Die hybride Festung: Datensouveränität, Zero-Trust und Cold-Standby in einem Modell
Eine hochsichere Architektur entsteht nicht durch ein einzelnes Werkzeug, sondern durch ineinandergreifende Verteidigungslinien. VLYX baut das System Schicht für Schicht auf – von der containerisierten Cloud in einem Rechenzentrum in Deutschland bis zur physischen Rückfallebene im eigenen Serverraum.
Warum der Standard nicht ausreicht
Viele SaaS-Angebote lösen die Bequemlichkeit – nicht die Souveränität. Verglichen werden hier Arbeitsweisen, nicht einzelne Anbieter.
| Kriterium | Standard-SaaS-Arbeitsweise | VLYX Hybrid-Modell |
|---|---|---|
| Datenhoheit | Geteilte Infrastruktur, Daten in der Blackbox. | Dedizierte Cloud-VM in Deutschland, strikte Mandantentrennung. |
| Ransomware-Schutz | Eine Cloud-Infektion gefährdet auch die Backups. | Pull-Backup über lokalen VPN – die Cloud hat keinen Zugriff auf die lokalen Server. |
| Netzwerk-Zugriff | Alles öffentlich erreichbar, nur per Passwort geschützt. | Defense in Depth: öffentlich plus unsichtbare VPN-Schicht für sensible Apps. |
| Ausfall-Szenario | Warten auf den Provider (Downtime). | Cold Standby On-Premise – der lokale Betrieb läuft weiter. |
| Authentifizierung | App-spezifische Einzel-Logins. | Zentrales Single Sign-On (SSO) für alle Dienste. |
Fünf Ebenen der Resilienz
Fällt eine Schicht aus, steht die darunterliegende noch. Jede Ebene hat eine Aufgabe – und eine klare Grenze.
Strikte Isolation durch modulares Container-Design
Das Fundament ist ein „Single-Node-Ecosystem“: eine dedizierte Cloud-VM pro Kunde, auf der jeder Dienst als eigener Container läuft – nach dem Prinzip „Ein Dienst pro Container“ via Docker Compose.
- Logisch getrennt: VLYX-Dienste, Datenbank (MariaDB) und ergänzende Open-Source-Bausteine wie Nextcloud, Paperless und Videokonferenzen laufen voneinander isoliert.
- Sauber skalierbar: Jeder Baustein lässt sich einzeln aktualisieren, sichern oder migrieren – ohne die übrigen zu berühren.
- Präzise Sicherung: Einzelne Anwendungsdaten (Volumes) sind gezielt sicher- und wiederherstellbar.
Dienste in der dedizierten Cloud-VM
Eine dedizierte Cloud-VM in einem Rechenzentrum in Deutschland – die primäre Produktivumgebung pro Kunde.
Ein Login, alle Dienste
Nutzer meldet sich einmal an
Zentrale Anmeldung mit Multi-Faktor-Authentifizierung und einheitlichen Passwortrichtlinien.
Identity-Provider prüft & erteilt
Authentik bzw. Keycloak als entkoppelter Identity-Provider – unabhängig von den einzelnen Apps.
Nahtloser Wechsel
Reibungsloser Wechsel zwischen VLYX, Nextcloud und den weiteren Modulen – ohne erneutes Anmelden.
Entkoppelte Identitäten mit einem zentralen SSO-Gateway
Die Benutzerverwaltung ist vollständig von den einzelnen Anwendungen getrennt. Das schafft ein nahtloses Erlebnis – und absolute Kontrolle.
- Zentraler Identity-Provider: Rechte werden an einer Stelle vergeben und durchgesetzt.
- Absolute Kontrolle: zentrale Passwortrichtlinien, MFA und blitzschnelles On- und Offboarding von Personal.
- Nahtloses Erlebnis: ein einziger Login für alle Dienste statt App-spezifischer Einzelkonten.
Defense in Depth: das hybride Zugriffsmodell
Ein vorgelagerter Reverse Proxy steuert vollautomatisch TLS-Zertifikate und Domain-Zuweisungen (z. B. cloud.kundenname.vlyx.de). Dahinter trennt VLYX konsequent zwischen öffentlich erreichbaren und unsichtbaren Anwendungen.
Public Cloud Apps
Der VLYX-Navigator, Nextcloud und Videokonferenzen sind direkt über das öffentliche Netz erreichbar – aber ausschließlich hinter dem zentralen Single-Sign-on.
- Weg: direkt über das Web (HTTPS)
- Schutz: SSO mit MFA
Private Admin Apps
Hochsensible Verwaltungswerkzeuge (etwa Dokumenten-Backend und Admin-Dashboards) sind im Internet gar nicht sichtbar.
