Case Study · Infrastruktur & DevOps
Bastion: eine gehärtete self-hosted App-Flotte
Ein Mini-PC als Produktionsflotte: Reverse Proxy, automatisches TLS, 2FA-Gateway, Monitoring, Alerting, Backups und ein Dutzend Apps, bei 99,9 % Uptime.
- Branche
- Platform Engineering
- Zeitraum
- laufender Betrieb
- Jahr
- 2026
- Leistungen
- DevOps, Security-Härtung, Monitoring
Das Problem
Die Standardantwort auf “wo läuft das eigentlich” ist ein Stapel Cloud-Abos geworden: Jedes rechnet monatlich ab, jedes hält ein Stück Ihrer Daten, jedes ist eine eigene Security-Baustelle. Für eine Flotte interner Tools und Produkte ist das gemietete Komplexität. Die Alternative, vor der alle warnen, Self-Hosting, scheitert in der Praxis aus einem einzigen Grund: Sie wird meist als Hobby betrieben, nicht als Operations.
Was wir gebaut haben
Eine produktionsreife Plattform auf eigener Hardware, betrieben, als hinge etwas davon ab. Jede Anwendung deployt auf dieselbe Weise und erbt dieselbe Security- und Observability-Baseline:
- Eine Eingangstür. Ein Traefik-Reverse-Proxy terminiert TLS für jede App, mit automatischer Let’s-Encrypt-Ausstellung und -Erneuerung. HSTS, Security-Header und Rate Limiting gelten flottenweit per Middleware, nicht nach Gutdünken einzelner Apps.
- Defense in Depth. SSH nur mit Keys plus fail2ban-Jails, ein Telegram-Code-2FA-Gateway vor allen Admin-Oberflächen, Netzwerkisolation pro App, sodass Datenbanken vom Proxy-Netz aus nie erreichbar sind, und Secrets, die in Env-Files pro App eingesperrt bleiben.
- Monitoring, das mit Ausfällen rechnet. Drei unabhängige Ebenen: Host-Metriken mit Alerting, Black-Box-Uptime-Checks auf jedem Service und ein Security-Monitor, der alle fünf Minuten nach Brute-Force-Versuchen, Ressourcen-Erschöpfung und toten Containern fahndet. Alles eskaliert binnen Momenten nach Telegram.
- Deploys als Muster, nicht als Kunstform. Jede App ist ein Git-Repo mit Compose-File und Production-Overlay. Deployment heißt: pull, build, up. Das Muster ist so sauber dokumentiert, dass ein KI-Agent es ohne Hilfe ausführt.
Ergebnis
Gemessene 99,9 % Uptime, monatliche Hosting-Kosten in der Nähe der Stromrechnung, und ein Asset, das sich verzinst: Jedes neue Produkt startet in eine Umgebung, in der TLS, Auth, Monitoring und Backups bereits existieren. Diese Flotte ist zugleich unser Kompetenznachweis: Wenn wir sagen “wir deployen und betreiben das”, dann ist genau das mit Betrieb gemeint.