Netzarchitektur
Air-Gap oder Netztrennung
so viel Isolation wie nötig.
Air-Gap klingt nach maximaler Sicherheit und bedeutet in der Praxis vor allem maximale Handarbeit. Meistens ist eine saubere Netztrennung mit kontrolliertem Ausgang die bessere Antwort.
- Für wen
- Betriebe mit hohen Sicherheitsvorgaben oder sensiblen Projekten
- Aufwand
- 15 Arbeitstage bis zur Spezifikation
- Förderung
- Wird für Ihr Bundesland geprüft
- Datenhaltung
- Komplett auf Ihrem Server, nichts geht nach außen
- Erster Schritt
- Dreißig Minuten Erstgespräch per Video
Bei einem Air-Gap hat das System keine Netzverbindung nach außen, Updates kommen per Datenträger, Wartung nur vor Ort. Netzgetrennt mit kontrolliertem Ausgang heißt: eigenes Netzsegment ohne Standardroute ins Internet, definierte Ausnahmen, Fernwartung über VPN mit Vertrag und Protokoll. Letzteres ist günstiger, wartbarer und für fast alle Betriebe ausreichend. Air-Gap führen wir auf Wunsch vor.
Stand: September 2026
Sechs Elemente einer sauberen Netztrennung
So richten wir ein lokales KI-System ein, wenn kein vollständiger Air-Gap verlangt ist.
- Eigenes Netzsegment für den KI-Server, ohne Standardroute ins Internet
- Nur definierte Verbindungen nach innen: Ablage, Postfach, Verzeichnisdienst
- Ein einziger Zugangspunkt für Nutzer, verschlüsselt, mit Anmeldung über Ihr Verzeichnis
- Fernwartung über VPN, zeitlich begrenzt, mit Vertrag und Protokoll
- Telemetrie aller Komponenten abgeschaltet, auch bei Werkzeugen, die sie mitbringen
- Update-Weg für geprüfte Pakete, dokumentiert und wiederholbar
Was ein echter Air-Gap im Alltag kostet
Ohne Netzverbindung kommen Sicherheitsupdates per Datenträger, jede Störung braucht jemanden vor Ort, und Protokolle müssen manuell geholt werden. Das ist machbar und in einzelnen Umgebungen vorgeschrieben, für die meisten Betriebe aber teurer als der Sicherheitsgewinn. Wir richten es ein, wenn es verlangt ist, und sagen vorher, was es im Betrieb bedeutet.
Wann eine echte Netztrennung sinnvoll ist
Sie brauchen sie seltener, als es klingt, und häufiger, als viele denken. Sinnvoll ist sie dort, wo Unterlagen unter Geheimschutz stehen oder wo ein Auftraggeber es vertraglich verlangt. In diesen Fällen ist die Maschine vom Internet getrennt, und Updates kommen über einen kontrollierten Weg ins Netz.
Der Preis dafür ist Aufwand im Betrieb. Ohne Netzverbindung gibt es keine Fernwartung, keine automatischen Updates und keine schnelle Diagnose. Jede Änderung braucht jemanden vor Ort, und die Dokumentation muss so gut sein, dass diese Person damit arbeiten kann.
In den meisten Betrieben genügt die schwächere Form: Das System hat keinen ausgehenden Internetzugang, aber einen Wartungszugang, den Sie auf Anforderung öffnen. Damit bleibt der Datenpfad geschlossen, und der Betrieb bleibt praktikabel.
Echte Netztrennung kostet Betrieb. In den meisten Fällen genügt ein Wartungszugang, den Sie selbst öffnen.
Was wir dafür entwickeln
- 1
Büro-Gedächtnis: Ihr KI-Gedächtnis im eigenen Netzsegment, ohne Weg nach außen
Büro-Gedächtnis im Detail - 2
Post-Lotse: Posteingang, eine der wenigen definierten Verbindungen nach innen
Post-Lotse im Detail - 3
Baustellen-Agent: Baustelle und Protokoll, Sprachdaten bleiben im getrennten Segment
Baustellen-Agent im Detail
So planen wir die Netzarchitektur
- 01
Netz-Audit
Welche Segmente gibt es, wo steht der Server, welche Verbindungen sind wirklich nötig.
- 02
Trennen und härten
Eigenes Segment, Regeln, ein Zugangspunkt, Telemetrie aus, Update-Weg festgelegt.
- 03
Prüfen
Sicherheits-Review durch Dritte, Nachtest, dann Betrieb mit protokollierter Fernwartung.
Für wen sich das lohnt
- IT und Administration
- Sie verantworten das Netz. Sie bekommen ein Segment mit klaren Regeln, nicht eine Blackbox im Serverraum.
- Informationssicherheit
- Sie brauchen eine belastbare Aussage zu Ausgangsverbindungen. Die steht schriftlich, mit Prüfbericht.
- Geschäftsführung
- Sie entscheiden zwischen Aufwand und Isolation. Wir legen beide Varianten mit Folgen vor.
Was Betriebe an dieser Stelle fragen
Einwand
Können Sie das System komplett offline vorführen?
Ja. Wir trennen das Netz im Termin und zeigen, dass Suche und Antworten weiterlaufen. Das ist die einfachste Art, Vertrauen herzustellen.
Einwand
Ist Fernwartung ein Sicherheitsrisiko?
Sie ist ein kontrolliertes Risiko: zeitlich begrenzt, protokolliert, vertraglich geregelt, jederzeit abschaltbar. Der Nutzen ist schnelle Hilfe ohne Anfahrt.
Einwand
Wie kommen Updates ins getrennte Netz?
Als geprüfte Pakete über einen festgelegten Weg, dokumentiert und wiederholbar. Bei Air-Gap per Datenträger mit Signaturprüfung.
Einwand
Braucht jeder Betrieb diese Trennung?
Eine saubere Segmentierung empfehlen wir immer. Vollständiger Air-Gap nur, wenn Auftraggeber oder Vorschriften es verlangen.
Einwand
Gibt es Fördermittel für lokale KI?
Oft ja. Ob ein Zuschuss oder ein Darlehen greift, hängt an Ihrem Bundesland, an der Betriebsgröße und am Vorhaben. Hardware zählt in der Regel mit, wenn sie Teil des Vorhabens ist. Wir prüfen das vor dem Termin und sagen Ihnen, ob sich der Antragsaufwand lohnt.
Verwandte Seiten
Programme, mit denen Sie arbeiten
Zu jedem steht, was sich anbinden lässt, was dabei herauskommt und wo die Grenze liegt.
Sehen wir uns Ihren Bestand an.
Dreißig Minuten, per Video oder Telefon. Danach wissen Sie, ob lokale KI bei Ihnen trägt und was der erste Schritt ist.