Versionshinweise

Was jede Version von DuoKey Cockpit v2 bringt, von der ersten Produktionsversion bis zur neuesten.

Gilt für:

Cockpit v2

Diese Seite fasst jede Produktionsversion des DuoKey Cockpit auf hoher Ebene zusammen. Die neueste Version steht zuerst. Änderungen, die bestehendes Verhalten verändern, sind in jeder Version unter Verhaltensänderungen aufgeführt.

Version	Veröffentlicht	Schwerpunkt
2.0.9	11. Oktober 2026	DKE-Bezeichnungen folgen der Schlüsselrotation, CA des SMTP-Relays in den Einstellungsformularen
2.0.8	9. Oktober 2026	Stabile DKE-Label-URL und Schlüsselhistorie, Erweiterungen für Secure Folders und S/MIME, OpenPGP-Import
2.0.7	6. Oktober 2026	AND/OR-Zugriffsrichtlinien, Vault-Health-Monitoring, private On-prem-Ziele
2.0.5 / 2.0.6	6. Oktober 2026	Secure Folders, DKE Mail Quarantine, verwaltetes S/MIME, Merkle Tree CA, FileVault
2.0.4	24. September 2026	OpenTelemetry-Tracing, erweiterte CPM-Erkennung
2.0.3	10. September 2026	Verbindungsdiagnose für On-prem
2.0.2	9. September 2026	Saudi-arabische Compliance-Frameworks, VictoriaLogs als SIEM-Ziel, F5 als Scan-Quelle
2.0.1	19. August 2026	Korrektur der Web-Frontend-Konfiguration
1.0.1 / 2.0.0	17. August 2026	CAP M365 Connector, weitere Ziele für die Zertifikatsbereitstellung, Audit-Härtung
1.0.0	9. August 2026	Erste Produktionsversion

Versionsnummern

2.0.0 ist derselbe Build wie 1.0.1, und 2.0.6 derselbe Build wie 2.0.5. Dort wurde nur die Versionsnummer geändert.

2.0.9

Veröffentlicht: 11. Oktober 2026

• DKE: Bezeichnungen, die einen Schlüssel benennen, folgen einer Rotation. Eine Vertraulichkeitsbezeichnung, deren URL noch einen Schlüssel benennt (/dke/{key_id}, die Form, die jede Bezeichnung bis 2.0.7 verwendete), verschlüsselt neue Dokumente nach einer Rotation nun mit dem aktuellen Schlüssel des Dienstes, ohne Änderung an der Bezeichnung in Purview. Der ausrotierte Schlüssel bleibt für die Dokumente, die ihn verwenden, nur zum Entschlüsseln verfügbar.
• DKE: Schlüssel umbenennen. Das Umbenennen eines Schlüssels hinterlässt den alten Namen nicht mehr am DKE-Dienst, weder für den aktuellen noch für ausrotierte Schlüssel. URLs enthielten nie den Schlüsselnamen, daher ging nichts kaputt.
• SMTP: CA-Zertifikat des Relays in den Formularen. Bei aktiviertem TLS nehmen Host-Einstellungen → E-Mail / SMTP und Benachrichtigungen → SMTP-Einstellungen ein CA-Zertifikat (PEM) für ein Relay entgegen, dessen Zertifikat aus einer privaten PKI stammt. Es gilt nur für dieses Relay, ohne Neustart.
• Einstellungen. Der Mandanten-Tab E-Mail / SMTP zeigt nun das echte Formular. Die Tabs Allgemein, LDAP und Rechnung wurden entfernt: Sie speicherten nichts. Die Rechnungsdaten bleiben unter Abonnement → Rechnungsprofil.

Verhaltensänderungen

• Nach einer Rotation verschlüsselt eine Bezeichnung, die noch /dke/{key_id} enthält, mit dem neuen Schlüssel. Ein außer Dienst gestellter Schlüssel oder ein Schlüssel, den der Dienst nie bereitgestellt hat, antwortet weiterhin mit 404.