- Weg: zwingend über WireGuard-VPN
- Prinzip: kein Routing ohne VPN-Tunnel – auch nicht mit gültigen Zugangsdaten
Der Ransomware-Schild: physisch dezentralisiertes Pull-Backup
Der entscheidende Unterschied liegt in der Richtung des Backups. Statt dass die Cloud Daten nach außen schiebt (Push), holt eine lokale Appliance die Daten aktiv ab (Pull) – und bleibt dabei für die Cloud unerreichbar.
Cloud aktiv, Appliance im Standby. Die primäre Produktivumgebung läuft in der Cloud. Die lokale 19-Zoll-Appliance beim Kunden im Gebäude wartet passiv.
Pull-Backup via VPN. Die Appliance baut selbst einen ausgehenden, verschlüsselten WireGuard-Tunnel zur Cloud auf und zieht Datenbank-Dumps und Container-Volumes. Sie nimmt keine Anfragen von außen an.
Hardware-as-a-Service (HaaS)
Eine vorkonfigurierte 19-Zoll-Appliance direkt beim Kunden im Gebäude (On-Premise). Wir stellen sie bereit und betreuen sie – als Hardware-as-a-Service.
Die Einweg-Architektur
Der Tunnel ist eine Einbahnstraße: Die Cloud kann den lokalen Server nicht erreichen. Eine Kompromittierung der Cloud kann die lokalen Backups deshalb weder verschlüsseln noch löschen.
Der Sicherheitsvorteil
Kein Angreifer auf dem Cloud-System hat einen Pfad zu den lokalen Sicherungen. So bleibt im Ernstfall immer ein sauberer, isolierter Datenstand erhalten.
Notfall-Wiederherstellung durch Active-Passive-Failsafe
Das Worst-Case-Szenario
Vollständiger Ausfall des Rechenzentrums oder der Cloud-Infrastruktur – oder eine gekappte Internetverbindung.
Lokaler Notbetrieb
Die Container werden direkt auf der lokalen HaaS-Appliance des Kunden gestartet – mit dem Datenstand der letzten Nachtsicherung.
Business Continuity
Das System läuft lokal weiter – ohne Abhängigkeit von externen Providern. Die Arbeitsfähigkeit bleibt erhalten.
Ehrlich eingeordnet: Cold Standby heißt geordnete Wiederaufnahme, nicht unterbrechungsfreie Hochverfügbarkeit im Sekundenbereich. Der Notbetrieb setzt auf dem Stand der letzten Nachtsicherung auf. Genau das schließt aber das Risiko eines totalen Datenverlusts durch Cloud-Ausfall oder Ransomware physisch aus.
Proaktives Monitoring über alle Systemgrenzen hinweg
Ein zentrales Control-Center misst kontinuierlich den Puls des Gesamtsystems – von der Cloud-VM bis zur lokalen Appliance.
- Zentrale Überwachung: Werkzeuge wie Uptime Kuma und Prometheus/Grafana behalten Erreichbarkeit und Systemzustand im Blick.
- Ganzheitliche Metriken: Cloud-Erreichbarkeit ebenso wie Hardware-Metriken (CPU, Speicherplatz, Temperatur) der lokalen On-Premise-Appliance.
- Intelligente Alarmierung: sofortige Benachrichtigung bei Ausfall der Cloud-VM oder wenn die lokale Appliance – etwa durch Strom- oder Netzverlust – offline geht.
Control-Center Dashboard
Beispielhafte Kennzahlen zur Veranschaulichung – die realen Werte hängen von Ihrer Umgebung ab.
Security by Design: IAM-gekoppelte Intelligenz mit Guardrails
So ist die VLYX-Architektur für den Einsatz souveräner KI ausgelegt: kein allgemeines Modell für Weltwissen, sondern ein datenschutzkonformer Assistent, der ausschließlich auf berechtigten Unternehmensdaten arbeitet – mit fest eingebauten Leitplanken.
Unstrukturierte Daten → RAG
Dokumente aus Nextcloud oder Paperless werden über eine semantische Suche (Retrieval-Augmented Generation) erschlossen – nicht wahllos, sondern gezielt.
Strukturierte Daten → definierte APIs
Auf Datenbanken greift die KI ausschließlich über fest definierte, geprüfte Schnittstellen zu – nie frei.
Direkte SQL-Abfragen → gesperrt
Frei formulierte Datenbankabfragen (Text-to-SQL) sind zum Schutz vor Injection-Angriffen architektonisch ausgeschlossen.
