Workflow-Plattformen im Mittelstand sicher betreiben: Server und Hosting

Die meisten Workflow-Plattformen laufen, bis die IT-Revision Fragen stellt

Viele Mittelständler setzen heute n8n, Make oder Zapier ein, um Prozesse zwischen CRM, ERP und Buchhaltung zu verbinden. Die Workflows laufen, Daten fließen, der Nutzen ist sofort sichtbar. Erst wenn die IT-Revision, ein Kunde oder der Datenschutzbeauftragte nachfragt, wo genau die Daten liegen und wer Zugriff hat, wird klar: Die Infrastruktur wurde nie bewusst gewählt. Sie war einfach voreingestellt.

Dieser Artikel zeigt, worauf Sie bei der Infrastruktur für Workflow-Plattformen achten müssen, welche Hosting-Modelle sich für den Mittelstand eignen und wie Sie Sicherheit, DSGVO und Betriebsstabilität in Einklang bringen.

Was Workflow-Plattformen aus Infrastruktur-Sicht bedeuten

Eine Workflow-Plattform wie n8n, Make oder Zapier verbindet Systeme, verarbeitet Daten und führt Aktionen aus. Aus IT-Sicht bedeutet das:

• Personenbezogene Daten fließen durch die Plattform (E-Mail-Adressen, Kundennummern, Angebotsinhalte).
• API-Schlüssel und Zugangsdaten werden gespeichert.
• Workflows laufen zeitgesteuert oder ereignisbasiert, oft außerhalb klassischer Bürozeiten.
• Fehler oder Ausfälle können ganze Prozessketten stoppen.

Das sind keine Nebensächlichkeiten. Es handelt sich um kritische Infrastruktur, auch wenn die Plattform selbst scheinbar einfach zu bedienen ist.

Cloud-Hosting, EU-Hosting oder Self-Hosted: Drei Modelle im Vergleich

Sie haben drei grundsätzliche Wege, eine Workflow-Plattform zu betreiben:

1. Cloud-Hosting beim Anbieter (z. B. Make Cloud, Zapier Cloud)

Die Plattform läuft vollständig beim Anbieter, meist in den USA oder global verteilten Rechenzentren. Sie buchen ein Abo, die Infrastruktur ist inklusive.

Vorteil: Schneller Start, keine Server-Verwaltung, Updates automatisch.

Nachteil: Datenstandort oft außerhalb der EU, abhängig von AV-Vertrag und Subunternehmern, wenig Kontrolle über Backup und Wiederherstellung.

2. EU-Hosting beim Anbieter (z. B. n8n Cloud EU-Region)

Einige Plattformen bieten europäische Rechenzentren an. Die Infrastruktur bleibt beim Anbieter, aber Sie können die Region wählen.

Vorteil: DSGVO-konformer Datenstandort, weiterhin kein eigener Server-Betrieb.

Nachteil: Höhere Kosten als globale Cloud, immer noch abhängig vom Anbieter, API-Limits und Funktionseinschränkungen möglich.

3. Self-Hosted auf eigener Infrastruktur (z. B. n8n auf eigenem Server)

Sie betreiben die Software auf einem eigenen Server oder gemieteten Root-Server in einem deutschen oder europäischen Rechenzentrum.

Vorteil: Volle Kontrolle über Datenstandort, Backup, Zugriff und Updates. Keine Abhängigkeit von Abo-Modellen. Beliebige Skalierung.

Nachteil: Eigener Betriebsaufwand, Verantwortung für Patches, Monitoring und Verfügbarkeit liegt bei Ihnen.

Für den Mittelstand ist Self-Hosted oft die sicherste und langfristig kostengünstigste Variante, wenn intern IT-Kompetenz vorhanden ist oder ein verlässlicher Dienstleister die Infrastruktur betreut.

Server-Dimensionierung für Workflow-Plattformen

Workflow-Plattformen sind in der Regel keine Rechenmonster. Selbst bei 50 bis 100 Workflows reicht ein Server mit folgender Ausstattung:

• 4 bis 8 CPU-Kerne
• 8 bis 16 GB RAM
• 100 bis 200 GB SSD-Speicher
• Netzwerkanbindung ab 100 Mbit/s

Kritisch ist nicht die Rechenleistung, sondern die Verfügbarkeit. Workflows laufen oft nachts oder am Wochenende. Ein Ausfall von zwei Stunden kann bedeuten, dass Bestellungen nicht weitergeleitet, Rechnungen nicht erzeugt oder Support-Tickets nicht zugewiesen werden.

Daher empfiehlt sich:

• Monitoring mit Uptime-Check und Alarmierung per SMS oder Push
• Automatisches Backup täglich, verschlüsselt, an zweitem Standort
• Dokumentierte Wiederherstellungsprozedur, getestet mindestens einmal im Quartal

IT-Sicherheit: Zugriff, Verschlüsselung, Netzwerk

Workflow-Plattformen speichern API-Schlüssel, Datenbank-Zugangsdaten und OAuth-Tokens. Wenn jemand Zugriff auf die Plattform erlangt, hat er Zugriff auf alle verbundenen Systeme.

