Alles, was das Panel sammelt, bleibt auf Ihrem Server: Sicherheitsereignisse, Metriken, Berichte und Einstellungen liegen in einer MySQL-Datenbank und im Verzeichnis data/ außerhalb des Web-Roots.

Wir erhalten weder Ihre Logs noch Ereignisse, IP-Adressen oder Metriken. Das Panel lebt auf Ihrem Server, und die Daten gelangen nicht zu uns.

Die Oberfläche des Panels lädt nichts von fremden Servern: Schriften, Icons, Diagramme und die Angriffskarte werden mitgeliefert. Besucherzähler und Analytics gibt es im Panel nicht.

Sicherheitsereignisse werden 90 Tage aufbewahrt und danach automatisch gelöscht.

Unten steht die vollständige Liste der Verbindungen, die das Panel selbst öffnet. Fast alle funktionieren nur, wenn Sie sie eingerichtet haben.

Die Lizenz wird auf Ihrem Server anhand der digitalen Signatur geprüft: Das Panel fragt nicht bei uns nach, ob sie gültig ist. Das Panel sucht und lädt auch keine Updates von sich aus.

Die Schutztools aktualisieren ihre Datenbanken selbst, von ihren eigenen Servern und nach eigenem Zeitplan: ClamAV-Signaturen, Regeln von Suricata und CrowdSec, die Liste schädlicher Adressen ipsum. Das sind Verbindungen der Tools selbst, das Panel ist daran nicht beteiligt. CrowdSec tauscht standardmäßig Angriffssignale mit seiner Community aus; das wird in CrowdSec selbst eingestellt.

Anmeldung mit Passwort und zweitem Faktor: Hardware-Schlüssel oder Passkey (WebAuthn: YubiKey, Touch ID, Windows Hello, Passkey). WebAuthn-Schlüssel funktionieren nur über HTTPS.

IP-Beschränkung, wenn Sie sie aktiviert haben: Das Panel öffnet sich nur von erlaubten Adressen, alle anderen werden schon vor der Anmeldeseite abgewiesen.

Schutz gegen Passwortraten: Nach 5 falschen Versuchen von einer Adresse wird die Anmeldung von ihr für 15 Minuten gesperrt.

Schutz gegen gefälschte Anfragen: Jede Schaltfläche, die etwas ändert, prüft ein geheimes Token Ihrer Sitzung. Eine fremde Website kann sie nicht für Sie betätigen, selbst wenn Sie gerade im Panel angemeldet sind.

Das Panel läuft unter dem Benutzer des Webservers, ohne root-Rechte.

Über sudo ist ihm eine kurze Liste von Befehlen aus /etc/sudoers.d/monitor erlaubt. Fast alle lesen nur den Zustand der Tools: UFW, fail2ban, CrowdSec, ipset, auditd, Monit, AppArmor und weitere. Ändern kann das Panel nur zwei Dinge: eine Adresse in fail2ban sperren und entsperren sowie Portregeln in UFW hinzufügen oder entfernen, auf Ihren Klick auf der Modulseite. Eine Shell, beliebige Befehle oder die Installation von Paketen enthält diese Liste nicht.

In den Code des Panels kann der Webserver nicht schreiben: Schreiben darf er nur in die Verzeichnisse für Daten, Cache und Logs.

Die Befehle aus den Hinweisen zur Behebung führt das Panel nicht selbst aus: Sie kopieren sie und starten sie im Terminal.

Den Server schützen die Tools selbst: fail2ban, UFW, Suricata, CrowdSec, ClamAV, AIDE. Das Panel zeigt ihre Arbeit und schlägt vor, was zu beheben ist. Wenn die Lizenz abläuft, werden die detaillierten Modulseiten geschlossen und der Bericht wird kürzer, während die Tools weiterarbeiten wie zuvor. Der Server bleibt nicht ungeschützt.

Wenn Sie eine Schwachstelle im Panel gefunden haben, schreiben Sie an support@arciveo.com. Der Kontakt steht auch in security.txt.