DATAZONE-Referenz: TrueNAS und Proxmox in einer Anwaltskanzlei mit 25 Anwaelten

Diese Referenz beschreibt ein reales Projekt, das wir 2026 fuer eine mittelgrosse Anwaltskanzlei in Sueddeutschland umgesetzt haben. Die Kanzlei bleibt aus Vertraulichkeitsgruenden anonym — der Aufbau ist aber typisch fuer Sozietaeten in dieser Groessenordnung, und die technischen Entscheidungen lassen sich fast eins zu eins uebertragen. Wir beschreiben, was die Kanzlei vorher hatte, was sie brauchte, was wir gebaut haben und wo wir unterwegs nachjustieren mussten.

Wer den Einstieg fuer eine kleinere Kanzlei sucht, findet die Grundlagen-Architektur in unserem Artikel 3-Personen-Anwaltskanzlei: Best-Practice-IT-Setup. Dieser Text hier ist die naechste Stufe: 25 Anwaelte, mehrere Standorte, Terminalserver, DATEV, echte Aktenmengen.

Ausgangslage: gewachsene IT in einer 25-Kopf-Kanzlei

Die Kanzlei arbeitet ueberwiegend im Wirtschafts- und Arbeitsrecht, dazu ein spuerbarer Anteil oeffentliches Recht. 25 Anwaelte, dazu Sekretariat, Buchhaltung und ein zweikoepfiges IT-Team, das sich nebenher um die Systeme kuemmert. Vor unserem Projekt sah die IT so aus:

• Ein aelterer physischer Windows-Server mit den Aktenverzeichnissen als SMB-Freigabe.
• Zwei ESXi-Hosts mit VMware vSphere Essentials Plus, darauf DMS-Server, DATEV-Server, Windows-Terminalserver und ein AD-Domaincontroller.
• Backup via Veeam auf eine NAS von der Stange, Baender wurden alle paar Wochen “irgendwann” rotiert.
• Home-Office ueber eine Fritzbox-VPN, das immer wieder aussetzte.
• Ein einzelner Aktenserver, den niemand mehr anfassen wollte, weil “der schon immer so lief”.

Der Ausloeser fuer das Projekt war doppelt: Die VMware-Lizenzumstellung 2024 machte die Verlaengerung wirtschaftlich unattraktiv, und ein Ransomware-Vorfall in einer befreundeten Kanzlei im Nachbarort hatte die Geschaeftsfuehrung wachgeruettelt. Die Zielsetzung an uns war klar formuliert: saubere Trennung von Storage und Compute, echte Snapshots, ein belastbarer Restore-Prozess, kein Vendor-Lock-in mehr und kalkulierbare Folgekosten.

Zielarchitektur: Storage entkoppelt vom Compute

Nach der Bestandsaufnahme haben wir uns fuer eine klare Zweiteilung entschieden, die sich in einer Kanzlei dieser Groesse bewaehrt hat:

1. TrueNAS als Aktenserver und Dataset-Ebene fuer VMs — ein Enterprise-Storage-System mit ZFS, das die Akten, die DMS-Datenbanken und die VM-Disks haelt.
2. Proxmox VE als Compute-Ebene — drei Nodes mit lokalen NVMe-SSDs fuer schnelle Scratch-Volumes, aber alle produktiven VMs auf TrueNAS via NFS/iSCSI. Details zu diesem Ansatz beschreiben wir in Proxmox Architektur planen und TrueNAS iSCSI Storage fuer Proxmox.
3. Getrennter Backup-Pfad — eigenstaendiger Proxmox Backup Server und ein zweiter TrueNAS als Replikations-Ziel, plus verschluesseltes Cloud-Offsite.

Als TrueNAS-Systeme kommen aktuelle Enterprise-Modelle zum Einsatz. Fuer diese Kanzlei war ein Hybrid-System aus HDD-Kapazitaet und NVMe-Cache passend — die genaue Bestueckung haben wir ueber unseren TrueNAS-Konfigurator mit Kundenzahlen (Aktenwachstum, DMS-Datenbankgroesse, Backup-Fenster) durchgerechnet. Aeltere M-Serie-Modelle wie M50 oder M60 sind mittlerweile abgekuendigt und waren fuer eine Neuinstallation nicht mehr im Rennen; wir haben mit den aktuellen M-Serie-Nachfolgern geplant.

