Infrastruktur · Virtualisierungs-Cluster · Hochverfügbarkeit
Ein Server fällt aus. Niemand merkt es.
Ausgangslage
Alle Anwendungen eines Betriebs liefen auf einem einzigen Server. Jeder Defekt und jedes größere Update bedeutete Stillstand, geplant am Wochenende oder ungeplant mitten am Tag.
Was wir umgesetzt haben
- Mehrere Server zu einem Verbund (Cluster) zusammengeschlossen, auf dem alle Systeme virtuell laufen
- Fällt ein Server aus, starten seine Systeme automatisch auf den übrigen neu
- Wartung im laufenden Betrieb: Systeme wandern vorher ohne Unterbrechung auf einen anderen Server
- Getrennte, doppelt ausgeführte Netze für Speicher, Verwaltung, Benutzer und Gäste
- Laufende Überwachung von Hardware, Speicher und Temperatur mit Alarm direkt an uns
Architektur in Kürze
- Benutzer und Anwendungen
- Cluster aus mehreren Servern
- Getrennte Netze für Speicher und Verwaltung
- Eigener Backup-Server
ErgebnisUpdates und Hardwaretausch passieren heute während der Arbeitszeit, ohne dass es jemand bemerkt. Ein Serverausfall ist kein Notfall mehr.
HochverfügbarkeitVirtualisierungLive-MigrationRedundanzMonitoring
Infrastruktur · Rechenzentrum · eigene Firewall-Zone
Das eigene Rechenzentrum, ohne fremde Cloud.
Ausgangslage
Ein Unternehmen wollte seine Anwendungen aus dem Büro ins Rechenzentrum verlagern. Ohne Daten an fremde Cloud-Anbieter zu geben und ohne die Kontrolle über sein Netz abzugeben.
Was wir umgesetzt haben
- Server im europäischen Rechenzentrum, auf dem alle Systeme virtuell laufen, mit eigener Firewall davor
- Mehrere öffentliche Adressen sauber zugeordnet, Anwendung, Datenbank und Verwaltung in getrennten Zonen
- Jeden Abend ein Sicherungsstand, dazu eine verschlüsselte Kopie in einem zweiten Rechenzentrum
- Eigener Mailfilter, durch den alle E-Mails der Anwendungen hinein und hinaus laufen
- Fernwartung über einen selbst betriebenen Server statt über Fremdanbieter
Architektur in Kürze
- Internet
- Firewall
- Getrennte Zonen für Anwendung, Datenbank und Verwaltung
- Backup-Server und Kopie außer Haus
ErgebnisKontrolle wie im eigenen Serverraum, Verfügbarkeit wie im Rechenzentrum. Jede Komponente ist dokumentiert.
VirtualisierungNetzwerksegmentierungVerschlüsselte Offsite-SicherungEigener Mailfilter
Infrastruktur · mehrere Standorte · Firewall und VPN
Mehrere Standorte. Ein Netz. Ein Regelwerk.
Ausgangslage
Zentrale, Außenstellen und Lager hatten eigene Internetanschlüsse, eigene Geräte und eigene Regeln. Daten wanderten per USB-Stick und E-Mail, der Fernzugriff lief über offene Ports.
Was wir umgesetzt haben
- An jedem Standort eine Firewall gleicher Bauart, zentral verwaltet
- Verschlüsselte Verbindungen (VPN) zwischen allen Standorten, mit Ausweichleitung bei Störung
- Ein gemeinsames Regelwerk: wer darf von wo aus auf welches System zugreifen
- Homeoffice und Außendienst nur über verschlüsselten Zugang mit zweitem Faktor
- Alle offenen Zugänge von außen geschlossen, Protokolle zentral gesammelt
Architektur in Kürze
- Außenstellen und Homeoffice
- Verschlüsselte Tunnel
- Zentrales Regelwerk
- Server und Anwendungen
ErgebnisJeder Standort arbeitet, als säße er in der Zentrale. Eine Übersicht für alles und kein offener Port mehr ins Internet.
FirewallStandortvernetzungAusfallsicherheitZentrale VerwaltungMehrfaktor-Anmeldung
Infrastruktur · Backup-Architektur · Wiederherstellung
Eine Sicherung, die auch ein Angreifer nicht löschen kann.
Ausgangslage
Die Datensicherung lag auf einem Speicher im selben Netz wie die Server. Ein Angreifer mit Administratorrechten hätte zuerst die Sicherung gelöscht und dann die Daten verschlüsselt. Ob sich überhaupt etwas wiederherstellen ließ, hatte nie jemand geprüft.