2.0.8

Veröffentlicht: 9. Oktober 2026

• DKE: stabile Label-URL. Die Label-URL lautet nun /dke/{slug}. Sie benennt den Dienst, nicht einen Schlüssel, sodass eine Schlüsselrotation keine neue Bezeichnung mehr erfordert.
• DKE: Schlüsselhistorie pro Dienst. Ein ausrotierter Schlüssel bleibt nur zum Entschlüsseln verfügbar, bis ein Administrator ihn außer Dienst stellt. Ein außer Dienst gestellter Schlüssel kann wiederhergestellt werden. Die Dienstseite zeigt die Label-URL und die Schlüsselhistorie.
• Secure Folders. Persistente Verschlüsselung, Ordnerverantwortliche und Vier-Augen-Prinzip, externe Freigabe und Schlüsselexport. Programmen kann aufgrund ihrer Identität vertraut werden, und Start-Brokering sowie UI-Isolation werden zu Ordnerrichtlinien. Ein Zugriffsjournal zeichnet Dateizugriffe auf. Die Versiegelung verwendet hybride Post-Quanten-Kryptografie. Der Windows-Agent ist zudem für Configuration Manager (SCCM / MECM) paketiert.
• S/MIME. Externe Korrespondenten und ein Portal zur Hinterlegung öffentlicher Schlüssel. Das Key Escrow wird mit einem Schlüssel aus dem Vault des Mandanten versiegelt.
• OpenPGP. Import privater Schlüssel und Keyrings, um einen bestehenden OpenPGP-Bestand zu migrieren.
• Merkle Tree CA. An Entwurf 07 der IETF-Spezifikation angepasst (IANA-Kennungen pro CA).
• SIEM. Benannte Aktivitätsereignisse und das Zugriffsjournal von Secure Folders werden weitergeleitet. Splunk- und Elastic-Ziele akzeptieren eine private CA, und ein Verbindungsfehler nennt seine Ursache.
• SMTP. NTLM-Authentifizierung für Relays, die nichts anderes anbieten (zum Beispiel ein Exchange-Empfangsconnector mit deaktivierter Basic-Authentifizierung). Klarere Authentifizierungsfehler. Den Benutzernamen als DOMAIN\user schreiben.
• DuoKey CPM. Das Kampagnenskript für URL-Listen erzeugt einen interaktiven Bericht (Filter, Länderkarte, Matrix Anwendung nach Land), überspringt nicht erreichbare Ziele nach 5 Sekunden und läuft weiter, wenn ein Agent-Aufruf in ein Timeout läuft.
• Agents. Jede ausgelieferte Agent-Binärdatei trägt ihre Versionsnummer.

