Infrastruktur & Private Cloud

Die Basis, auf der Cloud und Sicherheit erst tragen.

Überblick

Was diese Leistung umfasst

Infrastruktur & Private Cloud steht für das technische Fundament, auf dem Cloud-Strategie und Sicherheit erst tragen. Wir konzipieren und bauen hyperkonvergente Cluster auf Basis von Storage Spaces Direct (S2D) und NVMe-Storage — die technische Grundlage von Microsofts Azure Local —, modernisieren Netzwerk-Infrastruktur auf 10G-Niveau und implementieren Backup-Architekturen mit immutable Storage auf Basis von Veeam. Ein Schwerpunkt liegt auf der Härtung lokaler Active-Directory-Umgebungen: Fine-Grained Password Policies, YubiKey-basierte passwortlose Authentifizierung und eine saubere Hybrid-Identity-Brücke zu Entra ID schließen eines der häufigsten Einfallstore für Angriffe.

Anders als Implementierung & Migration, die Ziel-Workloads ausrollt, oder Operations & Managed Services, die den laufenden Betrieb übernehmen, entwirft und baut diese Säule das Fundament selbst. Infrastruktur- und Identitäts-Assessments sind zugleich ein eigenständiger Baustein unserer IT-Due-Diligence- und Carve-Out-Projekte für Private-Equity-Portfoliounternehmen, wo Rechenzentrum, Netzwerk und Active Directory regelmäßig zu den größten Unbekannten einer Transaktion gehören. Das Ergebnis: eine Infrastruktur, die ransomware-resistent, passwortlos abgesichert und durchgängig Azure-konsistent verwaltbar bleibt.

Für wen

Für wen sich das eignet

Unternehmen mit unternehmenskritischen On-Premises-Workloads, die Performance, Verfügbarkeit oder Datenhoheit nicht in die Public Cloud auslagern können oder wollen
Mittelstand mit veralteter Server- und Storage-Hardware, der eine Konsolidierung auf hyperkonvergente Infrastruktur (S2D/Azure Local) plant
IT-Verantwortliche, die ihre Active-Directory-Umgebung gegen Credential-basierte Angriffe härten und auf passwortlose Authentifizierung umstellen wollen
Private-Equity-Portfolio-Unternehmen, bei denen Rechenzentrum, Netzwerk und Identität Teil einer IT Due Diligence oder eines Carve-Outs sind

Challenges

Infrastruktur & Betrieb

Alternde Hardware ohne Ausfallsicherheit

Netzwerk als Flaschenhals

Active Directory als Angriffsfläche

Backup ohne Ransomware-Resistenz

Kein Konzept für Hybrid-Betrieb

Fehlende Transaktionsreife der Infrastruktur

Leistungen

Leistungen im Detail

Das Fundament für Performance und Verfügbarkeit. Wir konzipieren und bauen hyperkonvergente Cluster auf Basis von Storage Spaces Direct (S2D) und NVMe-Storage — die technische Grundlage für Microsofts Azure Local. Skalierbar, hochverfügbar und cloud-konsistent verwaltbar.

Storage Spaces Direct (S2D) Cluster-DesignNVMe-Storage & Performance-TieringAzure Local & Azure Stack HCI ReadinessHochverfügbarkeit & Kapazitätsplanung

Die Basis, auf der alles andere läuft. Wir planen und implementieren 10G-Netzwerk-Upgrades, Segmentierung und Zero-Trust-taugliche Netzwerkarchitekturen — für stabile Performance und eine belastbare Grundlage für Ihre Security-Strategie.

10G/25G Netzwerk-UpgradeNetzwerksegmentierung & VLANsRedundanz & HochverfügbarkeitKapazitäts- & Performance-Planung

Der Unterschied zwischen Backup und Ransomware-Schutz liegt im Design. Wir konzipieren und implementieren Ihre Backup-Infrastruktur auf Basis von Veeam mit unveränderlichem (immutable) On-Premises-Storage — von Grund auf gehärtet, bevor der laufende Betrieb beginnt.

