Cherub ist kein zweites Produkt neben deiner Anwendung, sondern die zweite von drei Stufen im laufenden Betrieb. Stufe 1 hält deine Anwendung am Laufen und aktuell. Cherub kommt dazu und sieht sich an, was dabei entsteht: Zugriffsregeln, Mandantentrennung, Abhängigkeiten — laufend, nicht einmal zur Abnahme. Am Monatsende steht ein Bericht, den du weiterreichen kannst.
Die Liste ist kurz, und sie steht fest. Was nicht draufsteht, wird auch nicht geprüft — an dieser Stelle entscheidet sich, ob ein Prüfbericht ehrlich ist oder nur beruhigend.
- 01
Zugriffsregeln
Wer in deiner Anwendung was sehen und ändern darf, steht als Regel in der Datenbank — nicht als Einstellung in der Oberfläche. Cherub hält diese Regeln laufend gegen den Stand, den du festgelegt hast, und meldet, wenn sich etwas verschoben hat. Eine Änderung, die nebenbei eine Regel aufmacht, fällt im Alltag niemandem auf: Die Oberfläche sieht danach genauso aus wie vorher.
- 02
Mandantentrennung
Sobald deine Kunden selbst in die Anwendung schauen — jeder sein Angebot, jeder seine Aufträge —, liegen ihre Daten in derselben Datenbank nebeneinander. Getrennt hält sie eine Regel, keine Wand. Cherub prüft diese Regel von der falschen Seite und versucht, mit den Rechten des einen Kunden an die Daten des anderen zu kommen. Geht das, ist es ein Befund — auch wenn im Alltag nie jemand darauf gestoßen wäre. Denn dieser Fehler fällt nicht dir auf, sondern zwei deiner Kunden gleichzeitig.
- 03
Abhängigkeiten
Deine Anwendung besteht nicht nur aus deinem Code. Sie benutzt fremde Bausteine, und in denen werden laufend Schwachstellen bekannt — auch in solchen, die seit Jahren unverändert mitlaufen. Cherub hält die Liste dieser Bausteine gegen die öffentlichen Meldungen. Was ab dem Schweregrad „hoch“ auffällt, blockiert ohnehin schon die Auslieferung, bis es behoben ist. Im Bericht steht zusätzlich, was darunter liegt und offen geblieben ist.
Findet Cherub nichts, heißt das nicht, dass nichts da ist — nur, dass die Wege, die wir kennen, zu sind.
Ein Bericht, in dem immer alles in Ordnung ist, ist keiner. Cherub kennt deshalb drei Ergebnisse und nicht zwei. Was sich nicht sauber prüfen ließ, steht als „nicht prüfbar“ drin und nicht als grün — ein Häkchen ohne Beweis ist der Punkt, an dem der ganze Bericht wertlos wird.
- In Ordnung
- Geprüft, und es hat gehalten. Dabei steht, was genau geprüft wurde.
- Befund
- Etwas stimmt nicht. Mit Schweregrad, mit der Stelle, auf die er sich bezieht, und mit dem nächsten Schritt.
- Nicht prüfbar
- Die Prüfung ist nicht durchgelaufen — Zugang gesperrt, Umgebung nicht erreichbar, Fall nicht abgedeckt. Das steht so drin und wird nicht zu einem Häkchen gerundet.
Musterbericht. Der Inhalt ist erfunden — einen echten Monatsbericht hat noch niemand bekommen, weil wir noch keine Kunden haben. Zugesagt ist der Aufbau, nicht das Ergebnis.
| Geprüft | Ergebnis | Anmerkung |
|---|---|---|
| Zugriffsregeln | In Ordnung | Alle Regeln gegen den festgelegten Stand gehalten, keine Abweichung. |
| Mandantentrennung | In Ordnung | Zugriff mit fremder Kennung in jedem geprüften Fall abgewiesen. |
| Abhängigkeiten | Befund · mittel | Ein veralteter Fremdbaustein im Rechnungsexport. Austausch vorbereitet, geht im nächsten Wartungsfenster live. Offen seit dem Vormonat. |
| Datei-Ablage | Nicht prüfbar | Der Prüfzugang war zwei Tage gesperrt. Steht als nicht prüfbar drin und nicht als grün; nachgeholt wird im laufenden Monat. |
Vier Zeilen, ein offener Befund, eine Lücke. So sieht eine Prüfung aus, die stattgefunden hat.
Ein Befund ist dabei nicht gleich ein Befund: Jeder hat einen Schweregrad, und du siehst, worauf er sich bezieht. Nachsehen kannst du selbst oder von wem du willst — der Code liegt in deinem Repository, nicht in unserem. Ein Monat mit drei Befunden ist kein schlechter Monat. Es ist der Monat, in dem drei Sachen auf dem Tisch liegen statt im Code.
Damit du die Stufe aus dem richtigen Grund nimmst: Ohne Cherub ist deine Anwendung nicht ungeprüft. Auch in Stufe 1 werden die Zugriffsregeln auf Datenbankebene erzwungen, die Fremdbausteine laufend gegen bekannte Schwachstellen gehalten und jede Änderung durch dieselbe Prüfkette geschickt, bevor sie live geht. Sicherheitsaktualisierungen spielt Cody ein und prüft danach, dass alles noch läuft. Das gilt für jeden Kunden, ohne Aufpreis.
Der Unterschied ist nicht geprüft oder ungeprüft. Er ist: laufend statt zur Abnahme, und mit Bericht statt ohne. Verlangt niemand einen Nachweis von dir und brauchst du selbst keinen, um ruhig zu schlafen, bleib bei Stufe 1.
Eine Entwarnung ist das nicht. Beschrieben ist, was getan wird — nicht, dass nichts passieren kann.
