Die Herausforderung

Arpio ist die einzige Cloud-native, automatisierte Disaster-Recovery-Plattform für AWS und Azure. Arpio wurde für moderne, Cloud-native Workloads entwickelt und bietet Disaster Recovery per Mausklick für das Cloud-Zeitalter. Mit einem schlanken 12-köpfigen Engineering-Team, das ein 30-Personen-Unternehmen unterstützt, zählt jede Ressourcenentscheidung, und Sicherheit war schon immer fester Bestandteil der Arbeitsweise des Teams.

Anfang 2025 ergab sich eine große Enterprise-Chance mit einem Haken. Der Interessent verlangte von Arpio die Erfüllung der FedRAMP-Anforderungen, bevor er fortfahren konnte – insbesondere FIPS 140-Compliance, verifizierte kryptografische Module, Software Bill of Materials (SBOMs) und Herkunftsnachweise – und das innerhalb eines einzigen Quartals.

Sie wussten, dass sie sich um die Compliance kümmern mussten, waren sich aber nicht sicher, ob sie dies innerhalb der vorgegebenen Zeit allein bewältigen sollten. Wie Shaw Terwilliger, Mitgründer und CTO, es ausdrückte: „Geben Sie mir ein Jahr, und ich kann NIST 800 problemlos abbilden. Aber bei einem so schnellen Vorgehen, bei dem der Kunde sagte, man müsse sich an unsere internen Anforderungen und die der Kunden unserer Kunden anpassen, war das Unbekannte real. Wir wussten, dass wir uns auf einen Partner verlassen könnten, der dies bereits ausgearbeitet hatte, um die fehlenden Teile zu liefern, deren Eigenentwicklung in diesem Zeitrahmen zu riskant gewesen wäre.“

Die Lösung

Arpio handelte schnell, um einen Partner zu finden, der FIPS 140-konforme Images, SBOMs und Herkunftsnachweise liefern konnte, ohne dass das Engineering-Team Komponenten zusammenfügen oder Compliance-Prozesse von Grund auf neu aufbauen musste. Chainguard Containers erfüllte alle Anforderungen.

Das Lizenzmodell machte es Arpio leicht, dieselben Images in jeder Umgebung zu verwenden, von der lokalen Entwicklung bis zur Produktion. Für ein kleines Team, das eine komplexe Multi-Umgebungs-Architektur verwaltet, war diese Konsistenz wichtig. Wie Shaw erklärte: „In unserem Geschäft müssen wir Sicherheit von Ende zu Ende liefern.“

Innerhalb weniger Tage nach dem ersten Zugriff hatte das Team seinen ersten Commit mit Chainguard Containers durchgeführt und sie kurz darauf in die Produktion übertragen. Innerhalb von 30 Tagen lief Chainguard unter jeder Lambda-Funktion und jedem Amazon ECS-Container auf der gesamten Plattform, einschließlich des Codes, der in Kundenumgebungen bereitgestellt wurde. Dies gab Arpio eine einheitliche Möglichkeit, Sicherheitspatches für die eigenen Systeme und die Konten der Kunden in einem einzigen Prozess bereitzustellen. Ohne dies hätte das Einspielen eines Fixes in Kundenumgebungen jedes Mal, wenn eine Schwachstelle gefunden wurde, einen manuellen Prozess für jedes Konto bedeutet.

Nachdem Arpio den Enterprise-Deal gewonnen hatte, traf das Team die bewusste Entscheidung, FIPS-konforme Images für das gesamte Produkt zu standardisieren, nicht nur für den Kunden, der dies verlangt hatte. Shaw reflektierte: „Es ist schön, auf einer Standardplattform zu normalisieren. Wenn ein Kunde FIPS-Compliance verlangt, können wir ohne Anpassungen liefern.“

Die Ergebnisse

Ein großer Enterprise-Deal, gewonnen ohne Personalaufstockung

Das unmittelbarste Ergebnis des Einsatzes von Chainguard Containers? Arpio hat den Enterprise-Kunden gewonnen. Was als Compliance-Sprint mit hohem Einsatz und engem Zeitplan begonnen hatte, entwickelte sich zu einem wiederholbaren Teil der Go-to-Market-Strategie von Arpio. FIPS 140-Compliance, einst eine spezifische Kundenanforderung, ist jetzt Standard auf der gesamten Plattform und ermöglicht es Arpio, Kunden zu unterstützen, die Verschlüsselung für sensible Daten der US-Regierung verwenden.

