Residenz- und Nachweisübersicht
Was Obhut heute nachweisen kann, welche Standards berührt werden und was noch kein Zertifikat ist.
Stand: 29. Juni 2026.
Diese Seite fasst den aktuellen Nachweisstand für Sicherheitsprüfungen, Einkauf und RFPs zusammen. Sie ist keine Zertifizierung, kein Auditbericht und keine Rechtsberatung.
Kein Zertifikat
Obhut ist aktuell nicht nach ISO/IEC 27001 zertifiziert, nicht nach BSI C5 attestiert und nicht SOC 2-geprüft. Die Übersicht beschreibt gebaute Kontrollen und offene Lücken vor einem formalen Nachweis.
Was heute belegt ist
| Frage | Aktueller Nachweis |
|---|---|
| Wo liegt produktiver Zustand? | In der Control-Plane und ihrem Postgres-System. Edge und Agent arbeiten aus Snapshots und halten keine Datenbankverbindung im Request-Pfad. |
| Ist Tenant-Isolation technisch erzwungen? | Tenant-Routen nutzen Mitgliedschafts-Gates und Postgres RLS. Ein Invariant-Check prüft die RLS-Abdeckung der tenantbezogenen Tabellen. |
| Sind Zugriffsereignisse prüfbar? | Audit-Ereignisse sind tenantbezogen, signiert, gehasht, als vollständiges Bundle ladbar und offline verifizierbar. |
| Sind Nutzungsdaten sparsam? | Usage- und Billing-Exports enthalten nur aggregierte Zähler, keine Nutzer, IPs, URLs oder Einzelrequest-Zeilen. |
| Gibt es Enterprise-Identity-Kontrollen? | MFA, Console-SSO, SCIM Users/Groups/Bulk, SCIM-Gruppenrollen, API Tokens und granulare Rollen sind für den ersten Release gebaut. |
| Geht Audit in ein Kundensystem? | JSON-Pull und generischer HTTPS-Push für SIEM sind gebaut. Herstellerspezifische Connectoren und Auto-Scheduler bleiben später. |
Residenz-Aussage
Obhut ist so gebaut, dass persistenter Produktzustand möglichst eng begrenzt bleibt: Tenant-Konfiguration, Organisationen, Identitätskonfiguration, SCIM, Audit, Nutzungszähler, Rechnungsdatensätze und Pläne liegen in der Control-Plane. Die Edge nutzt Snapshots für Routing, Zugriff, WAF/API Shield, Gate, Quota und Audit-Emission. Der Agent baut ausgehende Verbindungen auf; im Kundennetz müssen keine eingehenden Ports geöffnet werden.
Die Betriebsdokumente beschreiben netcup-Hosts mit privatem vLAN und deutschem beziehungsweise DACH-Betriebsziel. Vor einer vertraglichen Residenz-Zusage müssen die tatsächlichen Provider-Regionen, Subprozessoren, Backup-Ziele und Mail/Web- Hosts rechtlich geprüft und festgehalten werden.
ISO/C5/NIS2/DORA
Obhut mappt vorhandene Kontrollen auf typische ISMS-Themen, erhebt aber keinen Zertifizierungsanspruch.
Die erste Crosswalk-Version ordnet Nachweise C5-nahe Themen zu, ersetzt aber keine Attestierung.
Audit-Bundles, SIEM-Export und Zugriffskontrollen helfen bei Nachweisführung; Incident-Runbooks fehlen noch.
Die Plattform liefert Resilienz- und Auditbausteine, aber noch keine vollständige DORA-Unterlage.
Offene Grenzen
- Kein formales ISO/C5/SOC 2-Testat.
- Kein abgeschlossener Backup-/Restore-Nachweis mit RTO/RPO.
- Keine produktionsbewiesene HA- oder Multi-Edge-Failover-Übung.
- Incident-, NIS2-, DORA- und Responsible-Disclosure-Runbooks sind als Erstfassung vorhanden, aber noch nicht rechtlich geprüft oder geübt.
- Keine finale Subprozessor- und Vertragsprüfung.
- Keine volle DSGVO-Lösch-/Portabilitätsbehauptung für die unveränderliche Audit-Kette, bevor die dafür geplante ADR entschieden ist.
Interner Nachweis
Die ausführliche Arbeitsgrundlage liegt in docs/residency-crosswalk.md.
Sie enthält die Evidence Map, ISO/C5-Themen und die offenen Follow-ups.