Der Schlüssel ist die Identität – nicht der Prompt
Ein KI-Agent ist strikt an das zentrale Identitätsmanagement gebunden. Er erhält physisch nur Zugriff auf die Daten und Dokumente, für die der jeweils angemeldete Nutzer berechtigt ist. Berechtigungsgrenzen lassen sich deshalb nicht durch geschickte Eingaben umgehen.
- Schlüssel: das SSO-Token des angemeldeten Nutzers
- Schloss: die API- bzw. RAG-Datenfreigabe
- Ergebnis: keine internen Berechtigungsgrenzen durch Prompts umgehbar
VLYX betreibt selbst kein allgemeines Sprachmodell für Weltwissen. Beschrieben ist hier das Architektur- und Sicherheitsmodell, nach dem VLYX KI datensouverän integriert. Mehr zur Grundhaltung unter KI & strukturierte Daten.
Update-Strategie: Stabilität, ohne die Verfügbarkeit zu gefährden
Die Herausforderung: maximale Stabilität für Container und Server-Betriebssysteme bei gleichzeitig hoher Sicherheit. VLYX kombiniert dafür zwei Wege.
Vollautomatisierte Container-Updates
Unsichtbar und nahtlos über Werkzeuge wie Watchtower – schnell und wartungsarm für unkritische Bausteine.
Kontrollierte Staging-Deployments
Maximal geprüft über eine dedizierte Testumgebung und automatisierte Rollouts (Ansible/Skripte) – für kritische Aktualisierungen.
Was wir zusagen – und was nicht
Kein Betriebskonzept macht ein System unangreifbar, und wir behaupten das nicht. Was wir zusagen: eine dokumentierte, mehrstufige Architektur aus bewährten, quelloffenen Bausteinen, eine ransomware-sichere Sicherungsstrategie und – auf Wunsch – eine physische Rückfallebene im eigenen Haus. Der produktive Betrieb bleibt dabei VLYX-gehostet; einen eigenen Server für den Normalbetrieb benötigen Sie nicht. Die On-Premise-Appliance ist eine optionale Backup- und Cold-Standby-Ebene, kein Muss.
Kurz beantwortet
Nein. Der produktive Betrieb läuft vollständig in Ihrer dedizierten Cloud-VM in einem Rechenzentrum in Deutschland – Sie arbeiten im Browser. Die On-Premise-Appliance ist eine rein optionale Zusatzebene: ein Backup- und Cold-Standby-Server, der nachts eine Kopie zieht und nur im Katastrophenfall den Notbetrieb übernimmt. Für den Normalbetrieb benötigen Sie keine eigene Hardware.
Die lokale Appliance baut nachts selbst einen ausgehenden, verschlüsselten VPN-Tunnel zur Cloud auf und zieht die Daten aktiv (Pull). Sie nimmt keine Verbindungen von außen an. Die Cloud kann die lokale Appliance nicht erreichen – eine Kompromittierung der Cloud kann die lokalen Sicherungen deshalb weder verschlüsseln noch löschen.
Öffentliche Anwendungen (etwa der VLYX-Navigator, Nextcloud oder Videokonferenzen) sind direkt über das Web erreichbar – aber ausschließlich hinter dem zentralen Single-Sign-on. Hochsensible Verwaltungswerkzeuge sind im Internet gar nicht sichtbar; ihr Zugriff erfordert zwingend eine aktive VPN-Verbindung. Selbst mit gültigen Zugangsdaten gibt es ohne VPN keine Route dorthin.
Nein. Ein KI-Agent ist strikt an dieselbe Identität und dieselben Rechte gebunden wie der angemeldete Mensch. Er sieht ausschließlich Dokumente und Daten, für die dieser Nutzer berechtigt ist. Der Zugriff läuft nur über eine semantische Dokumentensuche und fest definierte Schnittstellen – direkte, frei formulierte Datenbankabfragen sind architektonisch ausgeschlossen.
Mit der optionalen Cold-Standby-Appliance ja: Fällt das Rechenzentrum oder die Internetverbindung vollständig aus, werden die Dienste direkt auf der lokalen Appliance mit dem Datenstand der letzten Nachtsicherung gestartet. Eine unterbrechungsfreie Hochverfügbarkeit im Sekundenbereich sagen wir damit nicht zu – wohl aber eine geordnete Wiederaufnahme ohne Abhängigkeit vom Cloud-Provider.
Wir gehen die Architektur mit Ihrer IT durch
Im Sicherheitsgespräch besprechen wir das hybride Modell, das Pull-Backup und den passenden Resilienzgrad – konkret für Ihre Umgebung.