Was wir umgesetzt haben
- Eigener Backup-Server in einem abgeschotteten Netzbereich, mit eigenen Zugangsdaten
- Sicherungsstände, die für eine festgelegte Zeit weder verändert noch gelöscht werden können
- Verschlüsselte Kopie automatisch in ein zweites Rechenzentrum außer Haus
- Übertragen werden nur geänderte Daten, dadurch mehrere Sicherungsstände am Tag
- Regelmäßige Test-Wiederherstellungen, das Ergebnis steht im Monatsbericht
Architektur in Kürze
- Server und Postfächer
- Backup-Server im eigenen Netzbereich
- Unveränderliche Sicherungsstände
- Kopie im zweiten Rechenzentrum
ErgebnisSelbst wenn alles andere verloren wäre, liegen die Daten geschützt an zwei Orten. Die Wiederherstellung ist erprobt, nicht nur versprochen.
3-2-1-RegelUnveränderliche SicherungOffsite-ReplikationWiederherstellungstest
Sicherheit · E-Mail · eigener Filter-Verbund
Jede E-Mail geht zuerst durch unsere Kontrolle.
Ausgangslage
Phishing, gefälschte Rechnungen und Schadsoftware kommen fast immer per E-Mail. Die eingebauten Filter großer Anbieter ließen zu viel durch und zeigten kaum, warum.
Was wir umgesetzt haben
- Eigener Mailfilter auf mehreren Servern, durch den alle E-Mails hinein und hinaus laufen
- Prüfung von Absender, Signatur (SPF, DKIM, DMARC), Links und Anhängen, bevor eine Mail das Postfach erreicht
- Gefährliche Anhänge und Doppelgänger-Absender werden gestoppt, nicht bloß markiert
- Verschlüsselte Zustellung, die Angreifer nicht herabstufen können (MTA-STS)
- Nachvollziehbar für uns und den Kunden: was wurde wann und warum aufgehalten
Architektur in Kürze
- Internet
- Mailfilter-Verbund
- Prüfung von Absender, Links und Anhängen
- Postfach beim Kunden
ErgebnisGefälschte Mails werden aufgehalten, bevor jemand darauf klicken kann. Kommt doch einmal etwas durch, sehen wir sofort, wer sie noch bekommen hat.
Mail-SecuritySPF, DKIM, DMARCMTA-STSAnhang-PrüfungEigene Server
Sicherheit · Fernwartung · selbst betrieben
Fernwartung, bei der keine fremde Firma dazwischen sitzt.
Ausgangslage
Etliche Angriffe der letzten Jahre liefen über Fernwartungsprogramme großer Anbieter. Wer deren Server nutzt, vertraut fremder Infrastruktur den Zugang zu jedem betreuten Rechner an.
Was wir umgesetzt haben
- Eigener Fernwartungsserver auf eigener Hardware, Verbindungen durchgehend verschlüsselt
- Eigenes Programm für unsere Kunden, ohne Installation startbar
- Zugriff auf Arbeitsplätze nur nach Bestätigung durch den Benutzer am Bildschirm
- Jede Sitzung protokolliert: wer, wann, an welchem Gerät
- Zugang ohne Bestätigung nur für Server, abgesichert mit zweitem Faktor
Architektur in Kürze
- Kunde startet das Programm
- Eigener Fernwartungsserver
- Bestätigung am Bildschirm
- Protokoll jeder Sitzung
ErgebnisKein Fremdanbieter zwischen uns und unseren Kunden. Jede Verbindung ist nachvollziehbar und läuft über Server, die wir selbst betreiben.
Selbst betriebenDurchgehende VerschlüsselungSitzungsprotokollEigenes Kundenprogramm
Sicherheit · über 600 Arbeitsplätze · laufender Betrieb
Über 600 Arbeitsplätze. Eine Übersicht.
Ausgangslage
Updates von Hand, ein Virenschutz, von dem niemand wusste, ob er läuft, Festplatten, die unbemerkt volllaufen: Bei vielen Kunden und vielen Geräten geht das mit Rundgängen nicht mehr.
