Français
Nederlands
EnglishVauban: Kontrolle privilegierter Zugriffe ohne proprietäre Lizenz
Vauban ist ein in Rust geschriebener Open-Source-Bastion für privilegierte Zugriffe (PAM). Alle administrativen Zugriffe laufen über ihn: Er authentifiziert, autorisiert, zeichnet auf und kann jede Sitzung trennen.
Das Problem, das Vauban löst
- Geteilte Administratorkonten, bei denen niemand genau weiß, wer sie nutzt.
- Dienstleister, die sich per VPN mit per E-Mail übermittelten Passwörtern verbinden.
- Keine verwertbare Spur dessen, was auf einem Server oder einer Steuerung getan wurde.
- PAM-Lösungen am Markt, die das Budget sprengen, sobald das gesamte Informationssystem abgedeckt werden soll.
Was Vauban leistet
Ein einziges Gateway
SSH-, RDP- und industrielle Zugriffe (OT) sowie der Zugriff von KI-Agenten auf MCP-Server – alle über den Bastion gebündelt.
Starke Authentifizierung
MFA für jede privilegierte Sitzung, zertifikatsbasierte Authentifizierung: Der Benutzer sieht nie das Passwort des Zielsystems.
Minimale Rechte
Rollenbasierte Zugriffskontrolle: die richtige Person, auf der richtigen Ressource, zur richtigen Zeit, mit sofortigem Entzug.
Aufzeichnung und Wiedergabe
Jede Sitzung wird aufgezeichnet, indexiert und kann wiedergegeben werden – ein Audit-Trail und eine Grundlage für Untersuchungen.
Echtzeitüberwachung
Aktive Sitzungen sind live sichtbar, auffälliges Verhalten löst einen Alarm aus, und eine Sitzung kann getrennt werden.
Dienstleister ohne VPN
Lieferanten erhalten eine isolierte, zeitlich und inhaltlich begrenzte Sitzung, ohne dass ihnen ein Passwort mitgeteilt wird.
Zuordnung zu NIS2, ISO 27001 und CyFun
Zuordnung auf Grundlage derjenigen des Vauban-Herausgebers, von Cyber Praxis überprüft. Sie zeigt die Anforderungen, zu denen das Tool beiträgt; die Konformität hängt stets von Konfiguration, Verfahren und deren Anwendung ab.
| Anforderung | NIS2 | ISO/IEC 27001:2022 | CyFun 2025 |
|---|---|---|---|
| Kontrolle privilegierter Zugriffe | Art. 21(2)(i) | A.8.2 | PR.AA-05.4, PR.AA-05.7 |
| Multi-Faktor-Authentifizierung | Art. 21(2)(j) | A.8.5 | PR.AA-03.2, PR.AA-01.4 |
| Protokollierung und Nachvollziehbarkeit | Art. 21(2)(b) | A.8.15 | PR.PS-04.1, DE.AE-03.1 |
| Erkennung von Vorfällen | Art. 21(2)(b) | A.8.16 | DE.CM-09.1, DE.CM-01.3 |
| Lieferkette und Dritte | Art. 21(2)(d) | A.5.19 | GV.SC-01.1, GV.SC-05.1 |
| Betriebskontinuität | Art. 21(2)(c) | A.5.30 | ID.IM-04.1, GV.OC-04.4 |
Was Cyber Praxis leistet
Ein Tool allein macht nicht konform. Wir binden es in ein Vorgehen ein: von der Bestandsaufnahme der Zugriffe bis zum Nachweis gegenüber dem Auditor.
Bestandsaufnahme und Abgrenzung
Erfassung der privilegierten Konten, der kritischen Assets und der Dienstleisterzugriffe; Festlegung der Zugriffsrichtlinien.
Einführung
Installation des Bastions, Konfiguration der SSH- und RDP-Gateways, Anbindung an den Verzeichnisdienst (Active Directory, LDAP) und an die MFA.
Inbetriebnahme
Zuweisung der Rollen, Test der Richtlinien, Einrichtung der Überwachung und Schulung der Teams.
Konformitätsnachweis
Validierung des Audit-Trails, Dokumentation und Zuordnung zu den Anforderungen von NIS2, ISO 27001 oder CyFun in Ihrem Plan.
Der Zeitplan hängt vom Umfang ab: Für eine erste Inbetriebnahme genügen in der Regel einige Wochen.
Häufige Fragen zu Vauban
Ist Vauban kostenlos?
Die Software ist Open Source und ohne Lizenz nutzbar. Der Herausgeber bietet zudem langfristige Wartungsverträge für Organisationen an, die diese benötigen, insbesondere in der Industrie. Die Kosten eines Projekts entstehen vor allem durch Integration und Begleitung.
Warum ein Open-Source-Bastion für NIS2?
Der Code ist öffentlich und kann geprüft werden, das Tool wird auf Ihrer eigenen Infrastruktur betrieben und schafft keine Abhängigkeit von einem Anbieter. Für eine NIS2-pflichtige Einrichtung sind das neben den Kosten Argumente der Souveränität und Transparenz.
Deckt Vauban industrielle Umgebungen ab?
Ja. Es ist neben Linux- und Windows-Servern für Zugriffe auf industrielle Anlagen (OT) ausgelegt und damit relevant für Energie, Gesundheit, Wasser oder Produktion.
Lässt es sich bei einer Untersuchung nutzen?
Die Sitzungsaufzeichnungen sind eine wertvolle Spur: Sie ermöglichen es, genau nachzuvollziehen, was von wem und wann getan wurde. Ihre Verwendung als Beweismittel setzt voraus, dass sie integer aufbewahrt wurden.