Das Netz, auf dem
alles andere aufbaut.
Schlechte Netzwerkplanung ist der stille Kostentreiber in vielen KMU: träge Verbindungen, WLAN-Totzonen, ein VPN das nie zuverlässig funktioniert, Drucker und Server im selben flachen Netz wie Gästegeräte.
Wir planen, bauen und betreiben Firmennetzwerke auf Basis offener Standards, transparent, herstellerunabhängig und so dokumentiert, dass du jederzeit den vollen Überblick behältst.
Was wir bei KMU
am häufigsten vorfinden.
Die meisten KMU-Netzwerke sind nicht geplant, sie sind gewachsen. Jedes neue Gerät wurde irgendwann einfach angesteckt. Das Ergebnis ist eine Infrastruktur, die niemand mehr vollständig überblickt, bis etwas ausfällt.
-
—
Flaches Netz ohne Segmentierung
Mitarbeiter-PCs, Drucker, Gäste-Tablets und Server befinden sich im selben Subnetz. Eine Schadsoftware auf einem Gerät kann sich ungehindert ausbreiten.
-
—
WLAN-Totzonen & Verbindungsabbrüche
Ein einzelner Consumer-Router deckt das Büro nicht zuverlässig ab. Videocalls brechen ab, Mobilgeräte verlieren die Verbindung beim Raumwechsel.
-
—
VPN das selten zuverlässig funktioniert
Veraltete OpenVPN-Konfigurationen, manuelle Zertifikate, keine MFA. Homeoffice-Mitarbeitende brauchen bei jeder Einwahl IT-Unterstützung.
-
—
Kein Monitoring, keine Dokumentation
Niemand weiß, welche Geräte im Netz aktiv sind, ob die Firewall aktuell ist oder was bei einem Ausfall als erstes zu prüfen wäre.
Was wir konkret
umsetzen.
Jedes Netzwerkprojekt beginnt mit einer Ist-Analyse. Wir dokumentieren den vorhandenen Stand und erarbeiten einen Umsetzungsplan, der sich an deinen realen Betriebsabläufen orientiert, nicht an Lehrbuch-Topologien.
In vielen KMU ist die Firewall ein Consumer-Router mit Standard-Passwort und veralteter Firmware. Wir ersetzen das durch eine professionelle Next-Generation-Firewall – je nach Anforderung auf Basis bewährter Open-Source-Lösungen wie OPNsense oder mit Enterprise-Hardware-Appliances.
Inklusive IDS/IPS-System mit täglich aktualisierten Bedrohungsregeln, DNS-Filterung, Geo-Blocking und automatischem Failover bei Leitungsausfall.
- Next-Generation-Firewall mit Stateful Packet Inspection
- IDS/IPS mit täglichen Regelupdates (kostenlos via ET)
- DNS-Filterung & Geo-Blocking für bekannte Angriffs-IPs
- Multi-WAN mit automatischem Failover
- QoS-Priorisierung für VoIP und kritische Applikationen
- Monatliche Firmware-Updates im Rahmen Managed IT
Jeder Port ist dokumentiert, jede Verbindung gemessen und protokolliert. PoE-Switches versorgen Access Points, IP-Kameras und Telefone ohne zusätzliche Stromversorgung.
- Vollständige Netzwerkdokumentation (Topologie, IP-Plan, Port-Belegung)
- Beschriftetes Patchfeld mit VLAN-Zuordnung
- PoE-fähige Switches für APs, IP-Kameras & VoIP
Wir planen Access-Point-Installationen: zentral verwaltbar, on-premise betreibbar, aktuell mit Wi-Fi 6 und Wi-Fi 7.
Die Platzierung der Access Points erfolgt nach einer Standortanalyse. Nahtloses Roaming sorgt dafür, dass Verbindungen beim Raumwechsel stabil bleiben. Gäste-WLAN läuft isoliert im eigenen VLAN.
- Standortanalyse & durchdachtes AP-Ausleuchtungskonzept
- Zentrale Verwaltung on-premise
- Separate SSIDs für Mitarbeiter, Gäste und IoT
- Individuelle Bandbreitenlimits für Gäste-WLAN
- Zentrales Dashboard mit Echtzeit-Client-Übersicht
Durch logische Segmentierung via VLANs trennen wir Netzwerkbereiche, ohne zusätzliche Hardware zu benötigen. Ein kompromittiertes IoT-Gerät kommt im segmentierten Netz nicht an Buchhaltungs-PCs heran.
