendem Einmalcode (TOTP). Lokale Passwörter gibt es nicht.
Endstation für: erratene und erbeutete Passwörter.
4Getrennte Zonen
Verwaltung und Speicher sind eigene, geografisch getrennte Zonen. Ihre Uploads gehen direkt in die Storage-Zone und nie durch die Verwaltung.
Endstation für: den Durchmarsch von der Verwaltung in den Speicher.
5Kleinste Rechte in der Datenbank
Die Anwendung arbeitet mit einem Datenbankkonto ohne Sonderrechte, beschränkt auf ihr eigenes Schema. Zugangsdaten stehen nicht im Code, sondern kommen zur Laufzeit aus einem Geheimnisspeicher.
Endstation für: eine gekaperte Anwendung, die mehr will, als sie darf.
6Protokoll und Anomalie-Erkennung
Anmeldungen, Änderungen und Uploads landen in einem zentralen Protokoll. Die Anomalie-Erkennung meldet ungewöhnliche Größen, Laufzeiten und ausgebliebene Backups. Diese Schicht hält niemanden auf, sie schlägt Alarm.
Alarm bei: allen, die unbemerkt bleiben wollen.
7Unveränderbare Ablage (WORN)
In unveränderbaren Projekten lässt sich ein Backup während der Vorhaltezeit weder überschreiben noch löschen, auch nicht von privilegierten Rollen. Ein Schreib-Token kann sichern, aber nichts lesen.
Endstation für: Löschen, Überschreiben und Abziehen mit erbeuteten Zugängen.
8Verschlüsselung auf Ihrem System
Der Client verschlüsselt, bevor Daten Ihr System verlassen: XChaCha20-Poly1305, der Dateischlüssel gekapselt mit X25519 und ML-KEM-768. Bei uns kommt nur Geheimtext an.
Endstation für: alle, die bis hierher kommen. Das schließt uns als Betreiber ein.
Was hier liegt, ist Geheimtext. Der Schlüssel dazu fehlt in diesem Bild mit Absicht: Er liegt bei Ihnen, nicht bei uns.
Warum die innerste Schicht die wichtigste ist
Sechs Schichten schützen die Plattform, die siebte schützt das abgelegte Backup. Die achte hängt nicht mehr von uns ab: Was Ihr System verschlüsselt verlässt, kann ohne Ihren Schlüssel niemand lesen, ganz gleich, wie viele Schichten davor gefallen sind. Das unterscheidet ein gut bewachtes Lager von einem Tresor.
Was das Bild vereinfacht
- Die Reihenfolge ist ein Modell. Sie zeigt, wie nah eine Schicht am Backup sitzt. Ein Innentäter fängt nicht außen an, sondern mittendrin. Für ihn zählen die Schichten darunter.
- Zwei Schichten stellen Sie selbst ein. Die unveränderbare Ablage und die Anomalie-Erkennung legen Sie je Projekt im Portal fest.
- Die achte Schicht hat einen Preis. Geht Ihr Schlüssel verloren, kann niemand das Backup wiederherstellen, auch wir nicht. Bewahren Sie ihn getrennt von den gesicherten Daten auf.
Verfahren und Schutzziele jeder Schicht stehen auf der Seite Sicherheit. Vertraglich verbindlich sind die technischen und organisatorischen Maßnahmen.
Dürfen wir Sie unterstützen?
Welche Schichten für Ihre Daten den Unterschied machen, klären wir gern an Ihrem eigenen Fall: kostenlos, per Videocall, mit einem unserer Engineers.