Viele vergeben Administratorrechte, weil es schnell geht. Dabei macht genau das einen Angriff zum Totalausfall.

Viele Einsteiger denken: Volle Rechte sparen Nachfragen und Fehlermeldungen. Wer alles darf, muss nie darauf warten, dass jemand ein fehlendes Recht nachreicht – das klingt vernünftig.

Tatsächlich gilt das Gegenteil. Das Prinzip der geringsten Rechte (Least Privilege) besagt: Jedes Benutzerkonto, jeder Dienst und jede Programmierschnittstelle (API, also eine definierte Stelle, über die Software Daten austauscht) erhält nur die Rechte, die seine Aufgabe erfordert. Wird ein Konto kompromittiert (also von Angreifern übernommen), kann der Angreifer nur das tun, was das Konto darf. Der Schaden bleibt auf diese Rechte begrenzt.

Der Irrtum entsteht, weil Bequemlichkeit sofort spürbar ist, der Schadensfall nicht. Einmal großzügig vergebene Rechte verschwinden außerdem selten von selbst.

Als Beispiel dient ein Skript, das jede Nacht eine Datensicherung kopieren soll. Es braucht nur Leserechte auf den Quellordner und Schreibrechte auf das Backup-Ziel. Die Administratorenrolle des ganzen Systems ist dafür nicht nötig – sie verwandelt einen kleinen Fehlgriff in eine Katastrophe.

Woran man es erkennt: Rechtevergabe ist kein einmaliger Vorgang, sondern wird regelmäßig geprüft. Jede Rolle muss sich durch eine konkrete, beschriebene Aufgabe begründen lassen; Rechte ohne Begründung werden weggenommen.

Least Privilege heißt nicht, Angriffe zu verhindern. Es heißt, die Schadenshöhe im Ernstfall zu begrenzen – und damit das Risiko zu senken, bevor etwas passiert.

📌 Zugriffsrechte · Rollen · Schadensbegrenzung

📚 Zukunftstechnologien verstehen · Tag 2 von 30
#zerotrust #Cybersicherheit #architektur

Die meisten denken bei IT-Sicherheit zuerst an Verborgenes: Daten, die niemand lesen darf. Dabei ist ein gelöschter Finanzbericht ebenso verloren wie ein offengelegter.

Die Verwechslung ist verständlich: Alle drei Schutzziele klingen nach „sicher“. Doch sie schützen gegen unterschiedliche Schäden, und wer sie verwechselt, wählt die falsche Maßnahme.

Vertraulichkeit heißt: Nur Berechtigte können Informationen lesen. Verletzt wird sie, wenn jemand eine unverschlüsselte E-Mail abfängt oder ein fremdes Dokument öffnet. Dagegen helfen Verschlüsselung, also das Unlesbarmachen mit einem Schlüssel, sowie Zugangsbeschränkungen und Multi-Faktor-Authentifizierung, die außer dem Passwort einen zweiten Nachweis verlangt.

Integrität heißt: Daten bleiben vollständig und unverändert. Verletzt wird sie, wenn ein Überweisungsbetrag heimlich abgeändert oder eine Datei nachträglich manipuliert wird. Dagegen helfen digitale Signaturen, mit dem privaten Schlüssel erzeugt und mit dem öffentlichen geprüft, sowie Prüfsummen aus Hashfunktionen.

Verfügbarkeit heißt: Systeme und Daten sind nutzungsbereit, wenn sie gebraucht werden. Verletzt wird sie durch Ausfall bei Überlastung oder durch Löschung der einzigen Datensicherung. Dagegen helfen Backups und redundante, also mehrfach vorhandene Systeme.

Jede Maßnahme schützt meist nur ein Ziel. Verschlüsselung sichert die Vertraulichkeit, nicht aber die Integrität, denn ein chiffrierter Text kann unlesbar und dennoch unterwegs verändert sein.

Faustregel: Bei jeder Maßnahme zuerst fragen, welches Schutzziel sie schützt – und welches sie senkt, etwa wenn eine harte Sperre die Verfügbarkeit kostet.

Vertraulichkeit, Integrität und Verfügbarkeit sind gleichrangige Schutzziele. Nicht „geheim“ heißt sicher, sondern alle drei zusammen erfüllt.