Veeam Backup-Architektur & DesignImmutable Storage Implementation3-2-1-1-0-Backup-StrategieRestore-Test & Abnahme vor Go-Live

Zugangsdaten sind der häufigste Angriffsvektor — auch in klassischen Active-Directory-Umgebungen. Wir härten Ihre lokale Identitätsinfrastruktur mit Fine-Grained Password Policies, automatisierter Passwort-Rotation, Windows Hello for Business für die gerätegebundene Alltagsanmeldung und YubiKey für geräteunabhängige, portable Zugriffe — und bauen die Brücke zu Entra ID für eine durchgängige Hybrid-Identity-Strategie.

Active Directory Hardening & FGPPWindows Hello for Business & YubiKeyAutomatisierte Passwort-Rotation (128-Zeichen täglich)Hybrid-Identity-Bridge zu Entra ID

Bei einem IT Carve-Out oder einer Due Diligence sind Rechenzentrum, Netzwerk und Identität oft die größten Unbekannten. Wir bewerten Ihre On-Premises- und Hybrid-Infrastruktur für Transaktionen, Portfolio-Standardisierung oder als eigenständigen Baustein einer IT Due Diligence — in enger Abstimmung mit unserem Consulting & Strategie Team.

Infrastruktur- & Rechenzentrums-AssessmentActive-Directory-Entflechtung für Carve-OutsTSA-Scope-Definition (Data Center, Netzwerk, Identity)Standalone-Infrastruktur-Readiness

Ablauf

So läuft ein Projekt ab

01
Infrastruktur-Assessment (1–2 Wochen)
Bestandsaufnahme von Hardware, Storage, Netzwerk und Active-Directory-Struktur inklusive Risiko- und Kapazitätsbewertung.
02
Architektur & Sizing (2–4 Wochen)
Dimensionierung von S2D-Cluster, Netzwerk-Topologie und Backup-Architektur; Konzept für Identity Hardening und Hybrid-Anbindung an Entra ID.
03
Aufbau & Migration
Implementierung von Cluster, Netzwerk-Upgrade und Backup-Infrastruktur im laufenden Betrieb, inklusive kontrolliertem Cutover.
04
Abnahme & Übergabe
Restore-Tests, Dokumentation und Übergabe in den Regelbetrieb oder in unsere Managed Services.

Referenzen

Passende Projekte aus der Praxis

Fertigungsindustrie

Zero-Trust-Infrastruktur vom Rechenzentrum bis zum Remote-Arbeitsplatz

FAQ

Häufige Fragen zu Infrastruktur & Private Cloud

S2D ist die zugrunde liegende Storage-Technologie, auf der Microsofts Azure Local (vormals Azure Stack HCI) aufbaut. Wir konzipieren Ihre Cluster von Anfang an Azure-Local-kompatibel, damit Sie später nahtlos in hybrides Cloud-Management wechseln können, ohne die Infrastruktur neu aufzubauen.

Klassische Backup-Ziele sind vom Produktivnetzwerk aus erreichbar und damit selbst angreifbar. Erst unveränderlicher (immutable) Storage — bei dem selbst Administratoren gesicherte Daten nicht löschen oder verschlüsseln können — schützt zuverlässig gegen Ransomware, die gezielt Backups zuerst angreift.

Über Fine-Grained Password Policies (FGPP) in Active Directory in Kombination mit automatisierter Passwort-Verwaltung — niemand merkt sich mehr ein Passwort. Für die Alltagsanmeldung an verwalteten Endgeräten nutzen wir Windows Hello for Business (biometrisch oder per PIN, gerätegebunden); für Zugriffe, die nicht an ein einzelnes Gerät gebunden sein dürfen — etwa privilegierte Zugriffe oder wechselnde Arbeitsplätze — kommen YubiKeys als portabler, hardwarebasierter Faktor zum Einsatz. Die zugrunde liegenden Passwörter rotieren täglich automatisiert im Hintergrund und sind für niemanden mehr sichtbar oder merkbar, was klassische Passwort-Angriffe praktisch wirkungslos macht.

Die Entscheidung fällt je Workload, nicht pauschal für das ganze Unternehmen. Für eigene Hardware sprechen konstante Dauerlast, harte Latenzanforderungen etwa zu Produktionsanlagen, große Datenmengen mit hohem Durchsatz und regulatorische Vorgaben zur Datenhoheit. Für die Public Cloud sprechen schwankende Lasten, kurze Bereitstellungszeiten, geografische Verteilung und der Wunsch, keine Hardware mehr zu betreiben. Zusätzlich zählen die Restlaufzeit vorhandener Hardware, verfügbares Betriebs-Know-how und die Ausstiegsfähigkeit. In der Praxis endet es meist hybrid: ERP und Dateidienste lokal auf einem Cluster, Identität, Kollaboration und die ausgelagerte Backup-Kopie in der Cloud.