Warum kein reines Hyperconverged-Setup

Ceph im Proxmox-Cluster waere technisch machbar gewesen. Wir haben uns bewusst dagegen entschieden, weil das interne IT-Team den Betrieb im Alltag machen soll und ZFS-Snapshots per Weboberflaeche deutlich zugaenglicher sind als Ceph-Operations. Hyperkonvergenz mit Proxmox und Ceph ist ein tolles Modell fuer Kunden mit eigener Storage-Erfahrung — dazu gibt es unseren Ueberblick Proxmox Ceph Storage hyperkonvergent — aber sie bringt in einer Kanzlei mit halber IT-Stelle mehr Komplexitaet als Nutzen.

TrueNAS als Aktenablage: Datasets, Rechte, Snapshots

Der Aktenserver ist das Herzstueck der Kanzlei. Falsch konfigurierte Rechte oder verlorene Snapshots faellen hier sofort auf. Wir haben die Datasets nach Verantwortlichkeit geschnitten, nicht nach Ordnerlogik:

• kanzlei/akten — Aktenverzeichnisse, angebunden ans DMS, ACLs pro Referat.
• kanzlei/vorlagen — Schriftsatzvorlagen, nur schreibbar fuer Sekretariat und Referatsleitung.
• kanzlei/zeiterfassung — Backend der Zeitverwaltung, striktes Backup-Fenster.
• kanzlei/datev — ausgelagerter Datenaustausch mit dem Steuerberater und internes DATEV-Archiv.
• kanzlei/scan — Zentrale fuer die Sharp-Multifunktionsgeraete, tageweise rotiert.

Jedes Dataset hat einen eigenen Snapshot-Fahrplan. Bei den Akten laufen stuendliche Snapshots mit 24-Stunden-Retention, taegliche mit 30 Tagen, woechentliche mit einem Jahr und monatliche mit 24 Monaten. Die technische Grundlage ist in Vorteile von TrueNAS-Snapshots und TrueNAS Snapshots und Replikation erklaert beschrieben.

Wichtig war, dass Snapshots und Backup zwei getrennte Schutzebenen sind. Ein Snapshot ist kein Backup, aber ein Snapshot ist die schnellste Antwort auf “der Referent hat gerade den falschen Ordner ueberschrieben”.

Rechteschichten und Active Directory

Die Kanzlei nutzt eine Windows-Domaene. Der TrueNAS ist AD-integriert, ACLs werden pro Dataset gepflegt. Referenten sehen ihre Akten, Referatsleitung sieht die Referatsakten, Managing Partner sehen alles. Die Buchhaltung ist strikt getrennt, das Sekretariat hat einen definierten Ausschnitt. Auditlogs auf dem TrueNAS zeichnen sensible Zugriffe auf — vor allem im datev- und intern-Dataset.

Proxmox VE als Terminalserver-Plattform

Auf drei Proxmox-Nodes laufen die produktiven VMs:

• Zwei Windows-Terminalserver (Session-Host, kein Full-VDI) als aktives Paar mit Session-Broker. Von hier arbeiten die Anwaelte per RDP, egal ob im Buero, im Home-Office oder von der Bahn aus.
• Ein DMS-Applikationsserver mit dem gaengigen Backend fuer die Kanzlei-Software.
• Ein DATEV-Server fuer Zeiterfassung, Abrechnung und den Steuerberateraustausch.
• Zwei Windows-Domaincontroller als redundantes Paar.
• Ein Print- und Scan-Server mit Anbindung an die Sharp-Flottengeraete.
• Diverse Utility-VMs — Monitoring, Managementkonsolen, ein Jump-Host fuer Fernwartung.

Alle produktiven VM-Disks liegen auf dem TrueNAS. Damit koennen wir VMs zwischen Nodes verschieben, ohne Storage neu zu provisionieren, und Restores greifen auf dieselbe ZFS-Basis zu. Ein sauberer Umzugsplan von einer bestehenden VMware-Umgebung ist in Von VMware zu Proxmox: der Umstieg skizziert.

