Workflow-Plattformen selbst hosten: Infrastruktur und Sicherheit

Das Problem: Cloud-Abhängigkeit bei kritischen Workflows

Viele Mittelständler nutzen Workflow-Plattformen wie n8n, Make oder Zapier in der Cloud-Variante. Die Einstiegshürde ist niedrig, die ersten Automatisierungen laufen schnell. Doch sobald Kundendaten, Rechnungsinformationen oder Personalakten durch die Workflows fließen, stellen sich drei Fragen: Wo liegen die Daten? Wer hat Zugriff? Und was passiert, wenn der Anbieter die AGB ändert oder die Preise verdoppelt?

Selbst gehostete Workflow-Plattformen bieten hier eine Alternative. Sie behalten die Kontrolle über Server, Datenbankzugriffe und Netzwerkverkehr. Doch Self-Hosting ist kein Selbstläufer. Es verlangt klare Entscheidungen bei Infrastruktur, Backup, Updates und Zugriffsrechten.

Was Self-Hosting bei Workflow-Plattformen bedeutet

Self-Hosting heißt: Sie betreiben die Software auf eigener oder gemieteter Infrastruktur. Die Plattform läuft auf einem Server in Frankfurt, Nürnberg oder im eigenen Rechenzentrum. Sie installieren Updates selbst, konfigurieren Datenbank und Reverse-Proxy, sichern Logs und Backups.

n8n bietet eine Docker-Installation und einen Community-Support. Make (ehemals Integromat) ist primär Cloud-basiert, eine Self-Hosted-Variante existiert nur in Unternehmenslizenzen. Zapier hat keine Self-Hosted-Option. Wer selbst hosten will, landet meist bei n8n oder bei spezialisierten Plattformen wie Windmill oder Temporal.

Der Hauptvorteil: Alle Daten bleiben in Ihrer Hoheit. Kein US-Konzern speichert Zwischenergebnisse, keine dritte Partei wertet Logs aus. Für Branchen mit strengen Compliance-Vorgaben (Gesundheit, Finanzwesen, öffentlicher Sektor) ist das oft Voraussetzung.

Server-Dimensionierung: Was Sie wirklich brauchen

Eine Workflow-Plattform verarbeitet APIs, führt Scripte aus, legt Daten in einer Datenbank ab und verschickt HTTP-Requests. Die Anforderungen hängen von drei Größen ab:

• Anzahl paralleler Workflows: 10 einfache Workflows pro Stunde brauchen weniger Ressourcen als 200 verschachtelte Prozesse mit PDF-Generierung.
• Datenmenge pro Durchlauf: Ein CRM-Sync mit 50 Datensätzen belastet weniger als OCR-Verarbeitung von 500 Rechnungen täglich.
• Externe Abhängigkeiten: Wenn jeder Workflow auf externe APIs wartet, reicht ein kleiner Server. Wenn Sie lokal große Dateien umwandeln, brauchen Sie RAM und CPU.

Für den Einstieg genügt ein virtueller Server mit 4 CPU-Kernen, 8 GB RAM und 80 GB SSD. Das reicht für 100 bis 300 Workflow-Durchläufe pro Tag mit durchschnittlicher Komplexität. Wer täglich mehrere tausend Vorgänge automatisiert, sollte 8 Kerne und 16 GB RAM einplanen.

Speicher skaliert anders: Workflow-Logs, Datenbank-Backups und temporäre Dateien wachsen kontinuierlich. Planen Sie 200 GB als Minimum, besser 500 GB, wenn Sie Logs länger als 90 Tage aufheben müssen.

EU-Hosting: Rechenzentrum und Anbieter wählen

Die DSGVO verlangt, dass personenbezogene Daten in der EU verarbeitet werden, sofern kein Drittlandtransfer dokumentiert ist. Für Workflow-Plattformen bedeutet das: Der Server muss in einem EU-Rechenzentrum stehen, der Hosting-Anbieter sollte ebenfalls EU-Sitz haben.

Bewährte Anbieter für den Mittelstand:

• Hetzner (Nürnberg, Falkenstein, Helsinki): Günstig, transparent, deutscher Support.
• netcup (Nürnberg, Wien): Mittelstandsfreundlich, ISO 27001 zertifiziert.
• IONOS (Deutschland): Größerer Anbieter, breites Portfolio, höhere Preise.

Meiden Sie Anbieter mit Hauptsitz in den USA, auch wenn sie EU-Rechenzentren anbieten. Die rechtliche Kontrolle liegt dann außerhalb der EU, was zusätzliche Prüfpflichten auslöst.

