Server und Software für den Verein

"8 WordPress-Installationen", selbstgehostet. Bekommen wir da auch das Feinkonzept für die Absicherung zu Gesicht (Container, WAF, Plugin-Sicherheitsanalyse)?

Bei der vorgenannten Anzahl an Installationen sollte der Verein doch groß/finanzstark genug sein, um einen spezialisierten Hoster dafür einzuspannen? Das wird für andere Dienste ja auch bereits gemacht. WP ist mit Abstand die größte ABM. Hugo tut's nicht?

Moin Bud,

mir fehlen noch zwei Aspekte in Deiner Aufstellung, die zumindest mittelbar die Server-Infrastruktur betreffen. Allerdings basieren beide auf Risikoabschätzungen, die für einen Verein eventuell geringer ausfallen:

• Backup-Konzept: Wo liegen Sicherungen von was und wie sieht eine Wiederherstellung nach technischen oder menschlichen Fehlern aus? Hierbei auch Generationen, Sicherungen "off site" und die akzeptablen Wiederherstellzeiten berücksichtigen.
• Deployment-Konzept: Wie bringst Du Änderungen in's System, wie werden Updates getestet? Die Spanne reicht von mehrstufigen Staging-Infrastrukturen bis zu "wir installieren in Prod und restoren im Notfall". Alles eine Frage des Geldes, Aufwandes und der Risikobereitschaft ... wobei Testsysteme die Wirklichkeit immer nur bis zu einem gewissen Grad abbilden können.

Wie gesagt, für Vereine vielleicht nicht allzu kritisch zu betrachtende Punkte, aber man sollte sich über die Gegebenheiten im Klaren sein: Nicht "mit Kanonen auf Spatzen schiessen", aber sehenden Auges entscheiden...

Zum Backup-Konzept gehört auch noch was, das gerade bei Vereinen viel zu oft unterlassen wird:

Gibt es auch ein Backup für den Admin, falls der mal ausfällt?

Sehr oft wird sowas von einer Person alleine gestemmt wird und nur die hat dann auch Ahnung von dem Ganzen.

Gerade vor kurzem habe ich das erlebt, dass der Admin eines Vereins dauerhaft ausgefallen ist und wirklich niemand einen Plan hatte. Noch nicht mal Zugangsdaten.

Als Mitglied der "Church of Metrics" vermisse ich da noch Informationen zum Monitoring und Alerting.

Viele Grüße

Stefan

Hallo,

ich bin seit Jahren Netcup-Kunde und immer intensiver und stiller Mitleser....aber irgendwann muss man ja mal anfangen
Also erst einmal Hallo in die Runde

Zum Thema und meine Empfehlung aus der Erfahrung heraus:

Ich bin Administrator in einem Verband mit 2.500 Mitgliedern. Jetzt muss man berücksichtigen, dass bei einem Verband/Verein in Sachen IT i.d.R. meist nur der innere Kern (bspw. geschäftsführender Vorstand) und der daran anschließende "äußere Kern" diese IT-Dinge wirklich nutzt (Schatzmeister, Mitgliederverwaltung,...).

In unserem Fall befinden sich neben den eben genannten auch noch ca. 130 weitere Mitglieder die aktiv im Verband arbeiten, der Rest sind sogenannte passive Mitglieder.

Auch kommt leider hinzu, dass man in einem Verband oder Verein die Mitglieder zu nichts zwingen kann....auch nicht die Nutzung der bereitgestellten Services.

Es passiert sehr schnell, dass die Mitglieder bei "Zwang" sehr schnell die Lust am Verein/Verband verlieren...weil es eben "nur" ein Verein/Verband ist und nicht der Hauptberuf.

Die eigentliche Problematik ist aber: den ganzen "komplexen" IT-Krempel kann am Schluss nur noch einer beherrschen...nämlich der, der (ggf. über Jahre hinweg) diesen "Moloch" aufgebaut hat. Und alleine damit baue ich mir in den Verein oder Verband einen massiven Single-Point-of-Failure ein....nämlich bei Ausfall des Admins.
Das kann von Krankheit über Urlaub bis hin zu internen Verwerfungen und Austritt reichen....man ist hier leider vor nichts gefeit.

