Erst das Nullfeld finden

WireGuard für Krümel — ein sicherer Weg durch fremde Netze

Zum Mars fliegen?
Den Mond erreichen?

Erst einmal das Nullfeld finden.

Der Wald war schon immer da

Das Internet ist kein leerer Raum.

Es ist ein großer Wald aus Wegen, Geräten, Häusern, Türen und fremden Kreuzungen.

Wenn ein Krümel mit einem Laptop, einem Raspberry Pi oder einem Crumbcase unterwegs ist, kann sein Weg durch viele Netze führen:

Zuhause
→ Schule
→ Werkstatt
→ Café
→ Mobilfunk
→ Hotspot
→ irgendwo

Nicht jeder Weg gehört uns.

Darum bauen wir keinen neuen Wald.

Wir suchen einen geschützten Weg durch den Wald, der bereits da ist.

Dieser Weg heißt bei uns:

WireGuard
→ CrumbVPN
→ Nullfeld

Die Erklärung für einen Krümel

Stell dir vor, du möchtest deinem Baumhaus eine Nachricht schicken.

Du könntest sie offen auf eine Postkarte schreiben.
Dann können viele Hände sehen, was darauf steht.

Oder du legst sie in eine feste Kapsel, die nur dein Baumhaus öffnen kann.

WireGuard baut aus solchen Kapseln einen Weg:

dein Krümelgerät
        ↓
verschlossener Tunnel
        ↓
Nullfeld

Andere Netze können sehen, dass etwas unterwegs ist.

Aber sie sollen den Inhalt des verschlüsselten Weges nicht lesen können.

Das Nullfeld kennt deinen Schlüssel und weiß:

Dieser Krümel gehört zu diesem Weg.

Zwei Schlüssel

Jedes Krümelgerät erhält ein Schlüsselpaar.

Privater Schlüssel
→ bleibt auf deinem Gerät
→ wird niemals weitergegeben

Öffentlicher Schlüssel
→ darf dem Nullfeld bekannt sein
→ hilft, dein Gerät wiederzuerkennen

Der private Schlüssel ist nicht wie ein Passwort, das man Freunden erzählt.

Er ist eher wie ein Teil der Tür selbst.

Darum gilt:

Ein privater Schlüssel reist nicht im Chat.
Er liegt nicht im öffentlichen Git.
Er wird nicht fotografiert.
Er bleibt bei seinem Krümel.

Das VPN ist kein Unsichtbarkeitsmantel

Ein VPN macht einen Krümel nicht unsichtbar.

Es baut einen geschützten Transportweg zwischen bekannten Punkten.

Es verhindert nicht automatisch:

• dass jemand ein entsperrtes Gerät benutzt,
• dass eine gefährliche Datei geöffnet wird,
• dass persönliche Informationen freiwillig weitergegeben werden,
• dass eine Anwendung selbst unsicher ist,
• dass ein verlorenes Gerät seinen Schlüssel noch besitzt.

Darum bedeutet Sicherheit nicht:

Niemand kann mich sehen und mir kann nichts passieren.

Sicherheit bedeutet:

Mein Weg ist geschützt.
Meine Türen sind benannt.
Ich weiß, wem ich Bescheid sage, wenn etwas nicht stimmt.

Die vier Krümelregeln

1. Mein Schlüssel bleibt bei meinem Gerät

Der private WireGuard-Schlüssel wird nicht geteilt.

Auch nicht mit jemandem, der behauptet, ihn nur kurz prüfen zu wollen.

2. Ich verbinde mich nur mit meinem Nullfeld

Ein Krümel bekommt seine VPN-Konfiguration von einer bekannten erwachsenen Begleitung oder der verantwortlichen Crew.

Taucht plötzlich ein anderes Profil, ein fremder QR-Code oder eine unbekannte VPN-App auf, wird nicht einfach auf „Verbinden“ gedrückt.

Erst fragen.

3. Bei Verlust wird die Tür geschlossen

Geht ein Gerät verloren, ist das kein Grund für Schuld oder Angst.

Es bedeutet nur:

Bescheid sagen
→ Peer im Nullfeld sperren
→ alten Schlüssel entfernen
→ bei Bedarf neuen Schlüssel ausgeben

Die Crew schließt die Tür.

Der Krümel muss das Problem nicht allein lösen.

4. Eine Warnung ist eine Pause

Wenn das Gerät sagt:

Schlüssel unbekannt
Zertifikat falsch
Verbindung verändert
Profil hinzufügen

dann wird nicht hektisch weitergeklickt.

Die richtige Bewegung lautet:

Pause
→ Bildschirm zeigen
→ gemeinsam prüfen

Eine Warnung ist kein Versagen.

Sie ist ein Checkpoint.

Zugang und Persönlichkeit stehen im Schutz

Ein sicherer Weg darf nicht heimlich zu einem Beobachtungsweg werden.

WireGuard soll Daten beim Transport schützen.

Es soll nicht jedes Gespräch lesen, jede Nachricht bewerten oder jedes Verhalten eines Krümels sammeln.

VPN
= geschützter Zugang

VPN
≠ Gedankenleser
≠ Inhaltskontrolle
≠ Persönlichkeitsprotokoll

Der Schutz eines Menschen entsteht nicht dadurch, dass jede private Kommunikation vorsorglich geöffnet wird.

