Infrastruktur-Architekt · Security by Design

Ich baue Infrastruktur
die Audits besteht.

Zertifizierter ISB mit BSI-Grundschutz · ISO/IEC 27001 Lead Implementer und Lead Auditor (PECB-Prüfungen 2025) —
mit der technischen Tiefe eines Infrastructure Architects.

Die meisten ISMS-Projekte enden mit einem Zertifikat und einer Infrastruktur die dem Papier nicht entspricht. Ich kenne diese Lücke von beiden Seiten: als Auditor der Schwachstellen findet, und als Architekt der sie in der Infrastruktur schließt.

Auf LinkedIn verbinden

Projekte

Von der Dunkelziffer zur steuerbaren Infrastruktur

IaC-Strategie für ein Unternehmen mit mehreren Standorten · Umgesetzt

Ausgangslage: Ein Inventar das kaum jemand kannte — unvollständig, veraltet, selten verlässlich. Dokumentation existierte auf dem Papier, aber nicht in der Realität. Patch-Management lief händisch, ohne nachvollziehbaren Prozess. Für einen ISO 27001 Auditor ist das kein Einzelbefund — das ist ein Systemproblem.

NetBox als Single Source of Truth — erstmals ein vollständiges, versioniertes Inventar. GitLab CI/CD als Änderungs-Pipeline — jede Änderung nachvollziehbar, kein Dienstleister der spurlos verschwindet. Ansible als Executor — konsistente Konfiguration über alle Standorte, reproduzierbar. Governance-Regeln verankert: CLI-Verbot, Dokumentationspflicht, Änderungsprozess.

Dazu Schulungsunterlagen und Self-Service-Workflows: auch Mitarbeiter ohne CLI- oder Linux-Erfahrung können Playbooks ausführen und Infrastruktur verwalten. Eine Infrastruktur die nur der Architekt bedienen kann ist keine Lösung — es ist eine neue Abhängigkeit.

→ Eine Infrastruktur die man erklären kann — und die funktioniert wenn ich nicht da bin.

NetBoxGitLab CI/CDAnsibleIaCISO 27001Change ManagementADR-Methodik

Keine Schneeflocken — und kein blindes Patchen mehr

Serverstandards und auditierter Update-Prozess · Zielzustand in Umsetzung

Ausgangslage: Jeder Server eine Einzelanfertigung, konfiguriert nach Bauchgefühl. Die Bestandsinfrastruktur lässt sich nicht von heute auf morgen auf vollständige Immutable Infrastructure umstellen — das wäre zu ressourcenhungrig und zu riskant für den laufenden Betrieb.

Packer baut standardisierte Golden Images — jeder neue Server entsteht aus derselben reproduzierbaren Basis. Updates laufen über ein ringbasiertes Patch-Modell (Ansible, GitLab-CI, NetBox-Steuerung) statt händischem Klicken — bewusst ohne WSUS und ohne Cloud-Lock-in, nach dem Prinzip „Quiet Automation, Loud Failures". NetBox wird zur Abhängigkeitskarte ausgebaut — VM zu VM, VM zu Hardware, bis zur Applikationsebene. Wer was braucht und was bei einem Ausfall betroffen ist.

Die Governance-Entscheidung dahinter: Updates sind kein manueller Vorgang mehr, sondern ein auditierbarer Prozess — nachvollziehbar für jeden Auditor und jeden Nachfolger.

→ Kein Patch ohne Dokumentation. Kein Server ohne reproduzierbare Basis.

PackerPatch-RingeGitLab CI/CDAnsibleNetBoxPatch ManagementISO 27001ADR-Methodik

Zugang als Kontrollpunkt

Security Architecture für Linux- und Netzwerkinfrastruktur · Architektur entworfen, Implementierung geplant

Ausgangslage: Statische SSH-Keys auf jedem System. Lokale Accounts auf Netzwerkgeräten. Zugang entziehen bedeutet jeden Rechner einzeln anfassen. Für einen ISO 27001 Auditor ist das kein Befund — das sind mehrere.

Ich habe die Zugriffsarchitektur mit Vault als Root-of-Trust entworfen: Vault SSH CA für zeitlich begrenzte Zertifikate (max. 8h) — Zugang entziehen bedeutet Policy anpassen, kein Gerät wird angefasst, alle Ausstellungen vollständig auditiert. TACACS+ für zentrales AAA aller Switches und Firewalls. Ansible-Role common-hardening als einheitliche Baseline für alle Systeme.

Statische authorized_keys explizit abgelehnt — nicht weil sie nicht funktionieren, sondern weil sie nicht skalieren, nicht auditierbar sind und ISO 27001 widersprechen. Die Entscheidung ist dokumentiert, begründet, mit Alternativen abgewogen.

→ Architektur steht. Implementierung folgt: Zugang wird kein Zustand mehr sein, sondern ein Ereignis.