Und man sieht es ja an den anderen Posting: Wenn ich dies habe, dann brauche ich noch das und noch das und noch das.

Aus eigener Erfahrung kann ich (auch wenn jetzt der ein oder andere "Blasphemie!!!!" in der Raum wirft), nur empfehlen das Ganze nicht alles selbst zu machen sondern primäre managed einzukaufen.

Das hat zunächst den Vorteil, dass man sich im Verein/Verband auf das wesentliche konzentrieren kann und ein Anbieter sich um den Unterbau kümmert.

Auch im Falle eines Ausfalls läuft der Laden einfach weiter, behelfsmäßig können andere Mitglieder auch auf unbestimmte Zeit zumindest Nutzer weiter anlegen und sonstige Tätigkeiten durchführen...und kommen nicht in die Situation, das die Nextcloud plötzlich nicht mehr geht weil auf dem Unterbau eine PHP-Version nicht mehr passt und/oder keiner weiß was "Docker" überhaupt ist und bei SSH an "Super-Socken-Halter" denken.

Zumal Non-Profit-Organizations überall massive Rabatte erhalten und die Produkte und Services teilweise echt nachgeschmissen bekommen.

Unserer Struktur im Auszug:

• Hosting/Mail/Domain alles bei einem Anbieter (auch managed Wordpress)
  (historisch bedingt der "Blaue" mit den 5 Buchstaben, weil das sehr gute Kundencenter auch unbedarften Handlungssicherheit gibt)
• Nextclouds sind managed eingekauft, man kann sich auf die Verwaltung und Nutzung dieser konzentrieren
• Videokonferenzing ist WebEx "tutto completti", weil das bekommt man als Non-Profit nachgeschmissen
• Mitgliederverwaltung wird über "Wiso Mein Verein" abgewickelt, weil es auch hier Rabatte für Non-Profit gibt und die Anbindung an die Banken für Beiträge, Lastschrifteinzüge usw. sehr gut funktioniert.

Unsere Datenbestände liegen hierbei alle in Nextcloud und werden über zwei Standort-getrennte Synos gesichert. Weil auch ein Synology kann ein halbwegs nicht ganz unbedarfter und zumindest IT-interessierter noch durchschauen (HyperBackup zum wiederherstellen von Daten bspw.).

Auch über "Stifter-Helfen" bekommt man unglaublich viel Services extrem günstig für Vereine/Verbände als Non-Profit.

Ich weiß ich wiederhole mich, aber die Idee alles komplett selber zu machen führt zu Inselwissen. Zumal man bei Vereinen/Verbänden mit teilweise begrenzten finanziellen Mittel sich nicht die ITler holen kann, die man braucht....sondern die, die man "kriegt".

Wenn zufällig der derzeitige Admin ein "IT-Nerd" ist und sich darin voll auslebt.....ein Nachfolger oder "Ersatz" oder wie immer man das Kind nennen will, hat ggf. nicht die Skills.

Ich würde es aus eigener Erfahrung so definitiv nicht mehr machen.

Grüße

Und wenn man es trotzdem macht, dann muss man zumindest ALLES so gut dokumentieren, inklusive konkreten Anweisungen für alle anfallenden Arbeiten (Updates, Backup einspielen, Änderungen von Inhalten, und und und...), dass notfalls auch ein Laie die Geschichte eine Zeit lang am laufen halten kann. Entweder bis ein adäquater Nachfolger gefunden ist oder bis sie auf externe Dienste umgestellt ist.

Die Doku sollte man dann von Laien auch mal durchschauen und die wichtigsten Vorgänge am Besten sogar (unter Aufsicht ) durchspielen lassen, als Entwickler kann man sich die vermeintlich trivialen Dinge, an denen ein Außenstehender dann oft scheitert, meist gar nicht vorstellen.