Warum Terminalserver statt Full-VDI

Ein Full-VDI mit dedizierten Desktops pro Anwalt waere theoretisch schoener, praktisch aber teurer und in der Wartung aufwendiger. Session-Hosts sind fuer eine typische Kanzlei die pragmatische Wahl: 25 Anwaelte, homogene Software, wenig persoenliche Sondersoftware. Die zwei Session-Hosts laufen im aktiven Cluster; wenn einer wegbricht, laufen die Sessions auf dem anderen weiter. Fuer die Anwaelte bleibt es bei der gewohnten RDP-Verbindung.

Home-Office laeuft ueber einen internen RD-Gateway-Server hinter einer OPNsense-Firewall. WireGuard ist als zweiter Weg fuer administrative Zugriffe eingerichtet. Wer sich fuer die Firewall-Seite interessiert: dazu haben wir den Beitrag OPNsense WireGuard VPN einrichten.

Ransomware-Resilienz: Snapshots, Replikation, Offsite

Der Ransomware-Vorfall in der Nachbarkanzlei war der emotionale Ausloeser — der technische Anteil hat drei Ebenen:

1. ZFS-Snapshots auf dem primaeren TrueNAS. Read-only, nicht ueber SMB veraenderbar, mit der oben genannten Retention.
2. Replikation auf ein zweites TrueNAS im selben Netz, aber in einem anderen Brandabschnitt. Der Replikations-Zielserver ist mit einem separaten Administrationskonto konfiguriert; ein kompromittierter Windows-Admin kann ihn nicht loeschen.
3. Offsite-Backup ueber Proxmox Backup Server auf verschluesselten Cloud-Speicher. PBS macht die deduplizierten VM-Backups, ZFS-Send legt Datensicherungen der Datei-Datasets zusaetzlich in verschluesselter Form ab. Grundlagen dazu haben wir in ZFS-Backup-Strategien und in 3-2-1-Backup-Regel fuer KMU beschrieben.

Wir haben in der Projektphase zwei echte Restore-Uebungen gemacht — einmal aus einem Snapshot heraus, einmal komplett aus dem Cloud-Backup. Beide Uebungen wurden in der Wiedervorlage terminiert; die Kanzlei plant sie ab jetzt vierteljaehrlich. Warum Uebungen wichtiger sind als Backup-Reports, haben wir in TrueNAS Datensicherheit und Ransomware Resilience ausfuehrlicher formuliert.

DATEV, beA und Kanzleisoftware

Auf der Anwendungsseite hat die Kanzlei drei Sonderthemen, die technisch nebeneinander laufen muessen:

• DATEV fuer Zeiterfassung, Rechnungsstellung und den Austausch mit dem externen Steuerberater. DATEV laeuft klassisch als Windows-Applikation auf einem eigenen Server; der Steuerberateraustausch geht ueber DATEVnet und einen dedizierten Datenpfad.
• beA (besonderes elektronisches Anwaltspostfach) auf jedem Anwalts-Client — keine zentrale Serverkomponente, dafuer sauber gepflegte Kartenleser und ein dokumentierter Support-Prozess.
• Kanzleisoftware (DMS) mit eigenem Datenbank-Backend, Files auf dem TrueNAS, Applikation auf einer Windows-VM in Proxmox.

Wir haben bewusst nichts aus diesem Stack “modernisieren” wollen. Kanzleisoftware und DATEV sind nicht die Baustelle, an der man sich in einem Infrastruktur-Projekt aufhaengt. Was wir gemacht haben: sauberes Trennen der Datenpfade, definierte Rechte, eigenes Dataset pro Bereich.

Betrieb, Monitoring und die Menschen dahinter

Technik ist nur die halbe Miete. In der Uebergabephase haben wir mit dem internen IT-Team Runbooks fuer die haeufigsten Faelle geschrieben: Snapshot-Wiederherstellung, VM-Neustart, Terminalserver-Session sauber trennen, Sharp-Drucker-Warteschlange leeren, DATEV-Update einspielen. Das Monitoring laeuft ueber unser DATAZONE-Control — eine zentrale Sicht auf TrueNAS, Proxmox, Windows-VMs und OPNsense.

Fuer die Kanzlei war ein Punkt besonders wichtig: kein Anruf ins Ausland, wenn etwas brennt. Der First-Level-Support laeuft ueber unseren IT-Service mit deutschsprachigen Ansprechpartnern und definierten Reaktionszeiten. Zweit-Level auf Storage und Virtualisierung machen wir selbst, dritte Ebene ist der Herstellersupport bei iXsystems fuer TrueNAS-Hardware.