Gäste surfen, ohne interne Ressourcen zu sehen. Produktionsmaschinen kommunizieren nur mit dem ERP-Server. VoIP-Telefone werden priorisiert übertragen.
- VLAN 10: Server & Infrastruktur (NAS, Drucker, interne Dienste)
- VLAN 20: Mitarbeiter-PCs & Notebooks
- VLAN 30: Gäste-WLAN (Internet only, kein interner Zugriff)
- VLAN 40: IoT & smarte Geräte (vollständig isoliert)
- VLAN 50: VoIP-Telefone (mit QoS-Priorisierung)
- Management-VLAN: Netzwerkkomponenten separat
WireGuard hat sich als neuer Standard etabliert: schneller, kryptografisch moderner und mit kleinerem Code-Footprint als OpenVPN. Für Teams ohne eigene Infrastruktur bietet Tailscale einen Zero-Config-Mesh auf WireGuard-Basis.
Wer keine Cloud-Abhängigkeit möchte, betreibt Headscale als vollständig selbst gehostete Alternative. Für Standortvernetzung: IPSec Site-to-Site zwischen zwei oder mehr Standorten.
- WireGuard nativ: direkt auf OPNsense, maximale Kontrolle
- Tailscale Managed: Zero-Config, SSO via Azure AD oder Google
- Headscale: Self-hosted Koordinationsserver, keine Cloud
- IPSec Site-to-Site: Standortvernetzung ohne Client-VPN
- 2-Faktor-Authentifizierung für alle VPN-Einwahlen
- Split Tunneling: nur Unternehmensverkehr durch VPN
Im Rahmen unserer Managed-IT-Betreuung überwachen wir alle Netzwerkgeräte kontinuierlich: Uptime, Traffic-Anomalien, Firewall-Logs und Firmware-Status. Bei Anomalien erhalten wir automatisch Alerts, bevor du ein Problem bemerkst.
Firmware-Updates werden koordiniert durchgeführt, ohne den laufenden Betrieb zu unterbrechen. Quartalsberichte geben dir Transparenz über den Zustand deiner Infrastruktur.
- 24/7-Monitoring aller Netzwerkkomponenten via SNMP
- Alert bei Geräteausfall, erhöhtem Traffic oder Firewall-Anomalie
- Koordiniertes Firmware-Update-Fenster (kein Betriebsausfall)
- Quartalsbericht: Traffic-Analyse & Handlungsempfehlungen
- Fernwartungszugang via gesichertem VPN (protokolliert)
- Eskalation & Vor-Ort-Einsatz im Supportfall
Welche Firewall
passt zu dir?
Wir sind herstellerunabhängig und beraten dich neutral. Je nach Anforderung setzen wir auf bewährte Open-Source-Lösungen oder Enterprise-Hardware-Firewalls – entscheidend ist, was zu deiner Infrastruktur passt.
Unser Ansatz: Wir empfehlen die Lösung, die zu deinem Team und deinen Anforderungen passt – ob Open Source oder Enterprise. In beiden Fällen übernehmen wir Einrichtung, Härtung und laufende Betreuung.
Sicherer Fernzugriff
für jede Teamgröße.
OpenVPN war jahrelang Standard. Heute gibt es deutlich bessere Optionen. Wir setzen je nach Anforderung auf WireGuard nativ, Tailscale als verwaltetes Mesh oder Headscale als Self-hosted-Variante ohne Cloud-Abhängigkeit.
SaaS-Koordinationsserver, WireGuard-Tunnel zwischen Geräten. Einrichtung in Minuten, SSO-Integration via Azure AD oder Google. Ideal für Teams ohne eigene Infrastruktur.
Derselbe WireGuard-Mesh wie Tailscale, aber der Koordinationsserver läuft auf eigenem Server oder VPS. Volle Datenkontrolle, keine Abhängigkeit.
WireGuard direkt auf der Firewall. Kein externer Server, volle Integration mit VLAN-Regeln und Firewall-Policies. Standard für klassisches Site-to-Client-VPN.
Standortvernetzung zwischen zwei oder mehr Büros. Beide Standorte erscheinen im selben logischen Netz, ohne Einwahl für die Mitarbeitenden.
Ein Netzwerk, das du
nicht im Auge behalten musst.
In einem Erstgespräch analysieren wir deinen aktuellen Netzwerkstand – ohne Verkaufsdruck, ohne Produkt-Pitch. Du bekommst eine ehrliche Einschätzung, was gut läuft und wo die größten Risiken liegen.