security/ssh: SOTA-Analyse SSH-Schlüssel & Rotation (für Frank, Michael, Christina)

[Klangschalen]

Worum geht's

Eine verständliche SOTA-Analyse zu SSH-Schlüsseln und Schlüssel-Rotation, ausgelöst durch zwei Fragen aus dem Team:

1. Was bedeutet „SSH rotieren" eigentlich, und worin unterscheidet sich das von dem, was wir jetzt machen?
2. Michael nutzt SSH für viele Systeme (Schnittstellen u. a.) — welche Techniken gibt es und was ist der Unterschied?

Hintergrund: PR #64 in security-scanner-laravel gibt dem CISA-KEV-Scanner einen SSH-Lesezugang. Das ist ein guter Anlass, das Thema einmal sauber für alle aufzuschreiben.

Inhalt

security/ssh/2026-05-31-ssh-schluessel-sota.md (+ HTML-Version, gleicher Inhalt, schön gestaltet):

• Teil 1: Was ist SSH? — für absolute Einsteiger (privater vs. öffentlicher Schlüssel, mit Analogie Schloss/Schlüssel)
• Teil 2: Ist-Zustand — Scanner-Schlüssel + Michaels Generalschlüssel, inkl. dem versteckten Risiko („nur-lesend" ist aktuell nur Code-Vereinbarung, nicht vom Server erzwungen)
• Teil 3: Was „rotieren" bedeutet (Hotel-Türcode-Analogie) und warum
• Teil 4: Techniken im Vergleich — ein Schlüssel für alles → Schlüssel pro Zweck → eingeschränkter Schlüssel (forced command) → Rotation → SSH-Zertifikate
• Teil 5: Bezug zum neuen Scanner
• Teil 6: Empfehlung mit ICE-Bewertung + konkreter nächster Schritt für Michael
• Glossar

Empfehlung in einem Satz: ein eigener, per forced command auf ein Lese-Skript eingeschränkter Scanner-Schlüssel (Least Privilege) — getrennt vom Generalschlüssel; Rotation quartalsweise; SSH-Zertifikate später, wenn wir wachsen.

Hinweis

Die Doku enthält bewusst keine echten Schlüssel oder Geheimnisse — nur Konzepte, Beispiel-Platzhalter (AAAA...) und Abläufe. Adressaten: Frank, Michael, Christina.

Draft zum Gegenlesen.

---

Generated by Claude Code