📚 Zukunftstechnologien verstehen · Tag 2 von 30
#Cybersicherheit #zerotrust #DigitaleTransformation

Die meisten Anfänger denken, ein Bucket sei ein Ordner wie auf dem Desktop. Dabei ist er der zentrale Sicherheitspunkt des gesamten Cloud-Speichers.

Ein offen stehender Bucket gibt Daten an das ganze Internet frei. Ein einziger falsch gesetzter Haken genügt dafür.

📦 Ein Bucket ist der oberste Speichercontainer in einem Objektspeicher, nicht ein Laufwerk. Objektspeicher wie S3 legt Daten als Objekte mit Schlüssel und Metadaten, also beschreibenden Angaben zum Objekt, ab, nicht als Dateien auf einem Datenträger. Jeder Bucket hat einen weltweit einmaligen Namen und enthält beliebig viele Objekte.

🔑 Jedes Objekt liegt unter einem Schlüssel, der wie ein Dateipfad aufgebaut ist. Ein Beispiel ist „backup/2026/db.sql“. Der Schlüssel adressiert das Objekt eindeutig, ganz ohne Ordnerstruktur. Zugriffsrechte steuert man nicht über Betriebssystemrechte, sondern über Richtlinien, die den Zugriff pro Bucket und Objekt erlauben oder verweigern.

📈 Block Public Access gehört auf jeden Bucket, vom ersten Tag an. Diese Schutzebene sperrt alle vier Arten öffentlichen Zugriffs und überstimmt öffentliche Bucket-Policies und ACLs. Seit April 2023 ist sie für neue Buckets standardmäßig aktiviert; ACLs, ältere Zugriffslisten, sind dabei sogar deaktiviert. Ein öffentlicher Bucket erlaubt jedem Internetnutzer, Objekte aufzulisten oder herunterzuladen. Wer Dateien wirklich verteilen will, nutzt dafür gezielter einen CDN-Dienst, ein Content-Delivery-Netzwerk für Dateien aus Rechenzentren nahe beim Nutzer, oder vorsignierte URLs.

Ein Bucket heißt nicht „öffentlicher Ordner“, sondern ein weltweit einmaliger Speichercontainer, den man standardmäßig verschlossen hält.

📌 Bucket · Objektspeicher · Block Public Access

📚 Cloud von Grund auf · Tag 2 von 30
#aws #CloudSecurity #Backup

Die meisten Dateien landen in der Cloud auf einem von zwei ganz verschiedenen Wegen. Dabei entscheidet die Wahl des Wegs, wie schnell eine Anwendung läuft und wie teuer das Speichern wird.

Wer eine virtuelle Maschine startet, also einen nachgebildeten Rechner mit eigenem Betriebssystem wie Linux oder Windows, trifft die Entscheidung sofort: Das System braucht ein Laufwerk. Wer den Unterschied nicht kennt, mountet den Objektspeicher wie ein Netzlaufwerk und wundert sich, warum zeichenweises Bearbeiten nicht funktioniert.

Objektspeicher wie S3 legt Daten als Objekte mit Schlüssel und Metadaten in Buckets ab. Jede Datei wird als abgeschlossenes Ganzes unter einem eindeutigen Schlüssel gespeichert, etwa einem langen Dateinamen; einzelne Bytes lassen sich nicht ändern, sondern nur das ganze Objekt neu schreiben. Blockspeicher wie EBS zerlegt Daten in gleich große Blöcke und blendet sie der virtuellen Maschine als Festplatte ein, auf der das Betriebssystem ein Dateisystem anlegt und Dateien beliebig ändert.

Konkret: Eine EC2-Instanz, so heißt die virtuelle Maschine bei AWS, bootet von ihrem EBS-Laufwerk; dort liegen Betriebssystem und installierte Software, weil viele kleine Dateien schnelle Lese- und Schreibzugriffe brauchen. Ein Upload-Verzeichnis mit Bildern und Videos gehört dagegen in einen S3-Bucket, weil dort unbegrenzt viele Objekte dauerhaft ohne Laufwerksgröße abgelegt werden. Auch Backups und Protokolldateien gehören dorthin. Speicherkosten fallen dabei auch ohne laufende Anwendung an, solange die Daten existieren.

Verwechselt wird der Objektspeicher oft mit einem Netzlaufwerk oder einer Datenbank. Er ist für das Speichern und Abrufen ganzer Dateien gebaut, nicht für zeichenweises Bearbeiten.