HashiCorp VaultSSH CATACACS+AnsibleISO 27001Zero TrustAudit LoggingIAMADR-Methodik

Ein neuer Standort in Stunden, nicht Wochen

Enterprise IaC-Plattform · Architektur entworfen, Rollout in Vorbereitung

Ausgangslage: Die Frage war nicht mehr "wie reparieren wir das" — sondern "wie bauen wir etwas das mit der Organisation wächst ohne jedes Mal von vorne anzufangen." Bei über 20 Standorten, zwei Rechenzentren und einem Cloud-Standort ist manuelle Provisionierung kein Skalierungsproblem mehr — es ist ein Architekturproblem.

Ich habe die Plattform entworfen die einen neuen Standort zu einem Vorgang macht: NetBox-Site anlegen, Pipeline starten — fertig. Keine Wochen manueller Konfiguration, kein Wissen das nur in einem Kopf sitzt. Die Plattform kennt IP-Schema, VLAN-Struktur und Rollenzuweisungen — der Standort bekommt was er braucht, nicht was gerade jemand Zeit hatte zu konfigurieren.

Die Governance-Entscheidung dahinter: sieben klar getrennte Domänen — Platform-Core, Storage, Virtualization, Automation, Services, Network, NetBox-Integration — jede mit eigener Verantwortung und Pipeline. Zentrale Kontrolle, dezentrale Ausführung. Keine Konfigurationsänderung an Server, Switch oder Firewall ohne auditierbare Pipeline.

→ Skalierbarkeit ist kein Feature das man später einbaut. Es ist eine Architekturentscheidung die man früh trifft — oder teuer nachrüstet.

Enterprise ArchitectureSite ProvisioningGitLab CI/CDNetBoxTerraformISO 27001ADR-Methodik

Methodik

Erst die Entscheidung, dann der Code.

Bevor ich einen Server konfiguriere oder eine Firewall-Regel schreibe, dokumentiere ich warum. Architecture Decision Records halten fest was entschieden wurde, welche Alternativen es gab und welche Konsequenzen die Entscheidung hat.

Das klingt nach Overhead. Es ist das Gegenteil: wer nicht aufschreibt warum er etwas gebaut hat, baut es beim nächsten Mal falsch nach.

Infrastruktur die sich selbst erklärt.

Alles was ich baue liegt als Code vor — versioniert, reproduzierbar, auditierbar. Kein Gerät das nur jemand kennt der es damals eingerichtet hat. Eine Single Source of Truth pro Domäne.

Wenn ein System driftet, wird es neu gebaut — nicht manuell gepatcht.

Sicherheit die von Anfang an eingebaut ist.

Least Privilege, Audit Logging, zeitlich begrenzte Zugänge, verschlüsselte Secrets — das sind keine Extras sondern Grundbedingungen. Ich weiß was ein Auditor sucht, weil ich die Prüferperspektive kenne und die ISO-27001-Lead-Auditor-Prüfung selbst abgelegt habe.

KI als Werkzeug, nicht als Ersatz.

Architekturentscheidungen treffe ich selbst. Für die Implementierung nutze ich KI-gestützte Workflows — die Geschwindigkeit entsteht nur weil Architektur und Grundlagen sorgfältig vorbereitet sind.

Ein schlecht durchdachtes System wird mit KI nur schneller falsch gebaut.

Homelab

Läuft. Gerade jetzt. Auf dem Server nebenan.

Kein Spielzeug-Homelab. Eine miniaturisierte Enterprise-Infrastruktur — gebaut auf denselben Prinzipien die ich für Kunden entwerfe, mit denselben Werkzeugen, mit denselben Governance-Entscheidungen.

Vault als Root-of-Trust

PKI-Hierarchie mit Root und Intermediate CA, AppRole-Authentifizierung, Least-Privilege für jeden Dienst. Kein statischer Credential der nicht zeitlich begrenzt ist.

Zero-Trust-Segmentierung

9 VLANs — Management, Server, Storage, Clients, IoT, DMZ. Kein Netz spricht ungefiltert mit dem anderen. Alle Firewall-Policies dokumentiert und per IaC versioniert.

IaC durchgehend

Kein Dienst wird manuell konfiguriert. Alle Services im Service-Katalog, Ansible-Rollen für jeden, CI/CD via Woodpecker. Drift führt zu Neuaufbau — nicht zum Patch.

KI-Schicht mit Privacy-by-Design

Architektur definiert, Implementierung läuft: lokales LLM via ollama für interne Daten, n8n als geplanter Routing-Punkt zwischen lokalem Modell und Cloud-Eskalation nach Sanitisierung. Kein Datenabfluss ohne explizite Entscheidung.

Das Labor ist kein Anhang zum Portfolio. Es ist das Portfolio.

HashiCorp VaultAnsibleTraefikAuthentikPrometheusWoodpecker CIn8nPrivacy-by-DesignZero TrustIaC

Zertifizierungen

ISO/IEC 27001 Lead Implementer (PECB) Prüfung bestanden 2025 · Aufbau und Betrieb von ISMS

ISO/IEC 27001 Lead Auditor (PECB) Prüfung bestanden 2025 · ISMS-Audits nach ISO/IEC 27001

ISB Informationssicherheitsbeauftragter

BSI IT-Grundschutz Technischer Grundschutz nach BSI-Standard

Kontakt

Wenn Sie eine Infrastruktur brauchen die Audits besteht — nicht nur auf dem Papier.