Warum es das gibt
Die meisten Organisationen mit 50–500 Mitarbeitenden betreiben ihre internen Dienste auf Basis einer Reihe von Ad-hoc-Entscheidungen: DNS läuft über den Router, Zertifikate sind selbstsigniert und abgelaufen, die Dateifreigabe ist ein Mix aus Dropbox und Netzlaufwerken, niemand weiß, welche IP-Bereiche genutzt werden, und die CMDB ist eine Tabelle, die vor zwei Jahren jemand zu pflegen aufgehört hat.
Das ist kein Versagen der Absicht — sondern das Fehlen des richtigen Fundaments. Identitätsmanagement lässt sich ohne zuverlässiges internes DNS nicht zentralisieren. VPN-Zertifikate lassen sich ohne eine Zertifizierungsstelle nicht verwalten. Log-Zeitstempel sind ohne synchronisierte Zeit auf allen Hosts wertlos. Patch-Management lässt sich ohne ein präzises Inventar nicht automatisieren.
Ohne Atlas Core
Mit Atlas Core
Architektur
Hosting- & Provisioning-Server. Alle Atlas-Core-Dienste laufen auf einem internen Server auf Basis von Proxmox VE — ein Host im Fundament (Mini-PC-Klasse, z. B. Minisforum MS-01), ein HA-Paar bei Plus (1U-Rack, ECC) und ein Cluster bei Enterprise. Derselbe Host trägt die Provisioning-Ebene, die jeden Knoten aufbaut und pflegt: PXE/Preseed für die gehärtete Debian-12-Basis, Ansible + Gitea (AWX/AAP in höheren Stufen), Terraform/OpenTofu und NetBox als Source of Truth. Die Hardware- und Software-Spezifikation ist je Stufe definiert, sodass der Server, der die Dienste hostet, sie auch provisioniert.
Technische Referenz
PowerDNS — Internes DNS mit Weboberfläche
PowerDNS Authoritative 4.9 + Recursor 5.1 + PowerDNS-Admin-GUI · SQLite/MySQL-Backend · HTTP-API
PowerDNS ersetzt das im Router integrierte DNS und ermöglicht Split-Horizon-Auflösung: der Authoritative-Server hält interne Zonen (.corp, .internal), der Recursor leitet diese lokal weiter und löst alles andere über einen Upstream-Resolver (Quad9 9.9.9.9 oder Cloudflare 1.1.1.1 über DoT) auf. Zonen und Records werden in der PowerDNS-Admin-Weboberfläche verwaltet — keine handgepflegten Zonendateien, keine manuellen Serial-Erhöhungen — und über die HTTP-API mit NetBox abgeglichen. Erforderlich für Kerberos (SRV-Records), FreeIPA und jedes SSO, bei dem Clients interne Dienst-Hostnamen auflösen.
Prometheus-Metriken werden von Atlas Observe abgerufen; die PowerDNS-Admin-GUI wird über NGINX Proxy Manager mit TLS veröffentlicht.
ISC Kea — DHCP mit Weboberfläche
ISC Kea 2.6 (kea-dhcp4/6 + Control Agent) + Stork-Dashboard · memfile/MySQL-Leases · REST-API
Kea ist der moderne, API-gesteuerte Ersatz für das DHCP des Routers. Es vergibt Adressen pro VLAN und übergibt jedem Client automatisch seine Kerndienste — DNS (PowerDNS) über Option 6 und NTP (Chrony) über Option 42 — sodass kein Gerät manuell konfiguriert werden muss. Subnetze, Pools und Reservierungen spiegeln NetBox IPAM (die Quelle der Wahrheit für den Adressplan). Pool-Auslastung, aktive Leases und Serverzustand sind im Stork-Web-Dashboard sichtbar; auf Plus/Enterprise läuft ein zweites Kea als HA-Lease-Paar.
Die REST-API des Kea Control Agent steuert Stork und die Automatisierung; die Stork-GUI wird über NGINX Proxy Manager mit TLS veröffentlicht.