Jemand der sich trotz mangelnden Wissens zur Nachfolge hat breitschlagen lassen, damit die sich endlos ziehende Hauptversammlung oder Ausschusssitzung noch vor der Morgendämmerung beendet werden kann , wird mit der Bedienung und Verwaltung z.B. einer Nextcloud-Instanz hinterher mehr als genug zu tun haben und auf die technischen Aspekte wie Versionsupdates, Linux Dateirechte, htaccess-Dateien, Konfig-Dateien oder gar OS-Updates notfalls sicher gern verzichten.

Ein Verband, dem ich angehöre, macht so eine Entwicklung auch gerade durch. Dinge wie Ligaverwaltung, die man Jahrzehnte auf einem eigenen Server am Laufen hatte, werden jetzt von externen Anbietern zur Verfügung gestellt. Ich kenne die Hintergründe nicht, vermute aber,es hängt damit zusammen, dass der Server vor einigen Jahren mal gehackt wurde und danach wochenlang neu aufgebaut werden musste. Zum Glück fanden während dieser Zeit keine Ligaspiele statt. Das führt jetzt in der Übergangszeit natürlich zu einigen Unannehmlichkeiten für die Mitglieder, weil die für die Mitglieder abzurufenden bzw einzugebenden Informationen teilweise völlig anders strukturiert sind als bisher. Was will man Erwarten bei einer Software, die für ganz andere Sportarten entwickelt wurde? Bis der Dienstleister entsprechende Anpassungen/Korrekturen durchgeführt hat, muss man halt eine Weile damit leben, dass man eventuell keine Punkte gemacht, sondern stattdessen Tore geschossen hat! Naja, das sind eher noch die harmloseren Dinge , vieles ist halt doch noch recht umständlich. Trotzdem sehe ich die Umstellung als einen an sich richtigen Schritt an.

Ich bin verwundert, dass du das alles selbst machen willst.

Das ganze wordpress würde ich zumindest einfach in einen Webspace werfen.

Wenn du unbedingt alles selbst machen willst, würde ich nen dedizierten Server nehmen und mit proxmox passende vm‘s einrichten.

Natürlich dann hinter einer opnsens.

Generell fehlt mir bei deiner Übersicht Firewall, Sicherheit & Backup.

Wenn ich mir den sorgfältig strukturierten Eingangsbeitrag anschaue und die bisherigen Antworten, wird das hier wohl eines der Top-Themen der nächsten Zeit.

Freue mich schon auf lehrreiche Hinweise und auch Berichte von der endgültigen Umsetzung. => Abo ist raus

Ich denke, dass Bud schon (noch) einiges mehr bereits im Hinterkopf hat als er im Eingangsbeitrag geschrieben hat.

Zitat von Bud

Für KeyHelp und somit gegen ein Webhosting 8000 haben wir uns entschieden, da wir uns von einem VPS 1000 ARM G11 wesentlich schnellere Ladezeiten erwarten.

sehe ich ebenso. beim webhosting (hier) sind die üblichen caching-methoden praktisch nicht vorhanden.

und der kritische punkt beim backup ist der restore.

wenn's an's eingemachte geht, scheitert's evtl. an der ebenfalls nicht mehr vorhandenen leitung für's restore des online-only-backups.

(wie ich vor kurzem miterleben durfte )

Zitat von Bud

Aktuell ist angedacht, alle Backups auf einer StorageBox des roten H zu sammeln, und in der Zukunft dann auch entsprechende Spiegelungen der StorageBox automatisiert auf einem Server in der Geschäftsstelle abzulegen.

Auch wenn es noch Zukunftsmusik ist: Ich kann - wie auch -Manu- - eine Synology DiskStation für diesen Zweck nur empfehlen: Das hält die Aufwände des Server-Betriebs gering bzw. auch für (interessierte) Laien machbar und bietet einiges an Funktionalität / Flexibilität. Dann noch eine remote Synology per TailScale / HyperBackup für's "Offsite-Backup" und man kann relativ ruhig schlafen.

Bietet das rote H eigentlich an, physischen Speicher für den Restore-Fall einzuspielen? Ich weiss, dass manche Storage-Anbieter diese Option haben, um besagte Restore-Zeiten in eine akzeptable Dauer zu drücken. Ansonsten muss die Synology dann eben zu einer Lokation mit fettem Uplink.