📌 Objektspeicher · Blockspeicher · Zuordnung der Daten

📚 Cloud von Grund auf · Tag 2 von 30
#aws #CloudHosting #Backup

Die meisten denken bei Cloud-Kosten an die Monatsmiete für Server. Dabei zahlt man in der Cloud nur für das, was tatsächlich läuft.

Cloud-Provider rechnen Nutzung automatisch ab und weisen sie transparent aus – Kunden sehen also, wofür sie zahlen. Das betrifft jede Entscheidung: Wer eine Ressource startet, eine Datei speichert oder Daten verschickt, löst jeweils eine andere Kostenart aus.

Zuerst startet jemand eine Instanz – eine gemietete virtuelle Maschine im Rechenzentrum des Providers. Ab der ersten Minute zahlt sie, pro Zeiteinheit. Wer um drei Uhr nachts mit wenigen Klicks eine Maschine startet und sie nach einer Stunde wieder löscht, zahlt nur diese Stunde. Bei gemieteter Festhardware würde der Vertrag monatlich abgerechnet, ob sie läuft oder nicht.

Dann wachsen die Speicherkosten, sobald Daten abgelegt werden. Gespeicherte Datenmenge wird berechnet, und zwar auch dann, wenn keine Anwendung läuft. Alte Backups, vergessene Snapshots – gespeicherte Abbilder von Festplatten – und nicht gelöschte Testdaten stehen monatlich auf der Rechnung, solange sie existieren.

Danach kommt der Datenverkehr dazu: Eingehender Verkehr aus dem Internet ist bei AWS in der Regel kostenfrei. Ausgehender Verkehr ins Internet und zwischen Regionen wird dagegen berechnet. Auch Verkehr zwischen Availability Zones – getrennte Rechenzentren innerhalb derselben Region – kostet und sollte deshalb eingeplant werden.

Zuletzt entscheidet die Freigabe: Nicht mehr benötigte Ressourcen werden gelöscht und verursachen keine Kosten mehr. Wer vergisst abzubauen, zahlt unbemerkt weiter.

Gemessen wird also nicht der Bedarf, sondern die Laufzeit. Cloud-Kosten heißen nicht Miete, sondern Meter.

📌 Laufzeit · Speicher · Datenverkehr

📚 Cloud von Grund auf · Tag 2 von 30
#CloudHosting #devops #aws

Mosquitto MQTT Broker auf Raspberry Pi 5: Läuft stabil mit 120+ Topics, 25 Clients, 500 Messages/Minute. Retention-Messages für Statusinformationen, QoS 1 für kritische Sensordaten. Kein Cloud-Abo nötig, alles lokal. Backup der Datenbank täglich auf NAS. Lokale IoT-Infrastruktur die zuverlässig funktioniert und 0 EUR/Monat kostet. #mqtt #raspberrypi #selfhosted

In den letzten Jahren galt die Cloud als das Nonplusultra für moderne IT-Infrastrukturen. Flexibel, skalierbar, überall verfügbar – so das Versprechen der großen Anbieter wie Amazon Web Services (AWS), Microsoft Azure oder Google Cloud. Doch ein wachsender Trend zeigt: Immer mehr Unternehmen kehren der Cloud den Rücken und setzen wieder auf Self-Hosting. Warum?

1. Volle Kontrolle statt Abhängigkeit

Wer seine IT auslagert, gibt auch ein Stück Kontrolle ab. Viele Unternehmen erkennen inzwischen, wie stark sie von Drittanbietern abhängig sind – sei es beim Zugriff auf ihre Daten, bei Preismodellen oder beim Thema Verfügbarkeit. Beim Self-Hosting liegt alles in der eigenen Hand: Die Infrastruktur, die Datenhoheit und die Anpassungsmöglichkeiten.

2. Datenschutz – ein starkes Argument

Die Cloud wirft datenschutzrechtlich viele Fragen auf. Besonders in Europa sorgt der Wunsch nach DSGVO-Konformität für Unsicherheit. Self-Hosting bietet hier klare Vorteile: Alle Daten bleiben auf lokalen Servern, Zugriffsrechte sind transparent geregelt, und sensible Informationen müssen nicht über globale Rechenzentren verteilt werden.