PKI & Zertifikatsverwaltung — mit Weboberfläche
Gestufte CA: step-ca (Fundament) · HashiCorp Vault PKI + Vault-UI (Plus) · EJBCA + Admin/RA-GUI (Enterprise) — Server-, Client- & M2M-Zertifikate
Eine Root-CA pro Kunde, offline generiert und air-gapped aufbewahrt; nur eine ausstellende Intermediate-CA ist jemals online. Die PKI skaliert nach Stufe und wird stets über eine Weboberfläche verwaltet — nie mit handgeschriebenem OpenSSL. Fundament nutzt step-ca für automatisiertes ACME-TLS. Plus rüstet auf HashiCorp Vault PKI mit der Vault-Web-UI auf: ausstellende CA plus Rollen je Typ (Server, Client, M2M), ausgestellt über ACME/API. Enterprise betreibt EJBCA als vollwertige Policy-CA — Admin-GUI (Mgmt-VLAN, mTLS) und RA-GUI (Self-Service), Zertifikatsprofile, Freigaben, CRL/OCSP, EST/SCEP/CMP, HSM-gestützt — mit darunter verketteter Vault PKI als kurzlebige M2M-Ausstellungs-Engine. Jede Ausstellung/Erneuerung/Sperrung wird in Atlas Observe auditiert.
Zertifikatstypen: Server (TLS, 90 T, ACME) · Client (mTLS, 30 T, RA/EST/SCEP) · M2M (Workload-Identität, ≤ 24 h, Vault AppRole/JWT). Admin-Oberflächen werden nur über NGINX Proxy Manager mit TLS veröffentlicht.
HashiCorp Vault OSS — Secrets-Management Enterprise-Add-on
hashicorp/vault · Raft-Storage-Backend · zugleich die Plus-PKI-Engine (oben)
Über die Zertifikatsausstellung hinaus (PKI-Rolle oben) wird Vault als Enterprise-Add-on für Secrets angeboten: dynamische Datenbank-Anmeldedaten, automatisierte API-Schlüssel-Rotation und einen versionierten K/V-Secret-Store mit vollständigem Audit-Logging — jeder Secret-Zugriff wird an Graylog weitergeleitet. Die Secrets-Engines werden auf der Fundament-Stufe bewusst nicht bereitgestellt: Der betriebliche Aufwand (Unseal-Keys, Raft-Quorum) lohnt sich erst, wenn eine Organisation Anforderungen an dynamische Secrets hat.
Auf Enterprise-Stufe: Vault läuft als 3-Knoten-Raft-Cluster mit Auto-Unseal über AWS KMS oder Azure Key Vault.
NetBox — Netzwerkinventar & IPAM
netbox-community/netbox · 4.x · PostgreSQL-Backend · Redis-Caching
NetBox ist die zentrale Quelle der Wahrheit für IP-Adressmanagement (IPAM), Netzwerkgeräteinventar und die CMDB — es gibt kein zweites Inventarwerkzeug. Jedes Subnetz, VLAN, Präfix und Gerät wird hier registriert, bevor es bereitgestellt wird. Ansible liest die NetBox-Inventar-API dynamisch aus — keine statischen Inventardateien mehr. Benutzerdefinierte Felder erweitern NetBox um den Asset-Lebenszyklus (Leasing-Ende, Garantieablauf, Refresh-Zyklus) und machen es damit auch zur zentralen Quelle der Wahrheit für den Hardware-Lebenszyklus von Atlas Blueprint.
Chrony — NTP-Zeitsynchronisation
chrony 4.x · Stratum-2-Server · NTP-Pool oder GPS-Referenz
Damit Kerberos funktioniert, müssen alle Hosts auf maximal 5 Sekunden zeitsynchronisiert sein, für eine sinnvolle Log-Korrelation im SIEM sogar auf unter 1 ms. Chrony ist als Stratum-2-NTP-Server konfiguriert, der sich mit ptbtime1.ptb.de synchronisiert (deutscher nationaler Standard, Physikalisch-Technische Bundesanstalt). Alle internen Clients erhalten die NTP-Serveradresse über DHCP-Option 42. Der NTP-Offset wird in Zabbix überwacht, mit Alarmierung bei einer Abweichung >50 ms.
