Betriebsvarianten und Schutz Ihrer Daten

Unveröffentlichte Ergebnisse sind das Wertvollste, was Forschende haben. MES.Plot gibt es deshalb in mehreren Varianten – von „einfach im Browser loslegen“ bis „läuft nur auf meinem Rechner und kann nachweislich nichts nach außen senden“. Alle Varianten haben dieselben Auswertungen und erzeugen dieselben Abbildungen; sie unterscheiden sich nur darin, wo MES.Plot läuft und wer die Daten technisch sehen könnte.

Stand: MES.Plot ist in Entwicklung. Bei jeder Variante steht, was es heute gibt und was geplant ist. Geplantes ist als solches markiert und kann sich bei der Umsetzung noch ändern.

Inhalt

1. Überblick: die Varianten auf einen Blick
2. MES.Plot Cloud
3. MES.Plot Cloud mit Verschlüsselung
4. Tresor-Projekte mit zusätzlicher PIN
5. MES.Plot in der eigenen Umgebung
6. Lokale Anwendung – für die ganz Vorsichtigen
7. Welche Variante passt zu mir?
8. Was in allen Varianten gilt
9. Begriffe

1. Überblick: die Varianten auf einen Blick

Die Varianten bauen aufeinander auf: Jede Stufe schützt gegen alles, wogegen die vorige schützt, und zusätzlich gegen etwas Weiteres.

Wogegen welche Variante schützt

2. MES.Plot Cloud

Für wen: alle, die einfach loslegen wollen – Studierende, Doktorandinnen und Doktoranden, Gruppen, die gemeinsam an Abbildungen arbeiten.

So funktioniert es: Sie öffnen MES.Plot im Browser, melden sich an und laden Ihre Enrichr-Datei hoch. MES.Plot speichert die Datei unverändert, rechnet die Grafiken auf dem Server und schickt sie als Vektorgrafik an Ihren Browser. PNG und TIFF erzeugt Ihr Browser selbst.

Was Sie bekommen

• Nichts installieren, auf jedem Rechner mit Browser nutzbar.
• Projekte speichern, Abbildungen für die Revision wieder öffnen; Projekte mit Kolleginnen und Kollegen teilen (Teilen ist geplant).
• Updates und Sicherungen übernimmt MES.

Schutz

• Server in der EU (Deutschland bzw. Österreich), Verbindung immer verschlüsselt (HTTPS).
• Jedes Projekt gehört einer Person bzw. Organisation; andere Nutzer sehen es nur, wenn es geteilt wurde.
• Administratoren verwalten Konten, sehen aber keine Projekte – das ist schon heute so umgesetzt.
• Dateien werden nur für die Grafiken verwendet: keine Auswertung durch MES, kein KI-Training, keine Weitergabe.
• Ohne Konto (Demo-Zugang) liegen Daten nur im Arbeitsspeicher und sind nach 60 Minuten ohne Nutzung gelöscht.

Grenze: Ohne die Verschlüsselung der nächsten Stufe liegen die Dateien im Klartext in der Datenbank. Wer die Datenbank oder eine Sicherung in die Hände bekäme, könnte sie lesen. Deshalb ist Stufe 1 der Verschlüsselung für den öffentlichen Betrieb fest eingeplant.

Stand: Web-App mit Konten, Projekten und Datenbank gibt es. Der öffentliche Betrieb auf eigenen Servern ist geplant.

3. MES.Plot Cloud mit Verschlüsselung (Stufe 1)

Für wen: automatisch für alle Projekte in der Cloud – Sie müssen nichts tun.

So funktioniert es

1. Jedes Projekt bekommt einen eigenen Schlüssel. Damit werden seine Dateien verschlüsselt gespeichert.
2. Dieser Projektschlüssel wird selbst wieder verschlüsselt, mit einem Hauptschlüssel.
3. Der Hauptschlüssel liegt nicht auf dem MES.Plot-Server, sondern bei einem getrennten Schlüsseldienst. MES.Plot fragt ihn nur in dem Moment an, in dem Sie ein Projekt öffnen.
4. Sicherungen (Backups) werden zusätzlich getrennt verschlüsselt.

