Autor: admin

  • Engineering-RAG-Workflow für Elektro- & Maschinenbauprojekte

    Engineering-RAG-Workflow für Elektro- & Maschinenbauprojekte

    Live-Wissensdatenbank für Normen, Artikellisten, Kundenanforderungen und Projektdokumente

    In modernen Engineering-Projekten (Elektrokonstruktion, Maschinenbau, Automatisierung, Sondermaschinen) arbeiten Teams ständig mit komplexen Vorgabedokumenten, darunter:

    • Artikel- und Materiallisten
    • Kundenspezifikationen
    • Normensammlungen (DIN, ISO, VDE)
    • Freigabedokumente & Änderungsstände
    • EPLAN-Auszüge
    • Risikoanalysen
    • Lastenhefte und Funktionsbeschreibungen

    Diese Informationen müssen versioniert, durchsuchbar, projektbezogen, aktuell und teamweit verfügbar sein.

    Hier setzt unser RAG-unterstütztes Engineering-Wissenssystem an.


    🧠 Ziel des Systems

    Eine projektorientierte, KI-gestützte Live-Wissensdatenbank, die:

    • Automatisch Dokumente aus Nextcloud einliest
    • Texte, Tabellen, Normartikel, technische Inhalte extrahiert und strukturiert
    • OCR für gescannte PDFs nutzt
    • Alles in eine Postgres/PGVector-Datenbank schreibt
    • Änderungen in Echtzeit erkennt
    • Veraltete Daten automatisch löscht
    • Eine KI-Chatoberfläche (Open-WebUI) benutzt, um Fragen projektbezogen zu beantworten
    • Inhalte nicht erfindet, sondern nur referenziert
    • Tabellen per SQL auswertet (z. B. „zeige alle Artikelgrößen“, „max. Stromstärke“ usw.)
    • Bilder extrahiert, in Supabase lädt und korrekt im Markdown ausgibt

    Damit hat das Engineering-Team einen digitalen Projektingenieur, der alle Dokumente kennt, sie durchsucht, interpretiert und vergleicht.


    🏗️ Architekturüberblick

    Der Workflow besteht aus drei zentralen Bereichen:


    1️⃣ Dokument-Ingestion & Synchronisation (Nextcloud → RAG-Datenbank)

    🔁 Alle 5 Minuten:

    1. Nextcloud-Ordner scannen
      /Dokumente/n8n/RAG/…
    2. Gegen Postgres vergleichen (ETag + LastModified)
      ➜ nur neue oder geänderte Dateien werden eingelesen.
    3. Veraltete Einträge entfernen
      – aus:
      • document_metadata
      • document_rows
      • documents_pg (Vektorstore)
    4. Neue/aktualisierte Dateien einlesen
      • Dateityp bestimmen (PDF, Excel, CSV, DOCX …)
      • Tabellen extrahieren (CSV/XLSX)
      • Text extrahieren (Default Loader)
      • OCR verwenden wenn nötig
        (für gescannte PDFs ➜ Mistral OCR)
    5. Dokument in Chunks splitten + speichern
      ➜ als Vektoren in documents_pg

    Damit wird jede Änderung sofort übernommen.


    2️⃣ RAG-KI-Agent (Open-WebUI)

    Der Chat läuft über:

    • Azure OpenAI (DSGVO-konform)
      Modelle: gpt-5-mini, gpt-4.1-mini, Embeddings
    • Postgres Vektorsuche (PGVector)
    • KI-Gedächtnis über Postgres Chat Memory

    Der Agent erhält ein strenges System-Prompt:

    ✔ Keine Halluzinationen
    ✔ Immer RAG-Suche -> Dokumente referenzieren
    ✔ SQL-Abfragen für tabellarische Daten
    ✔ Markdown-strukturierte Antworten
    ✔ Anzeigen aller Bilder (automatisch aus Supabase)

    Beispielprompt:

    „Suche bitte die genaue Normstelle für Kurzschlussfestigkeit aus den hochgeladenen Kundenvorgaben.“

    Der Agent durchsucht:

    • kundenspezifische Vorgaben
    • Normen (z. B. DIN EN 61439)
    • technische Anhänge
    • Excel-Stücklisten
    • Tabellen zur Strombelastbarkeit
    • Maschinenrichtlinien-Auszüge

    und liefert exakte, belegte Antworten.


    3️⃣ Dynamischer Dokument-Parser

    (OCR → Bildextraktion → Supabase → Markdown-Rekonstruktion)

    Der zweite Workflow:

    1. Hochladen eines PDF/Dokuments zu Mistral API
    2. Generierung einer signierten URL
    3. OCR-Prozess mit:
      • Textextraktion
      • Erkennung aller Bilder
      • Erstellung natürlicher Bildbeschreibungen
    4. Speichern aller Bilder via Supabase
    5. Ersetzen aller inline-Bild-IDs im Markdown
    6. Zurückgeben eines vollständig rekonstruierten Markdown-Dokuments
      – mit Bildern
      – mit Bildbeschreibungen
      – perfekt geeignet für RAG

    Beispiel:

    ![page1_image3](page1_image3)
    
    → wird ersetzt durch →
    
    ![page1_image3](https://supabase.domain/storage/.../892173_page1_image3.png)
    
    Die Abbildung zeigt die Verdrahtung eines Motorschützes mit Überlastschutz…
    

    🛠️ Was wird gespeichert?

    1. document_metadata

    • file_id (ETag)
    • title
    • url (Nextcloud-Pfad)
    • last_modified
    • schema (bei Tabellen)

    2. document_rows

    • Jede Tabellenzeile als JSON
      Beispiel für Artikeldaten:
    {
      "Artikelnummer": "X20392",
      "Bezeichnung": "Sicherungsautomat 10A",
      "Hersteller": "Siemens",
      "Norm": "DIN EN 60898",
      "Strom": "10A"
    }
    

    3. documents_pg (Vektorstore)

    • alle Textchunks
    • inklusive OCR-Texte
    • inklusive Bildbeschreibungen

    ⚙️ Use-Cases in Engineering-Projekten

    🔌 Elektroplanung / Schaltschrankbau

    • automatische Ermittlung der richtigen Normstellen
    • Prüfung ob Komponenten normkonform sind
    • Zeigen von Artikeln aus einer Liste

    ⚙️ Maschinenbau / Mechanik

    • Normanforderungen für Sicherheit (z. B. ISO 12100)
    • automatisches Auslesen von Lastenheften
    • OCR lesbarer gescannter Werkstattnotizen
    • Inhaltliche Zusammenführer unterschiedlicher Revisionen

    📑 QM & Dokumentation

    • zentraler Norm-Wissensspeicher
    • projektbezogene Vorgabensammlung
    • automatisches Änderungsmanagement
    • Rückverfolgbarkeit aller Vorgaben

    💡 Engineering-KI | Beispielabfragen

    • „Welche Artikel sind im Projekt XY freigegeben?“
    • „Welche Norm fordert den Überstromschutz der 24V-Schiene?“
    • „Vergleiche die Kundenanforderungen Version 2.1 und 3.0.“
    • „Welche Motorleistung ist laut Vorgabe zulässig?“
    • „Liste alle Artikel mit größerem Nennstrom als 16A.“
    • „Welche Dokumente wurden seit gestern geändert?“

    📈 Vorteile für Engineering-Firmen

    ❤️ Für Konstrukteure

    • Keine Sucherei in 300 PDFs
    • Sofort Antworten auf Normfragen
    • Projektbezogene Wissensbasis — nie wieder alte Dokumentstände

    🧠 Für Projektleitung

    • Versionssicherheit
    • Vollautomatisches Änderungsmonitoring
    • Revisionssichere Ablage

    ⚡ Für die Firma

    • Weniger Fehler
    • Schnellere Konstruktion
    • Saubere, nachvollziehbare Dokumentation
    • Compliance-sichere Normanwendung

    🧩 Technologiestack

    BereichLösung
    DateiablageNextcloud
    OCRMistral
    KI ModelleAzure OpenAI (DSGVO)
    DatenbankSupabase Postgres + PGVector
    Orchestrierungn8n
    WorkspaceOpen-WebUI
    Embeddingstext-embedding-3-small
    RerankerCohere Reranker
    VersionierungETag + LastModified Vergleich

    🎯 Fazit

    Dieser Workflow transformiert deine Engineering-Firma in einen datenbasierten, KI-gestützten High-Performance-Prozess:

    ✔ alle Kundenvorgaben
    ✔ alle Normen
    ✔ alle Artikellisten
    ✔ alle Freigaben
    ✔ alle Projektfiles
    ✔ alle Tabellen
    ✔ alle Bilder
    ✔ alle OCR-Inhalte

    werden vollautomatisch eingelesen, versioniert, durchsuchbar gemacht, mit KI analysierbar und projektbezogen live aktuell gehalten.

