Dies ist eine alte Version des Dokuments!
Datenschutz · Wer sieht die Akten?
Stand: 2026-11-04 · Zur Übersicht
Verschlüsselung schützt den ruhenden Dateibestand und das Borg-Archiv. Im laufenden Betrieb verarbeitet Samba Klartext. Die folgende Tabelle trennt Speicherort, Zeitpunkt und Zugriff. Sie beschreibt den verifizierten OMNISRV-Stand, keine absolute Sicherheitsgarantie.
| Ebene | Form und Zeitpunkt | Zugriff und Kontrolle | Ende des Klartextzugriffs |
|---|---|---|---|
| Ruhender Btrfs-Datenträger | gocryptfs-Cipherdir: Dateiinhalte und Namen verschlüsselt; Struktur, Größen, Zeiten und andere Metadaten können sichtbar oder ableitbar sein. | Zugriff auf Cipherdir und Schlüssel wird durch Hostrechte und geschützte Secret-Ablage begrenzt. Privilegierte Hostprozesse bleiben eine Grenze. | Dort liegt kein regulärer Klartext. |
| Laufender Samba-Betrieb | Samba sieht die Dateien über den gocryptfs-Mount entschlüsselt. Im verschlüsselten Speicherbereich des Hosts liegen Verzeichnis- und Dateinamen kryptografisch entstellt und Inhalte verschlüsselt. Zugleich existiert auf dem Host während des Betriebs die entschlüsselte Mount-Ansicht. | Samba verarbeitet Inhalte. Anmeldung, Freigaberechte, POSIX-Gruppen und ACLs begrenzen normale Benutzer. Host-root und ausreichend privilegierte Prozesse können diese Grenze überwinden. | Ein Stopp nur des Samba-Containers beendet den SMB-Zugriff, lässt den gocryptfs-Mount aber bestehen. Beim geordneten Herunterfahren beider Dienste wird erst Samba gestoppt und dann die Klartextansicht ausgehängt. Erst nach bestätigtem Aushängen ist dieser Mount geschlossen. |
| Stündliche Sicherung | Btrfs-Snapshot des Cipherdir ist schreibgeschützt. Ein zweiter gocryptfs-Mount zeigt ihn dem Backup-Prozess vorübergehend im Klartext. | Backup-Prozess mit nötigen Rechten liest Inhalte und Metadaten. Der temporäre Mount ist auf diesen Prozess begrenzt; Fehlerpfade sollen ihn ebenfalls entfernen. | Nach Backup-Lauf: Mount aushängen, Snapshot entfernen. Automatische Folgeläufe zeigten keinen Restmount. |
| Übertragung und Repository | Borg verschlüsselt die Archivnutzdaten clientseitig; deduplizierte Daten liegen im entfernten Repository verschlüsselt. Der aktuelle Transportweg ist SSH. | Borg-Schlüssel und Repository-Zugang sind getrennt zu schützen. SSH schützt zusätzlich den Transportkanal; Borgs Archivverschlüsselung hängt nicht von diesem Zusatzschutz ab. | Klartext existiert nur am Backup-Client während des Lesens, nicht als reguläre Repository-Datei. |
| Wiederherstellung | Autorisierter Restore entschlüsselt benötigte Archivdaten in einem gesonderten Ziel. | Zielordner und Prozessrechte begrenzen den Zugriff. Nach dem Restore gelten Eigentümer, Modus und ACLs zu prüfen. | Temporäres Restore-Ziel nach Prüfung kontrolliert entfernen; dauerhafte Wiederherstellung bleibt bewusst verfügbar. |
Schutzgrenzen
Dateiverschlüsselung ersetzt weder Samba-Rechte noch Hostschutz. Ein offener produktiver Klartext-Mount, Host-root, Schlüsselverlust, sichtbare Metadaten und ungeschützte Restore-Ziele bleiben reale Risiken. Die Schlüssel selbst gehören nicht in Wiki, Git oder Protokolle.
Die Aussage zum Herunterfahren folgt den am 4. November 2026 lesend geprüften systemd-Units: Der Samba-Dienst hängt vom gocryptfs-Dienst ab; dessen Stop-Aktion hängt den Mount aus. Ein tatsächlicher Stopp wurde für diese redaktionelle Korrektur nicht ausgelöst.
Quellen: Betriebs- und Recovery-Nachweise; gocryptfs 2.5.1; Borg 1.4, Verschlüsselungsmodi.