Blog

Neuigkeiten und Updates zu unseren Cloud-Services

24 Tage unsichtbar

Ein Endpoint fiel aus dem SIEM und fehlte 24 Tage lang, ohne dass ein Alarm kam. Die Daten dafuer lagen doppelt vor. Was beim Nachbauen des Alarms schiefging und warum erst der Test zeigte, dass die naheliegende Regel nicht funktioniert haette.

Weiterlesen →

Eine Wissensbasis aus 2000 Bruchstücken

Der Chatbot antwortete auf jede Frage mit einem Link auf die Blog-Übersicht. Vier stumme Fehlkonfigurationen, keine davon im Modell: ein Loader ohne Konfiguration, eine leer laufende Erlaubnisliste, ein still kürzendes Kontextfenster und eine Überwachung, die den vorigen Vorfall misst.

Weiterlesen →

Der Fenster-Sommelier kommt im Maßanzug

Ein Rundgang durch lochimfenster.matzka.cloud — eine Firma, die ein Loch verkauft, dafür aber Abo-Modelle, eine Statusseite mit SLA und eine Series-B-Runde hat. Und die Frage: Warum ist Deadpan-Satire so viel schwerer als offensichtlicher Blödsinn?

Weiterlesen →

Wir haben eine Firma gegründet, die nichts verkauft

Ein Wochenendprojekt: eine hochseriöse Unternehmenswebsite für ein Produkt, das aus Abwesenheit besteht. Nebenbei drei Lehren, die bei echten Projekten genauso gelten — darunter eine nginx-Falle, die Security-Header still verschwinden lässt.

Weiterlesen →

Wer bewacht den Wächter?

Fast zwei Störungen pro Woche — und entdeckt fast nie durch einen Alarm. Wie ich meine selbst-gehostete Infrastruktur vom Reagieren aufs Vorbeugen umgestellt habe: unabhängige Wächter, ein Totmannschalter und die Erkenntnis, dass ein Monitoring seinen eigenen Ausfall nicht melden kann.

Weiterlesen →

Wenn die Rettung den Ausfall verursacht

Eine woechentliche Update-Automatik meldete monatelang das falsche Problem — bis ein ungeduldiger Health-Check und ein defekter Auto-Rollback gemeinsam den Reverse-Proxy loeschten und alle Web-Dienste lahmlegten. Ueber fail-closed, Rettung die zur Katastrophe wird, und warum ein defekter Waechter abgeschaltet gehoert.

Weiterlesen →

Das offene Mesh zumachen: VPN-ACLs auf Least-Privilege härten

Ein VPN authentifiziert Mitgliedschaft, nicht Erlaubnis. Wie man ein offenes Mesh von allow-all auf Least-Privilege-ACLs härtet: Ist-Flows enumerieren, Server-zu-Server-Sprünge eindämmen, mit Negativ-Tests beweisen — und sich nicht selbst aussperren.

Weiterlesen →

Den Heim-Cluster ins VPN holen — und ins zentrale Monitoring

Einen isolierten lokalen Kubernetes-Cluster ins private VPN-Mesh und ins zentrale Monitoring holen — mit den Stolpersteinen (Tunnel-Gerät im unprivilegierten Container, die Abwägung beim Self-Enrollment) und drei Bugs, die erst der idempotente Re-Run aufdeckt.

Weiterlesen →

Härten, was öffentlich sein muss

Manche Dienste kann man nicht hinter einen Login verstecken — sie müssen öffentlich erreichbar sein. Wie man sie trotzdem absichert: Zugriff schützen statt Erreichbarkeit, die Admin-Fläche wegsperren, und dabei nichts kaputtmachen.

Weiterlesen →

Der blinde Fleck: Wenn der Wächter die eigenen Geräte nicht sieht

Ein selbst-gehostetes SIEM überwacht meist nur die Server — die Geräte, an denen man täglich sitzt, bleiben unsichtbar. Wie man diese Lücke schließt, ohne den kritischen Wächter zu gefährden und ohne private Dateien mitzulesen.

Weiterlesen →

Wenn der eingebaute Office-Server an seine Grenzen stößt

Warum ein „eingebauter" Dokumenten-Editor in der eigenen Cloud irgendwann rot blinkt — und wie der Umzug auf einen dedizierten Server drei hartnäckige Warnungen auflöst, inklusive der drei Reverse-Proxy-Fallen.

Weiterlesen →

Ein Chatbot, der höflich nichts wusste

Der Chatbot antwortete höflich, aber inhaltlich leer – weil ein misslungener nächtlicher Aufbereitungslauf die Wissensbasis geleert hatte. Warum das ein Konstruktionsfehler war und wie ein Blau/Grün-Umschalten mit Zeiger es dauerhaft verhindert.

