Produktdaten und kryptographischer Zustand sind nicht dasselbe
Ein Primärsystem benötigt fachlich nutzbare Ergebnisse und Zustände. Daraus folgt nicht, dass es rohe Nachrichtenschlüssel, private Schlüssel, Session-Secrets oder rekonstruierbaren kryptographischen Runtime-Zustand besitzen muss. Eine explizite Grenze reduziert die Anzahl der Host-Oberflächen, an denen solches Material überhaupt relevant wird.
Betriebliche Konsequenzen
- Diagnoseinformationen werden als eigene Grenze behandelt und sollen nur typisierte bzw. redigierte Zustände nach außen geben.
- Für ausgewählte sensible Speicherinhalte sieht der aktuelle Entwicklungsstand begrenzte Zeroisierungsmechanismen vor.
- Weiterleitung über Netzwerkgrenzen benötigt einen ausdrücklich freigegebenen Transport- und Verantwortungsrahmen.
- Diagnose- und Betriebswerkzeuge müssen bei gemeinsamem Prozessraum in die Sicherheits- und Betriebsbewertung einbezogen werden.
- Kryptographische Grenzen sind versions- und deploymentbezogen zu prüfen.
Drei kryptographische Kontexte
Die E2EE-Grenze des Headless Clients, der ZETA-Zugang und die VAU des Fachdienstes sind eigenständige Kontexte. TI-Flow verarbeitet fachliche Operationen in der VAU und verschlüsselt schützenswerte Daten vor externer Persistenz. Der ZETA Guard ist der Client-Eingang; Systemprotokolle werden vor der Speicherung von sensiblen Daten bereinigt. gemSpec_FD_TI-Flow 1.0.0: A_29709, A_29713, A_29717, A_29729.