  • Automatisierte Terminbuchung auf system-boost.de – n8n, NocoDB & CalDAV

    Automatisierte Terminbuchung auf system-boost.de – n8n, NocoDB & CalDAV

    Um meine Beratungsgespräche effizient zu planen, habe ich auf system-boost.de eine komplett automatisierte Terminbuchung umgesetzt.
    Dabei kommen ausschließlich Open-Source-Technologien zum Einsatz – vollständig selbst gehostet, DSGVO-konform und perfekt in meine bestehenden Workflows integriert.

    Die Lösung verbindet WordPress → n8n → NocoDB → CalDAV zu einem leistungsfähigen Automatisierungsprozess, der Anfragen speichert, Termine automatisch anlegt, interne Benachrichtigungen sendet und freie Zeitslots live auf der Website ausgibt.


    Warum ich diese Lösung entwickelt habe

    Ich wollte ein Terminbuchungssystem, das:

    • keine SaaS-Abhängigkeit hat
    • keine Kundendaten an US-Dienste überträgt
    • zu 100 % automatisiert arbeitet
    • meinen Kalender live prüft und freie Slots anzeigt
    • in mein Automatisierungs-Ökosystem (n8n, Self-Hosting, CalDAV) passt

    Die bestehenden Lösungen waren entweder überladen, teuer oder nicht ausreichend datenschutzkonform.
    Also habe ich eine eigene, schlanke und performante Alternative gebaut.


    So funktioniert die Terminbuchung auf system-boost.de

    1) WordPress-Formular → n8n (Webhook)

    Wenn ein Besucher einen Termin auswählt und das Formular absendet:

    • erreicht die Anfrage den n8n Webhook wp-terminbuchung
    • der Benutzer wird direkt auf die Danke-Seite weitergeleitet
    • alle Daten werden im Hintergrund verarbeitet

    2) Speicherung in NocoDB (Lead-Management)

    Alle Anfragen werden automatisch in einer NocoDB-Tabelle gespeichert:

    • Vorname
    • Nachname
    • E-Mail
    • Firma
    • Datum
    • Uhrzeit
    • Datenschutz-Einwilligung

    Damit habe ich eine einfache, saubere und DSGVO-konforme Lead-Verwaltung.

    3) Automatische E-Mail-Benachrichtigung

    Ich erhalte sofort eine interne E-Mail mit allen Details der Anfrage.
    Das erlaubt mir, auch mobile oder unterwegs schnell zu sehen, welcher Termin gebucht wurde.

    4) Automatische Kalendererstellung (CalDAV)

    Mein self-hosted CalDAV-Kalender erstellt automatisch ein 30-Minuten Meeting:

    • Titel: „Erstgespräch mit {Name} ({Firma})“
    • Ort: „Online-Meeting“
    • Beschreibung: alle Kontaktdaten + Buchungsquelle
    • Start-/Endzeit werden zuverlässig per JavaScript berechnet

    Damit landet jeder Termin ohne Klick direkt in meinem Kalender.


    Die technischen Highlights

    🟦 n8n Workflow 1: Buchung entgegennehmen

    Nodes:

    • Webhook → Redirect
    • NocoDB – Create Row
    • Email Send
    • Code Node (Zeitberechnung)
    • CalDAV – createEvent

    🟩 n8n Workflow 2: Freie Termin-Slots berechnen

    Dieser Workflow liefert die freien Slots live an die Webseite.

    Die Slot-API:

    GET /webhook/wp-termin-slots?date=YYYY-MM-DD

    Der Workflow:

    1. liest alle Termine für den angefragten Tag aus meinem CalDAV-Kalender
    2. erkennt Überschneidungen
    3. berücksichtigt Pufferzeiten
    4. generiert 30-Minuten-Slots
    5. filtert nur die wirklich freien Zeiten
    6. gibt ein sauberes JSON zurück – ideal für die WordPress-Buchungsmaske

    Beispiel-Response:

    {
      "date": "2025-12-04",
      "slots": ["10:00", "10:30", "11:00", ...]
    }
    

    Arbeitszeit-Logik

    • Mo–Fr: 07:00–19:00
    • Sa: 10:00–16:00
    • So: keine Terminbuchung
    • Vor und nach jedem Termin wird ein 30-Minuten-Puffer geblockt

    Datenschutz & DSGVO

    Da alles self-hosted läuft, gibt es:

    • keine externen Datenübertragungen
    • vollständige Datenminimierung
    • Speicherung nur im eigenen NocoDB-System
    • Transport ausschließlich via HTTPS
    • klare Einwilligung im Formular (Checkbox)

    Die Lösung erfüllt damit deutlich höhere Anforderungen als kommerzielle SaaS-Terminbuchungen.


    Die Vorteile für meine Besucher & Kunden

    • Transparente Terminübersicht – freie Slots werden live angezeigt
    • Direkte automatische Buchung – kein Hin und Her per E-Mail
    • Sofortige Bestätigung & Kalendarisierung
    • Datenschutz auf höchstem Niveau
    • Keine Drittanbieter, keine Tracker, keine Cookies notwendig

    Die Vorteile für mich als Berater

    • Leads kommen strukturiert in meine Datenbank
    • Termine tauchen automatisch im Kalender auf
    • Doppelte Buchungen sind ausgeschlossen
    • Zero-Maintenance durch Automatisierung
    • Erweiterbar wie eine API-first-Lösung (z. B. für Mautic, CRM, Follow-ups)

    Fazit

    Die Terminbuchung auf system-boost.de zeigt, wie leistungsfähig n8n, WordPress, NocoDB und CalDAV zusammen wirken können – vor allem dann, wenn man Wert auf Open Source, Datenschutz und Automatisierung legt.
    Dieses Setup ist stabil, flexibel und bietet eine hochwertige User Experience ohne externe Dienste.

  • Kundenprojekt: Automatisierte OCR-Verarbeitung in Nextcloud – suchbare PDF/A-Dokumente mit n8n & lokalem API-Server

    Kundenprojekt: Automatisierte OCR-Verarbeitung in Nextcloud – suchbare PDF/A-Dokumente mit n8n & lokalem API-Server

    Ausgangssituation

    Bei einem unserer Kunden werden täglich zahlreiche Dokumente gescannt – Rechnungen, Lieferscheine, Verträge oder Notizen. Diese landen automatisch in einem Nextcloud-Ordner und stehen anschließend verschiedenen Mitarbeitern zur Verfügung.
    Das Problem: Die PDFs stammen direkt aus dem Scanner und enthalten keine durchsuchbaren Texte. Damit war die Suche nach Dokumenteninhalten oder Beträgen mühsam, und eine revisionssichere Langzeitarchivierung im PDF/A-Format war nicht gewährleistet.

    Der Kunde wünschte sich eine vollautomatische Lösung, um neue Scans in Nextcloud automatisch zu erkennen, in durchsuchbare PDF/A-Dateien zu konvertieren und anschließend sauber abzulegen – ohne Cloud-Dienste, vollständig on-premises.


