Wie Valenius Ihre VPN-Flotte schützt — die Designentscheidungen, die Kryptografie und die betrieblichen Praktiken dahinter. Geschrieben, um die Fragen zu beantworten, die Ihr Sicherheitsteam vor dem ersten Rollout stellen wird.
Der größte Teil der Sicherheitsgeschichte ist keine Funktion, die man einschaltet — sondern das, was die Plattform bewusst nicht tut.
Valenius nutzt das offizielle WireGuard®-Protokoll genau so, wie es veröffentlicht wurde — keine Forks, keine eigene Kryptografie, keine Protokolländerungen. Sie erhalten die Sicherheit des auditierten Originals und volle Kompatibilität mit den Standardwerkzeugen.
VPN-Schlüssel, Konfigurationen, Gerätedaten und Audit-Logs liegen auf Ihren Servern. Es gibt keine verpflichtende Hersteller-Cloud, kein Phone-Home und keinen Dritten, der weitergeben könnte, was er nie erhält.
Die Community-Edition ist unter AGPLv3 veröffentlicht. Ihr Sicherheitsteam — oder jeder andere — kann genau überprüfen, was die Software tut, statt einem Datenblatt zu vertrauen.
Von den Dateiberechtigungen auf einem Notebook bis zur Management-Ebene zwischen Ihrem Backend und Ihren WireGuard®-Servern.
Jedes VPN-Profil wird auf dem Gerät verschlüsselt, in beiden Editionen: DPAPI unter Windows, AES-256-GCM unter Linux, der Plattform-Keystore unter macOS, Android und iOS — unabhängig davon, ob es vom Admin verteilt oder vom Nutzer hochgeladen wurde.
Backend und WireGuard®-Server authentifizieren sich gegenseitig über eine interne ECDSA-P-256-Zertifizierungsstelle. Management-Aufrufe sind auf die Identität des Backends gepinnt — ein Zertifikat, das lediglich von der CA signiert ist, genügt nicht.
VPN-Sitzungen werden durch CA-signierte Grants mit absolutem Ablaufzeitpunkt autorisiert, durchgesetzt auf der eigenen Uhr des VPN-Servers. Ist die MFA-Komponente nicht erreichbar oder veraltet, bleiben gesperrte Peers blockiert — sie werden nie stillschweigend durchgelassen.
OIDC/SSO gegen Ihren Identitätsanbieter plus TOTP-Zwei-Faktor — mit eingebauter Begrenzung der Anmeldeversuche und TOTP-Replay-Schutz, auch in der kostenlosen Edition.
Jedes Update wird per SHA-256 verifiziert, bevor ein einziges Byte installiert wird, und Windows-Installer sind über Azure Trusted Signing code-signiert. Updates kommen von Ihrem Backend, nicht von einem Herstellerserver.
Ein-Klick-Backups sind AES-256-GCM-verschlüsselt. Wiederherstellungen importieren bewusst nie Passwort-Hashes oder TOTP-Geheimnisse, sodass eine Backup-Datei kein Zugangsdaten-Speicher werden kann.
Jede Admin-Aktion und jedes sicherheitsrelevante automatische Ereignis wird mit Akteur, Ziel und Zeitstempel protokolliert — und das Log selbst speichert keine Passwörter, Schlüssel oder Konfigurationsinhalte.
Endnutzer besitzen nie Administratorrechte. Ein privilegierter Systemdienst besitzt den Tunnel; Konfigurationen tragen Nur-System-Dateiberechtigungen; der lokale IPC-Kanal verifiziert die Identität des aufrufenden Nutzers auf Betriebssystemebene.
Der Client-API-Schlüssel lässt sich flottenweit aus dem Panel rotieren, ohne etwas neu zu installieren. Diagnoseprotokolle werden auf dem Gerät selbst bereinigt — API-Schlüssel, VPN-Schlüssel und Geheimnisse verlassen es nie.
Kontrollen verfallen ohne Prozess. Das sind unsere.
Die Codebasis durchläuft wiederkehrende, strukturierte Sicherheitsprüfungen über Backend, Serverkomponenten und alle Clients. Befunde werden nachverfolgt, nach Schweregrad priorisiert, und Korrekturen werden verifiziert — nicht nur geschlossen.
Wo eine Sicherheitskontrolle und Verfügbarkeit in Konflikt geraten, blockiert Valenius, statt zu raten: Gesperrte Peers bleiben gesperrt, wenn die MFA-Komponente ausfällt, und Updates, die sich nicht verifizieren lassen, werden nicht installiert.
Eine Schwachstelle gefunden? Melden Sie sie an helpdesk@stranto.com. Wir bestätigen den Eingang, halten Sie während der Behebung auf dem Laufenden und nennen Sie auf Wunsch namentlich.
Senden Sie uns Ihren Sicherheitsfragebogen oder lesen Sie den technischen Deep Dive — die Architektur ist öffentlich, der Code ebenso.