Vor allem die Resilienz-Entscheidung, weil sie die benötigte Rohkapazität bestimmt. Ein Zwei-Wege-Spiegel braucht mindestens zwei Server und erreicht 50 Prozent Speichereffizienz, ein Drei-Wege-Spiegel mindestens drei Server und 33,3 Prozent — für ein Terabyte Nutzdaten also drei Terabyte Rohkapazität. Für produktive Zwei-Knoten-Cluster empfiehlt Microsoft zusätzlich Nested Resiliency, die als verschachtelter Zwei-Wege-Spiegel nur rund 25 Prozent Speichereffizienz erreicht. Dazu kommen NVMe-Anteil und Cache-Auslegung, das Netzwerk mit redundanten 10G- oder 25G-Switches sowie die Lizenzierung: Windows Server wird nach physischen Kernen lizenziert, mindestens acht je Prozessor und sechzehn je Server. Bei Azure Local kommt eine monatliche Abrechnung je physischem Kern hinzu, Gastbetriebssysteme werden separat lizenziert.

Assessment und Architektur laufen als Festpreis, ebenso Aufbau und Migration je Phase mit definierter Abnahme. Als Abnahmekriterien vereinbaren wir überprüfbare Tests statt weicher Formulierungen: erfolgreicher Failover eines Clusterknotens im laufenden Betrieb, dokumentierter Restore aus dem unveränderlichen Backup, gemessener Durchsatz. Offene Altlasten rechnen wir nach Aufwand ab. Hardware und Lizenzen können Sie über Ihren gewohnten Einkaufsweg beziehen; unsere Sizing-Empfehlung ist davon unabhängig. Der spätere Betrieb ist optional als Managed Service je Server und Cluster buchbar.

Assessment ein bis zwei Wochen, Architektur und Sizing zwei bis vier Wochen; danach bestimmt fast immer die Lieferzeit von Servern und Switches den Termin, nicht die Konfiguration. Von Ihnen brauchen wir Rack-Platz mit ausreichender Stromversorgung, idealerweise zwei Kreisen und USV, Kühlung mit Reserve, freie Switch-Ports und Uplinks, ein IP- und VLAN-Konzept oder die Freiheit, eines zu entwerfen, Zutritt zum Serverraum sowie freigegebene Wartungsfenster für den Cutover. Ergänzend eine Liste der Anwendungen mit Ansprechpartnern, damit Abhängigkeiten vor der Migration bekannt sind.

Ja, beides. Zur Abnahme gehören eine As-built-Dokumentation mit Cluster-Layout, Volumes samt gewähltem Resilienz-Typ, VLAN- und Firewall-Übersicht, Backup-Jobs mit Aufbewahrungsfristen sowie das Protokoll des Restore-Tests. Administrative Zugänge einschließlich Break-Glass-Konten liegen bei Ihnen, nicht bei uns. Die Umgebung basiert auf Standardtechnologien — Windows Server mit Storage Spaces Direct, marktübliche Switches, Veeam für Backup — und nicht auf proprietären Alendris-Komponenten. Sie können den Betrieb selbst übernehmen, an einen Dritten geben oder uns beauftragen; wir übergeben in allen drei Fällen dieselben Runbooks.

Die Nutzdaten Ihrer virtuellen Maschinen und Dateidienste liegen physisch in Ihrem Rechenzentrum und verlassen es auch bei einer Azure-Anbindung nicht. Was an Azure fließt, sind Verwaltungs- und Abrechnungsdaten: Inventar, Zustandsmeldungen und die Zahl der physischen Kerne, nach denen Azure Local monatlich abgerechnet wird. Diese Daten gehen in die Region, in der das System registriert wurde — Azure Local unterstützt dafür nur eine begrenzte Liste an Regionen, innerhalb der EU derzeit West Europe. Wir registrieren dort und dokumentieren es. Gleiches gilt für die ausgelagerte Backup-Kopie: Eine unveränderliche Kopie bleibt vor Ort, die zweite liegt in einer EU-Region mit vertraglich fixierter Aufbewahrungsfrist.