2.0.7

Veröffentlicht: 6. Oktober 2026

• Zugriffsrichtlinien: AND oder OR über Regel-Tabs. Jede Richtlinie wählt nun, wie ihre Regel-Tabs (Benutzer, Gerät/IP, Standort, Zeit, Gruppen) kombiniert werden: Alle Tabs müssen zutreffen (All tabs must match (AND)) oder Ein Tab genügt (One tab is enough (OR)). Siehe Zugriffsrichtlinien.
• Vault-Health-Monitoring. Alle 5 Minuten prüft das Cockpit jeden aktiven Remote-Vault und protokolliert pro nicht erreichbarem Vault eine vault_unreachable-Fehlerzeile, bereit für einen SIEM-Alarm, sowie eine vault_recovered-Zeile, wenn er wieder antwortet. Das Liveness-Panel der Vault-Seite zeigt nun diese gespeicherten Prüfungen (Verfügbarkeit, Latenz, Ausfallzeiträume) statt simulierter Werte. Siehe Vaults.
• On-prem: private Ziele. Eine bereitstellungsweite Allow-List erlaubt Connectors (Secret Stores, Identity Provider, Webhooks, Ticketing, Zertifikatsaussteller, SMTP), Systeme im privaten Netzwerk des Kunden zu erreichen. Siehe Cockpit-Konfiguration.
• On-prem: Binärdateien aus einem lokalen Verzeichnis. Ohne Objektspeicher liefert das Cockpit den Scanner-Agent, den HSM-Agent, die DLL des SQL-Server-EKM-Providers und die PKCS#11-Bibliothek aus einem lokalen Verzeichnis aus.
• Audit. Das Audit-Protokoll zeichnet die Fehlermeldung des Backends auf (zum Beispiel, warum ein DKE-Decrypt abgelehnt wurde), mit geschwärzten Secrets und auf 1000 Zeichen begrenztem Text.
• Terraform-Provider. Signierte Releases mit kundenseitiger Überprüfung. Er kann eine durch Zwei-Faktor-Authentifizierung geschützte SaaS-Plattform initialisieren.
• DuoKey CPM. Ein Kampagnenskript scannt eine lange URL-Liste mit dem Agent. Befunde geben an, ob es für ein Protokoll bereits einen Post-Quanten-Standard gibt, welche TLS-Bibliotheken die hybride Gruppe standardmäßig aushandeln, sowie Protokoll und Code-Umfang von Quellcode-Befunden.
• Branding. Benutzerdefiniertes CSS ist auf Theme-Tokens beschränkt.

Verhaltensänderungen

• Neue Zugriffsrichtlinien verwenden AND, sofern nicht OR gewählt wird, auch über die API, wenn die Einstellung fehlt. Bestehende Richtlinien bleiben auf OR, bis ein Administrator sie umstellt.
• Bereitstellungen, die die Audit-Detailstufe nie gesetzt haben, zeichnen nun Fehlermeldungen in Audit-Zeilen auf (Stufe Standard). Wählen Sie Minimal unter Einstellungen → Audit, um dies abzuwählen.
• Das Cockpit ruft nun für die Health-Prüfung alle 5 Minuten jeden aktiven Remote-Vault auf (Cloud-KMS eingeschlossen). Der Job kann unter Administration → Geplante Jobs (Scheduled jobs) pausiert werden.

2.0.5 / 2.0.6

Veröffentlicht: 6. Oktober 2026

• Secure Folders (neu). Verschlüsselte Ordner, verwaltet aus dem Cockpit, mit einem Windows-Agent, einem macOS-Client und einem Intune-Paket für den Windows-Agent.
• DKE Mail Quarantine (neu). Schützt bereits in Exchange-Online-Postfächern gespeicherte E-Mails mit einer DuoKey-DKE-Vertraulichkeitsbezeichnung: Nachrichten, die älter als ein gewähltes Alter sind, werden als geschützte E-Mails neu geschrieben, Anhänge eingeschlossen, und das Klartext-Original wird in einen versteckten Quarantäneordner verschoben. Ein kundenseitiger Agent erledigt die Arbeit, gesteuert aus dem Cockpit.
• Verwaltetes S/MIME (neu). Zertifikate pro Benutzer, Key Escrow und Schlüsselwiederherstellung, Auslieferung über Intune.
• Merkle Tree CA (neu). Merkle Tree Certificates (IETF-Entwurf) mit einem Ausstellungsprotokoll, Checkpoints und Landmarks.
• Festplattenverschlüsselung. FileVault mit Escrow des Wiederherstellungsschlüssels.
• DuoKey CPM. Krypto-Assets werden scanübergreifend dedupliziert, und ein Asset, das an derselben Stelle durch einen neueren Scan ersetzt wurde, gilt als erledigt. Ein Scanner-Agent kann sein Ergebnis als regulären Scan hochladen. Quellcode-Scans finden Algorithmen, die über JOSE- und XML-DSig-Kennungen benannt werden, und melden, wo Code Zertifikate verarbeitet oder TLS für ein anderes System aktiviert.
• Vanta. Benutzerdefiniertes Framework Quantum Readiness und benutzerdefinierte Ressourcen.
• Anmeldung. Das Entsperren einer inaktiven SSO-Sitzung funktioniert mit TOTP oder Windows Hello.
• Korrekturen. Die Zugriffsrichtlinie eines DKE-Dienstes kann entfernt werden, und eine ungültige wird sauber abgelehnt. Die Seite zum Bearbeiten von Schlüsseln ist wiederhergestellt. Health-Prüfungen sind begrenzt, wenn der Cache ausgefallen ist. Von Administratoren verfasstes E-Mail-HTML wird bereinigt. On-prem-Bereitstellungen können private SMTP-Relays per Allow-List freigeben.