Weiterlesen →

Klartext-Secrets in der eigenen Doku — beim Aufräumen entdeckt

Beim Aufräumen der Dokumentation tauchten echte Zugangsdaten im Klartext auf — längst in der Git-Historie. Warum Scrubben nicht reicht und Rotation der eigentliche Fix ist.

Weiterlesen →

Doku ohne neues Tool: Wissen als Markdown im Git — gelesen durch drei Brillen

Wie ein selbstverschuldeter Aussperr-Vorfall zu einem robusten Dokumentationssystem führte — ohne neues Wiki, nur Markdown im Git, betrachtet durch drei Brillen.

Weiterlesen →

„Verbunden“ und trotzdem tot: die Jagd nach einem stillen WireGuard-Bug

Das VPN meldet „verbunden“, der Ping kommt direkt zurück – und trotzdem lädt keine Seite. Die Geschichte eines stillen WireGuard-Bugs, des „rx 0“-Merkmals und eines Ein-Zeilen-Fixes.

Weiterlesen →

Interne Dashboards hinter Authentik ForwardAuth – ohne Webhooks und Push-Apps zu zerreißen

Einen zentralen Login vor alle internen Oberflächen zu ziehen klingt nach einem Schalter – ist aber Sortierarbeit: Wer spricht mit Menschen, wer mit Maschinen? Warum ForwardAuth pfad-scoped gehört, OIDC-Dienste außen vor bleiben und ein SIEM an eine Admin-Gruppe gehört.

Weiterlesen →

Wenn die Wächter schlafen: Von einem Fehlalarm zur mehrschichtigen Sicherheitsarchitektur

Wie aus einer harmlosen CPU-Warnung eine vollständige, mehrschichtige Sicherheitsarchitektur wurde — mit Einstieg in die drei Säulen SIEM (Wazuh), WAF/IPS (CrowdSec) und Runtime-Security (Falco) und ihrer Zusammenführung zu einem zentralen SOC.

Weiterlesen →

Ordnung im Maschinenraum: Wie sich über 60 Container sauber gruppieren und abschotten lassen

Ab Dutzenden Containern entscheidet die Architektur über Wartbarkeit und Sicherheit. Wie man eine selbstgehostete Cloud nach Funktion gruppiert, pro Dienst abschottet und den Blast Radius eines Einbruchs klein hält – bewusst generisch, als Blaupause.

Weiterlesen →

Login lädt nicht: Drei SSO-Stolperfallen und wie man sie erkennt

Drei völlig verschiedene Ursachen, ein Symptom: „Der Login geht nicht.“ Ratelimit blockt JavaScript, Reputationsschutz sperrt getarnt als „Not Found“, und ein fehlendes Anführungszeichen bricht ein Attribut-Mapping.

Weiterlesen →

Ein CPU-Alarm, der in Wahrheit ein Firewall-Problem war

Eine hohe CPU-Last führte über vier Ebenen zu einem Container, der sich alle zwölf Sekunden selbst neu startete – ausgelöst von einer falsch platzierten Firewall-Regel. Die dauerhafte Lösung: ipset mit Kernel-Zeitlimit.

Weiterlesen →

Tote Alarme: Warum Monitoring, das nie auslöst, gefährlicher ist als keins

Von zwölf Alarmregeln waren sieben defekt: manche konnten nie auslösen, andere feuerten ununterbrochen. Wie man tote Alarme und Fehlalarme aufspürt – und warum ein Alarm, der nie feuert, gefährlicher ist als gar keiner.

Weiterlesen →

Browser-Canvas-Spiele mobilfähig machen

CSS-Skalierung ohne Spiellogik-Änderung, Koordinaten-Versatz-Fix bei Click-to-Place-Spielen, Touch D-Pad mit pointer:coarse und 100dvh Viewport-Fit — ein Praxis-Guide für nachträgliche Mobile-Optimierung.

Weiterlesen →

Authentik Login-Page lädt nicht: 215.000 veraltete Task-Logs als Ursache

Die Authentik-Login-Seite lud intermittierend nicht vollständig — ein Browser-Refresh half. Ursache war eine 72 MB große Task-Log-Tabelle, die API-Aufrufe auf über 5 Sekunden verlangsamte.

Weiterlesen →

Debugging der KI-Pipeline: Wenn Denken den Chatbot stumm macht

Warum ein unsichtbarer <think>-Block dafür sorgte, dass der Chatbot keine Antworten mehr finden konnte — und wie drei unabhängige Fixes die RAG-Pipeline wieder zum Laufen brachten.