Achten Sie im Vertrag auf:

• Standortgarantie (Server darf nicht automatisch umziehen)
• AV-Vertrag nach Art. 28 DSGVO
• Recht auf Datenlöschung binnen 30 Tagen
• Backup-Verantwortung (liegt meist bei Ihnen, nicht beim Hoster)

Netzwerk-Absicherung: Firewall, VPN, Reverse-Proxy

Eine Workflow-Plattform ist ein öffentlich erreichbarer Dienst, sobald sie Webhooks empfängt oder ein Web-Interface bietet. Ohne Absicherung ist das ein offenes Tor.

Firewall-Regeln: Öffnen Sie nur Port 443 (HTTPS) nach außen. SSH (Port 22) sollte nur aus Ihrem Büro-Netz oder per VPN erreichbar sein. Alle anderen Ports (Datenbank, Redis, Monitoring) bleiben nach außen geschlossen.

Reverse-Proxy mit TLS: Setzen Sie nginx oder Caddy vor die Workflow-Plattform. Der Proxy übernimmt TLS-Terminierung (Let’s Encrypt), leitet Anfragen intern weiter und loggt Zugriffe. So trennen Sie Web-Schicht von Anwendungsschicht.

VPN für Admin-Zugriff: Wer n8n administriert, sollte sich nicht über das offene Internet einloggen. Richten Sie WireGuard oder OpenVPN ein und erlauben Sie Admin-Zugriff nur aus dem VPN. Das reduziert die Angriffsfläche um 90 Prozent.

IP-Whitelisting für Webhooks: Wenn nur bekannte Systeme (CRM, ERP, DATEV) Webhooks senden, tragen Sie deren IP-Bereiche in die Firewall ein. Unbekannte IPs werden geblockt.

Datenbank und Backup: Wiederherstellbarkeit sicherstellen

n8n nutzt PostgreSQL oder MySQL als Datenbank. Alle Workflows, Credentials, Execution-History landen dort. Ein Ausfall ohne Backup bedeutet Totalverlust.

Tägliche Backups: Richten Sie einen Cronjob ein, der täglich um 3 Uhr morgens ein Datenbank-Dump erstellt. Speichern Sie das Dump auf einem zweiten Volume oder Server, nie auf derselben Festplatte.

Retention-Policy: Behalten Sie die letzten 30 Tages-Backups plus je ein Monats-Backup der letzten 12 Monate. Das genügt für Compliance und kostet unter 50 GB Speicher.

Wiederherstellung testen: Einmal im Quartal stellen Sie ein Backup auf einem Test-Server wieder her und prüfen, ob Workflows starten. Backups, die nicht getestet sind, sind Wunschdenken.

Verschlüsselung: Backup-Dateien enthalten Credentials für APIs, Datenbanken, Cloud-Dienste. Verschlüsseln Sie Dumps mit GPG oder verwenden Sie verschlüsselte Volumes (LUKS). Der Schlüssel liegt im Passwort-Manager, nicht auf dem Server.

Updates und Patch-Management

Workflow-Plattformen entwickeln sich schnell. n8n veröffentlicht alle zwei bis vier Wochen neue Versionen mit Bugfixes, neuen Nodes und Security-Patches. Wer selbst hostet, muss Updates selbst einspielen.

Staging-Umgebung: Fahren Sie zwei Instanzen: Produktion und Staging. Neue Versionen testen Sie erst auf Staging, prüfen Workflows, lesen Changelogs. Erst dann aktualisieren Sie Produktion.

Automatisierte Update-Benachrichtigungen: Abonnieren Sie den Release-Feed auf GitHub oder nutzen Sie Tools wie Renovate, die neue Docker-Images melden.

Rollback-Plan: Bevor Sie ein Update einspielen, sichern Sie Datenbank und Docker-Volume. Wenn die neue Version Workflows bricht, spielen Sie innerhalb von 15 Minuten die alte Version zurück.

Sicherheits-Updates haben Vorrang. Wenn n8n eine kritische Lücke schließt, spielen Sie den Patch binnen 48 Stunden ein, auch ohne ausgiebigen Staging-Test.

Zugriffsrechte und Credential-Management

Workflow-Plattformen speichern API-Keys, OAuth-Tokens, Datenbank-Passwörter. Diese Credentials sind der Schlüssel zu CRM, ERP, Buchhaltung. Verlust oder Diebstahl bedeutet Totalschaden.

Rollenbasierter Zugriff: n8n bietet ab der Enterprise-Version Rollen und Rechteverwaltung. In der Community-Edition hat jeder Nutzer vollen Zugriff. Überlegen Sie, ob Sie mehrere Instanzen betreiben (eine für Vertrieb, eine für Buchhaltung), um Zugriffsrechte zu trennen.