    Unsere Lösung: n8n + Nextcloud + lokaler OCR-API-Server

    Wir haben dafür einen Workflow auf Basis von n8n entwickelt, der direkt mit der Nextcloud des Kunden verbunden ist.
    Der Ablauf im Überblick:

    1. Überwachung des Scanner-Ordners:
      In regelmäßigen Intervallen prüft der Workflow den Nextcloud-Ordner /Geschaeftsdaten/Scanner auf neue Dateien.
    2. Filterung & Verarbeitung:
      Bereits verarbeitete Dokumente (erkennbar an der Endung _ocr.pdf) werden übersprungen, um doppelte Konvertierungen zu vermeiden.
    3. Lokale OCR-Verarbeitung:
      Neue PDF-Dateien werden automatisch an einen lokalen OCR-API-Server geschickt, der innerhalb der Kundeninfrastruktur läuft.
      Dieser Server basiert auf FastAPI und nutzt intern ocrmypdf mit der OCR-Engine Tesseract.
      Unterstützt werden mehrere Sprachen (z. B. Deutsch & Englisch), automatische Drehung, Schräglagenkorrektur und Optimierung.
      Das Ergebnis ist ein PDF/A-konformes Dokument mit Textlayer – also durchsuchbar, normgerecht und visuell identisch zum Original.
    4. Rückführung & Ablage:
      Das erzeugte _ocr.pdf wird im gleichen Ordner wieder hochgeladen.
      Das ursprüngliche Scan-PDF wird – je nach Einstellung – gelöscht, um Dubletten zu vermeiden.
    5. Automatische Namenskonvention:
      Der Workflow ergänzt alle OCR-Dateien einheitlich mit der Endung _ocr.pdf und sorgt so für klare Versionierung und Nachvollziehbarkeit.

    Datenschutz & Sicherheit: Verarbeitung ausschließlich lokal

    Ein zentrales Ziel dieses Projekts war der Datenschutz.
    Alle Verarbeitungsschritte finden innerhalb der Kundensysteme statt – keine Datei verlässt das lokale Netzwerk.

    Architektur

    • FastAPI-Server läuft on-prem auf einem Linux-System im Intranet.
    • Der OCR-Service nutzt ausschließlich temporäre Arbeitsverzeichnisse (tempfile.TemporaryDirectory), die nach jedem Auftrag automatisch gelöscht werden.
    • Der Server akzeptiert nur PDF-Dateien (Content-Type: application/pdf oder multipart upload).
    • Das Ergebnis wird gestreamt zurückgegeben – keine Kopien im Speicher, keine dauerhafte Speicherung.

    Datenschutzvorteile

    • Daten bleiben im Haus: Keine Übertragung in fremde Clouds oder Drittländer.
    • Verarbeitung zweckgebunden: Nutzung nur zur Texterkennung.
    • Speicherbegrenzung: Temporäre Daten werden nach Verarbeitung automatisch gelöscht.
    • Transparente Benennung: Jede OCR-Datei trägt den Suffix _ocr.pdf – klar nachvollziehbar.
    • Keine Protokollierung von Inhalten: Nur technische Logs (Status, Dauer, Erfolg/Fehler).

    Technische Härtung

    • Zugriff nur über interne IPs oder VPN.
    • HTTPS (TLS)-Absicherung über Reverse Proxy mit Strict-Transport-Security & Referrer-Policy.
    • API-Key oder mTLS-Authentifizierung für n8n-Aufrufe.
    • Rate-Limits & Timeouts schützen vor Missbrauch.
    • Kein Internetzugang vom Server ausgehend (reine Intranet-Kommunikation).
    • Antivirus-Option (ClamAV) möglich – vor OCR-Aufruf zur zusätzlichen Prüfung.

    Beispielheader (Reverse Proxy)

    X-Content-Type-Options: nosniff
    Content-Security-Policy: default-src 'none'
    Strict-Transport-Security: max-age=31536000; includeSubDomains
    Referrer-Policy: no-referrer
    

    So entsteht eine vollständig datenschutzkonforme On-Prem-Lösung, die nicht nur sicher, sondern auch technisch elegant umgesetzt ist.


    Vorteile für den Kunden

    • Automatische Texterkennung: Dokumente sind durchsuchbar in Nextcloud & Desktop-Suche.
    • Langzeitarchivierung: Ausgabe als PDF/A – rechtssicher und standardkonform.
    • Volle Kontrolle: Alle Daten bleiben im eigenen Netzwerk.
    • Zeitersparnis: Kein manuelles OCR mehr notwendig.
    • Einheitliche Ablage: _ocr.pdf-Suffix für klare Nachvollziehbarkeit.
    • DSGVO-konform: Keine Übermittlung, keine Fremdsysteme, keine Drittanbieter.

    Technische Eckpunkte

    • Workflow Engine: n8n (Automatisierung & Orchestrierung)
    • Cloud-System: Nextcloud mit OAuth2-Anbindung
    • OCR-Service: FastAPI + ocrmypdf + Tesseract
    • Sprachen: Deutsch & Englisch (lang=deu+eng)
    • Output: PDF/A mit Texterkennung, Rotation, Deskew, Optimierung
    • Dateibenennung: Original → _ocr.pdf
    • Timeout: bis zu 15 min für große Dokumente
    • Laufzeitumgebung: On-prem Linux, ohne Internetzugang

    Erweiterung & Ausblick

    In der nächsten Ausbaustufe kann der Workflow erweitert werden, um:

    • automatisch Metadaten zu extrahieren (Datum, Lieferant, Rechnungsnummer),
    • Dokumente zu taggen oder in Unterordner zu verschieben,
    • Benachrichtigungen in Nextcloud Talk oder per Mail zu senden,
    • oder eine Anbindung ans ERP/DMS-System zu schaffen.

    Fazit

    Mit dieser Lösung erhält der Kunde eine automatisierte, sichere und revisionssichere Dokumentenverarbeitung – komplett lokal betrieben, ohne Cloud-Dienste, ohne Datenschutzrisiko.
    Der Workflow läuft im Hintergrund, ist wartungsarm und sorgt dafür, dass alle gescannten Dokumente in Nextcloud durchsuchbar, standardisiert und sicher archiviert sind.


  • Automatisierte Blogbeiträge aus Medien-Workflows: Von Asset → KI → WordPress-Entwurf

    Automatisierte Blogbeiträge aus Medien-Workflows: Von Asset → KI → WordPress-Entwurf

    Beim Kunden erweitern wir den bestehenden Medien-Workflow (Airtable → Nextcloud) um eine KI-gestützte Erstellung von Blogbeiträgen. Bilder werden automatisch analysiert, ein sauber strukturierter Beitrag (HTML, SEO-Titel, Auszug, Tags) generiert und als Entwurf in WordPress angelegt – inklusive Featured Image. Die Redaktion prüft nur noch, ergänzt ggf. Details und veröffentlicht.

    Ausgangslage & Ziel

    Der Kunde sammelt Social-Media-Assets (Text, Fotos, Tags) bereits zentral. Was fehlte: schnell aus verwertbaren Assets einen fundierten Blogentwurf zu erzeugen – mit konsistenter Struktur, SEO-Basics und Medieneinbindung – ohne jedes Mal bei Null zu starten.

    Ziel: Aus vorhandenen Inhalten automatisch einen WordPress-Draft erzeugen, der redaktionell nur noch finalisiert wird.


    So funktioniert der erweiterte Workflow

    1) Picking & Vorbereitung

    • Airtable liefert „bereit“-markierte Einträge (Status „Ready“).
    • Ein Code-Knoten normalisiert Titel, sammelt Text + Tags + Assets und erzeugt einen sauberen Ablagepfad (Datum_Titel_ID).

    2) Nextcloud-Ablage

    • Es wird automatisch ein Projektordner erstellt (Nextcloud).
    • Assets (Foto/Video) werden heruntergeladen und in den Ordner geladen.
    • Eine info.txt dokumentiert Ort, Text, Tags – für Nachvollziehbarkeit.

    3) Medien → WordPress

    • Falls ein Bild vorhanden ist (JPEG/PNG), wird es vorab von der Quelle geladen und via WordPress-API als Media Attachment hochgeladen.
    • Die ID des Uploads wird später als Featured Image gesetzt.

    4) KI-Analyse des Bildes

    • Ein Vision-Modell analysiert nur das gelieferte Bild (keine Fremdquellen) und erzeugt eine sachliche Beschreibung (keine Phantasiewerte).

    5) KI-Autor (Blog-JSON)

    • Ein LLM-Chain-Knoten erstellt aus Bildbeschreibung + ursprünglichem Text + Hashtags einen strukturierten Blog-Entwurf (JSON mit Feldern wie title, slug, seo, excerpt, tags, content_html).
    • Der Text ist referenzartig in Wir-Form (Projekt/Referenz), mit Abschnitten wie:
      Ausgangssituation & Ziel, Unsere Umsetzung, Vorteile, Technische Eckpunkte, Projekt-Steckbrief, CTA.
    • SEO-Basics (Titel 50–60 Zeichen, Meta-Beschreibung 140–160) und interne Links (z. B. /leistungen/…) werden integriert – ohne Keyword-Spam.