Weiterlesen →

Incident Report: Chatbot-Ausfall durch Docker-Upgrade

Ein Docker-Update auf dem Produktivserver löste eine Kaskade von Problemen aus: vom Chatbot-Ausfall über einen WSL2-Crash bis zur Tailscale-Konnektivität. Eine technische Nachbetrachtung.

Weiterlesen →

Prometheus frisst CPU: Kardinalitätsexplosion durch cAdvisor

52.000 Time Series für eine einzige Metric – wie eine unbekannte cAdvisor-Einstellung den Monitoring-Stack in die Knie zwang und was dagegen hilft.

Weiterlesen →

VitalCare: Ein Architektur-Demonstrator für sichere medizinische Web-Anwendungen

VitalCare zeigt, wie medizinische Web-Anwendungen unter strengen Sicherheits- und Compliance-Vorgaben entstehen können – von KI-gestützter Entwicklung mit klaren Leitplanken bis zu einem vollständig verifizierten Deploy-Prozess.

Weiterlesen →

Mein lokaler KI-Stack auf Windows 11

qwen3:14b, LiteLLM, Open WebUI und Hermes Agent – mein Weg zu einem selbst gehosteten KI-Assistenten auf dem Heimrechner.

Weiterlesen →

Prometheus Stale Metrics: Wenn alte Container-IDs tagelang falsche Alerts auslösen

Ein selbstgeschriebener Docker-Exporter lieferte tagelang veraltete CPU-Werte für längst gestoppte Container – weil prometheus_client Label-Sets nie automatisch bereinigt. Die Lösung: aktives Cleanup mit .remove() und ein defensiverer Alert-Join auf den Container-State.

Weiterlesen →

Infrastruktur-Sicherheit: Hardening im Juni 2026

Infrastruktur-Hardening: Firewall-Persistenz mit iptables-persistent, Fail2ban-Jails repariert (Backend + Datumsformat), Wazuh-Ports auf localhost beschränkt.

Weiterlesen →

Updates 21. Juni 2026: Security, Container & Directus v12

Zusammenfassung der heutigen Updates: Wazuh IPS-Bug behoben, Trivy-Alert-Deduplizierung, Headscale v0.29.1, Diun 4.33.0 und Directus v12.0.2 mit OIG-Lizenz.

Weiterlesen →

Wazuh Active Response & Directus v12: Fixes und Upgrades im Juni 2026

Wazuh IPS-Bug behoben (Silent Fail bei leerem SSH-Benutzernamen), Trivy-Alert-Deduplizierung eingeführt und Directus von v11 auf v12 upgraded — inklusive Open Innovation Grant für SSO-Lizenz.

Weiterlesen →

Container Updates Juni 2026: cAdvisor, Qdrant, Traefik, Gitea, Authentik, Mailcow

Sechs Services aktualisiert: cAdvisor wechselt Registry (gcr.io → ghcr.io), Qdrant, Traefik-Patch, Gitea 1.26.3, Authentik 2026.5.3 (sequenzieller Upgrade-Pfad nötig) und Mailcow 2026-05c.

Weiterlesen →

Wazuh Update 4.9.2 → 4.10.4: Upgrade-Prozess und gescheiterter 4.11.2-Versuch

Wazuh SIEM wurde von 4.9.2 auf 4.10.4 aktualisiert. Ein Direktsprung auf 4.11.2 scheiterte an einer OpenSearch/Lucene-Codec-Inkompatibilität und wurde zurückgerollt.

Weiterlesen →

Mailcow: Gmail-Reject wegen fehlendem IPv6 PTR-Record beheben

Gmail lehnte ausgehende Mails mit Fehler 550 5.7.25 ab. Ursache: Postfix sendete über IPv6 ohne PTR-Record. Fix: PTR bei Hetzner und AAAA-Record bei internex.at setzen.

Weiterlesen →

Win11 LLM-Client: Tailscale Auto-Connect & automatische Offsite-Backups

Nach Windows-Updates war der Chatbot nicht mehr erreichbar. Lösung: Tailscale Auto-Connect via Scheduled Task und automatische tägliche Offsite-Backups auf das lokale RAID1-Volume.

Weiterlesen →

Server-Wartung Juni 2026: RAM-Optimierung, Fixes & Updates

Vollständige Server-Wartung: RAM-Nutzung von 97% auf 49% reduziert, 4 GB Swap eingerichtet, Traefik-Sicherheitswarnungen behoben und 49 System-Pakete sowie Docker Engine, Authentik, Directus und Gitea aktualisiert – inklusive Kernel-Update mit Reboot.