Was wir umgesetzt haben
- Ein Agent auf jedem Server und Arbeitsplatz meldet Zustand, Speicher, Updates und Schutzstatus
- Sicherheitsupdates werden gestaffelt verteilt: zuerst eine Testgruppe, dann alle
- Automatische Prüfungen schlagen Alarm, bevor ein Benutzer etwas merkt
- Wiederkehrende Aufgaben laufen als Skript auf allen Geräten gleichzeitig
- Neustarts nur nach Absprache und außerhalb der Arbeitszeit
Architektur in Kürze
- Agent auf jedem Gerät
- Verwaltung auf eigenen Servern
- Prüfungen und Updates
- Alarm an den Techniker
ErgebnisProbleme werden behoben, bevor sie jemand bemerkt. Jeder Kunde sieht im Monatsbericht schwarz auf weiß, dass alles aktuell ist.
FernverwaltungPatch-ManagementMonitoringAutomatisierungEigene Server
IT-Notfall · Metallverarbeitung · bis dahin nicht von uns betreut
Freitag verschlüsselt, Montag wieder in Produktion.
Ausgangslage
Freitag, 19 Uhr: Anruf eines Unternehmens, das wir bis dahin nicht betreut hatten. Verschlüsselte Dateien auf dem Datei-Server, Erpresserschreiben auf den Bildschirmen, der bisherige Dienstleister nicht erreichbar.
Was wir umgesetzt haben
- Innerhalb einer Stunde: Netzwerk vom Internet getrennt, betroffene Systeme isoliert
- Das Einfallstor gefunden: ein veralteter Fernwartungszugang
- Server aus der letzten intakten Sicherung neu aufgesetzt, jeden Arbeitsplatz geprüft und freigegeben, alle Zugänge erneuert
- Behördenmeldung sowie Kommunikation mit Kunden und Versicherung begleitet
- Danach: Anmeldung mit zweitem Faktor, getrennte Netzbereiche, eine Datensicherung, die niemand verändern kann, und ein Notfallplan
Architektur in Kürze
- Notruf Freitag 19 Uhr
- Eindämmen und Spuren sichern
- Wiederherstellung am Wochenende
- Produktion Montag 6 Uhr
ErgebnisProduktion am Montag um 6 Uhr wieder angelaufen, kein Lösegeld gezahlt, Datenverlust unter vier Stunden. Der Betrieb ist seither Betreuungskunde.
IT-NotfallmanagementWiederanlaufForensikBackupAbsicherung
IT-Notfall · Rechnungsbetrug · bis dahin nicht von uns betreut
Die Rechnungen waren echt. Nur die IBAN nicht.
Ausgangslage
Ein Geschäftspartner fragte nach, warum sich die Bankverbindung geändert habe. Angreifer hatten das Postfach einer Buchhalterin übernommen, wochenlang unbemerkt mitgelesen und aus dem echten Mailverlauf heraus Rechnungen mit eigener IBAN verschickt.
Was wir umgesetzt haben
- Zugang sofort gesperrt, alle Sitzungen beendet, Kennwort von einem sauberen Gerät erneuert
- Heimliche Weiterleitungs- und Löschregeln im Postfach gefunden und entfernt
- Aus den Anmelde- und Postfachprotokollen rekonstruiert, wer betroffen war und welche Mails gelesen wurden
- Betroffene Geschäftspartner telefonisch gewarnt, Banken eingebunden, Meldung an die Datenschutzbehörde vorbereitet
- Anmeldung mit zweitem Faktor für alle Konten, Warnung bei verdächtigen Anmeldungen, Schulung des Teams
Architektur in Kürze
- Hinweis eines Geschäftspartners
- Postfach sperren, Regeln entfernen
- Protokolle auswerten
- Warnen und Zugänge härten
ErgebnisDie offenen Zahlungen konnten rechtzeitig gestoppt werden. Seit der Umstellung kommt ein gestohlenes Kennwort allein nicht mehr ins Postfach.
Incident ResponseMicrosoft 365Mehrfaktor-AnmeldungDatenschutzAwareness
IT-Übernahme · Produktionsbetrieb · ohne Mitwirkung des Vorgängers
Der Dienstleister war weg. Die Zugänge auch.
Ausgangslage
Der bisherige IT-Betreuer hatte seinen Betrieb eingestellt. Niemand im Unternehmen kannte die Administrator-Kennwörter, die Domain lief auf seinen Namen, Firewall und Microsoft 365 waren nur über seine Konten erreichbar.