    6) WordPress-Draft anlegen

    • Über die WP-REST-API wird ein Beitrag als „draft“ erstellt (Autor, Kategorie, Slug, HTML-Inhalt).
    • Danach wird via API die Featured-Media-ID gesetzt – das Bild erscheint als Artikel-Teaser.

    7) Status-Rückmeldung

    • Der Ursprungsdatensatz wird markiert (z. B. „Nextcloud = Ja“), damit nichts doppelt verarbeitet wird.

    Datenschutz & Governance

    • Keine Fremdquellen: Die KI nutzt nur die gelieferten Assets + Felder.
    • Entwurf statt Autopublish: Redaktionelle Kontrolle bleibt beim Team.
    • EU-Hosting möglich, klare Zugriffsrechte und Protokollierung.
    • Transparenz: info.txt sichert Kontext & Nachvollziehbarkeit pro Beitrag.

    Konkrete Vorteile für den Kunden

    • Zeitgewinn: Aus Rohmaterial wird in Minuten ein vollständiger Draft.
    • Konsistenz: Einheitliche Struktur, sauberer HTML-Aufbau, SEO-Grundlagen automatisch.
    • Medien korrekt eingebunden: Featured Image, Alt-Texte/Caption-Vorschläge, saubere Dateinamen.
    • Weniger Fehlerquellen: Automatisierte Pfade, Status-Flags, klare Logs.
    • Skalierbar: Funktioniert für wiederkehrende Formate (Baustellen-Update, Referenz, Produkt-Notiz).

    Technische Eckpunkte (Auszug)

    • Trigger: alle 10 Minuten; filtert auf Status „Ready“ und „nicht verarbeitet“.
    • Storage: Nextcloud-Ordner je Beitrag; info.txt mit Metadaten.
    • Media Pipeline: HTTP-Download → WP Media Upload → Rückgabe media_id.
    • Content-Engine: Vision-Analyse → LLM-Chain → valide JSON-Antwort mit content_html.
    • WordPress-API: POST /wp/v2/posts (draft), anschließend PATCH mit featured_media.
    • Fail-safes: MIME-Check (nur Bildformate), Timeouts, klare Fehlerpfade (kein Autopublish).

    Typische Redaktionelle Checks (1–3 Minuten)

    • Titel leicht zuspitzen, Excerpt finalisieren.
    • Interne Links prüfen (passen die Zielseiten?).
    • Zwei, drei Wörter im „Technische Eckpunkte“-Block verfeinern.
    • Veröffentlichen.

    Fazit

    Die Erweiterung macht aus vorhandenen Medien in einem Rutsch einen sauberen Blogentwurf – mit Bild, Struktur und SEO-Grundlagen. Das Team fokussiert sich auf Qualität & Freigabe, der Rest läuft reproduzierbar im Hintergrund. Ergebnis: mehr Inhalte, weniger Aufwand, konsistent im Markenstil.

  • Kundenprojekt: Onlineshop mytomo.de – performantes Shop-Setup mit Automatisierung & DSGVO-Konformität

    Kundenprojekt: Onlineshop mytomo.de – performantes Shop-Setup mit Automatisierung & DSGVO-Konformität

    Für mytomo.de haben wir einen skalierbaren Online-Shop umgesetzt und die wichtigsten Geschäftsprozesse automatisiert: Produktpflege, Zahlungs-/Versandprozesse, Rechnungen, Newsletter & CRM-Sync. Das Ergebnis ist ein schneller, wartungsarmer Shop mit klaren Workflows, DSGVO-sauberem Tracking und planbaren Betriebskosten.

    Ziele des Projekts

    • Stabile Verkaufsplattform mit sehr guter Performance (Core Web Vitals)
    • Einfacher Content-& Produktworkflow für das Team (ohne Entwicklerpflicht)
    • Automatisierung von Bestellungen, Versandlabels, Rechnungen, E-Mails und CRM
    • DSGVO & Compliance (Consent, Double-Opt-In, rechtssichere Dokumente)
    • Monitoring & Betrieb als Managed-Service

    Architektur (vereinfacht)

    • Shop-System: modernes, App-basiertes Shopsystem mit Sections/Blocks für flexible Inhalte (Startseite, Kategorieseiten, PDP).
    • Theme & Performance: minimaler App-Footprint, Lazy Loading, kritisches CSS, Bild-Optimierung (WebP/AVIF), Schema.org (Product, Breadcrumb, Organization).
    • Datenflüsse (n8n): zentrale Automations-Drehscheibe für Shop-Events (Bestellung, Fulfillment, Lager, Newsletter, Rechnungen).
    • Payments/Shipping: mehrere Zahlungsarten (z. B. Stripe/Klarna/PayPal) und Versanddienstleister (Label-Erstellung via API).
    • Tracking/Consent: Consent-Banner, Serverseitiges/hochsparsames Tracking (nur nach Einwilligung), UTM-Übernahme.
    • Betrieb: Uptime-Monitoring, Backups/Exports, Domain/DNS, E-Mail-Zustellbarkeit (SPF/DKIM/DMARC), Update-Fenster.

    Automatisierungen (n8n) – Kernflüsse

    1. Order → Fulfillment
      • Bestellung triggert Pick-Liste, Versandlabel-Erzeugung (DHL/DPD/… via API), Tracking-Mail, Status-Sync.
    2. Rechnungen & Belege
      • Automatische PDF-Rechnung (rechtssicher, fortlaufende Nummer), Ablage (z. B. Nextcloud) + E-Mail an Kunden.
    3. Lager/Bestand
      • Low-Stock-Alerts an Slack/Teams; optionale Nachbestell-Workflows.
    4. Marketing/CRM
      • Kontaktformular & Newsletter-Opt-In (Double-Opt-In) → Mautic/CRM.
      • Kaufereignisse schreiben Tags/Segmente (z. B. Produktkategorie → Cross-Sell-Serie).
    5. Kundendienst
      • Rücksendeanfrage erzeugt RMA-Ticket (Helpdesk) inkl. Etikett & Status-Updates.

    Funktionsumfang für das Shop-Team

    • Produktpflege: Varianten, Medien, SEO-Felder, strukturierte Daten – alles im Admin ohne Code.
    • Merchandising: Sammlungen/Kategorien, Filter (Größe/Farbe/Preis), Search-Suggest.
    • Content: Blog, Landingpages, Sections (Hero, USP-Leisten, FAQ, Trust-Badges, UGC).
    • Kasse/Checkout: Gastkauf, Adresse-Autovervollständigung, mehrere Zahlarten, Gutscheinlogik.
    • Rechtliches: Rechtstexte (Impressum/Datenschutz/Widerruf), Duplikate in Checkout & Footer, Cookie-Consent.
    • Internationalisierung (optional): mehrsprachige Oberflächen & Preise, Steuern/OSS.
    • Analytics/SEO: Core Web Vitals-Optimierung, Product-Feed für Google Merchant/Bing, 404-Monitoring & Redirects.

    Datenschutz & Compliance

    • Consent-Management (Opt-In vor jeglichem Marketing-Tracking), Do-Not-Track respektiert.
    • Double-Opt-In für Newsletter, DOI-Nachweise/Logs.
    • DSGVO-konforme Speicherung: minimal erforderliche Daten, Auftragsverarbeitungsverträge mit Dienstleistern.
    • E-Mail-Zustellbarkeit: SPF, DKIM, DMARC korrekt gesetzt (eigene Versand-Subdomain empfohlen).

    Betrieb & Betreuung (Managed)

    • Monitoring (Verfügbarkeit, Antwortzeiten, Fehler), Alarmierung bei Störungen.
    • Backups & Exports (Daten, Medien, Bestellungen), wiederkehrende Restore-Tests.
    • Security & Updates: App-/Theme-Updates nach Staging-Check, Change-Log.
    • Support: SLA-basierte Reaktionszeiten, monatliches Kontingent für Anpassungen/AB-Tests.
    • Roadmap-Sparring: neue Features (Bundles, Abo-Produkte, B2B-Preislisten, Loyalty).