Weiterlesen →

Logo-Farbupdate: .cloud in kräftigem Blau

Eine kleine aber wichtige visuelle Anpassung - das .cloud im Logo erstrahlt jetzt in einem kräftigen Blau statt dem bisherigen Grauviolett.

Weiterlesen →

Neue Services-Seiten: Cloud-Dienste verständlich erklärt

Die matzka.cloud Webapp hat neue Services-Seiten bekommen. Alle Cloud-Dienste werden jetzt ausführlich und verständlich für Nicht-Techniker beschrieben.

Weiterlesen →

n8n Chatbot Database Cleanup Workflow

Automatisierte Bereinigung der PostgreSQL-Datenbanktabellen für den RAG-Chatbot mit konfigurierbaren Aufbewahrungsfristen.

Weiterlesen →

Proaktives CVE-Management mit Wazuh und Trivy

Wie wir mit Wazuh SIEM und Trivy Container-Scans kritische Schwachstellen wie CVE-2025-68121 erkennen und durch intelligente Regeln False Positives reduzieren.

Weiterlesen →

Website-Refresh: Neues Logo, CMS-gesteuerte About-Seite & Umlaut-Fix

Heute haben wir mehrere wichtige Verbesserungen an der matzka.cloud Website vorgenommen: Ein neues Cyan-Logo, die About-Seite ist jetzt CMS-gesteuert, und alle deutschen Umlaute werden korrekt angezeigt.

Weiterlesen →

Authentik SSO im Glassmorphism-Design

Das einheitliche Branding sorgt für ein konsistentes Nutzererlebnis über alle matzka.cloud Services hinweg - vom ersten Login bis zur täglichen Nutzung.

Weiterlesen →

Claude Code Skills - Modulare Dokumentation für KI-gestützte Entwicklung

Für komplexe Infrastruktur-Projekte ist diese modulare Dokumentation ein Game-Changer für die Arbeit mit Claude Code.

Weiterlesen →

Glassmorphism Redesign: Neues Design-System für Matzka Cloud

Das neue Glassmorphism-Design verleiht der Matzka Cloud Website einen modernen, professionellen Look. Die Kombination aus dunklem Theme, leuchtenden Cyan-Akzenten und subtilen Animationen schafft eine einladende Atmosphare fur Besucher.

Weiterlesen →

Sicherheitssysteme können sich gegenseitig sabotieren

Alle Sicherheitssysteme arbeiten korrekt zusammen.

Weiterlesen →

Wazuh SIEM & Trivy Container Security - Vollständige Integration

Von Brute-Force-Schutz über Log-Analyse bis hin zu Container-Schwachstellenscanning sind alle kritischen Bereiche abgedeckt und zentral im Wazuh SIEM Dashboard einsehbar.

Weiterlesen →

Benachrichtigungen Daily Watchdog eingerichtet

Eine Monitoring-Infrastruktur ist nur so gut wie ihre Benachrichtigungen.

Weiterlesen →

Mailcow Update auf Version 2026-01

Das Update von Mailcow 2025-12a auf 2026-01 verlief reibungslos mit einer Downtime von nur ~1 Minute. Die größte Verbesserung ist das Rspamd-Upgrade von 2.4 auf 3.14.2, das die Spam-Filterung signifikant verbessert.

Weiterlesen →

Gitea - Self-Hosted Git Service

2026 Matzka.cloud | Gitea Self-Hosted Git Service

Weiterlesen →

Wazuh SIEM - Professionelle Security Monitoring für Docker Infrastruktur

Ein automatisiertes Alert-System wurde konfiguriert, das Sicherheitsereignisse und Container-Vulnerabilities überwacht und Email-Benachrichtigungen versendet.

Weiterlesen →

Wazuh Security Audit: 12-Punkte-Härtung der SIEM-Infrastruktur

Umfassende Dokumentation des Security Audits

Weiterlesen →

Wazuh SIEM Security Hardening

Das FIM wurde erheblich erweitert. Neben der Wazuh-eigenen Konfiguration werden jetzt auch alle Docker Compose Konfigurationsdateien überwacht.

Weiterlesen →

Docker Auto-Update System mit Watchtower, Diun, Dockge und Gotify

Docker Auto-Update System für matzka.cloud

Weiterlesen →

Wazuh SIEM: Umfassende Container-Sicherheit mit Docker-Monitoring

Dieser Artikel beschreibt die Implementierung eines Wazuh SIEM-Systems für eine self-hosted Docker-Infrastruktur mit umfassender Container-Sicherheitsüberwachung

Weiterlesen →