Automatisierung
Ein wiederkehrender Job auf dem öffentlichen Server — und die Entscheidung, seine Oberfläche nie ins Internet zu hängen, weil sie ohne Anmeldung ausgeliefert wird.
- Status
- im Betrieb
- Art
- fremde Software, selbst betrieben
- Seit
- September 2026
- Technik
- Docker Compose · WireGuard-Mesh · ufw · Zeitsteuerung
Der Bedarf
Manche Aufgaben sind zu klein für Aufmerksamkeit und zu regelmäßig zum Vergessen. So etwas gehört auf eine Maschine, die ohnehin läuft — mit festem Zeitfenster und einem Protokoll, in das man hineinsehen kann.
Die interessante Stelle
Das Werkzeug bringt eine Weboberfläche mit. Beim Start steht im Protokoll eine Zeile, die man leicht überliest: die Anmeldung an dieser Oberfläche ist abgeschaltet. Wer sie erreicht, kann alles fernsteuern, was dahinter angemeldet ist.
Damit war die Sache klar: keine öffentliche Adresse, keine Freigabe in der Firewall. Die Oberfläche lauscht nur auf der VPN-Schnittstelle und auf der Maschine selbst — erreichbar also nur, wer schon im eigenen Netz ist.
Die Anmeldungen an den externen Diensten habe ich einmalig von Hand über eine gesicherte Fernansicht erledigt, samt zweitem Faktor. Es liegen deshalb keine Passwörter in der Konfiguration.
Was ich daraus mitgenommen habe
Beim Aufsetzen fremder Software ist die wichtigste Frage nicht „läuft es?”, sondern „was genau ist jetzt erreichbar, und für wen?”. Diese eine Protokollzeile hätte ich überlesen können — dann stünde eine fernsteuerbare Oberfläche mit angemeldeten Konten offen im Netz.