Verhaltensänderungen

• Beim nächsten Quellcode-Scan sind mehr quantenanfällige Befunde zu erwarten: JWT- und SAML-Bibliotheken, die RSA oder ECDSA wählen, werden nun mitgezählt. Befunde in Test- und Beispielcode sinken auf Info.

2.0.4

Veröffentlicht: 24. September 2026

• Observability. OpenTelemetry-Tracing über OTLP/HTTP und JSON-Logs, mit Spans für Vaults, Secret Manager, Dienste, Anmeldung und Hintergrundjobs, dienstübergreifend propagiert.
• DuoKey CPM. STARTTLS und jeder TLS-Port können über die CLI, die REST-API und MCP gescannt werden. Neu: eine agentenlose Flotteninventur, ein deterministisches CBOM, Service-Fingerprinting bei der Erkennung, passive Analyse von 11 Klartextprotokollen, ein Audit der Windows-NTLM-Richtlinie, nmap-XML-Import und ein Scan-Vergleich. Weitere Sprachen (Ruby, PHP, Swift, Kotlin, Zig) und Abhängigkeits-Ökosysteme (darunter Go und Conan), Bewertung der TLS-Konfiguration von nginx und Apache, NIS2- und DORA-Zuordnungen sowie Erkennung der DNSSEC-Zonensignierung mit ML-DSA-44.
• Secrets. Die verbleibenden gespeicherten Anmeldedaten werden in das konfigurierte Secret-Backend verschoben.
• Splunk. Die App DuoKey Cockpit Security wird aus einer konfigurierten Integration heruntergeladen.
• Korrekturen. Der Sepior-Adapter verwendet AES-GCM. Der Schlüsselspeicher des Software Vault ist pro Mandant abgegrenzt. Der Schlüsselimport per Vault-Sync funktioniert. Die Aufschlüsselung des Quantum Risk Score ergibt den ausgewiesenen Wert. Antworten enthalten die Anfrage-ID.

2.0.3

Veröffentlicht: 10. September 2026

• Diagnose. Verbindungsfehler zu On-prem-Backends behalten ihre vollständige Ursache, sodass Fehler diagnostiziert werden können.

2.0.2

Veröffentlicht: 9. September 2026

• Compliance. Berichte sind auf Englisch, mit einem HTML-Export im Branding des Mandanten. Neue saudi-arabische Frameworks: NCA ECC-2, SAMA CSF und PDPL / NDMO. Ein Compliance-Bericht kann gelöscht werden.
• DuoKey CPM. F5 BIG-IP als Scan-Quelle. Eine Obergrenze für gleichzeitige Scans pro Mandant, festgelegt durch die Edition.
• SIEM. VictoriaLogs als Syslog-Ziel und Syslog über TLS.
• Splunk. Die App DuoKey Cockpit Security ist versioniert und paketiert.
• Korrekturen. Identity Provider, die nur der Provisionierung dienen, können nicht mehr zur Anmeldung verwendet werden. Ein Redis-Ausfall beim Start stoppt das Cockpit nicht mehr. Die integrierte Admin-Rolle kann zugewiesen werden. Korrekturen am Oracle-TDE-Bundle. Sicherheitsupdates von Abhängigkeiten.