    Konkrete Vorteile für mytomo.de

    • Schneller Shop ⇒ bessere Conversion & SEO (kürzere Ladezeiten, saubere Struktur).
    • Weniger Handarbeit dank End-to-End-Automationen (Label, Rechnung, CRM, E-Mails).
    • Rechtssicher & transparent (DOI, Consent, DPAs) – weniger Risiko.
    • Planbare Kosten im Betrieb – klarer Supportkanal, keine Tool-Wildwuchs.
    • Skalierbar: neue Produkte/Sprachen/Channels ohne Architekturwechsel.

    Auszug typischer KPIs (Framework zur Messung)

    • PageSpeed/Core Web Vitals (LCP/FID/CLS)
    • Checkout-Abbruchrate & Conversion-Rate nach Zahlart/Versandart
    • Warenkorbabbruch-Reaktivierung (E-Mail/Ads)
    • Wiederkaufrate nach Segment/Kampagne
    • Support-Zeit pro Bestellung (nach Automationen)

    Fazit

    Mit mytomo.de haben wir einen performanten, wartbaren Shop geliefert, der die Kernprozesse automatisiert und rechtssicher abbildet – von der Bestellung über Versand & Belege bis zur CRM/Newsletter-Anbindung. Das Team kann Inhalte selbst pflegen, während Betrieb, Sicherheit und Weiterentwicklung managed laufen.

  • Kundenprojekt: Mautic als DSGVO-konforme Marketing-Automation – mit Kontaktformular, Double-Opt-In & CRM-Sync

    Kundenprojekt: Mautic als DSGVO-konforme Marketing-Automation – mit Kontaktformular, Double-Opt-In & CRM-Sync

    Kurzfassung: Beim Kunden haben wir Mautic eingeführt, um Leads strukturiert zu erfassen, automatisiert zu qualifizieren und an Vertrieb/Support zu übergeben. Kernbestandteile:

    • Kontaktformular (Website) mit Double-Opt-In
    • Segmente, Kampagnen & Lead-Scoring
    • CRM/Backlog-Übergabe (z. B. Airtable/CRM via n8n)
    • E-Mail-Versand mit SPF/DKIM/DMARC & Bounce-Handling
    • DSGVO & Consent-Management
    • Betrieb/Monitoring/Backups als Managed-Service

    Ausgangslage & Ziele

    • Viele Website-Anfragen landeten als unstrukturierte Mails.
    • Newsletter-Anmeldungen ohne saubere Opt-In-Dokumentation.
    • Keine einheitliche Sicht auf Kampagnen-Performance und Lead-Qualität.
      Ziel: Ein offenes, kosteneffizientes System, das Leads sauber erfasst, rechtskonform pflegt, den Vertrieb automatisiert informiert und aussagekräftige Reports liefert.

    Architektur (vereinfacht)

    • Mautic in Docker/VM, EU-Hosting, hinter gehärtetem Reverse Proxy (TLS, Security-Header, Rate-Limits).
    • E-Mail-Infrastruktur: SMTP/Provider mit SPF/DKIM/DMARC, Bounce/Complaint-Rückläufer werden in Mautic verarbeitet.
    • Automations-Jobs (Cron/Queue):
      • mautic:segments:update (z. B. alle 10 min)
      • mautic:campaigns:update (alle 10 min)
      • mautic:campaigns:trigger (alle 5–10 min)
      • mautic:emails:send (alle 5–10 min)
    • n8n-Anbindung: Webhooks/REST für CRM-Sync, Alerts (Slack/Teams), Lead-Routen.

    Kontaktformular (Website → Mautic)

    Formularfelder: Vorname, Nachname, Firma, E-Mail, Telefon (optional), Nachricht, Newsletter-Opt-In (Checkbox), UTM-Parameter (hidden), Quelle/Seite (hidden).
    Schutz: Honeypot-Feld, Zeit-Schwelle („Time to submit“), optional hCaptcha/Turnstile.
    Ablauf:

    1. Nutzer sendet Formular → Mautic Form Submit.
    2. Double-Opt-In: Bestätigungs-Mail mit DOI-Link; nur bestätigte Kontakte kommen in Segment „Newsletter“ (Tag doi_confirmed).
    3. Lead-Erstellung & Routing: Kontakt erhält Tag contact_form; n8n pusht die Anfrage inklusive Normalisierung (Anrede/Opt-In) in Airtable/CRM und weist Status „Todo“ zu.
    4. Benachrichtigung: Slack/Teams/SMS an das zuständige Team mit Kontext (Quelle, Kampagne, Nachricht).

    Segmente, Kampagnen & Scoring

    • Segmente: „Kontaktformular“, „Newsletter (DOI)“, „Bestandskunden“, „Interesse: Produkt A/B“, „Deutsch/Englisch“.
    • Kampagnen (Beispiele):
      • Welcome-Serie (3-teilig): Bestätigung → Nutzen/Case → Termin-CTA.
      • Content-Pflege: Bei Download einer Checkliste → Follow-up nach 3/10 Tagen.
      • Re-Engagement: inaktive Abonnenten nach 90 Tagen mit Präferenz-Abfrage.
    • Lead-Scoring (Startwerte individuell):
      • +5 Seitenaufruf „Preise/Leistungen“
      • +10 Formular „Kontakt“/„Projektanfrage“
      • +15 Download Whitepaper/Use-Case
      • −10 Unsubscribe/Bounce
        Schwellen: z. B. MQL ≥ 20, SQL ≥ 40Alert an Vertrieb & Kalender-Link.

    E-Mail-Versand & Zustellbarkeit

    • SPF/DKIM/DMARC eingerichtet; Separate Subdomain für Marketing-Mails empfohlen.
    • Bounce-Handling (Hard/Soft), Unsubscribe pro Kampagne & global.
    • Vorlagen: responsiv (MJML/Builder), einheitliche Absender & Signatur, Preheader, Dark-Mode-Checks.
    • A/B-Tests auf Betreff/CTA; Send-Time-Distribution zur Laststeuerung.

    Tracking, Consent & DSGVO

    • Mautic-Tracking nur nach Einwilligung (Consent-Banner).
    • Anreicherungen (UTM/Referer) ausschließlich im Rahmen der Einwilligung.
    • Rechte & Löschkonzepte: Rollenbasiert (Marketing/Vertrieb/Admin); Right to Erasure & Export pro Kontakt; Aufbewahrungsfristen definiert.
    • Protokollierung: DOI-Zeitstempel, Quelle, IP (optional begrenzt), Kampagnen-Historie.

    CRM/Backlog-Übergabe (n8n)

    • Mapping & Bereinigung: Anrede-Normalisierung, Opt-In „Ja/Nein“, Pflichtfelder.
    • Airtable/CRM: Anlage in „Leads“ mit Status „Todo“, optional Duplikat-Check (E-Mail/Telefon).
    • Folge-Automation: Ticket in Helpdesk, Deal in Pipeline, interne Checkliste.
    • Reporting: UTM-Performance, DOI-Quoten, Form-Completion, MQL→SQL-Conversion.

    Reports & Dashboards

    • Kampagnen-KPIs: Open/Click/Conversion, Unsubscribe/Bounce-Rate.
    • Funnel: Formular → DOI bestätigt → MQL → SQL → Termin → Abschluss (extern importiert).
    • Segment-Wachstum & Re-Engagement-Erfolg.
    • Umsatz-Attribution (leichtgewichtig): Deals/Bestellungen via n8n in Mautic oder externes BI.

    Betrieb (Managed)

    • Monitoring (System, Queue, Cron), Backups (Dateien + DB) inkl. Restore-Tests.
    • Updates: Kern, Plugins, Sicherheitsfixes; Staging → Produktion.
    • Dokumentation & Schulung: kurze Loom-Guides für Kampagnen, Segmente, Formulare.
    • SLA & Support: definierte Reaktionszeiten, kleines Kontingent für laufende Anpassungen.

