Branche Defence
IT-Sicherheit und Deployment für das Defence-Umfeld
Software, die ohne Internet, ohne Domäne und ohne Cloud funktioniert - und jeden Schritt nachweist. Für verteidigungsnahe Organisationen, Systemhäuser und Zulieferer der Verteidigungsindustrie, von einem deutschen Hersteller ohne Fremdeinfluss.
Was im Defence-Umfeld anders ist
Vieles, was in der Unternehmens-IT selbstverständlich ist, fällt hier weg: Cloud-Dienste, dauerhafte Internetverbindung, ein zentrales Active Directory, Werkzeuge mit Telemetrie. Dafür kommen Anforderungen hinzu, die in der Unternehmens-IT selten vorkommen. Unsere Software ist für genau diese Bedingungen gebaut - nicht nachträglich daran angepasst.
Luftspalt ist der Normalfall
Netze ohne Internet, oft ohne Domäne; Geräte, die nie online gehen. omniDEPLOY bringt DNS, DHCP, Netzwerk-Boot und alle Inhalte selbst mit und muss nie nach draußen. SecCheck erhebt ohne Internet und übergibt das Ergebnis kontrolliert. File-INNsider prüft Signaturen und Prüfsummen offline. Keine Komponente setzt eine Cloud voraus.
Secure Boot bleibt an, Kryptografie nach Vorgabe
Secure Boot muss aktiv bleiben, die Widerrufe gegen BlackLotus (CVE-2023-24932) ebenso. omniDEPLOY bootet unter aktivem Secure Boot über eine durchgängig signierte Kette bis zur Windows UEFI CA 2023. Der Deployment-Server läuft unter Linux, gehärtet nach BSI-Grundschutz-Bausteinen, auf Wunsch im FIPS-Modus. Die Geräte werden nach CIS Level 2, BSI oder Microsoft Security Baseline gehärtet; SecCheck ordnet Abweichungen zusätzlich dem DoD STIG zu.
Nachweis statt Zusicherung
Auditoren und Auftraggeber wollen Belege je Gerät und je Los, keine Versprechen. Jeder Deploy hinterlässt einen Deploy-Record und einen Compliance-Check gegen das Soll der Vorlage, jede Freigabe einen Beleg mit Name, Grund und Zeitpunkt, jede Version einen Hash. SecCheck liefert den reproduzierbaren Bericht zum Sicherheitszustand - mit Zeitstempel, Skriptversion und Soll-Werten je Standard.
Kontrollierte Lieferkette
Software-Stände entstehen in einer Build-Umgebung mit Netzzugang und gelangen als signierter Release-Export über Datenträger und Datenschleuse in die abgeschottete Zielumgebung. Dort bewegt der Betreiber nur noch Zeiger zwischen den Stufen dev, qa, uat und prod - nie Inhalte. Manifest und SHA-256 je Datei machen jeden Stand nachvollziehbar.
Unsere Produkte im Defence-Umfeld
Vier Produkte, ein Prinzip: ohne zusätzliche Laufzeiten, signiert, offline-fähig, ohne Telemetrie. Zwei davon tragen Ihr Projekt, zwei erleichtern den Alltag Ihrer Administratoren.
omniDEPLOY - der Kern
Windows-Geräte im abgeschotteten Netz automatisch installieren, härten und nachweisbar ausliefern: PXE-Boot unter aktivem Secure Boot, Geräteakte statt MAC-Liste, Freigabe durch einen Menschen vor jedem Löschen, Härtung beim Deploy, Deploy-Record und Compliance-Check danach. Für Industrie-PCs, Terminals und Sonderarbeitsplätze mit langen Laufzeiten - Windows 10 IoT Enterprise LTSC 2021 und Windows 11 LTSC, Treiber je Modell, Re-Deploy statt Patchen.
Mehr zu omniDEPLOYSecCheck - der Nachweis
Nur-Lese-Scan ohne Agent, Bericht je Gerät mit Soll-Werten nach Microsoft Security Baselines, BSI SiSyPHuS, CIS Benchmarks und DoD STIGs, Risk-Score je Kapitel. Erhebung ohne Internet; mit der Platin-Lizenz läuft auch die Auswertung vollständig in Ihrer Umgebung, ohne externe Speicherung. Der Bericht, den Auditor und Auftraggeber nachrechnen können.
Mehr zu SecCheckFile-INNsider - Integrität von Paketen
Bevor ein Installationspaket die Schleuse passiert: Authenticode-Signatur mit Signierer, Aussteller und Status, Prüfsummen von MD5 bis SHA-512 - direkt aus dem Explorer-Kontextmenü, offline, als Textblock für das Freigabeprotokoll. Kostenlos, als signiertes MSI.
Mehr zu File-INNsiderWin-INNsider - Support ohne Telemetrie
Geräteinformationen und Support-Info in festen Zeilen für den Helpdesk, Schnellschalter für Touch, Präsentation und Energie - als Tray-Werkzeug ohne Cloud-Anbindung. Verteilung als MSI über Ihre Softwareverteilung oder Gruppenrichtlinie; mit Supportvertrag steuern Sie Updates selbst - über einen eigenen Update-Spiegel im abgeschotteten Netz oder mit abgeschalteter Versionsprüfung - und tauschen das Banner gegen Ihres.