Man kann es sich wie ein Bankschließfach vorstellen: Die Bank (MES.Plot-Server) verwahrt die Kassette, der Schlüssel dazu liegt aber in einem anderen Gebäude (Schlüsseldienst).

Schützt gegen: eine gestohlene Festplatte, eine kopierte Datenbank oder eine verlorene Sicherung – darin steht nur Unlesbares.

Schützt nicht gegen: jemanden, der den laufenden MES.Plot-Server und den Schlüsseldienst gleichzeitig unter Kontrolle hat. Dafür gibt es den Tresor mit PIN.

Stand: geplant für den öffentlichen Betrieb.

4. Tresor-Projekte mit zusätzlicher PIN (Stufe 2)

Für wen: besonders sensible Projekte – etwa Daten, die unter eine Geheimhaltungsvereinbarung fallen, Patente, klinische Kooperationen. Pro Projekt wählbar.

So funktioniert es

• Beim Anlegen eines Tresor-Projekts wählen Sie eine PIN. Der Schlüssel des Projekts entsteht aus dem Serverschlüssel und Ihrer PIN. Ohne PIN kann ihn niemand berechnen – auch MES nicht.
• Die PIN geben Sie einmal je Sitzung ein. Der entschlüsselte Schlüssel liegt danach nur im Arbeitsspeicher und wird beim Abmelden oder nach 30 Minuten Pause verworfen.
• Die PIN wird nirgends gespeichert. Der Schlüsseldienst lässt nur 10 Fehlversuche zu; danach ist das Projekt gesperrt. So lässt sich die PIN auch mit gestohlenen Serverdaten nicht einfach durchprobieren.

Schützt zusätzlich gegen: Zugriff durch MES ohne Ihre Mitwirkung und den gleichzeitigen Diebstahl von MES.Plot-Server und Schlüsseldienst.

Was geschützt ist und was nicht: Die PIN schützt Ihre Dateien (die eigentlichen Forschungsdaten). Projektname und Abbildungs-Einstellungen bleiben auf Stufe 1 – damit Sie bei vergessener PIN nichts außer den Dateien verlieren.

PIN vergessen?

• Sie haben Ihre Originaldateien ja noch. Nach dem Festlegen einer neuen PIN laden Sie die Dateien erneut hoch. MES.Plot erkennt sie am Fingerabdruck (SHA-256-Prüfsumme) und alle gespeicherten Abbildungen funktionieren wieder.
• Optional gibt es eine Notfall-Kopie des Schlüssels, verschlüsselt mit einem Wiederherstellungsschlüssel, der offline bei MES liegt (auf keinem Server). Sie wird nur nach Prüfung Ihrer Identität verwendet, jeder Zugriff wird protokolliert und Sie werden informiert. Wer das nicht möchte, schaltet die Notfall-Kopie ab – dann kann wirklich niemand außer Ihnen die Dateien öffnen.

Teilen: Wer ein Tresor-Projekt mitbearbeiten soll, braucht die PIN. Geben Sie sie auf einem anderen Weg weiter als den Einladungslink (z. B. persönlich oder per Telefon).

Stand: geplant. Ausblick (Stufe 3, langfristig): Die Grafiken werden direkt im Browser berechnet; dann sieht auch der laufende Server Ihre Daten nie unverschlüsselt.

5. MES.Plot in der eigenen Umgebung

Für wen: Institute, Core Facilities, Kliniken und Firmen, deren Richtlinien verlangen, dass Forschungsdaten das eigene Netz nicht verlassen – oder die MES.Plot allen Mitarbeitenden zentral anbieten wollen.

So funktioniert es: Ihre IT betreibt MES.Plot selbst – auf einem Server im Haus („on premises“) oder im eigenen Cloud-Konto des Instituts (z. B. Azure, AWS, eine Uni-Cloud). MES liefert die Software, hat aber keinen Zugang zur Installation und sieht keine Daten.