- Macht das nicht mein Hoster?
Einen Teil, und den macht er meistens gut. Dein Hoster hält den Server aktuell, spielt Systemupdates ein und schirmt ihn nach außen ab. Er stellt die Halle, verriegelt das Tor und hält das Dach dicht.
Was in den Schränken liegt und wer welchen Schlüssel hat, gehört nicht zu seinem Auftrag. Dass in deiner Anwendung der Monteur die Lohnliste nicht sehen darf, ist eine Regel in deinem Code — keine Einstellung am Server. Manche Plattformen melden dir immerhin, wenn irgendwo gar kein Schloss hängt. Ob das richtige Schloss dranhängt und ob es nach der nächsten Änderung noch zusperrt, sieht dort niemand nach.
Das ist Cherubs Arbeit: die Zugriffsregeln laufend gegen den Stand prüfen, den du festgelegt hast, und melden, wenn sich etwas verschoben hat. Lückenlos ist keine Prüfung, auch unsere nicht. Aber du bekommst jeden Monat schriftlich, was geprüft wurde und was dabei herauskam.
Die Gegenprobe: Frag deinen Hoster, ob er dir schriftlich bestätigt, dass er prüft, wer in deiner Anwendung welche Daten sehen darf. Bestätigt er es, brauchst du Cherub dafür nicht.
- Was passiert, wenn Cherub etwas findet?
Kleines behebt Cody im laufenden Betrieb und schreibt es in den Bericht — du liest, was war und was daraus wurde. Was größer ist oder deine Entscheidung braucht, steht mit Schweregrad und Vorschlag im Bericht und wartet auf dich. Was ab dem Schweregrad „hoch“ auffällt, geht ohnehin nicht live, bis es behoben ist.
Ein Befund, der offen bleibt, verschwindet nicht aus dem Bericht. Er steht im nächsten wieder drin, mit dem Datum, seit wann.
- Warum sollte ich euch die Prüfung abnehmen? Ihr habt keinen einzigen Kunden.
Stimmt. Deshalb steht auf dieser Seite keine Referenz und kein Zitat mit Firmenlogo.
Was du stattdessen ansehen kannst: die Prüfungen selbst, an unserer eigenen Software, im Gespräch — laufend, nicht als Folie. Du siehst, woran sie anschlagen und was danach nicht mehr live geht. Den Code musst du dafür nicht lesen können. Und wenn du jemanden hast, der ihn beurteilen kann, hol ihn dazu.
Der Erste zu sein hat zwei Seiten. Kurze Wege und direkter Einfluss darauf, was gebaut wird — und vor dir kein Kunde, aus dessen Projekt wir schon gelernt hätten. Beides gehört auf den Tisch, bevor du unterschreibst.
Eine Prüfung nützt dir nur, wenn du weißt, wo sie aufhört. Sonst verlässt du dich an einer Stelle auf sie, die nie jemand angesehen hat.
- 01Keine Vollständigkeit. Cherub prüft die Wege, die wir kennen. Findet er nichts, heißt das nicht, dass nichts da ist — und wir schreiben es auch nicht so in den Bericht.
- 02Kein Zertifikat. Der Monatsbericht ist ein Bericht von uns über unsere eigene Arbeit, kein Testat einer Prüfstelle. Gebaut ist die Anwendung nach ISO-27001-Grundsätzen und damit auditierbar; zertifiziert sind wir nicht.
- 03Keine Verfügbarkeitszusage. Cherub sieht sich den Code an, nicht die Erreichbarkeit. Ein zugesagtes Maß gibt es nur mit schriftlicher Dienstgütevereinbarung.
- 04Kein Einbruchsalarm. Cherub prüft, ob die richtigen Schlösser hängen und ob sie nach der letzten Änderung noch zusperren. Ob jemand am Tor rüttelt, ist Sache deines Hosters und deiner Zugangsdaten.
- 05Keine Prüfung fremder Software. Was du danebenstellst — Warenwirtschaft, Zeiterfassung, Webshop —, sieht Cherub nicht an. Geprüft wird, was in deinem Repository liegt.
- 06Kein Ersatz für einen unabhängigen Angriffstest. Wer den braucht, beauftragt einen Dritten. Wir sagen dir, wenn wir meinen, dass du an dem Punkt bist.
Wann sich Stufe 2 lohnt
- 01In deiner Anwendung sehen Leute Daten, die nicht alle sehen dürfen — Kunden, Monteure, Büro.
- 02Ein Auftraggeber, eine Versicherung oder ein Prüfer fragt regelmäßig, wie das abgesichert ist.
- 03An der Anwendung wird laufend weitergebaut. Jede Änderung ist eine Gelegenheit, eine Regel zu verschieben.
- 04Du willst etwas in der Hand haben, ohne dafür jedes Jahr eine Prüfung zu beauftragen.
Wann nicht
- 01Die Anwendung benutzt nur ihr im Haus, und alle dürfen ohnehin alles sehen.
- 02Sie ist fertig und wird nicht mehr angefasst.
- 03Niemand verlangt einen Nachweis von dir, und du brauchst selbst keinen.
Trifft die zweite Liste besser zu, bleib bei Stufe 1. Nachrüsten kannst du jederzeit — monatlich kündbar, keine Mindestlaufzeit.
Den Bericht willst du sehen, bevor du ihn kaufst
Verständlich. Im Erstgespräch zeigen wir dir die Prüfungen an unserer eigenen Software — laufend, nicht als Folie. Du siehst, woran sie anschlagen und was danach nicht mehr live geht. Zwanzig Minuten, und du musst nichts vorbereiten.
Stufe 3 ansehen: Cassandra