Mehr zu Win-INNsiderSo arbeiten wir mit Ihnen
Eine Einführung im Defence-Umfeld ist ein Projekt mit klaren Übergabepunkten - und am Ende betreiben Ihre eigenen Leute das System.
- Zielbild und Modellgruppen. Welche Geräte, welche Netze, welche Vorgaben zu Härtung, Kryptografie und Nachweis; welche Standards gelten, wo Abweichungen begründet werden müssen.
- Labor-Instanz bei BitStream. Aufnahme Ihrer Referenzgeräte, Images, Treiber und Pakete; Härtungskatalog nach Ihren Vorgaben; interne Abnahme; signierter Release-Export.
- Ihre Instanz. Import des Releases über die Datenschleuse, Abnahme in uat, Freigabe nach prod - auf Ihrem Server, in Ihrem Netz, ohne Verbindung zu uns.
- Übergabe. Betriebshandbuch, Schulung, Betreibermodell mit klaren Rollen je Kernprozess; die Workbench für den Arbeitsplatz Ihrer Administratoren. Danach begleiten wir die Stände - auf Ihren Wunsch und über Ihren Weg.
Vertraulichkeit gehört zum Produkt. Wir nennen auf dieser Website keine Kunden und zeigen keine Referenzlogos. Unsere Projektdokumentation ist pseudonymisiert: Kundennamen, Hostnamen und Adressen stehen nie in Quellen oder Werkzeugen, nur auf dem Server des Kunden. Referenzgespräche vermitteln wir ausschließlich mit Zustimmung des jeweiligen Kunden.
Auf einen Blick
- Betrieb
- Ohne Internet, ohne Domäne, ohne Cloud; Deployment-Server unter Linux (Red Hat Enterprise Linux), ein Server je Standort
- Boot
- PXE unter aktivem Secure Boot; signierte Kette shim, iPXE, wimboot, Windows-Bootmanager mit Windows UEFI CA 2023
- Kryptografie
- Serverbetrieb im FIPS-Modus möglich; jede Datei mit SHA-256 angepinnt; signierter Release-Export
- Härtung
- CIS Level 2, BSI, Microsoft Security Baseline als versionierte Schichten; SecCheck mit Zuordnung zu Microsoft, BSI SiSyPHuS, CIS und DoD STIGs
- Nachweise
- Geräteakte, Freigabe-Belege, Deploy-Record, Compliance-Check, Hash-Inventar, Los-Protokolle, SecCheck-Berichte je Gerät
- ISO 27001
- SecCheck-Berichte je Gerät als technische Belege für ISMS-Audits und Geheimschutzauflagen
- Lieferkette
- Build-Umgebung mit Netzzugang, Datenschleuse, abgeschottete Zielumgebung; Stufen dev, qa, uat, prod
- Geräte
- Heterogene Industrie- und Standard-PCs mit UEFI; Windows 10 IoT Enterprise LTSC 2021, Windows 11 LTSC; lange Laufzeiten
- Hersteller
- BitStream GmbH, Passau, seit 2014; vollständig eigenfinanziert, ohne externe Investoren
Ein Lieferant ohne Fremdeinfluss
Einkauf und Geheimschutz fragen zu Recht nach Herkunft und Eigentümerstruktur eines Lieferanten. Die Antworten sind kurz:
- Deutscher Hersteller - BitStream GmbH mit Sitz in Passau, gegründet 2014, Teilnehmer der Allianz für Cyber-Sicherheit des BSI.
- Eigenfinanziert - vollständig aus eigener Kraft, unabhängig von externen Investoren; Entscheidungen folgen Produkt und Kunden, nicht Investoreninteressen.
- Keine Telemetrie - keines unserer Werkzeuge sendet Nutzungsdaten; was gehostet wird, liegt in der EU.
- Kein Abfluss von Projektdaten - pseudonymisierte Dokumentation, Kundendaten nur auf dem Server des Kunden.
- Signierte Software - Programme und Pakete tragen eine EV-Codesignatur; Boot-Binaries sind gegen die Windows UEFI CA 2023 nachgewiesen.
Beratung aus der Praxis
Wer Software für abgeschottete Netze baut, kennt die Fragen davor: Härtung nach BSI, CIS und Microsoft, Active-Directory-Tiering, Zielbilder für Client- und Deployment-Architekturen ohne Intune und Domäne, Nachweisführung gegenüber Prüfern. Unser Consulting bringt dafür über 20 Jahre Praxis bei Behörden, KRITIS-Betreibern und Großunternehmen mit - und die Erfahrung aus den eigenen Produkten im Defence-Umfeld.
Gespräch oder Demo im Labor
Wir zeigen es Ihnen gern: ein Gerät Ihrer Modellgruppe, ein Deploy unter aktivem Secure Boot, der Nachweis danach - in unserem Labor oder auf Ihrer Referenzhardware. Nennen Sie uns Ihr Umfeld, wir melden uns.
Oder direkt: +49 851 204248-0 · info@bitstream.de