Regulatorische Compliance
Jede Kontrolle unten ist der Atlas-Core-Komponente zugeordnet, die sie erfüllt, samt dem erzeugten Nachweis.
| Regulierung / Kontrolle | Anforderung | Atlas-Core-Komponente | Nachweis |
|---|---|---|---|
| NIS2 Art. 21(2)(e) | Nutzung sicherer Kommunikationskanäle; Verschlüsselung von Daten bei der Übertragung | step-ca — alle internen TLS-Zertifikate; NGINX — TLS-Terminierung | Export des Zertifikatsinventars aus step-ca |
| NIS2 Art. 21(2)(j) | Patch- und Schwachstellenmanagement — Software auf aktuellem Stand halten | Ansible-Patch-Management — wöchentliche Läufe, dokumentiert in der AWX-Job-Historie | Export der AWX-Job-Historie; CVE-Scan vorher/nachher |
| GDPR Art. 25 | Datenschutz durch Technikgestaltung — Zugriffskontrolle, standardmäßige Verschlüsselung | step-ca — standardmäßig TLS überall; NGINX — kein Klartext-HTTP intern | step-ca-Audit-Log; Prüfung der NGINX-Zugriffslogs |
| GDPR Art. 32(1)(a) | Pseudonymisierung und Verschlüsselung personenbezogener Daten | OpenCloud — serverseitige Verschlüsselung; step-ca — Schlüsselverwaltung | Export der OpenCloud-Verschlüsselungskonfiguration |
| BSI OPS.1.1.3 | Patch-Management — dokumentierte Richtlinie, nachverfolgte Anwendung von Patches | Ansible + AWX — alle Patch-Läufe versionskontrolliert in GitLab | Git-Historie der Ansible-Playbooks + AWX-Job-Log |
| BSI OPS.1.2.1 | Änderungsmanagement — alle Änderungen dokumentiert und nachvollziehbar | NetBox — Änderungshistorie je Objekt (integriertes Journal & Changelog) | Export des NetBox-Changelogs |
| DORA Art. 9(2) | IKT-Asset-Inventar — vollständiges und aktuelles Verzeichnis der IKT-Assets | NetBox — zentrale CMDB für alle Netzwerkgeräte, IPs und IT-Assets | NetBox-API-/Berichtsexport |
| CRA Annex I §1 | Produkte sollen ohne bekannte ausnutzbare Schwachstellen ausgeliefert werden | Ansible-Patch-Management stellt sicher, dass alle eingesetzten Komponenten auf dem neuesten stabilen Stand sind | Greenbone-Scan nach der Bereitstellung (Atlas Perimeter) |
Eigenständige Installation
Jede Komponente kann unabhängig bereitgestellt werden, ohne sich auf eine vollständige Atlas-Core-Integration festzulegen. Füllen Sie das Customer Request Form aus, wir definieren den Umfang, wir setzen um. Festpreis, fester Umfang, 5 Tage Support nach Installation inklusive.
PowerDNS — eigenständig
PowerDNS 4.9 + PowerDNS-Admin · :53 UDP/TCP · Web-GUIInternes DNS mit Weboberfläche für Ihre Organisation. Split-Horizon: interne Zonen werden lokal aufgelöst, externe Anfragen über DNS-over-TLS weitergeleitet. Zonen und Records werden in der PowerDNS-Admin-GUI verwaltet. Ersetzt das Router-DNS sofort.
€ 790
Netto, zzgl. MwSt. · Anfahrt innerhalb von 100 km um Hamburg inklusive · Hardware nicht enthalten
CRF herunterladen & Angebot anfordernstep-ca — Zertifizierungsstelle
smallstep/certificates · ACME · :443 HTTPSEinsteiger-Zertifizierungsstelle für Ihre Organisation. Root-CA offline generiert, Intermediate-CA in step-ca. Stellt Zertifikate für interne Dienste automatisch über ACME mit kurzen TTLs aus. Auf die Vault-PKI-/EJBCA-Weboberfläche unten aufrüstbar.