Was Sie bekommen

• Dieselbe Web-App wie in der Cloud, mit Konten, Projekten und Teilen – innerhalb Ihrer Installation.
• Datenbank nach Wahl: SQLite (eine Datei, für kleine Installationen), Microsoft SQL Server oder PostgreSQL. Das unterstützt MES.Plot schon heute.
• Ihre eigenen Sicherheitsregeln: Firewall, Verschlüsselung der Festplatten, Sicherungen, Zugriff nur aus dem Institutsnetz oder per VPN – alles in der Hand Ihrer IT.
• Anmeldung mit eigenen Konten; Anmeldung über die Uni-Anmeldung (Entra ID, eduGAIN) ist vorbereitet.

Installation

• Docker-Paket (geplant, empfohlen): ein fertiges Image plus eine Beispiel-Konfiguration. Start mit einem Befehl, Update mit docker compose pull. Läuft auf jedem Linux-Server und in jeder Cloud, die Container ausführen kann.
• Klassisch (heute schon möglich): MES.Plot ist eine ASP.NET-Core-Anwendung (.NET 10) und läuft unter Linux und Windows, z. B. hinter IIS, nginx oder Apache. Beim ersten Start führt eine Einrichtungsseite durch Datenbankwahl und ersten Administrator.

Was Ihre IT beachten sollte

• MES.Plot hinter HTTPS betreiben (eigenes Zertifikat oder das des Instituts).
• Den Ordner App_Data sichern: Er enthält Einstellungen, die Schlüssel für die Anmelde-Cookies und – bei SQLite – die Datenbank.
• Ausgehende Verbindungen braucht MES.Plot nicht. Sie können sie in der Firewall komplett sperren.

Stand: heute schon manuell installierbar. Docker-Paket, Uni-Anmeldung und Lizenzmodell für Installationen beim Kunden sind geplant.

6. Lokale Anwendung – für die ganz Vorsichtigen

Für wen: alle, die sicher sein wollen, dass ihre Daten ihren Rechner nie verlassen – auch nicht verschlüsselt, auch nicht zu MES. Typisch: Abschlussarbeiten mit vertraulichen Daten, Industriekooperationen, Arbeiten auf Reisen ohne Netz, oder einfach ein gutes Gefühl.

So funktioniert es: MES.Plot läuft als Docker-Container auf Ihrem eigenen Rechner (Windows, macOS oder Linux). Sie öffnen es im Browser unter http://localhost:8080. Der Browser spricht nur mit Ihrem eigenen Rechner; Projekte werden in einem Ordner auf Ihrem Rechner gespeichert.

„Telefoniert nie nach Hause“ – und wie wir das sicherstellen

MES.Plot sendet keine Daten nach außen: keine Nutzungsstatistik, keine Fehlerberichte, keine Update-Prüfung, keine Schriften oder Skripte aus dem Internet. Weil Sie sich darauf nicht einfach verlassen sollen, ist das dreifach technisch abgesichert:

1. Abgeschottetes Netz. Der MES.Plot-Container hängt an einem Docker-Netz ohne Verbindung nach außen. Davor sitzt ein kleiner Standard-Webserver (nginx), der nur die Verbindung von Ihrem Browser zu MES.Plot weiterreicht. Selbst wenn MES.Plot es versuchen würde – es gibt technisch keinen Weg ins Internet. Das steht offen lesbar in der mitgelieferten Datei docker-compose.yml.
2. Browser-Sperre. MES.Plot schickt Ihrem Browser eine Sicherheitsregel (Content Security Policy) mit, die der MES.Plot-Seite jede Verbindung zu anderen Servern verbietet. Der Browser setzt das durch.
3. Prüfung bei jeder Version. Bevor eine Version veröffentlicht wird, läuft automatisch ein Test, der MES.Plot ganz ohne Netzwerk startet, eine Datei lädt, alle Auswertungen rechnet und exportiert. Braucht dabei irgendetwas das Internet, wird die Version nicht veröffentlicht.

Selbst nachprüfen

Sie müssen uns nicht glauben – Sie können es prüfen:

• Netz kappen: WLAN ausschalten oder Netzwerkkabel ziehen. MES.Plot funktioniert vollständig weiter.
• Vom Container aus nach draußen versuchen: Ein Befehl in der Anleitung versucht aus dem MES.Plot-Container eine beliebige Internetadresse zu erreichen – das schlägt fehl.
• Mitschauen: Mit einer Firewall wie Little Snitch (macOS), GlassWire (Windows) oder tcpdump (Linux) sehen Sie, dass keine Verbindung nach außen aufgebaut wird.
• Inhalt prüfen: Zu jedem Image gibt es eine Stückliste aller Bestandteile (SBOM) und eine Signatur, mit der Sie prüfen, dass Sie genau das Image von MES geladen haben.