Zitat von MyMattes

Bietet das rote H eigentlich an, physischen Speicher für den Restore-Fall einzuspielen? Ich weiss, dass manche Storage-Anbieter diese Option haben, um besagte Restore-Zeiten in eine akzeptable Dauer zu drücken. Ansonsten muss die Synology dann eben zu einer Lokation mit fettem Uplink.

Ich hoffe, ich habe dich richtig verstanden: So gesehen bietet der von dir genannte Provider über dessen Serverbörse Dedicated Server mit sehr viel HDD, so 8 TB im RAID 1 für ca. 50 bis 60 Euro an.

Einen physischen Speicher für den Restore-Fall bietet der von dir genannte Provider für z.B. seine Storage Boxen nicht an, so dass im Extremfall im Gegensatz zu einem Dedicated Server der Upload recht niedrig sein kann, weil man sich die Bandbreite mit einer unbekannten Anzahl von weiteren Kunden teilt.

Zitat von andreas.

Einen physischen Speicher für den Restore-Fall bietet der von dir genannte Provider für z.B. seine Storage Boxen nicht an, so dass im Extremfall im Gegensatz zu einem Dedicated Server der Upload recht niedrig sein kann, weil man sich die Bandbreite mit einer unbekannten Anzahl von weiteren Kunden teilt.

Ich hatte es anders gemeint: Manche (Storage-) Provider bieten den Import von physischem Speicher (meist USB-Platten) an: Diese kann man dann im K-Fall mit einem Restore des Remote-Backups z. B. per Courier einsenden und hat eine wesentlich geringere Wiederherstellungs-Zeit - im Vergleich zum Upload per Netz. Ist bei den Preisen aber kaum realisierbar und einen entsprechenden extra Service habe ich nicht gesehen.

Aber ich will Bud's Thread nicht mit einem Nebenaspekt hijacken ... Danke Dir!

Ein weiteres Thema, das sich bei unseren Services immer wieder stellt, hier aber noch nicht behandelt oder berücksichtigt wurde:

Benutzerverwaltung / Rechtemanagement mit dem Ziel eines Single Signon

Das ist eine extrem wichtige Sache, die am Besten vorher bedacht wird, sonst musst Du für jeden der genannten Services eine eigene UserDB führen. Das geht schon bei 3 Sachen schlecht, bei der Menge von Services gehts garantiert schief.

DASS man es machen soll ist m.E. unstrittig, WIE man es macht ist hingegen diskutabel und es gibt viele Herangehensweisen.

Einige unsortierte Optionen als Diskussionsanstoß:

- LDAP

- Active Directory (MS oder Open Source)

- Authelia

- Kerberos

- Authentik

- Keycloak

Im Vergleich zum Setup aller o.g. "Content Software" ist die Verbindung zu einem SSO Provider bei all diesen Services m.E. das schwierigste Arbeitspaket, das man sich antun kann, nichtsdestotrotz ist es essentiell. Ich würde empfehlen alle geplante Software dahingehend abzuklopfen ob sie die Auth Lösung unterstützt, die man umsetzen will. Nur wenn man die Tools mit einem Usermanagement verbindet, werden sie wirklich nützlich und nur dann werden die Tools auch bei den Usern akzeptiert.

Zitat von TBT

Benutzerverwaltung / Rechtemanagement mit dem Ziel eines Single Signon

Wow! Danke für diesen super wichtigen Hinweis. Das wurde in der Tat noch nicht bedacht.

Hast du eine Empfehlung wie man das bei Mails einsetzen kann? Gibts Hoster die das unterstützen oder muss man dann selbst Mails hosten - würde ich eigentlich gerne vermeiden.

Als Vereinssoftware kann ich https://www.openpetra.org/de/ empfehlen, besser als so ein dickes WiZo Mein Verein

Zitat von TBT

Diskussionsanstoß:

...

- Authelia

In Zukunft steht Authelia bei mir auch auf der Roadmap. Bei meiner damaligen Recherche / Vergleich stach das durch viele positive Berichte hervor.

Ich hab's aber nicht eilig, ist ein Zukunftsprojekt. Bei Sicherheitsthemen sollte man nicht hudeln.