2.0.1

Veröffentlicht: 19. August 2026

• Korrektur. Container-Konfiguration des Web-Frontends.

1.0.1 / 2.0.0

Veröffentlicht: 17. August 2026

• CAP M365 Connector. Ein OAuth-gebundener Vault-Schlüssel für SharePoint, Power Apps und Excel. Das Deaktivieren des Connectors widerruft seine Tokens.
• Vaults. Neuer Vault-Typ Managed Multi-Tenant MPC.
• Zertifikatsbereitstellung. Neue Ziele: Nginx, Java Keystore, Windows CAPI und Forcepoint NGFW. Connectors für F5, Fortinet und NetScaler gehärtet.
• PKI. Zertifikatsvorlagen greifen bei der Ausstellung. Die Registrierung des cert-manager-Issuers und sein Tab Zertifikate funktionieren durchgängig. ACME-Antworten verwenden absolute URLs. Die Registrierung per SCEP, CMP und EST wurde gehärtet.
• HSM-Agents. Abgegrenzte Erstellung von Richtlinien.
• DKE. Decrypt setzt Krypto-Kontrollrichtlinien durch und zeichnet den tatsächlichen Aufrufer im Aktivitätsprotokoll auf.
• Oracle TDE. Die PKCS#11-Bibliothek ist für Oracle Linux 7 (glibc 2.17) gebaut. Bundle-Korrekturen für Windows und Linux.
• AWS XKS. Agent-gestützte Vaults laufen über das HSM-Gateway, und Schlüsselabfragen werden auf dem Encrypt-/Decrypt-Pfad zwischengespeichert.
• Audit. Die Hash-Kette hält bei gleichzeitigen Schreibvorgängen. Aufbewahrungsbereinigungen laufen in Stapeln. Health-Probes bleiben aus dem Audit-Trail heraus. Ein Host-Administrator kann den Audit-Trail eines Mandanten löschen.
• Berechtigungen. Benutzer mit reiner Leseberechtigung sehen keine Bearbeiten- und Löschen-Schaltflächen mehr, und jede Route und jeder Menüeintrag prüft seine Berechtigung.

1.0.0

Veröffentlicht: 9. August 2026

Die erste Produktionsversion von Cockpit v2. Sie vereinte:

Bereich	Enthalten
Schlüssel und Vaults	Software Vault, DuoKey MPC KMS, Securosys, Sepior (Blockdaemon), On-prem-HSM-Agents, Cloud-KMS und externe Secret Manager
Integrationen	DKE 365, Oracle TDE, SQL Server EKM, Azure EKM, AWS XKS, Google CSE, KMIP, SaaS-BYOK- und DSPM-Apps, Crypto Agility Plane (CAP)
PKI	CA-Lebenszyklus, Registrierung per ACME, EST, SCEP und CMP, Zertifikatsbereitstellung (F5, Fortinet, NetScaler, Azure App Service, Entra ID App Proxy), ML-DSA- und Composite-(Hybrid-)Zertifikate, SSH-Zertifizierungsstelle
DuoKey CPM	Kryptografische Erkennung (Netzwerk, Quellcode, Abhängigkeiten, Agents), CBOM, Quantum-Risk-Score-Bericht, Compliance-Frameworks
Zugriff und Governance	RBAC mit Organisationseinheiten, ABAC-Zugriffsrichtlinien, Passkeys und MFA, Break-Glass-Super-Admin, hash-verketteter Audit-Trail, OWASP-ASVS-Dashboard
Automatisierung	MCP-Server mit Capability Packs, Integrationen für ServiceNow, Splunk und Vanta, Terraform-Provider

Frühere Versionen

Die früheren On-premise-Versionen der Cockpit Solution (1.4 und älter) haben eigene Hinweise: siehe OpenShift On-prem → Versionshinweise.

Siehe auch

• Cockpit-Überblick
• Zugriffsrichtlinien
• Bereitstellung