Dernium Gateway

Ihren durchgehenden Tunnel härten wir zusätzlich zum WireGuard-Standard-Handshake mit einem Pre-Shared Key (PSK). Dieser PSK fließt zu keinem Zeitpunkt über die Leitung und wird in die Sitzungs-Schlüssel-Ableitung jedes WireGuard-Handshakes hineingemischt. Hintergrund: Heute übliche Schlüsseltausch-Verfahren wie Curve25519 könnten in 10 bis 20 Jahren von einem ausreichend großen Quantencomputer rückwirkend gebrochen werden. Angreifer nehmen das vorweg, indem sie heutigen verschlüsselten Verkehr aufzeichnen, um ihn später zu entschlüsseln (Fachbegriff: "Harvest now, decrypt later"). Mit dem PSK als zusätzlicher Schicht gilt: selbst wenn der klassische Schlüsseltausch in Zukunft fällt, müsste ein Angreifer auch noch den PSK kennen - den er nie auf der Leitung sah. Der Inhalt Ihres aufgezeichneten Verkehrs bleibt damit unlesbar.

Wechseln möchten Sie über ein kleines Web-Portal, das nur innerhalb Ihres Tunnels erreichbar ist. Ein Klick auf den gewünschten Standort und der Wechsel ist sofort wirksam. Ihre sicher verschlüsselte Verbindung bleibt während des Wechsels bestehen, keine neue Schlüsselaushandlung, keine komplexe Konfiguration auf dem Endgerät nötig. Welche Standorte (und ob) ein einzelnes Profil wählen darf, hinterlegen Ihre IT-Verantwortlichen ihrer Organisation fest.

Pro Endgerät-Profil wählen Sie je Standort, ob die öffentliche Ausgangs-Adresse dauerhaft (fest) oder rotierend sein soll - umschaltbar jederzeit selbst über das Tunnel-Portal. Im rotierenden Modus erneuern wir die Adresse regelmäßig automatisch, in IPv4 und IPv6, und prüfen jede neue Adresse zuvor gegen mehrere unabhängige öffentliche Reputationslisten. So bleibt Ihre Identität über die Zeit schwer korrelierbar. Eine feste Adresse bleibt dagegen unverändert - praktisch dort, wo ein Dienst eine gleichbleibende Quell-Adresse erwartet (etwa eine Freigabe beim Geschäftspartner).

Wir verzichten bewusst auf jede Form der Verkehrs-Analyse. Wir installieren kein eigenes Zertifikat auf Ihren Geräten, das uns das Mitlesen verschlüsselter Webseiten erlauben würde (kein TLS-Eingriff, kein Root-Zertifikat in Ihrem Browser). Wir beobachten nicht, welche Domains Sie aufrufen - selbst nicht den unverschlüsselten Verbindungs-Aufbau, der den Namen des Ziel-Servers sichtbar machen könnte (kein SNI-Mitschnitt). Wir öffnen keine Datenpakete für inhaltliche Analyse (kein Deep Packet Inspection, kurz DPI). Was wir nicht erheben, kann auch nicht durch eine Behörden-Anfrage an uns abgefragt werden.

Bei einer richterlichen Anordnung gegen ein konkretes Profil können wir gesetzlich verpflichtet sein, die Verbindungs-Metadaten genau dieses einen Profils befristet aufzuzeichnen. Das nennt sich Quick-Freeze und ist eine Einzelfall-Maßnahme ab dem Anordnungs-Zeitpunkt. Wir informieren Sie über solche Maßnahmen, soweit das gesetzlich erlaubt ist. Die Möglichkeit ist im Vertrag offen benannt - Ehrlichkeit ist uns lieber als ein leeres Niemals-Versprechen, das im Ernstfall nicht hält - wir halten uns an deutsche Gesetze, die für diese Fälle aber auch sehr enge Regeln definieren. Inhaltsdaten sind hiervon nicht betroffen - wir sehen auch in diesem Fall weiterhin nicht, was durch den Tunnel geht.

Die öffentlichen IPv4-Ausgangsadressen unserer eigenen Cloud-Standorte prüfen wir vor Inbetriebnahme automatisch gegen mehrere unabhängige, frei lizenzierte Reputations-Listen. Eine gelistete Adresse wird sofort verworfen und durch eine frische ersetzt, bevor Verkehr darüber läuft. So vermeiden wir, dass Ihr Verkehr über eine bereits gelistete, von einem Vormieter belastete Adresse ausgeleitet wird; eine vollständige Garantie für die Reputation jeder Adresse ist das technisch bedingt nicht.

Optional buchbar: Routen über spezialisierte Drittanbieter-Residential-Netzwerke - Anschlüsse echter Endnutzer (Mobilfunk, DSL, Kabel, Glasfaser), bereitgestellt über etablierte Anbieter; eigene Anschlüsse betreibt Dernium hier bewusst nicht. Das Angebot ist umfangreich, mit großer Standort- und Anbietervielfalt. Ihr Verkehr erscheint dabei als von einem normalen Privatnutzer kommend. Diese Routen sind Best-effort - mit hoher Verfügbarkeit, aber ohne Verfügbarkeits-Garantie; bei Verbindungsfehlern stehen alternative Anschlüsse zur Verfügung. Solche Anschlüsse sind oft von höherer Reputationsqualität als Cloud-Adressen, da sie nicht von vorherigen Mietern für unerwünschte Zwecke genutzt werden können. Zumeist Prepaid-pflichtig.

Dernium Gateway darf ausschließlich für rechtmäßige Zwecke verwendet werden. Sie sind für sämtliche Datenströme über den Tunnel selbst verantwortlich und haften für rechtswidrige Handlungen oder rechtswidrige Inhalte vollumfänglich. Wir prüfen Ihre Inhalte technisch nicht (keine inhaltliche Analyse, kein Eingriff in Ihren Verkehr), entlassen Sie damit aber nicht aus Ihrer rechtlichen Verantwortung. Im Vertrag ausgeschlossen sind insbesondere: Betrieb anonymer Knotenpunkte für das Tor-Netzwerk (Tor-Exit), Krypto-Währungs-Mining, automatisiertes, aggressives Massen-Abgreifen fremder Webseiten und offensive Sicherheits-Operationen ohne ausdrückliches Mandat. Verstöße berechtigen uns aus Reputationsschutzgründen zur fristlosen Kündigung.