Was wir umgesetzt haben
- Erst schauen, nichts verändern: alle Geräte im Netz erfasst, Lizenzen und Verträge zusammengesucht
- Die Internetadresse (Domain) mit Nachweis auf das Unternehmen umgeschrieben
- Den Hauptzugang zu Microsoft 365 über die Domain zurückgeholt
- Firewall außerhalb der Arbeitszeit neu eingerichtet, alle Zugänge des Vorgängers von außen geschlossen
- Alle Passwörter erneuert, Anmeldung mit zweitem Faktor eingeführt, alles dokumentiert und übergeben
Architektur in Kürze
- Bestandsaufnahme
- Domain und Konten zurückholen
- Firewall neu, Altzugänge zu
- Dokumentation an den Kunden
ErgebnisNach einem Wochenende lag die Kontrolle wieder beim Unternehmen. Ohne Stillstand in der Produktion und ohne einen offenen Fremdzugang.
IT-ÜbernahmeDomain-TransferMicrosoft 365FirewallDokumentation
Migration · Firmenzusammenschluss · Microsoft 365
Freitag zwei Unternehmen, Montag eines.
Ausgangslage
Nach dem Zukauf eines Mitbewerbers arbeiteten zwei Belegschaften mit zwei Domains, zwei Microsoft-365-Umgebungen und zwei Telefonanlagen. Kunden bekamen Mails von beiden Adressen.
Was wir umgesetzt haben
- Postfächer, Dateiablagen und Teams aus der einen Microsoft-365-Umgebung in die andere übertragen
- Alte Mailadressen als Zweitadresse behalten, damit keine Nachricht verloren geht
- Benutzer, Gruppen und Berechtigungen zusammengeführt und bereinigt
- Die Standorte verschlüsselt zusammengeschlossen, eine gemeinsame Telefonanlage
- Einschulung der übernommenen Mitarbeiter am ersten Arbeitstag vor Ort
Architektur in Kürze
- Vorab-Synchronisation
- Umschaltung am Wochenende
- Alias und Weiterleitungen
- Einschulung am Montag
ErgebnisAm Montag meldeten sich alle mit der neuen Adresse an, mit allen alten Mails, Dateien und Kalendern.
Microsoft-365-MigrationStandortkopplungTelefonieBerechtigungen
Industrie · Produktionssteuerung · Virtualisierung
Eine Maschine, die nur mit einem uralten Rechner spricht.
Ausgangslage
Eine Produktionsanlage ließ sich nur über einen Steuerungsrechner mit einem seit Jahren nicht mehr unterstützten Windows bedienen, samt Kopierschutzstecker. Fiel der Rechner aus, stand die Linie.
Was wir umgesetzt haben
- Den alten Rechner 1:1 als virtuellen Computer auf einem modernen Server nachgebaut, samt Kopierschutzstecker
- Eigener, abgeschotteter Netzbereich ohne Internetzugang
- Zugriff nur noch über einen kontrollierten Zwischenrechner (Sprungserver), der jeden Zugriff aufzeichnet
- Tägliche Sicherung der gesamten Maschine
- Ersatz-Hardware vorkonfiguriert auf Lager
Architektur in Kürze
- Altrechner
- Virtuelle Maschine
- Abgeschottetes Segment
- Sprungserver mit Protokoll
ErgebnisDie Anlage läuft wie bisher. Ein Hardwaredefekt bedeutet aber keine Woche Stillstand mehr, sondern eine Wiederherstellung im Minutenbereich.
VirtualisierungNetzwerksegmentierungProduktions-ITBackup
Software und KI · E-Mail-Verarbeitung · eigene Server
Die KI liest mit. Die Daten bleiben im Haus.
Ausgangslage
Bestellungen, Anfragen und Lieferscheine kamen per Mail und wurden von Hand gelesen, zugeordnet und abgetippt. Eine öffentliche KI kam nicht in Frage, denn Kundendaten dürfen das Haus nicht verlassen.
Was wir umgesetzt haben
- Eigener KI-Server, auf dem die Sprachmodelle lokal laufen, ohne Daten an Dritte zu schicken
- Automatische Abläufe lesen die Postfächer über eine gesicherte Anmeldung (OAuth), ohne gespeicherte Passwörter
- Die KI erkennt Art und Inhalt jeder Mail und zieht die relevanten Daten heraus
- Das Ergebnis landet direkt im richtigen System; Unsicheres geht zur Freigabe an einen Menschen
- Jeder Schritt wird protokolliert, ist nachvollziehbar und jederzeit abschaltbar
Architektur in Kürze
- Postfach in Microsoft 365 oder Google
- Automatisierung mit gesicherter Anmeldung
- KI auf eigenem Server
- Fachsystem und Freigabe
ErgebnisRoutine erledigt die Maschine, Entscheidungen bleiben beim Menschen. Und keine Mail geht dafür an einen fremden KI-Anbieter.