    Ergebnis für den Kunden

    • Saubere, nachweisbare Opt-Ins und automatisierter Lead-Eingang statt Mail-Chaos.
    • Schnelle Reaktionszeiten: Alerts bei „Hot Leads“, automatische Termin-CTAs.
    • Messbare Kampagnen mit klaren Segmenten und Scoring – Fokus auf Kontakte mit Kaufabsicht.
    • Kosteneffizient & offen: Open-Source, kein Vendor-Lock-in, EU-Hosting möglich.
    • Weniger Handarbeit, mehr Transparenz zwischen Marketing und Vertrieb.
  • Managed Nextcloud beim Kunden: SSO, NAS-Anbindung & Talk – die schlanke Alternative zu Microsoft 365

    Managed Nextcloud beim Kunden: SSO, NAS-Anbindung & Talk – die schlanke Alternative zu Microsoft 365

    Kurzfassung: Für einen Kunden mit mehreren selbstgehosteten Diensten (u. a. Nextcloud) haben wir eine Managed-Nextcloud-Umgebung umgesetzt:

    • Zentrale Authentifizierung (SSO) via OIDC/SAML + 2FA/Passkeys
    • Externer Speicher über NAS-Shares (SMB/NFS) und optional S3-Buckets
    • Team-Collaboration mit Talk (Chat/Calls/Meetings), Kalender/Kontakte/Mail, OnlyOffice/Collabora
    • Betrieb aus einer Hand: Updates, Monitoring, Backups, Security-Policies, Support
      Ergebnis: Microsoft-unabhängige Kollaboration mit planbaren Kosten und voller Datensouveränität.

    Das oben gezeigte Screenshot (anonymisiert) bildet eine typische Ordnerstruktur (Projekte, Share, Talk, Buchhaltung etc.) der produktiven Instanz ab – inklusive geteilten Team-Ordnern und zuletzt bearbeiteten Dateien.


    Ausgangslage & Ziele des Kunden

    • Bereits vorhandene, verstreute Dateiablagen (Server, NAS, einzelne Tools)
    • Wunsch nach unabhängiger Collaboration-Plattform (ohne vollständigen Wechsel zu Microsoft 365)
    • Zentraler Login für alle Mitarbeitenden, feingranulare Rechte und externe Freigaben
    • Nutzung vorhandener Hardware (NAS) und EU-Hosting/DSGVO-Konformität
    • Planbare Kosten, kein Vendor-Lock-in, einfache Administration

    Architektur (vereinfacht)

    • Reverse Proxy & TLS: Zugriff über einen gehärteten Reverse Proxy (z. B. Traefik/Pangolin) mit Auto-TLS, Rate-Limit/Geo-Policies und Header-Härtung.
    • Nextcloud Application Layer: Containerisiert (Docker/Podman) oder VM-basiert, skalierbar (Web + Redis + DB).
    • Authentifizierung: SSO via OIDC/SAML (z. B. Authentik/Keycloak/ADFS/Entra) + 2FA/Passkeys; Gruppen aus LDAP/AD oder IdP-Claims.
    • Speicher:
      • NAS-Anbindung per SMB/NFS als „Externer Speicher“ (Mounts/Team-Shares).
      • Optional S3-kompatibel (z. B. für Versionen/Backups/Archiv).
    • Betrieb: Monitoring (System/Apps), automatisierte Backups (Daten+DB), Update-Fenster mit Rollback-Strategie, Security-Patches.
    • Compliance: Logging/Auditing, Aufbewahrungs- und Freigabe-Policies, EU-Hosting.

    Authentifizierung, Rechte & Sicherheit

    • SSO/OIDC/SAML: Ein Login für alles; Rollen/Gruppen kommen aus IdP/AD.
    • 2FA/Passkeys/TOTP/U2F: Pflicht für Admin-/Remote-Zugriffe, optional nach Gruppen.
    • Group Folders: Team-Ordner mit ACLs (Lesen/Schreiben/Teilen), Quotas, dedizierten Freigabe-Policies.
    • File Access Control: Regelwerk (z. B. „Vertrauliche Ordner nur im Firmennetz/VPN“).
    • Freigaben: interne/externe Shares, Ablaufdatum, Passwortschutz, Upload-Anfragen (Dateianforderung an Externe).
    • Verschlüsselung: Serverseitig aktivierbar; End-to-End-Verschlüsselung für besonders sensible Ordner per Desktop/Mobile-Clients.

    Externer Speicher (NAS & Co.)

    • SMB/NFS-Mounts als „Externer Speicher“ in Nextcloud – bestehende Abteilungen (z. B. Projekte, Buchhaltung) bleiben physisch am NAS, werden aber einheitlich in Nextcloud sichtbar.
    • Rechtevererbung: optional an AD-Gruppen gekoppelt; getrennte Freigabe-Policies pro Ordner.
    • Cachen & Vorschaubilder: Vorschau-Generierung (PDF, Bilder, Videos) für schnelle Web-Ansicht.
    • Versionierung & Papierkorb: Wiederherstellung und Nachvollziehbarkeit im Tagesgeschäft.
    • Optional S3: für große Archive/Backups kosteneffizient.

    Collaboration-Funktionen (installierte/empfohlene Apps)

    • Talk: 1:1-Chat, Gruppenchats, Audio/Video-Meetings, Screensharing, Gast-Links – alles On-Prem/Cloud bei vollem Datenschutz.
    • OnlyOffice/Collabora/Nextcloud Office: Echtzeit-Bearbeitung von Office-Dokumenten (Text/Tabellen/Präsentationen) im Browser.
    • Kalender & Kontakte (CalDAV/CardDAV) + Mail: Termine, Adressbücher, Postfächer – Integration in Outlook/Apple/Thunderbird möglich.
    • Deck (Kanban), Tasks/To-Do, Notes, Forms (Formulare/Umfragen), PDF-Viewer, Scan-to-Cloud-Anbindung.
    • Flow/Automationen: Regeln (z. B. „Eingehende PDFs → Tag + Verschieben nach /Buchhaltung“).
    • Volltextsuche: Meilisearch/Elasticsearch-Anbindung für schnelle Suche in Dokumenten.
    • Passwörter/Secrets (optional), Activity (Transparenz über Änderungen), Audit/Logs.

    Unabhängigkeit von Microsoft & Kosten-Nutzen

    • Kein Zwangspaket: Nur die Komponenten, die das Team tatsächlich braucht.
    • Bring-Your-Own-Storage: Nutzung vorhandener NAS-Kapazitäten, keine pro-GB-Gebühren in der Cloud.
    • Planbare Kosten: Fixe Betriebspauschale (Monitoring, Updates, Support) + klar definierte Änderungsaufwände.
    • Datensouveränität: Daten bleiben im eigenen Storage/EU-Rechenzentrum.
    • Interoperabilität: Offene Protokolle (WebDAV/CalDAV/CardDAV/IMAP/SMTP), keine proprietären Lock-ins.

    Umsetzung für den Kunden (konkrete Schritte)

    1. Ist-Analyse & Zielbild: Nutzerstruktur, Datenquellen (NAS-Shares), Freigaben, Compliance-Anforderungen.
    2. PoC & Sizing: Testinstanz mit SSO, exemplarischen Team-Ordnern und Talk; Performance/Lasttest.
    3. SSO-Einrichtung: OIDC/SAML, Gruppen-Mapping, Rollenkonzepte; Aktivierung 2FA nach Policy.
    4. NAS-Integration: SMB/NFS-Mounts, Quotas, Rechteübernahme; „Group Folders“ und Freigaberichtlinien.
    5. App-Stack: Talk, Office-Suite, Kalender/Kontakte/Mail, Deck, Forms, Flow-Regeln, Volltextsuche.
    6. Migration: Datenübernahme (inkl. Metadaten/Vorschauen), Bereinigung alter Freigaben, Redirects.
    7. Betrieb: Monitoring/Alarme, tägliche Backups (inkl. DB), Update-Fenster, Security-Patches, SLA.
    8. Enablement: Kurze Team-Trainings (Freigaben, Talk-Meetings, Office-Co-Editing, Mobile-Apps).

    Spürbare Vorteile für das Team

    • Ein Login, alle Funktionen (SSO) – weniger Supporttickets, weniger Passwort-Wildwuchs.
    • Schneller Austausch intern/extern mit Talk & Freigaben – ohne zusätzliche Lizenzen.
    • Dokumente gemeinsam bearbeiten (Office im Browser) – keine Versions-E-Mails mehr.
    • Direkter Zugriff auf NAS-Bestände in derselben Oberfläche – inkl. Suche, Versionen, Papierkorb.
    • Offline-Sync via Desktop/Mobile-Clients – Außendienst/Remote-Teams profitieren.
    • Transparenz & Kontrolle: Aktivitäten, Protokolle, Regeln, Rechte – alles an einem Ort.
    • Kosteneffizienz: Nutzung bestehender Infrastruktur, ohne Zwang zu kompletten Suite-Abos.

