Zugriff klar getrennt
Admin-Oberflächen, Nutzeranwendungen und Webhooks werden getrennt modelliert. So bleiben interne Verwaltung, tägliche Nutzung und externe Trigger technisch sauber voneinander abgegrenzt.
Sicherheit & Compliance
Absicherung, Dokumentation und Betrieb gehören von Anfang an dazu.
n8-automate liefert keine lose Tool-Sammlung, sondern eine betreibbare Automatisierungsumgebung mit Zugriffsschutz, Secret-Trennung, Backups, Restore-Pfaden und mitgelieferter Betriebs- und Datenschutzdokumentation.
Secrets nicht in Konfigurationsdateien
Passwörter, Tokens und Schlüssel werden nicht als Klartext in normalen Konfigurationswerten geführt, sondern über Secret-Dateien und Docker-Secrets eingebunden.
Dokumentation inklusive
Der Stack wird mit Runbook, TOMs, AVV-Vorlage und Datenfluss- Übersicht vorbereitet. Ergänzend können Löschkonzept und Unterauftragnehmerliste gepflegt werden.
Zugriff
Ein Host, ein klares Auth-Gate.
Die Architektur vermeidet verschachtelte Login-Schichten. Öffentlich erreichbare Oberflächen erhalten ein vorgeschaltetes Auth-Gate auf Basis von Keycloak/OIDC und oauth2-proxy. Kundeneigene Identity Provider können bei Bedarf angebunden werden.
Admin-Plane
Admin-Oberflächen wie n8n-Editor, Grafana, MinIO-Konsole oder Keycloak-Admin laufen getrennt von normalen Nutzer- und Webhook-Endpunkten.
User-Plane
Nutzeranwendungen wie Datenoberflächen, interne Apps oder Dokumentation werden passend zum Projekt über eigene Hosts und Rollenmodelle erreichbar gemacht.
Webhook-Plane
Webhooks werden getrennt von Admin-UIs betrieben. Dadurch können externe Systeme angebunden werden, ohne die Verwaltungsoberflächen unnötig zu öffnen.
SSO & Rollen
Keycloak kann zentrale Anmeldung, Gruppen und Rollen bereitstellen. Externe Identity Provider wie Entra, Okta oder generisches OIDC können nach Bedarf angebunden werden.
Technische Härtung
Der Stack trennt Konfiguration, Secrets und Laufzeitdaten.
Die Umgebung ist so aufgebaut, dass Kundeneinstellungen, vertrauliche Zugangsdaten und runtime-bezogene Daten nicht vermischt werden.
Docker-Secrets
Sensible Werte liegen in Secret-Dateien und werden über Docker-Secrets oder Datei-Referenzen eingebunden. Die öffentliche Konfiguration bleibt frei von Klartext-Secrets.
Interne TLS-Pfade
Jeder Stack wird standardmäßig mit interner TLS-PKI ausgeliefert. Datenbank-, Redis- und MinIO-Verbindungen sowie interne Service-Wege werden nicht nur am öffentlichen Rand, sondern auch innerhalb des Stacks abgesichert.
Socket-Schutz
Container erhalten nicht pauschal direkten Docker-Socket-Zugriff. Wo Docker-API-Zugriff nötig ist, wird er begrenzt und kontrolliert bereitgestellt.
Edge-Härtung
Edge und Routing folgen der gewählten Betriebsvariante: Cloudflare Tunnel oder Traefik public, DNS-Verwaltung über DNSControl, interne TLS-PKI im Stack und CrowdSec/WAF für öffentliche Routen. Projektbezogene Limits und Zugriffsparameter werden über die Kundenkonfiguration gesetzt.
Backups & Restore
Backups sind nur nützlich, wenn der Restore mitgedacht ist.
Für produktive Stacks werden Datenbanken, relevante Volumes und Objektablagen mit einem nachvollziehbaren Backup- und Restore-Konzept verbunden.
Backup-Bausteine
- Postgres-Dumps für strukturierte Daten
- Volume-Backups für zustandsbehaftete Dienste
- Restic für versionierte Sicherungen
- optional Offsite-Mirror oder separates Backup-Ziel
- Retention nach vereinbartem Betriebsmodell
Restore-Bausteine
- Runbook für Wiederherstellungsschritte
- Smoke-Test für Backup-Erreichbarkeit
- getrennte Behandlung von Secrets und Laufzeitdaten
- Umzugspfad auf neuen Host möglich
- Abnahme abhängig vom vereinbarten Leistungsumfang
Backups ersetzen keine fachliche Datenprüfung. Welche Daten, Retention,
Offsite-Ziele und Restore-Tests enthalten sind, wird im Angebot und in
der Betriebsdokumentation festgelegt.
Compliance-Dokumentation
Vorbereitet für die Fragen, die im Mittelstand wirklich kommen.
Die mitgelieferte Dokumentation soll Datenschutz-, IT- und Geschäftsverantwortlichen eine nachvollziehbare Grundlage geben. Sie ist keine Rechtsberatung, aber eine strukturierte Arbeitsbasis.
TOMs
Technisch-organisatorische Maßnahmen werden als Vorlage dokumentiert: Zugriff, Berechtigungen, Backups, Verfügbarkeit, Trennung und technische Schutzmaßnahmen.
AVV-Vorlage
Für Fälle mit Auftragsverarbeitung kann eine vorbereitete AVV-Struktur mit Rollen, Gegenstand, Pflichten und Anlagen bereitgestellt werden.
Datenfluss-Übersicht
Datenquellen, Systeme, Speicherorte, externe Dienste und Verarbeitungspfade werden nachvollziehbar beschrieben.
Löschung & Unterauftragnehmer
Löschkonzept und Unterauftragnehmerliste gehören zur Compliance-Dokumentation der Auslieferung. Sie werden passend zum vereinbarten Leistungsumfang, zur Edge-Variante und zu möglichen Wartungs- oder Infrastrukturbausteinen befüllt.
Drittlizenz-Dokumentation
Jede Auslieferung enthält ein geprüftes Inventar der eingesetzten Open-Source-Komponenten mit Lizenzhinweisen – nachvollziehbar dokumentiert, welche Drittsoftware im Stack steckt.