So prüft ServerSec Ihre Linux-Server
ServerSec sammelt Sicherheitsdaten per SSH und wertet sie auf Ihrem eigenen Managementserver aus. Die Verbindung zwischen den Daten macht aus einzelnen Scannerhinweisen eine nachvollziehbare Arbeitsgrundlage.
Einrichten und sieben Tage testen
- Öffnen Sie Ihre bereitgestellte ServerSec-Installation im Browser und richten Sie das Administratorkonto ein. Die Produktwebsite ist nicht Ihre Toolinstallation.
- Melden Sie sich als Administrator an. Die Aktivierungsansicht erscheint, solange keine gültige Freigabe vorliegt. Später erreichen Sie sie über „Lizenz verwalten“ im Seitenmenü.
- Wählen Sie „7 Tage Testphase starten“. Erst dieser Klick startet die sieben Tage; Installation oder Download starten noch keine Testzeit. Sie können bis zu fünf aktive Linux-Hosts anbinden und die Kernfunktionen verwenden. Zahlungsdaten sind nicht erforderlich.
Das genaue Ende sehen Sie unter „Lizenz verwalten“ und während der Testphase im Seitenmenü. Nach sieben Tagen sperrt ServerSec die Arbeitsoberfläche, Daten-API und neue manuelle sowie geplante Prüfungen. Laufende Prüfungen können geordnet enden. Ihre Daten bleiben erhalten und stehen nach einer gültigen Aktivierung wieder bereit. Neustarts beginnen keine neue Testphase. Ohne erreichbaren Lizenzdienst endet eine zwischengespeicherte Freigabe spätestens nach 72 Stunden, auch innerhalb der Testzeit.
Vom Lizenzschlüssel zur Freischaltung
Aktueller Stand: Der Vertrieb ist noch nicht eröffnet. Sie können unverbindlich anfragen und die Testphase nutzen; eine Zahlung wird derzeit nicht verlangt. Der folgende Kaufablauf ist technisch vorbereitet und gilt erst nach Verkaufsfreigabe.
- Wählen Sie auf der Lizenzseite das Paket und senden Sie Ihre Anfrage. Dort wird automatisch ein zufälliger Schlüssel erzeugt und einmal angezeigt. Bewahren Sie ihn vertraulich auf. Bei einer individuell bearbeiteten Anfrage stellt der Betreiber den Schlüssel bereit.
- Nach Freigabe des Vertriebs erhalten Sie ein individuelles Angebot und eine Zahlungsaufforderung zur Überweisung. Erst ein im Bankkonto bestätigter Zahlungseingang schaltet die zugehörige Lizenz frei. Die Statusabfrage auf der Lizenzseite zeigt den Bearbeitungsstand; sie kann keine Zahlung bestätigen.
- Öffnen Sie in Ihrer eigenen Toolinstallation „Lizenz verwalten“, fügen Sie denselben Schlüssel in „Lizenzschlüssel“ ein und wählen Sie „Lizenz aktivieren“. Internetzugang ist erforderlich. Der Schlüssel bindet sich an diese Managementinstallation. Server und Berichte aus der Testphase bleiben erhalten.
Die Jahreslaufzeit beginnt mit der Zahlungsfreigabe, nicht mit einer späteren Aktivierung. Sie endet nach 365 Tagen und verlängert sich nicht automatisch. Wenn Sie den Schlüssel verloren haben oder die Managementinstallation wechseln, wenden Sie sich an info@serversec.de. Geben Sie keine SSH-Zugangsdaten oder Prüfberichte weiter. Es werden aktuell keine Lizenzmails automatisch versendet.
Eine bestätigte SSH-Verbindung als Grundlage
Sie betreiben ServerSec selbst und hinterlegen einen Zugang zu den zu prüfenden Linux-Servern. Vor der Anbindung bestätigen Sie den SSH-Hostschlüssel. SSH-Zugangsdaten werden verschlüsselt auf Ihrem Managementserver gespeichert. Ihre Infrastruktur wird nicht mit dem Besuch der Produktwebsite verbunden.
Was während eines Audits auf dem Zielserver passiert
ServerSec legt im Cacheverzeichnis des Prüfkontos einen geschützten Arbeitsordner an, überträgt benötigte Erfassungsskripte und führt den ausgewählten Prüfumfang aus. Dazu können Systeminventar, Benutzer, laufende Dienste und Prozesse, Paketdaten, Netzwerkverbindungen sowie Konfigurationsprüfungen gehören. Trivy ergänzt Hinweise zu bekannten Schwachstellen; Lynis liefert Härtungs- und Konfigurationshinweise.
Es wird kein dauerhaft laufender Agent und kein Systemdienst installiert. Die Prüfung ändert keine Firewallregeln und führt keine empfohlenen Korrekturen automatisch aus. Der temporäre Arbeitsordner wird nach Möglichkeit entfernt. Ein Prüfcache mit Scannerdateien und Schwachstellendaten kann für Folgeprüfungen verbleiben. Bei einem Abbruch können zusätzlich Arbeitsdateien zurückbleiben.
Der eigene Beitrag: Daten einordnen und verbinden
Die Ergebnisse werden an Ihre ServerSec-Installation übertragen. Eigene Erfassungs- und Auswertungslogik verknüpft sie mit Servern, Software, Kernelzustand und dem tatsächlich verfügbaren Prüfumfang. Versionierte Hinweise, zugehörige Pakete, Herkunft und Einschränkungen bleiben zusammen sichtbar.
ServerSec unterstützt die Priorisierung von Paketmaßnahmen, dokumentierte Bewertungen und die Organisation von Servergruppen. Eine CVE-Meldung wird dadurch im Kontext bearbeitbar. Das ersetzt keine fachliche Bewertung und behauptet keine besondere Prüftiefe, die ein ausgewähltes Werkzeug nicht liefern konnte.
Folgeprüfungen und Berichte
Vollscans werden versioniert. Neue, entfallene und wegen fehlender Abdeckung weiterhin ungeklärte Hinweise werden unterschieden. Ein fehlgeschlagener Prüfbereich gilt nicht als behoben. Gespeicherte Bewertungen helfen dabei, bestätigte Risiken, akzeptierte Ausnahmen und anstehende Maßnahmen weiterzuverfolgen.
JSON-, CSV- und Rohdatenexporte sowie eine Druckansicht unterstützen die weitere Dokumentation. Die Prüfsumme eines Roharchivs dient der Integritätskontrolle; sie ist keine unabhängige forensische Signatur.
Voraussetzungen, Last und Prüflücken
Zielserver benötigen Linux, SSH und Python 3. Unterstützte Prozessorarchitekturen sind x86_64 und ARM64. Ein Konto ohne zusätzliche Rechte kann bestimmte Konfigurationen, Prozesse oder Protokolle nicht vollständig lesen. Optionale sudo-Rechte erweitern den Prüfumfang und müssen bewusst vergeben werden.
Prüfungen benötigen Rechenleistung, Speicher, Datenträgerzugriffe und Netzwerkverkehr. Aktive Port- und TLS-Prüfungen werden mit ihrem angezeigten Umfang separat beauftragt. ServerSec ersetzt weder ein Sicherheitskonzept noch einen Penetrationstest oder eine Incident-Response-Untersuchung.
Eigene Datenhaltung, eigener Lizenzdienst
Berichte und SSH-Zugänge bleiben in Ihrer eigenen Umgebung. Der Managementserver lädt benötigte Schwachstellendaten und Werkzeugupdates. Die Lizenzprüfung überträgt Lizenz- und Installationsdaten an unseren öffentlichen Dienst, keine Prüfinhalte oder Zielserverzugänge.