Wichtige Sicherheitsmaßnahmen:

• Zugriff nur über VPN oder IP-Whitelist: Die Administrationsoberfläche sollte nicht öffentlich erreichbar sein.
• Zwei-Faktor-Authentifizierung (2FA) für alle Nutzer: Pflicht, nicht optional.
• Verschlüsselte Verbindungen (HTTPS, TLS 1.3): Sowohl für Nutzer als auch für API-Calls zu Drittsystemen.
• Secrets-Management: API-Schlüssel nicht im Klartext in Workflows speichern, sondern über Umgebungsvariablen oder Vault-Lösungen einbinden.
• Regelmäßige Updates: Sicherheits-Patches für das Betriebssystem und die Workflow-Software müssen zeitnah eingespielt werden.

Wenn Sie Self-Hosted betreiben, sollten Sie außerdem ein Intrusion-Detection-System (z. B. Fail2Ban) und eine Firewall mit restriktiven Regeln einsetzen.

DSGVO-Anforderungen an Workflow-Hosting

Aus Datenschutz-Sicht gelten für Workflow-Plattformen dieselben Anforderungen wie für jedes andere System, das personenbezogene Daten verarbeitet:

• Auftragsverarbeitungsvertrag (AVV): Wenn die Plattform beim Anbieter läuft, ist ein AVV zwingend. Achten Sie auf Standard-Vertragsklauseln (SCC) bei Anbietern außerhalb der EU.
• Datenstandort dokumentieren: Halten Sie fest, in welchem Rechenzentrum die Plattform läuft und ob Subunternehmer eingebunden sind.
• Datenfluss-Diagramm: Zeigen Sie, welche Daten von welchem System über die Plattform wohin fließen.
• Backup und Löschkonzept: Stellen Sie sicher, dass Backups verschlüsselt sind und gelöschte Daten auch aus Backups entfernt werden können, wenn eine betroffene Person Löschung verlangt.

Self-Hosted auf einem deutschen Server vereinfacht die DSGVO-Compliance erheblich, weil Sie keinen Drittanbieter als Auftragsverarbeiter haben und keine Daten außerhalb der EU übertragen.

Was bei Plattformen wie Make und Zapier oft übersehen wird

Make und Zapier sind Cloud-Dienste mit Servern überwiegend außerhalb Deutschlands. Das bedeutet:

• Datenübermittlung in Drittländer: Wenn Sie Make oder Zapier nutzen, fließen Daten über US-Server, auch wenn Sie nur deutsche Systeme verbinden.
• AVV prüfen: Beide Anbieter bieten AVV an, aber die Verantwortung für die rechtskonforme Nutzung bleibt bei Ihnen.
• Keine volle Transparenz über Subunternehmer: Sie wissen oft nicht, welche weiteren Dienstleister für Hosting oder CDN genutzt werden.
• API-Limits und Vendor-Lock-in: Bei Tarifwechsel oder Kündigung können Sie Workflows nicht ohne Weiteres exportieren.

Wenn Ihre Branche oder Ihre Kunden hohe Anforderungen an Datenschutz stellen (z. B. Gesundheitswesen, Rechtsberatung, öffentliche Aufträge), ist Self-Hosted mit n8n oder einer vergleichbaren Open-Source-Plattform die sicherere Wahl.

Was nicht funktioniert

Folgende Ansätze scheitern in der Praxis regelmäßig:

• Workflow-Plattform auf einem Desktop-PC betreiben: Keine Verfügbarkeit, kein Backup, kein Support. Workflows brechen ab, wenn der Rechner ausgeht.
• Kostenlose Cloud-Tarife für produktive Prozesse: Limits bei Ausführungen, fehlende SLA, kein verlässlicher Support.
• Keine Dokumentation der Infrastruktur: Wenn der Kollege, der die Plattform eingerichtet hat, ausscheidet, steht niemand mehr zur Verfügung, der weiß, wo was läuft.
• Backups ohne Wiederherstellungstest: Ein Backup, das nie getestet wurde, ist kein Backup.

So gehen Sie vor

1. Entscheiden Sie bewusst: Cloud, EU-Hosting oder Self-Hosted. Wägen Sie Aufwand, Kosten und Kontrolle ab.
2. Dimensionieren Sie den Server realistisch: 8 GB RAM und 4 Kerne reichen für die meisten Mittelständler.
3. Richten Sie Monitoring und Backup ein: Automatisch, verschlüsselt, extern gespeichert.
4. Sichern Sie den Zugriff ab: VPN, 2FA, IP-Whitelist, TLS.
5. Schließen Sie AVV ab, wenn nötig: Bei Cloud-Anbietern Pflicht, bei Self-Hosted entfällt das.
6. Dokumentieren Sie Datenfluss und Standort: Für interne Audits und externe Prüfungen.
7. Testen Sie die Wiederherstellung: Mindestens einmal im Quartal.

Fazit

Workflow-Plattformen sind Infrastruktur, keine Spielerei. Wer n8n, Make oder Zapier produktiv einsetzt, muss die gleichen Sicherheits- und Datenschutz-Standards anlegen wie für CRM, ERP oder E-Mail. Self-Hosted auf einem deutschen Server bietet maximale Kontrolle und DSGVO-Konformität, erfordert aber interne oder externe IT-Kompetenz. Cloud-Hosting ist bequem, bringt aber Abhängigkeiten und rechtliche Risiken mit sich.

Wenn Sie unsicher sind, welches Modell für Ihr Unternehmen das richtige ist, oder wenn Sie Self-Hosted professionell aufsetzen lassen möchten, sprechen Sie uns an.

Sprechen Sie mit uns

Sie möchten das in Ihrem Betrieb umsetzen? Wir bauen die passende Maschine mit Ihnen.

Telefon: 040 468 967 680
E-Mail: info@whitefox-automations.com
Oder über unser Kontaktformular.