Credential-Verschlüsselung: n8n verschlüsselt Credentials in der Datenbank mit einem Master-Key. Dieser Key muss sicher verwahrt werden (Passwort-Manager, Hardware-Token). Liegt der Key auf dem Server im Klartext, ist die Verschlüsselung wertlos.

Audit-Logs: Aktivieren Sie Execution-Logs und speichern Sie, wer wann welchen Workflow gestartet hat. Bei Vorfällen (versehentlich gelöschte Daten, unerwartete API-Calls) können Sie nachvollziehen, was passiert ist.

Monitoring und Alarmierung

Ein Workflow, der nachts abbricht, fällt oft erst am nächsten Morgen auf. Bis dahin fehlen Daten, Kunden bekommen keine Bestätigungen, Rechnungen landen nicht in DATEV.

Uptime-Monitoring: Setzen Sie einen externen Dienst (UptimeRobot, Healthchecks.io) auf, der alle 5 Minuten einen Health-Endpoint abfragt. Antwortet der Server nicht, bekommen Sie eine SMS oder Push-Nachricht.

Workflow-Heartbeat: Kritische Workflows (z. B. nächtlicher Rechnungs-Import) senden am Ende einen HTTP-Request an einen Monitoring-Dienst. Bleibt der Request aus, wird alarmiert.

Ressourcen-Überwachung: Grafana oder Netdata zeigen CPU, RAM, Disk-I/O in Echtzeit. Wenn die Festplatte voll läuft oder RAM knapp wird, erkennen Sie das Stunden vor dem Absturz.

Log-Aggregation: Senden Sie Workflow-Logs an einen zentralen Log-Server (Loki, Graylog). Das erleichtert Fehlersuche und erfüllt Audit-Anforderungen.

Was oft schiefgeht

Fehlende Backup-Tests: Backups existieren, lassen sich aber nicht wiederherstellen, weil die Datenbank-Version nicht passt oder Credentials fehlen.

Unverschlüsselte Verbindungen: n8n läuft auf HTTP statt HTTPS, weil der Reverse-Proxy falsch konfiguriert ist. API-Keys und Passwörter fliegen im Klartext durchs Netz.

Offene Admin-Interfaces: Das n8n-Webinterface ist ohne Firewall aus dem Internet erreichbar. Bots scannen täglich nach /n8n, /workflow, /admin.

Veraltete Versionen: Die Installation läuft seit 18 Monaten ohne Update. Bekannte Sicherheitslücken bleiben offen, neue Nodes fehlen.

Zu kleine Server: Der Server läuft bei 10 Workflows rund, bricht aber zusammen, sobald 50 parallel starten. RAM ist nach 3 Stunden voll, Workflows laufen in Timeouts.

Wann Self-Hosting sich lohnt

Self-Hosting macht Sinn, wenn:

• Sie mehr als 1.000 Workflow-Durchläufe pro Monat haben und Cloud-Kosten über 200 Euro steigen.
• Sie sensible Daten (Gesundheit, Finanzen, Personal) verarbeiten und AV-Verträge mit US-Anbietern nicht durchsetzbar sind.
• Sie langfristig unabhängig bleiben wollen und Preiserhöhungen oder Account-Sperrungen ausschließen möchten.
• Ihre IT-Abteilung bereits Server betreut und Erfahrung mit Docker, Datenbanken und Monitoring hat.

Self-Hosting lohnt nicht, wenn:

• Sie weniger als 100 Workflows pro Monat ausführen und keine kritischen Daten verarbeiten.
• Ihre IT-Abteilung keine Kapazität für Wartung, Updates und Monitoring hat.
• Sie schnell starten wollen und Compliance zweitrangig ist.

Fazit: Kontrolle hat ihren Preis, aber auch ihren Wert

Workflow-Plattformen selbst zu hosten bedeutet mehr Aufwand, aber auch mehr Kontrolle. Sie entscheiden über Server-Standort, Backup-Strategie, Zugriffsrechte und Update-Zeitpunkte. Für Mittelständler mit hohen Compliance-Anforderungen oder großen Workflow-Volumina ist das oft die einzige tragfähige Lösung.

Die Infrastruktur muss stimmen: EU-Hosting, Firewall, Reverse-Proxy, tägliche Backups, Monitoring. Ohne diese Bausteine wird Self-Hosting zum Sicherheitsrisiko statt zur sicheren Alternative.

Wenn Sie Workflow-Plattformen sicher und DSGVO-konform betreiben wollen, unterstützen wir Sie bei Planung, Setup und laufendem Betrieb.

Sprechen Sie mit uns

Sie möchten das in Ihrem Betrieb umsetzen? Wir bauen die passende Maschine mit Ihnen.

Telefon: 040 468 967 680
E-Mail: info@whitefox-automations.com
Oder über unser Kontaktformular.