Er entsteht durch:

klare Zugänge
kleine Berechtigungen
verschlüsselte Wege
bekannte Begleitung
schnelle Hilfe
wenig gespeicherte Daten

Das Nullfeld kennt nur die notwendige Spur

Für den technischen Betrieb kann das Nullfeld einige Dinge erkennen:

Welcher öffentliche Schlüssel verbindet sich?
Wann gab es zuletzt einen Handshake?
Welche VPN-Adresse gehört zum Peer?
Wie viele Daten wurden ungefähr übertragen?

Das sind Betriebsdaten.

Auch sie werden nicht gesammelt, weil man alles sammeln kann.

Sie werden nur so lange und so genau gehalten, wie es für Betrieb, Fehlersuche und Schutz wirklich nötig ist.

Eine Spur darf den Weg sichern.
Sie darf nicht zum Schatten des Krümels werden.

Kleine Türen statt ganzer Burgen

Ein Krümelgerät soll nicht automatisch jeden anderen Baum im Wald erreichen können.

Darum bekommt es nur die Wege, die es benötigt.

Zum Beispiel:

Krümelgerät
→ Nullfeld

Krümelgerät
↛ alle anderen Krümelgeräte

Oder:

Krümelgerät
→ bestimmter Dienst
→ bestimmte VPN-Adresse
→ bestimmter Port

Diese kleinen, benannten Wege sind sicherer als eine einzige offene Tür zum gesamten Wald.

CrumbVPN im Wald

Im Crumbforest kann das Nullfeld als Treffpunkt dienen.

                 Nullfeld
                VPN-Hub
               /       \
              /         \
       Crumbcase       Crew
          │              │
      Krümelgerät     Adminweg

Das bedeutet nicht, dass alle Geräte miteinander sprechen dürfen.

Das Nullfeld kann die Wege getrennt halten:

Peer A → Nullfeld
Peer B → Nullfeld

Peer A ↛ Peer B

Nähe im selben VPN ist noch keine Erlaubnis.

Die Erlaubnis wird an der Passkante festgelegt.

Was WireGuard schützt

WireGuard schützt den Transport zwischen seinen VPN-Gegenstellen:

vorher:
Datenpaket
→ fremdes Netz
→ Ziel

mit WireGuard:
Datenpaket
→ verschlüsselte Kapsel
→ fremdes Netz
→ VPN-Gegenstelle
→ Datenpaket

Hinter der VPN-Gegenstelle beginnt der nächste Weg.

Darum prüfen wir immer:

Wo beginnt der Tunnel?
Wo endet der Tunnel?
Wer betreibt den Endpunkt?
Was darf danach erreicht werden?

Ein Tunnel ist nur dann verständlich, wenn seine beiden Enden sichtbar sind.

Was Erwachsene und Crew tragen

Die Verantwortung darf nicht beim Krümel abgeladen werden.

Die betreuende Crew sorgt dafür, dass:

• jedes Gerät einen eigenen Schlüssel erhält,
• verlorene Schlüssel schnell gesperrt werden können,
• nur notwendige Netze erreichbar sind,
• keine Geheimnisse im Repository landen,
• Konfigurationen verständlich benannt sind,
• Logs sparsam und geschützt bleiben,
• Updates und Backups funktionieren,
• es einen erreichbaren Menschen für Fragen gibt.

Der Krümel muss nicht Kryptografie studieren, um geschützt zu sein.

Aber er darf verstehen, welche Tür er benutzt.

Die Passkante

WireGuard beantwortet eine technische Frage:

Ist dieses Datenpaket für einen bekannten Peer verschlüsselt?

WireGuard beantwortet nicht:

Ist diese Handlung gut?
Soll dieses Gerät Zugang erhalten?
Darf dieser Inhalt gespeichert werden?
Braucht dieser Mensch gerade Hilfe?

Diese Entscheidungen bleiben beim Menschen.

WireGuard
→ schützt den Weg

Passkante
→ begrenzt den Zugang

CrumbSeal
→ schützt, was nicht gesammelt werden soll

Mensch
→ trägt die Verantwortung

Der erste Flug

Vielleicht fliegen wir eines Tages zum Mars.

Vielleicht erreicht ein Krümel den Mond.

Aber der erste Flug ist kleiner:

Gerät einschalten
→ bekannten Tunnel öffnen
→ Nullfeld erreichen
→ sicher zurückfinden

Der Krümel muss nicht den ganzen Wald kennen.

Er braucht:

• einen eigenen Schlüssel,
• einen bekannten Weg,
• eine Tür, die geschlossen werden kann,
• und einen Menschen, der erreichbar bleibt.

Schluss

WireGuard ist kein Unsichtbarkeitsmantel.
Es ist ein verschlossener Weg zwischen bekannten Türen.

Das Nullfeld ist kein Ort, an dem alles gelesen wird.
Es ist ein Ort, an dem ein Krümel seinen sicheren Rückweg findet.

Zugang und Persönlichkeit stehen im Schutz.
Der Wald war schon immer da.

Wir lernen nur, uns darin nicht zu verlieren.