Shaw schätzte, dass die Aufrechterhaltung eines selbst entwickelten FIPS- und NIST 800-Compliance-Programms eine Personalaufstockung um etwa 10 % erfordert hätte – ein oder zwei Senior-Ingenieure, deren Zeit vollständig von der Produktentwicklung abgezogen worden wäre. Und die Einstellung unter Zeitdruck birgt ihre eigenen Risiken: Für ein kleines Unternehmen hätte die schnelle Einstellung von erfahrenen Mitarbeitern die Wirtschaftlichkeit des Deals weitaus weniger günstig gemacht.

„Was Chainguard Arpio geliefert hat, war Skalierbarkeit. Anstatt ein oder zwei sehr erfahrene Ingenieure einzustellen, können wir konforme Umgebungen liefern und gleichzeitig die Plattformfunktionen weiter ausbauen. Dies geht über die anfängliche Implementierung hinaus bis hin zur laufenden Wartung des Compliance-Standards“, erklärte er und merkte an, dass die Verwaltung kryptografischer Module, das Patchen und die Software Bill of Materials wahrscheinlich die volle Aufmerksamkeit eines Ingenieurs in Anspruch nehmen würden.

Die Freiheit, in Container zu wachsen

Wie die Organisationen, die sie bedienen, hat Arpio seine Architektur stetig mehr in Richtung Container verlagert, und Chainguard hat diesen Wechsel aus Compliance-Sicht einfacher zu verwalten gemacht. Während die Plattform über Lambda-Funktionen hinaus in Richtung komplexerer Compute-Umgebungen wächst, ist die Schwachstellenverwaltung auf Betriebssystemebene, das Patchen und die Konfigurationsarbeit, die normalerweise eine Compliance-Belastung darstellen würden, weitgehend abgedeckt. Und da Chainguard diese Ebene zuverlässig handhabt, muss das Engineering-Team nicht darüber nachdenken. Arpio baut seine Container-Images dutzende Male am Tag von Grund auf neu, und der Prozess funktioniert einfach.

Shaw erklärte: „Wir können sagen, dass ein großer Teil unserer Betriebssystemkonfiguration, Patch- und Schwachstellenverwaltung von Chainguard abgedeckt wird und unsere Anwendung darüber liegt. Es ist die Flexibilität, unser Geschäft auszubauen, ohne viel mehr Compliance-Komplexität und Arbeit hinzuzufügen.“

Schnellere Verkaufszyklen und Kundenvertrauen

Die Compliance-Grundlage, die Chainguard bietet, hatte Auswirkungen darauf, wie das Go-to-Market-Team von Arpio mit Sicherheitsfragebögen umgeht und wie Kunden reagieren, wenn Chainguard im Gespräch erwähnt wird. Sicherheitsfragebögen werden schneller bearbeitet, und der Ruf von Chainguard kommt bei den Kunden gut an.

Wie Shaw mitteilte: „Chainguard hat einen hervorragenden Ruf. Ich habe mehreren Kunden gesagt: ‚Ich bin stolz darauf, sagen zu können, dass wir Chainguard verwenden, um unsere Images zu sichern.‘ Wenn Sie versuchen, Ihre Sicherheitslage zu kommunizieren, macht es den ganzen Unterschied, auf einen vertrauenswürdigen, anerkannten Marktführer in diesem Bereich verweisen zu können. Kunden verstehen sofort unseren Sicherheitsansatz und die Standards, die wir uns selbst setzen.“

Wie geht es weiter

Arpio steht bei Chainguard erst am Anfang. Das Team arbeitet daran, Chainguard Libraries für Python- und npm-Abhängigkeiten einzuführen, um die gleiche Sicherheitsgrundlage, die es auf Betriebssystemebene bietet, auch auf seine Open-Source-Pakete zu übertragen.