Schwachstelle melden
Bitte melden Sie Sicherheitsprobleme vertraulich, nicht als öffentliches Issue: Öffnen Sie den Security-Tab des Repositorys und klicken Sie auf Report a vulnerability, mit der betroffenen Version und den Schritten zum Nachvollziehen. Wir bestätigen Meldungen innerhalb weniger Arbeitstage, beheben bestätigte Probleme in einem neuen Release und nennen die meldende Person in den Release-Hinweisen, sofern sie das wünscht.
Sicherheitskorrekturen erscheinen für die neueste Version. Maschinenlesbarer Kontakt: security.txt.
Wie BackupZit Ihre Daten schützt
Sicherungen
AES-256-GCM-Verschlüsselung, Schlüssel durch einen Wiederherstellungsschlüssel geschützt (Argon2id), jeder Block bei der Wiederherstellung per SHA-256 geprüft. Unveränderlicher Speicher mit S3 Object Lock oder dem Hardened Repository; Ransomware-Erkennung und automatische Wiederherstellungstests.
Konsole
HttpOnly- und SameSite=Strict-Sitzungscookies, Schutz vor CSRF und Clickjacking, eine strikte Content-Security-Policy, Begrenzung von Anmeldeversuchen, Zwei-Faktor-Anmeldung, Rollen, optionales Vier-Augen-Prinzip und ein per Hash verkettetes Audit-Log, das an einen Syslog-Server oder ein SIEM gesendet werden kann.
Agenten
Agenten verbinden sich ausgehend mit der Konsole – keine offenen Ports auf geschützten Rechnern – und speichern bei der Registrierung das Zertifikat der Konsole. Jeder Agent hat ein eigenes Geheimnis; Geheimnisse auf der Konsole werden verschlüsselt gespeichert.
Nur Ihr Netzwerk
Kein Cloud-Dienst, keine Telemetrie, kein Konto bei uns. Die Update-Prüfung lädt signierte Releases von GitHub; Konsolen ohne Internet werden per Upload der Release-Dateien aktualisiert.
Wie Releases geschützt sind
- Jedes Release ist mit dem Ed25519-Release-Schlüssel von BackupZit signiert; Konsolen und Agenten prüfen Signatur und Prüfsummen vor jeder Update-Installation.
- Das Installationsskript prüft Signatur und Prüfsumme des heruntergeladenen Releases.
- Pakete werden aus getaggten Commits gebaut; Images enthalten ein schriftliches Quellcode-Angebot (
SOURCE-CODE.txt). - Ein Konsolen-Update sichert zuerst die Datenbank und kehrt automatisch zurück, falls die neue Version nicht startet.
Wie BackupZit getestet wird
Bei jeder Änderung (GitHub Actions)
| Prüfung | Was sie findet |
|---|---|
| CI | go vet und die vollständige Testsuite gegen eingebettetes PostgreSQL und SFTP-, S3- und vSphere-Simulatoren; Windows-Build |
| CodeQL | Injection, Path Traversal, unsichere Weiterleitungen und andere Datenfluss-Fehler (Go, JavaScript, Workflows) |
| govulncheck | Bekannte Schwachstellen in Go und in tatsächlich aufgerufenen Abhängigkeiten |
| staticcheck | Fehler und toter Code |
| Dependabot | Verwundbare oder veraltete Go-Module und Actions |
| Secret Scanning | Versehentlich eingecheckte Zugangsdaten (mit Push-Schutz) |
| OpenSSF Scorecard | Lieferketten-Praktiken des Repositorys |
Vor Releases (im Testlabor)
| Prüfung | Was sie findet |
|---|---|
| gosec | Unsichere Go-Muster: Befehlsausführung, Dateirechte, schwache Kryptografie |
| Semgrep | Injection, XSS, unsichere Cookies, offene Weiterleitungen (Go, JavaScript, Geheimnisse, OWASP-Top-10-Regeln) |
| Trivy | Verwundbare Abhängigkeiten, Geheimnisse und Fehlkonfigurationen |
| Gitleaks | Geheimnisse in der gesamten Git-Historie |
| OWASP ZAP | Vollständiger Scan als angemeldeter Administrator: XSS, SQL-Injection, CSRF, Path Traversal, Header-Probleme |
| OpenVAS und nmap | Schwachstellen auf Netzwerkebene, offene Ports und TLS-Einstellungen der Appliance |
| End-to-End-QA | Sicherung und Wiederherstellung jeder unterstützten Quelle auf jede Speicherart auf echten Systemen; Rollen, LDAP/SSO, API |
Funde werden vor dem Release behoben; akzeptierte Risiken stehen in den Release-Hinweisen.
Diese Website
backupzit.com ist eine statische Website: keine Cookies, keine Analyse, kein Tracking, keine Skripte oder Schriften von Dritten und eine Content-Security-Policy, die überhaupt keine Skripte erlaubt. Siehe Datenschutzerklärung.