Protected Endpoint

Ein geschützter Endpunkt verlangt eine Anmeldung, bevor er antwortet, typischerweise über einen Schlüssel oder ein Zugangstoken. Erreichbar ist er trotzdem aus dem offenen Internet: Jeder kann ihn ansprechen, nur eben nicht benutzen. Microsoft Learn

Zwei Schutzebenen, die sich nicht ersetzen

Authentifizierung beantwortet die Frage, wer etwas darf. Netzwerkbegrenzung beantwortet die Frage, wer überhaupt anklopfen kann. Beides zusammen ergibt gestaffelten Schutz: Ein abhandengekommener Schlüssel nützt wenig, wenn der Dienst nur aus definierten Netzen erreichbar ist. Microsoft Learn

In der Praxis ist der verlorene Schlüssel der häufigste Vorfall. Zugangsschlüssel landen in Repositorys, in Chatverläufen oder in Konfigurationsdateien auf Notebooks. Wer allein auf Authentifizierung setzt, hat dann keine zweite Linie.

So kannst du dir das vorstellen

Eine Wohnungstür mit gutem Schloss an einer öffentlichen Straße, verglichen mit derselben Tür in einem Gebäude mit Pförtner. Das Schloss ist in beiden Fällen dasselbe, die Zahl der Leute davor nicht. Das Bild erklärt die zwei Ebenen, es bewertet kein konkretes Sicherheitskonzept.

Was es in der Praxis konkret bedeutet

Drei Maßnahmen gehören zu jedem öffentlich erreichbaren Endpunkt: Schlüssel regelmäßig wechseln und niemals im Code ablegen, Nutzung nach Schlüssel getrennt protokollieren, damit ein Missbrauch auffällt, und Begrenzungen setzen, die eine gestohlene Zugangsberechtigung teuer machen statt unbegrenzt nutzbar. Für alles mit personenbezogenen Daten kommt die Netzbegrenzung dazu.

Wo es verwechselt wird

Geschützt und privat werden gleichgesetzt. Ein geschützter Endpunkt ist öffentlich erreichbar und verlangt Anmeldung, ein privater ist nur aus bestimmten Netzen erreichbar. Beide Eigenschaften sind unabhängig voneinander und ergänzen sich.

Verwandte Begriffe

Private Endpoint, Rate Limits, Data Exfiltration, Private Deployment, Blast Radius, Control Plane.