    Betrieb & Sicherheit (Managed)

    • Monitoring: Verfügbarkeit, Speicher, Jobs (Cron/Preview/Index), Hintergrundprozesse, App-Gesundheit.
    • Backups & Wiederherstellungs-Tests: Daten + DB + Konfiguration; regelmäßige Restore-Proben.
    • Updates: Kernsystem + Apps + OS; staged rollout mit Snapshots/Rollback.
    • Security-Hardening: HSTS, sichere Ciphers, Rate-Limits, Fail2ban/CrowdSec am Perimeter, Forwarded-Header & trusted_proxies korrekt gesetzt.
    • Dokumentation: Admin-Playbooks, Nutzer-Guides, Change-Log.

    Fazit

    Die Managed Nextcloud des Kunden vereint Dateiablage, Kollaboration und Kommunikation in einer Umgebung, die unabhängig von Microsoft, kosteneffizient und sicher betrieben wird. Dank SSO + 2FA, NAS-Einbindung und Apps wie Talk und Office-Co-Editing arbeitet das Team heute schneller und transparenter – mit voller Kontrolle über die eigenen Daten.

  • Pangolin Reverse Proxy + CrowdSec: Sicherheitsschicht für selbstgehostete Dienste

    Pangolin Reverse Proxy + CrowdSec: Sicherheitsschicht für selbstgehostete Dienste

    Kurzfassung: Beim Kunden laufen mehrere interne Dienste (u. a. Nextcloud) hinter dem Pangolin Reverse Proxy. Pangolin terminiert den externen Zugriff über verschlüsselte WireGuard-Tunnel, erzwingt Identity & Access Management (SSO/2FA/OIDC/Passkeys) und reduziert die Angriffsfläche, weil keine eingehenden Ports nach außen geöffnet werden müssen. Ergänzend schützt CrowdSec als kollaboratives IPS/WAF mit Bouncern und bedrohungsbasierten Sperren. Ergebnis: Ein mehrlagiges, nachvollziehbares Sicherheits-Setup mit Failover, Health-Checks und optionaler Geo-Blocking-Policy.


    Pangolin Reverse Proxy + CrowdSec: Sicherheitsschicht für selbstgehostete Dienste (z. B. Nextcloud)

    Kurzfassung: Beim Kunden laufen mehrere interne Dienste (u. a. Nextcloud) hinter dem Pangolin Reverse Proxy. Pangolin terminiert den externen Zugriff über verschlüsselte WireGuard-Tunnel, erzwingt Identity & Access Management (SSO/2FA/OIDC/Passkeys) und reduziert die Angriffsfläche, weil keine eingehenden Ports nach außen geöffnet werden müssen. Ergänzend schützt CrowdSec als kollaboratives IPS/WAF mit Bouncern und bedrohungsbasierten Sperren. Ergebnis: Ein mehrlagiges, nachvollziehbares Sicherheits-Setup mit Failover, Health-Checks und optionaler Geo-Blocking-Policy.

    Warum Pangolin statt klassischem Reverse Proxy?

    • Kein Direct Exposure: Pangolin stellt den Zugriff über Nodes und WireGuard-Tunnel bereit – die Backend-Dienste bleiben ohne öffentliche Inbound-Ports. Das senkt die Angriffsfläche erheblich.
    • Identity-Aware Proxy: Jede Anfrage wird authentifiziert und autorisiert, bevor sie den Dienst erreicht (z. B. SSO via OAuth2/OIDC mit Authentik/Keycloak/Okta, TOTP/2FA, Passkeys, rollenbasierte Zugriffe, Ressource-Pins/-Passwörter).
    • Automatisiertes TLS & Protokoll-Vielfalt: Let’s Encrypt automatisch; HTTP/HTTPS sowie TCP/UDP-Weiterleitungen werden unterstützt.
    • Hochverfügbarkeit: Health-Checks, automatisches Failover und Load-Balancing zwischen Targets; Traffic zu kranken Backends wird automatisch ausgeschlossen, Recovery erfolgt selbsttätig.
    • Policies & Rules: Geo-Blocking, IP-/Pfad-Regeln, Rate-Limiting; für Self-Hosted lässt sich Geoblocking via Traefik-Plugin ergänzen.
    • Cloudflare-Tunnel-Alternative (selbstgehostet): Häufig als Self-Hosted-Pendant zu Tunneldiensten beschrieben – mit sauberem UI und Traefik-Integration.

    CrowdSec als zweite Schutzschicht

    • Open-Source, Community-basierte CTI: CrowdSec identifiziert bösartige Muster (Bruteforce, Scans etc.) und teilt Threat-Intelligence (IP-Entscheidungen) in der Community. Bouncer setzen Sperren an der Perimeter-Schicht durch (z. B. NGINX/WAF/Firewall).
    • WAF/Reverse-Proxy-How-to: CrowdSec lässt sich vor die Applikation legen (z. B. NGINX-Reverse-Proxy mit WAF), um Requests vor dem Backend zu filtern.
    • Collections für Nextcloud: Spezielle Regeln/Parser für Nextcloud (Bruteforce/Enumeration/Trusted-Domain-Checks) sind als Collection verfügbar.

    Zusammenspiel: In unserer Architektur hängt CrowdSec (WAF/Bouncer) am Eingang, Pangolin erzwingt Identität/Policies, und die eigentlichen Dienste (z. B. Nextcloud) sind nur über den Tunnel erreichbar. So entsteht Defense-in-Depth: Block – Auth – Serve.

    Architektur (vereinfacht)

    1. Internet → CrowdSec-geschützter Entry (Bouncer/WAF).
    2. Pangolin Node authentifiziert Nutzer (SSO/OIDC, TOTP/Passkeys), prüft Rules (Geo-Block, Pfad/IP, Rate-Limit) und leitet nur legitime Requests weiter.
    3. WireGuard-Tunnel routet die Anfrage sicher zum internen Dienst (z. B. Nextcloud); Health-Checks entscheiden, welches Target bedient wird.
    4. Backend (Nextcloud & Co.) antwortet über denselben Pfad zurück.

    Nextcloud: Reverse-Proxy-Besonderheiten

    • Client-IP korrekt durchreichen: Nextcloud erwartet die echte Client-IP via X-Forwarded-For (konfigurierbar über forwarded_for_headers). Unbedingt trusted_proxies setzen, damit IP-Spoofing verhindert wird.
    • HTTPS überall: Produktivbetrieb nur über TLS. (TLS-Terminierung kann Pangolin übernehmen; Zwischen-Segment optional via mTLS/VPN).
    • CrowdSec-Szenarien aktivieren: Für Nextcloud die passende Collection installieren, damit Login-Bruteforce/Enumeration erkannt werden.

    Betrieb & Härtung (Auszug aus der Praxis)

    • Identity Providers (IdP): OIDC/OAuth2 anschließen (Authentik/Keycloak). Nutzer/Rollen können auto-provisioniert werden; RBAC zentral definieren.
    • TLS-Automatisierung: Let’s-Encrypt-Zertifikate via Pangolin; Wildcard optional je nach DNS-Setup.
    • Geo-Policies: Länder gezielt erlauben/verbieten (z. B. Admin-Pfad nur aus DACH). Priority-Regeln beachten.
    • Health-Checks: Dedizierte /health-Endpoints definieren; Timeouts/HTTP-Codes (200/201/202/204) passend einstellen; unhealthy interval aggressiver wählen, um schneller zu recovern.
    • CrowdSec-Bouncer: Je nach Stack nginx-, firewall- oder app-bouncer einsetzen, um Entscheidungen durchzusetzen (Erkennen allein reicht nicht).
    • Nextcloud-Warnung „Reverse proxy header configuration is incorrect“ vermeiden: trusted_proxies korrekt pflegen; die Doku erklärt Header-Handling & Konfig.