€ 790
Netto, zzgl. MwSt. · Anfahrt innerhalb von 100 km um Hamburg inklusive · Hardware nicht enthalten
CRF herunterladen & Angebot anfordernPKI-Weboberfläche — Vault PKI / EJBCA
Vault PKI + Vault-UI · oder EJBCA + Admin/RA-GUI · Server · Client · M2MEine verwaltete PKI mit Browser-Oberfläche für den vollständigen Zertifikatslebenszyklus. Vault PKI (mit Vault-UI) oder EJBCA (Admin- + RA-GUI, Zertifikatsprofile, HSM). Stellt Server- (TLS), Client- (mTLS) und M2M-Zertifikate (Workload-Identität) aus und sperrt sie, inkl. CRL/OCSP.
ab € 1.490
Netto, zzgl. MwSt. · Anfahrt innerhalb von 100 km um Hamburg inklusive · Hardware nicht enthalten
CRF herunterladen & Angebot anfordernChrony — Zeitsynchronisation
chrony 4.x · stratum 2 · PTB referenceStratum-2-NTP-Server, synchronisiert mit dem deutschen nationalen Zeitstandard (PTB Braunschweig). Erforderlich für Kerberos, SIEM-Log-Korrelation und jeden Compliance-Audit-Trail.
€ 390
Netto, zzgl. MwSt. · Anfahrt innerhalb von 100 km um Hamburg inklusive · Hardware nicht enthalten
CRF herunterladen & Angebot anfordernISC Kea DHCP — eigenständig
ISC Kea 2.6 + Stork · :67/68 UDP · Web-DashboardModernes, API-gesteuertes DHCP mit Browser-Dashboard. Vergibt Adressen pro VLAN und übergibt DNS (Option 6) und NTP (Option 42) automatisch. Aktive Leases und Pool-Auslastung im Stork-Web-Dashboard. Ersetzt das Router-DHCP sauber.
€ 690
Netto, zzgl. MwSt. · Anfahrt innerhalb von 100 km um Hamburg inklusive · Hardware nicht enthalten
CRF herunterladen & Angebot anfordernVollständige Integration
Eine vollständige Atlas-Core-Integration erfordert zunächst ein Audit. Das Audit (2–3 Wochen) erfasst Ihre bestehende Umgebung, identifiziert Lücken und erstellt ein Leistungsverzeichnis (Statement of Work). Die Integration wird anschließend projektbezogen kalkuliert. Ein Vor-Ort-Ingenieur ist für die gesamte Dauer inbegriffen.
5–50 Nutzer · 1 Standort · einzelner Server
ab € 19.500
Netto, zzgl. MwSt. · Festpreis nach Audit
50–500 Nutzer · 1–5 Standorte · HA-Paar
ab € 62.000
Netto, zzgl. MwSt. · Festpreis nach Audit
500+ Nutzer · mehrere Standorte · vollständiger Cluster
ab € 135.000
Netto, zzgl. MwSt. · Festpreis nach Audit
Vor jedem Integrationsprojekt führt XpertOne ein 2–3-wöchiges technisches Audit Ihrer bestehenden Umgebung durch. Das Audit liefert eine Gap-Analyse, eine Architekturempfehlung, eine Stückliste und ein Leistungsverzeichnis. Das Audit ist ein eigenständiges, kostenpflichtiges Projekt — keine kostenlose Vertriebsaktivität. So wird sichergestellt, dass der Integrationsumfang präzise ist, und beide Seiten werden vor unkontrollierter Ausweitung geschützt.
Woche 1
Discovery — Netzwerk-Scan, Prüfung von bestehendem DNS/PKI/Inventar, Stakeholder-Interviews
Woche 2
Gap-Analyse — Abgleich des Ist-Zustands mit der Zielregulierung (NIS2/BSI/DORA), Identifikation fehlender Kontrollen
Woche 3
Architekturentwurf — vorgeschlagene Atlas-Core-Bereitstellung, Stückliste, Integrationsabhängigkeiten, Zeitplan
Ergebnis
Audit-Bericht + Leistungsverzeichnis + Festpreisangebot für die Integration
Copyright © XpertOne Security Consulting GmbH. Alle Rechte vorbehalten. | Impressum | Datenschutz