Referenzen · Projekte 2026

Umgesetzt, gemessen, dokumentiert.

Acht Projekte aus dem laufenden Jahr. Zu jedem gibt es einen Stand vorher, einen Stand nachher und Zahlen, die sich nachprüfen lassen. Namen nenne ich aus Diskretion keine.

IT-Security und Microsoft 365

Microsoft 365Erste Pakete umgesetzt, Härtung läuft

Sicherheitsprüfung und Härtung des Tenants einer Schule

Schule im Kanton Solothurn · 719 aktive Konten

Ausgangslage. Ein Tenant für 535 Schülerinnen und Schüler und rund 180 Personal- und Funktionskonten, mit 711 Postfächern und 305 Geräten. Er war nie unabhängig geprüft worden: Alte Anmeldeprotokolle waren offen, und Benutzer konnten Drittanbieter-Apps selbst Zugriff auf ihre Daten geben.

Vorgehen. Analyse ausschliesslich mit Leserechten über eine eigene Prüf-App mit Zertifikat. Danach ein Bericht mit Freigabetabelle und die Härtung in Paketen, von denen die Anwender im Alltag nichts merken. Nach jedem Paket habe ich die Anmeldeprotokolle auf Nebenwirkungen kontrolliert.

Alle Postfächer auf schädliche Regeln und Phishing-Mails geprüft und bereinigt
Alte Anmeldeprotokolle gesperrt, Admin-Portale nur noch für Administratoren erreichbar
App-Freigaben durch Benutzer abgeschaltet und durch einen Genehmigungsablauf ersetzt, KI-Diensten den Zugriff auf alle Dateien entzogen
Veraltete Geräte und Gastkonten deaktiviert, lokale Admin-Passwörter werden automatisch verwaltet

Entra ID · Exchange Online · Conditional Access · Maester · PowerShell

aktive Konten, davon 535 Schülerinnen und Schüler: 719
bestandene automatisierte Prüfungen (Maester), vorher → nachher: 121 → 147
veraltete Geräte deaktiviert, von 305: 194

Microsoft 365Umgesetzt

Tenant-Härtung an einem Tag

Kleinunternehmen

Ausgangslage. Ein kleiner Tenant mit gutem Grundschutz, aber frei erteilbaren App-Freigaben, alten Geräten im Verzeichnis und einer E-Mail-Signatur mit schwachem Schlüssel.

Vorgehen. Prüfung am Morgen, Massnahmen in zwei Paketen per Skript, Nachprüfung am Nachmittag. Jede Änderung ist protokolliert und lässt sich zurücknehmen.

Anmeldung mit Passkeys freigeschaltet, mit Anleitung für die Benutzer
App-Freigaben nur noch über den Administrator
DKIM-Schlüssel auf 2048 Bit erneuert, veraltete Geräte deaktiviert
Externe Absender werden gekennzeichnet, gefährliche Dateitypen gefiltert

Entra ID · Exchange Online · Teams · Maester · PowerShell

bestandene Prüfungen (Maester), morgens → nachmittags: 128 → 150
Befunde am selben Tag behoben: 22
Microsoft Secure Score bei der Aufnahme: 82.8 %

E-Mail-SicherheitUmgesetzt

Schutz vor gefälschten Absendern für vier Domains

Eigene Domains und ein Kleinunternehmen

Ausgangslage. SPF war vorhanden, DMARC fehlte. Damit konnte jeder im Namen der Domains Mails versenden, ohne dass Empfänger es merken.

Vorgehen. DMARC zuerst im Beobachtungsmodus eingeschaltet, die Berichte der Empfänger ausgewertet und erst dann verschärft, als klar war, dass keine legitime Mail betroffen ist.

In zehn Tagen von «kein DMARC» über «beobachten» auf «Quarantäne»
28 Berichte von Google, Microsoft, GMX und weiteren ausgewertet: Alle echten Absender bestehen, die zwei Fehlschläge stammten von einer fremden Quelle und einer defekten Weiterleitung
Nicht genutzte Domains auf «ablehnen» gesetzt
DKIM-Schlüssel auf 2048 Bit erneuert, MTA-STS und TLS-Reporting für die verschlüsselte Zustellung eingeführt

SPF · DKIM · DMARC · MTA-STS · TLS-RPT · Exchange Online

der Mails bestehen DMARC (125 von 127): 98 %
Domains abgesichert: 4
legitime Mails in Quarantäne seit der Verschärfung: 0

NetzwerkErstes Paket umgesetzt, weitere geplant

Firewall- und Netzwerk-Analyse mit Härtungsplan

Eigene Umgebung · Sophos XGS, UniFi

Ausgangslage. Eine über Jahre gewachsene Konfiguration mit überholten Regeln und anstehender Firmware.

Vorgehen. Analyse mit Leserechten, Befunde nach Dringlichkeit geordnet und in vier Pakete gegliedert. Umgesetzt wird nur, was freigegeben ist.

Firmware in zwei Schritten auf die aktuelle Hauptversion gebracht, die Konfiguration blieb unverändert erhalten
Kernel-Hotfix erkannt, den die Update-Anzeige der Firewall nicht meldete, und per Neustart aktiviert
DNS-Anfragen nach aussen verschlüsselt (DNS over HTTPS), tote Bedrohungslisten und alte Objekte entfernt
Konfigurations-Backups werden täglich abgeholt, geprüft und ausserhalb der Firewall aufbewahrt

Sophos Firewall (SFOS 23) · REST-API · UniFi · PowerShell

Befunde im Härtungsplan: 17
Unterbruch beim Firmware-Update: 4 min
DHCP-Reservationen unverändert übernommen: 53

ÜberwachungIn Betrieb

Tägliche Netz- und Schwachstellen-Überwachung

Eigene Umgebung

Ausgangslage. Neue Geräte im Netz, offene Ports und kritische Sicherheitslücken fallen in kleinen Umgebungen oft erst auf, wenn etwas passiert ist.

