Der Standard-Acmebot-Deploy hat drei öffentliche Angriffsflächen. Für ISO 27001, KRITIS oder NIS2 reicht das nie. So baust du Let's-Encrypt-Automatisierung mit Private Link, VNet Integration und Private DNS - komplett mit Terraform.

Die kaufrelevante Server-Frage ist nicht 'wie viele Kerne kriege ich fürs Geld', sondern: Wie viel RAM braucht dein eigener Betrieb wirklich, und wann lohnt ein Proxmox-Knoten statt Cloud. Mit Zahlen für 2026.

Einen MikroTik als WireGuard-Server per Hand zu konfigurieren ist quick & dirty - bis der zehnte Peer dazukommt und du einen Tag mit /interface/wireguard/peers verbringst. Die Terraform-Lösung: Peers als Rollen-Module (Admin, App, IoT), Access per IP-Firewall durchgesetzt, alles in Git. Mit dem WireGuard-Wissen, das die RouterOS-Doku dir nicht sagt.

capabilities.drop: [ALL] und runAsNonRoot: true durch Schema-Validierung, lief durch. Innerhalb von Minuten waren neun Container down - inklusive beider Postgres-Instanzen hinter Paperless und Nextcloud. Die zwei falschen Annahmen, die Wiederherstellungs-Falle danach und die Lektion für jede pauschale securityContext-Passade.

Ein k3s-Cluster ohne Backup ist eine Zeitbombe - aber Velero mit einem machbaren S3-Storage braucht keinen Cloud-Vendor. So sieht die komplette Kette aus: Garage als S3-Backend im eigenen Cluster, Longhorn als Source, Velero via ArgoCD deployed, tägliche Backups per Schedule. Mit dem Praxis-Trick, der garantiert, dass dein Backup auch wirklich wiederherstellbar ist.

NIS2 betrifft lange nicht jeden, der einen Server daheim betreibt. Wann du als Selbstständiger, Dienstebetreiber oder Homelab-Betreiber wirklich in den Anwendungsbereich fällst — und was die drei konkreten Pflichten sind, die dann gelten.