    Vorteile für den Kunden

    • Minimale Angriffsfläche: Keine offenen Inbound-Ports, Anfragen immer durch Auth-/Policy-Schicht.
    • Skalierbar & hochverfügbar: Load-Balancing, Health-Checks, automatisches Failover.
    • Richtlinien- & Compliance-tauglich: Identity-Aware Access (SSO/2FA/Passkeys), Geo-Regeln, Logging.
    • Community-Threat-Intel: CrowdSec blockt bekannte Angreifer vor der App. (crowdsec.net)

    Fazit

    Pangolin + CrowdSec liefert ein mehrlagiges Security-Design für selbstgehostete Anwendungen wie Nextcloud: Tunneling statt Portfreigaben, Identity-Aware Proxy vor den Diensten, WAF/IPS an der Perimeter-Schicht – und Policies/Geo/Failover aus einer Hand. Für Teams bedeutet das: weniger Angriffsfläche, konsistente Authentifizierung und robuste Verfügbarkeit.


  • Kontaktformular-Pipeline mit n8n: Mautic → Datenbereinigung → Airtable

    Kontaktformular-Pipeline mit n8n: Mautic → Datenbereinigung → Airtable

    Kurzfassung: Ein Webhook nimmt Mautic-Formularsendungen entgegen, bereinigt Felder (z. B. Anrede & Newsletter-Opt-in) und legt die Datensätze standardisiert in Airtable an. So landen Leads sauber strukturiert im CRM-Backlog – inklusive Status „Todo“ für die weitere Bearbeitung.

    Ausgangslage & Ziel

    Formulare liefern oft uneinheitliche Werte (z. B. „geehrter Herr“, „w“, „1/0“). Ziel war eine robuste, nachvollziehbare Lead-Erfassung, die:

    • Eingaben vereinheitlicht (Anrede, Newsletter),
    • Dubletten vermeidet (saubere Felder & Mapping),
    • Leads direkt in Airtable bereitstellt – bereit für Follow-ups.

    Funktionsweise (End-to-End)

    1. Webhook aus Mautic
      Das Formular sendet per POST an n8n (Header-Auth). Der Node „From Mautic+“ nimmt die Felder entgegen (Vorname, Nachname, Firma, Adresse, Nachricht, Newsletter etc.).
    2. Datenbereinigung (Code-Node „Umschreiben“)
      • Entfernt Zero-Width-/Sonderzeichen & Mehrfach-Spaces.
      • Anrede-NormalisierungMann | Frau | Divers (erkennt Varianten wie „geehrter Herr“, „m/w/d“).
      • Newsletter-Opt-inJa | Nein (akzeptiert 1/0, true/false, on/off, ja/nein, yes/no).
    3. Airtable-Create
      • Mapping auf Felder wie Vorname, Nachname, Firma, Straße, PLZ, Stadt, Telefon, E-Mail, Nachricht, Anrede, Newsletter.
      • Status = „Todo“ für den Start im Sales-/Support-Prozess.

    Vorteile

    • Konsistente Datenqualität: Einheitliche Anrede & Opt-in-Werte, weniger Nacharbeit.
    • Schnelle Übergabe: Leads landen direkt in Airtable (Listen, Kanban, Automationen).
    • Nachvollziehbar: Bereinigungslogik in n8n klar dokumentiert & versionierbar.
    • DSGVO-freundlich: Minimalprinzip, klare Transportwege, kein unnötiges Speichern.

    Best Practices & Erweiterungen

    • Double-Opt-In über Mautic automatisieren und in Airtable spiegeln.
    • Duplikat-Check (E-Mail/Telefon) vor Anlage.
    • Benachrichtigungen (E-Mail/Slack/Teams) bei neuen „Todo“-Leads.
    • Validierung (z. B. PLZ-Muster, Pflichtfelder) im n8n-Flow.
    • Datenhaltung EU-basiert und Rollenrechte in Airtable prüfen.

    Fazit

    Mit n8n als Orchestrator wird aus einem einfachen Kontaktformular eine verlässliche Lead-Pipeline: sauber bereinigt, korrekt klassifiziert und sofort bearbeitbar im Team-Workflow.


  • WhatsApp-Assistent mit n8n: Multimodale Kundenkommunikation (Text, Bild, Stimme)

    WhatsApp-Assistent mit n8n: Multimodale Kundenkommunikation (Text, Bild, Stimme)

    Kurzfassung: Für einen Kunden haben wir einen WhatsApp-Assistenten umgesetzt, der Text, Sprachnachrichten, Bilder und Dokumente verarbeitet. Der Bot nutzt n8n als Orchestrierung, Azure OpenAI für die Antwortlogik, on-prem STT/OCR für Sprache & Dokumente sowie Twilio für die Zustellung. Sessions werden pro Kontakt gespeichert, Antworten sind präzise, auditierbar und mobilfreundlich.

    Ausgangslage & Ziel

    Kundenanfragen kommen heute über verschiedene Formate – kurze Texte, Sprachnachrichten, Fotos von Dokumenten. Ziel war ein robuster, datenschutzfreundlicher Kommunikationsfluss, der alles automatisch versteht, sinnvoll beantwortet und bei Bedarf Termine direkt anlegt.

    Funktionsweise (End-to-End)

    1. Eingang über WhatsApp/SMS (Twilio)
      Der Webhook nimmt eingehende Nachrichten entgegen und erkennt den Nachrichtentyp: Text, Audio, Bild, Dokument.
    2. Intelligente Vorverarbeitung
      • Text: wird direkt in den Agent übergeben.
      • Audio: Speech-to-Text via on-prem STT (lokaler Endpunkt).
      • Bild/Dokument: OCR via on-prem Service (lokaler Endpunkt).
      • Kleine Robustheit: automatische Korrektur von MIME-Types bei Audio, damit alles sauber verarbeitet wird.
    3. Gedächtnis (Session Memory)
      Pro WhatsApp-Kontakt wird ein kurzer Kontextverlauf gespeichert (Session-Key), damit Rückfragen natürlich wirken (z. B. Nachname, gewünschte Uhrzeit).
    4. AI-Agent (Tools-first)
      Ein klarer System-Prompt steuert den Stil:
      • präzise, mobilfreundlich, ohne Spekulation
      • kann Dateien analysieren, Bilder beschreiben, Sprachinhalte transkribieren
      • erkennt, wenn Angaben fehlen, und fragt gezielt nach
      • hält Privacy-Regeln ein (keine Speicherung sensibler Daten)
    5. Optionale Terminvergabe
      Der Agent ruft freigegebene HTTP-Tools auf:
      • Mitarbeiter & Services anzeigen
      • Kalenderdaten prüfen
      • Termin anlegen (Start/Ende, Mitarbeiter, Service)
    6. Antwort & Ausgabe
      • Standard: Textantwort zurück an WhatsApp
      • Optional: Text-to-Speech (on-prem TTS) → Voice-Reply
      • Fallback-Message, wenn ein Dateityp nicht unterstützt wird

    Datenschutz & Compliance

    • DSGVO-freundlich: Verarbeitung bevorzugt EU-basiert; Sprache/OCR laufen auf eigenen Endpunkten.
    • Transparenz: Kein unkontrolliertes Speichern sensibler Inhalte; klare Fehler- und Limit-Hinweise.
    • Minimalprinzip: Nur notwendige Metadaten; kein Teilen zwischen Sessions.

    Nutzen für das Team

    • Schnellere Antworten – unabhängig vom Format der Anfrage
    • Weniger Rückfragen – strukturierte Nachfragen nur bei fehlenden Pflichtangaben
    • Weniger Tool-Hopping – Terminvergabe direkt im Chat
    • Skalierbar – weitere Dienste (z. B. FAQs, Bestellstatus) lassen sich per Tool anbinden

    Technischer Überblick (ausgewählte Bausteine)

    • n8n als Orchestrator (Routing, Typ-Erkennung, Sessions, Fehlerbehandlung)
    • Azure OpenAI (Chat-Modell) mit klaren Antwortregeln
    • On-prem STT/OCR/TTS für Sprache, Bilder, Dokumente
    • Twilio für WhatsApp/SMS-Ein- und Ausgang
    • Robustheit: MIME-Fix für Audio, Fallback-SMS, strukturierte JSON-Outputs

    Ergebnis

    Der Assistant beantwortet multimodale Anfragen zuverlässig, reduziert die Bearbeitungszeit und ermöglicht self-service Terminbuchung – ohne Medienbrüche und mit compliance-gerechter Verarbeitung.

WordPress Appliance - Powered by TurnKey Linux