So übertragen Sie Dateien von einem Offline-PC oder Air-Gap-Rechner

Beginnen Sie mit der Frage, die alles entscheidet

Ein Air Gap ist eine Sicherheitsentscheidung, kein Zufall. Bevor Sie ein Werkzeug wählen, klären Sie, was den Rechner laut Ihrer Organisation verlassen darf und über welchen Kanal. In regulierten Umgebungen (kritische Infrastrukturen unter NIS2, Banken unter DORA, Anlagen nach IEC 62443) gilt ein Datenfluss aus einem isolierten System in der Regel als Schnittstelle, die freizugeben und zu protokollieren ist, unabhängig vom Medium.

Kann niemand die Übertragung freigeben, ist die Antwort kein besseres Werkzeug, sondern: die Datei nicht zu übertragen. Jede der folgenden Methoden setzt voraus, dass Sie den Inhalt übertragen dürfen.

1. Ein USB-Stick nach Datenträgerrichtlinie

Der schnellste und vertrauteste Weg. Viele Organisationen verbieten ihn oder erlauben ihn nur mit registrierten Sticks, Verschlüsselung und einer Prüfstation, denn Wechseldatenträger sind ein bekannter Weg, auf dem Schadsoftware in isolierte Netze gelangt. Sieht Ihre Richtlinie einen freigegebenen USB-Weg vor, ist er bei großen Datenmengen die richtige Antwort. Siehe Bouraq vs. USB-Stick.

2. Einmal beschreibbare Medien: CD oder DVD

Eine einmal gebrannte Disc lässt sich danach nicht mehr überschreiben, was begrenzt, was sie transportieren kann; manche Sicherheitsteams ziehen sie deshalb dem USB-Stick vor. Sie braucht einen Brenner am Offline-PC, Rohlinge und jemanden, der sie nachverfolgt; sie eignet sich eher für gelegentliche, archivierte Übertragungen als für die tägliche Arbeit.

3. Eine Datendiode oder eine Datenschleuse

Eine Datendiode ist Hardware, die Daten zwischen zwei Netzen nur in eine Richtung fließen lässt: zertifiziert, schnell und für Datenströme zwischen Maschinen gebaut, etwa Historian-Daten. Eine Datenschleuse (auch USB- oder Transfer-Kiosk, in Frankreich „station blanche“) prüft Wechseldatenträger, bevor sie hinein- oder hinausgehen. Beides sind Projekte der Organisation: Hardware, Integration und Budgets von mehreren tausend Euro. Siehe Bouraq vs. Datendioden und Datenschleusen.

4. Ein Foto vom Bildschirm

Für eine einzelne Fehlermeldung funktioniert das. Für alles Längere ist es verlustbehaftet, per OCR kaum lesbar, sobald es um Code oder Tabellen geht, unverschlüsselt auf dem Telefon, und es hinterlässt keinen Nachweis, den ein Sicherheitsteam prüfen kann.

5. Kostenlose QR-Code- und optische Tools

Open-Source-Tools wie libcimbar übertragen Dateien als animierte Codes, die ein Telefon dekodiert, deutlich schneller als Bouraq. Für eine Person, die eigene Dateien auf dem eigenen Rechner bewegt, sind sie hervorragend. Einer Organisation bieten sie kein Konto, keinen Nachweis, keine Freigabe und keinen Rückweg. Siehe Bouraq vs. kostenlose QR-Tools.

6. Bouraq: verschlüsselte QR-Codes in ein Konto, mit Nachweis

Bouraq Prism, eine HTML-Datei, die auf dem Offline-PC geöffnet wird, zeigt Ihre Dateien als QR-Codes, verschlüsselt mit dem Schlüssel Ihres Kontos. Ihr Telefon oder eine Webcam, die Sie nutzen dürfen, liest sie in Ihren Bereich ein, wo sie zusammengesetzt und per sha256 geprüft werden. Jede Übertragung gehört zu einem benannten Konto und trägt einen Zeitstempel. Änderungen kommen über Ihr privates GitHub- oder GitLab-Repository oder einen USB-Stick zurück.

Es ist langsamer als ein USB-Stick (etwa 5 kB/s) und braucht eine Kamera, die vor dem Bildschirm erlaubt ist. Gebaut ist es für die Dateien, die man jede Woche überträgt: Logs, Ergebnisse, Konfigurationen, Code-Kontext, Berichte.

Die sechs Optionen im Vergleich

Wann Bouraq der richtige Weg ist