Lokale KIProzessautomatisierungOAuthDatenschutzMensch entscheidet
Logistik · Umschlagstandort · Eigenentwicklung
Tor, Hof und Wareneingang in einem Leitstand.
Ausgangslage
Torzeiten am Telefon, Hofaufträge auf Zetteln, Lademittel in Tabellen: An einem großen Umschlagstandort wusste niemand auf einen Blick, wer wann wo steht und wer wem wie viele Paletten schuldet.
Was wir umgesetzt haben
- Zeitfenster-Buchung für Tore und Rampen mit Tagesboard und Zeitachse
- Hofsteuerung mit Aufträgen für Fahrer und Lager, Verlauf und Chat je Auftrag
- Wareneingang mit Avis, Abweichungen und Retouren direkt am Tablet
- Lademittel-Saldo je Partner und Beladeplan in 3D
- Ladedaten der E-Lkw automatisch aus eingehenden Mails, mit lückenlosem Mail-Protokoll
Architektur in Kürze
- Avis und Mail-Eingang
- Leitstand-Plattform
- Tor, Hof, Wareneingang, Laden
- Tablet, Büro und Auswertung
ErgebnisEin Leitstand statt Telefon, Zettel und Tabellen. Jeder Schritt ist nachvollziehbar, jede Rolle sieht genau das, was sie braucht.
MandantenfähigRollen und RechteMehrsprachigMail-SchnittstellenTablet-tauglich
Großhandel · Belieferung der Gastronomie · Eigenentwicklung
Vom Lieferschein zur Verbandsabrechnung auf Knopfdruck.
Ausgangslage
Lieferadressen, Touren und die Abrechnung über Einkaufsverbände liefen in getrennten Programmen. Sammelrechnungen an die Verbände wurden am Monatsende von Hand zusammengestellt.
Was wir umgesetzt haben
- Ein Warenwirtschafts- und Abrechnungssystem (ERP) für mehrere Firmen, aufgebaut rund um die Lieferadresse
- Abrechnung über Einkaufsverbände: Sammelrechnung direkt aus den Lieferscheinen, übersichtlich als PDF
- Tourenplanung anhand der genauen Lage jeder Lieferadresse
- Dokumente direkt im Browser bearbeiten, ohne lokale Office-Installation
- Anmeldung mit zweitem Faktor, Sicherheitsprüfung, jede Nacht ein Sicherungsstand plus verschlüsselte Kopie außer Haus
Architektur in Kürze
- Bestellung
- Lieferschein und Tour
- Sammelrechnung je Verband
- Buchhaltung und Mahnwesen
ErgebnisDie Verbandsabrechnung entsteht automatisch aus den Lieferscheinen. Auf eigenen Servern und doppelt gesichert.
MandantenfähigSEPADokumente im BrowserZwei-Stufen-SicherungSicherheitsaudit
Eigenentwicklung · für unsere Betreuungskunden
Dokumentation, Tresor und Geräte an einem sicheren Ort.
Ausgangslage
Dokumentation in Ordnern, Passwörter in Tabellen, Updates von Hand: Das passt nicht zu unserem Anspruch. Also haben wir die Plattform gebaut, die wir uns für unsere Kunden gewünscht haben.
Was wir umgesetzt haben
- IT-Dokumentation je Kunde als übersichtliches Wiki
- Passwort-Tresor, der prüft, ob ein Passwort in einem bekannten Datenleck vorkommt, ohne das Passwort je preiszugeben
- Sichere Freigabe-Links für Dateien und Zugangsdaten
- Geräteübersicht mit Status, Speicher und Updates; Neustart nur nach Bestätigung per Einmalcode
- Website-Sicherheitsscanner mit Note A bis F und konkreter Anleitung zur Behebung
Architektur in Kürze
- Agent am Gerät
- Plattform auf eigenen Servern
- Kundenportal
- Warnung per E-Mail
ErgebnisKunden sehen ihre IT, ihre Risiken und ihre Dokumentation an einem Ort. Und wir reagieren, bevor etwas passiert.
EigenentwicklungDatenleck-PrüfungEinmalcode-BestätigungEigene Server