Vorgehen. Zwei schlanke Wächter, die jeden Morgen selbständig laufen. Der eine gleicht das Netz mit dem bekannten Inventar ab, der andere prüft die eingesetzten Produkte und Versionen gegen aktuelle Warnungen.

Inventar aus WLAN-Controller, Firewall, Netzwerk-Scan und Hausautomation, Alarm bei neuen Geräten und neuen offenen Ports
Abgleich mit CISA KEV, NVD, BSI und den Meldungen der Hersteller
Der erste Lauf fand unter anderem einen Browser mit aktiv ausgenutzter Lücke und veraltete Pakete auf zwei Speichersystemen
Meldung per Mail, Push nur bei kritischen Befunden, damit Alarme ernst genommen werden

PowerShell · nmap · UniFi · Sophos · Home Assistant · NVD-API

Geräte im überwachten Inventar: 69
Systeme und Produkte im Schwachstellen-Abgleich: 22
Laufzeit pro Prüfung: 20 s

Energie und Hausautomation

PhotovoltaikIn Ausführung

PV-Anlage mit Speicher für ein Mehrfamilienhaus

Stockwerkeigentum mit 11 Wohnungen, Olten (eigene Liegenschaft) · 2026

Rolle. Technische Projektleitung für die Eigentümergemeinschaft, von der Wirtschaftlichkeitsrechnung über den Werkvertrag bis zur Kontrolle der Ausführungsplanung.

Vorgehen. Statt mit Annahmen habe ich mit den Stundenwerten des Gebäudezählers aus vier Jahren gerechnet und daraus Eigenverbrauch, Speichernutzen und Amortisation simuliert, auch für sechs verschiedene Tarifjahre.

Rund 66 kWp in Ost-West-Aufstellung auf dem begrünten Flachdach, Abrechnung als virtueller Zusammenschluss zum Eigenverbrauch
Simulation: 24.5 MWh Eigenverbrauch pro Jahr, und 27.4 MWh, wenn Ladestation und Warmwasser in die Sonnenstunden verschoben werden
Ballastplan auf 50 statt 25 Jahre Nutzungsdauer nachrechnen lassen und einen unabhängigen Statiker mit der Prüfung der Tragsicherheit beauftragt
Abweichungen zwischen Vertrag, String- und Modulplan gefunden und dem Lieferanten vor der Montage zur Korrektur gemeldet

Home Assistant · Stundenwerte seit 2021 · PVGIS · Solar Manager

Leistung der Anlage, Stand Ausführungsplanung: 66 kWp
Batteriespeicher: 20.7 kWh
gemessener Jahresverbrauch als Rechengrundlage: 57 MWh
berechnete Amortisation: ~10 Jahre

Energie-MonitoringIn Betrieb

Tägliche Kontrolle von PV-Anlagen mit Speicher

Drei private Anlagen

Ausgangslage. Eine PV-Anlage meldet sich nicht, wenn ein Speicher nicht mehr lädt oder ein Zähler ausfällt. Der Ertrag fehlt dann still, oft über Wochen.

Vorgehen. Eine automatische Auswertung liest jeden Morgen die Daten aller Anlagen, vergleicht sie mit Prognose und Vortagen und meldet nur, was auffällt.

Ein Batteriespeicher stand seit drei Tagen unter seiner Mindestladung, während der zweite normal arbeitete
Ein Zähler war im Schnitt 17 Stunden pro Tag nicht verbunden
Ungewollte Nachtladung des Speichers aus dem Netz erkannt
Bekannte Befunde lassen sich quittieren, erledigte werden als behoben gemeldet

Solar Manager API · Python · Huawei · Shelly · smart-me

Anlagen in der täglichen Auswertung: 3
Auffälligkeiten im ersten Lauf: 8

HausautomationIn Betrieb

Feuchtegeführte Entfeuchtung im Trocknungsraum

Mehrfamilienhaus, gemeinsamer Trocknungsraum (eigene Liegenschaft)

Ausgangslage. Der Entfeuchter lief nach dem ungenauen Fühler am Gerät, ohne dass jemand Laufzeit und Verbrauch kannte.

Vorgehen. Ein eigener Feuchtesensor im Raum und ein messender Zwischenstecker, gesteuert über die Hausautomation. Das Gerät bleibt unverändert und funktioniert auch ohne die Steuerung weiter.

Einschalten ab 57 % Luftfeuchte, Ausschalten bei 48 %, mit Mindestlaufzeit und Pause zum Schutz des Kompressors
Abschaltung mit Push-Meldung bei Sensorausfall, bei über zehn Stunden Laufzeit und ausserhalb von 8 bis 30 °C
Der Hygrostat am Gerät bleibt als Rückfallebene, falls die Steuerung ausfällt
Übersicht mit Verlauf und Verbrauch, dazu ein Hinweisschild für die Bewohner

Home Assistant · Shelly · Bluetooth-Feuchtesensor

Strom für einen typischen Lauf von 20 Minuten: 0.33 kWh
Luftfeuchte vor → nach einem Lauf: 54 → 42 %
unabhängige Schutzfunktionen: 4

Wo ein Projekt in meiner eigenen Umgebung oder Liegenschaft läuft, steht das dabei. Dort erprobe ich, was ich anderen empfehle. Referenzauskünfte vermittle ich auf Anfrage und nur mit dem Einverständnis der Beteiligten.

Kontakt

Ein ähnliches Vorhaben?

Schreiben Sie mir kurz, worum es geht. Im unverbindlichen Erstgespräch klären wir Ziel, Umfang und Zugänge.

E-Mail schreiben