Was Sie brauchen

• Docker Desktop (Windows, macOS) bzw. Docker (Linux). Unter Windows richtet Docker beim ersten Mal WSL2 ein und verlangt einen Neustart; dafür sind Administratorrechte nötig – am eigenen Rechner meist kein Problem. Docker Desktop ist für Ausbildung, Privatnutzung und kleine Firmen kostenlos; größere Firmen brauchen ein Docker-Abo oder eine kostenlose Alternative wie Podman oder Rancher Desktop.
• Etwa 1–2 GB freien Arbeitsspeicher, solange MES.Plot läuft.

Installieren und starten (geplant, Beispiel)

1. Docker Desktop installieren und starten.
2. Die Datei docker-compose.yml von der MES.Plot-Website herunterladen und in einen Ordner legen, z. B. MES.Plot.
3. In diesem Ordner ein Terminal öffnen und starten:

   docker compose up -d
   

4. Im Browser http://localhost:8080 öffnen. Ohne Anmeldung – es ist ja Ihr Rechner.

Beenden mit docker compose down, aktualisieren mit docker compose pull und erneutem Start. Ihre Projekte liegen in einem Docker-Volume bzw. Ordner und bleiben bei Updates erhalten. Ohne Terminal geht es auch über die Oberfläche von Docker Desktop; die Anleitung zeigt beide Wege mit Bildern.

Grenzen

• Kein Teilen über MES.Plot: Zusammenarbeit läuft über das Weitergeben von Dateien bzw. exportierten Projekten.
• Sicherung ist Ihre Sache: Sichern Sie den MES.Plot-Ordner zusammen mit Ihren übrigen Daten.
• Updates kommen nicht von selbst – MES.Plot prüft absichtlich nicht, ob es eine neue Version gibt. Neue Versionen kündigen wir auf der Website an.
• Die Sicherheit Ihres Rechners selbst (Virenschutz, Festplattenverschlüsselung, Bildschirmsperre) liegt bei Ihnen. Wir empfehlen, die Festplattenverschlüsselung (BitLocker bzw. FileVault) einzuschalten.

Stand: geplant. Eine Variante als Programm zum Doppelklicken ganz ohne Docker ist möglich, falls sich zeigt, dass die Docker-Installation zu viele abschreckt.

7. Welche Variante passt zu mir?

Die Varianten schließen sich nicht aus: Exportierte Abbildungen sind überall gleich, und Abbildungs-Einstellungen lassen sich zwischen den Varianten mitnehmen: Ein Projekt wird als ZIP exportiert (Öffnen … → ZIP oder Exportieren → Projekt als ZIP) und in der anderen Variante mit Öffnen … → Projekt importieren wieder angelegt.

8. Was in allen Varianten gilt

• Ihre Dateien bleiben unverändert. MES.Plot speichert die Enrichr-Datei so, wie Sie sie hochgeladen haben, und rechnet jede Abbildung daraus neu. Gespeicherte Abbildungen enthalten Einstellungen, keine Bilder.
• Keine Nutzung Ihrer Daten für andere Zwecke – keine Auswertung, kein KI-Training, keine Weitergabe.
• Keine Cookies zu Werbe- oder Analysezwecken, kein Tracking, keine externen Schriften oder Skripte. Die Website und die App laden alles vom eigenen Server.
• Administratoren sehen keine Projekte, nur Konten.
• Alles exportierbar und löschbar: Jedes Projekt lässt sich als ZIP herunterladen – Originaldateien unverändert, Abbildungen mit allen Einstellungen und alle Angaben als JSON, dazu eine Beschreibung des Formats. Das Format ist offen und auch ohne MES.Plot lesbar. Beim Löschen eines Kontos in der Cloud verschwinden auch die Sicherungen nach 30 Tagen.
• Gleiche Ergebnisse überall: Die Berechnung ist in allen Varianten derselbe Programmcode und deterministisch.

9. Begriffe