3. Kalkulierbare Kosten

Cloud-Dienste wirken anfangs günstig – doch mit wachsender Nutzung steigen auch die laufenden Kosten. Traffic, Speicherplatz und Zusatzfunktionen summieren sich schnell. Self-Hosting ist meist mit einer einmaligen Investition verbunden. Danach sind die laufenden Betriebskosten planbar und unabhängig von Drittanbieter-Preismodellen.

4. Maßgeschneiderte IT-Strukturen

Nicht jedes Unternehmen passt in die Standardlösungen der Cloud. Mit Self-Hosting lassen sich Systeme und Dienste individuell konfigurieren – genau so, wie es die internen Prozesse erfordern. Ob Intranet, Dateisynchronisation, Kommunikation oder Backup: Die eigene Serverinfrastruktur bietet maximale Flexibilität.

5. Technologische Reife

Moderne Open-Source-Lösungen wie Proxmox, Nextcloud, Docker oder KVM machen Self-Hosting heute einfacher und sicherer denn je. Die IT-Abteilungen können auf stabile, gut dokumentierte Tools setzen, die skalierbar und wartbar sind.

---

Fazit

Self-Hosting ist mehr als ein Trend – es ist eine strategische Entscheidung für mehr Unabhängigkeit, Sicherheit und Nachhaltigkeit. Für Unternehmen, die ihre digitale Souveränität stärken möchten, ist jetzt der richtige Zeitpunkt, die Cloud zu hinterfragen und eigene Wege zu gehen.

Eine zeitgemäße und leistungsfähige Hardware-Ausstattung ist für Unternehmen essenziell, um die Arbeitsprozesse zu optimieren. Doch welche Geräte und Komponenten sind für das Business wirklich sinnvoll? Wir zeigen, worauf es ankommt.

Unterüberschrift: Leistungsstarke Rechner für anspruchsvolle Aufgaben Moderne Desktop-PCs und Notebooks sollten mit starken Prozessoren, ausreichend Arbeitsspeicher und leistungsfähigen Grafikkarten für ein flüssiges Arbeiten ausgestattet sein. Für grafisch anspruchsvolle Aufgaben wie Bildbearbeitung oder Videoschnitt sind besonders hohe Rechenleistung und dedizierte Grafikprozessoren ratsam.

Unterüberschrift: Große Monitore für mehr Produktivität Wer viel am Rechner arbeitet, profitiert von großen Monitoren, idealerweise ab 27 Zoll. Sie ermöglichen eine bessere Übersicht und erleichtern das gleichzeitige Arbeiten mit mehreren Programmen. Für Grafiker sind hochauflösende 4K-Monitore zu empfehlen.

Unterüberschrift: Professionelle Drucker für vielseitigen Output Ob Farb- oder S/W-Drucke, Broschüren oder Präsentationen: Professionelle Multifunktionsgeräte und Laserdrucker sind unverzichtbar. Sie sollten schnell drucken, scannen und kopieren können und günstige Verbrauchskosten bieten.

Unterüberschrift: Netzwerkspeicher für Daten-Management
Ein leistungsfähiger NAS-Serverim Firmennetzwerk zentralisiert die Datenspeicherung und ermöglicht allen Mitarbeitern den Zugriff auf wichtige Dateien. So können Daten sicher verwaltet, gesichert und bei Bedarf wiederhergestellt werden.

Unterüberschrift: Backup-Lösungen gegen Datenverlust Regelmäßige Backups auf externe Speichermedien oder in die Cloud sind unverzichtbar, um bei Hardwaredefekten oder Malware-Befall die Firmendaten wiederherstellen zu können. Automatisierte Backup-Lösungen sind hier die beste Wahl.

Fazit: Moderne Hardware ist für Unternehmen essenziell, birgt aber auch Investitionskosten. Durch hochwertige Business-Geräte mit der richtigen Ausstattung lassen sich die Arbeitsprozesse nachhaltig optimieren und die Produktivität steigern. Bei der Anschaffung sollte auf Aktualität, Erweiterbarkeit und Datensicherheit geachtet werden. So ist das Unternehmen für die digitale Zukunft bestens gerüstet.

Falls Sie Fragen haben oder Hilfe benötigen, empfehle ich Ihnen, mein 3-Schritte-Plan! Hier.