Was der Umzug gebracht hat — eine ehrliche Bilanz

Nach sechs Monaten Produktivbetrieb koennen wir Folgendes sagen, ohne Marketing:

• Die Terminalserver-Sessions sind spuerbar schneller als in der alten Umgebung. Das liegt weniger an Proxmox als solches, sondern an sauber ausgelegtem NVMe-Cache im TrueNAS und einem passenden Netzwerk-Design mit 25/100-GbE-Backbone.
• Die Lizenzkosten sind gesunken, aber nicht in Groessenordnungen. VMware war teuer, Proxmox ist guenstig, dafuer haben wir mehr Zeit in Setup und Runbooks investiert. Unterm Strich ist die jaehrliche IT-Rechnung kleiner geworden, aber vor allem kalkulierbarer.
• Die Ransomware-Resilienz ist deutlich hoeher. Das messen wir nicht an einem Zahlenwert, sondern an dem, was ein Restore-Test uns zeigt: aus einem beliebigen Punkt der letzten zwoelf Monate kommen wir bei den Akten in unter einer Stunde zurueck.
• Das interne IT-Team arbeitet an anderen Themen als vorher. Weniger Feuerwehr, mehr Weiterentwicklung.

Eines wollen wir auch nicht verschweigen: In den ersten Wochen gab es Streit um Freigaben, weil das alte “jeder darf ueberall” nicht mehr funktioniert hat. Das ist normal in einer Kanzlei mit gewachsenen Strukturen, und es hat einige Gespraeche zwischen Managing Partner und Referaten gebraucht, bevor die Rechteschichten sassen.

Was ein aehnliches Setup kostet

Feste Preise nennen wir bewusst nicht — Hardwarepreise fuer NVMe, HDDs und Netzwerktechnik schwanken zu stark, und jede Kanzlei hat andere Randbedingungen (Standortzahl, Home-Office-Anteil, DMS-Wahl, Migrationsaufwand). Was wir sagen koennen: Fuer ein Projekt in dieser Groessenordnung planen wir mit einer klaren Bandbreite fuer die Erst-Investition und einer transparenten Kalkulation fuer Betrieb, Support und Cloud-Offsite. Ein individuelles Angebot erstellen wir gerne auf Anfrage; die grobe Vorabschaetzung machen wir mit unserem TrueNAS-Konfigurator und einem kurzen Telefontermin.

FAQ

Wie lange dauert so ein Projekt in einer Kanzlei mit 25 Anwaelten?

Von der ersten Aufnahme bis zum produktiven Terminalserver-Umzug haben wir rund vier Monate gebraucht. Die Hardware-Vorlaufzeiten waren dabei der groesste einzelne Block. Der eigentliche Cutover lief ueber ein verlaengertes Wochenende; die Kanzlei war Montagfrueh im neuen System.

Was passiert bei einem Ransomware-Vorfall in der neuen Umgebung?

Wir haben drei Schutzebenen: read-only ZFS-Snapshots, Replikation auf ein zweites TrueNAS in einem anderen Brandabschnitt und ein verschluesseltes Offsite-Backup im Proxmox Backup Server. Restore-Uebungen finden vierteljaehrlich statt. Die Frage ist nicht mehr “koennen wir wiederherstellen”, sondern “wie schnell und aus welchem Punkt”.

Warum Proxmox statt VMware oder Hyper-V?

Wirtschaftlich, weil die VMware-Lizenzumstellung 2024 den Betrieb unattraktiv gemacht hat — Hintergrund in VMware-Lizenzumstellung und Proxmox-Alternative. Technisch, weil Proxmox mit ZFS und TrueNAS sehr gut zusammenspielt und weil wir den Live-Betrieb selbst gut kennen. Hyper-V waere gegangen; die Kanzlei wollte aber weg von einem einzelnen grossen Anbieter.

Ist TrueNAS mit DATEV zertifiziert?

DATEV zertifiziert Anwendungsserver, nicht Dateisysteme. Der DATEV-Server ist eine Windows-VM auf Proxmox mit lokalem Datenverzeichnis; TrueNAS taucht dort nur als Backup- und Archivziel auf. Das ist ein Setup, das wir in mehreren Kanzleien und Steuerkanzleien im Einsatz haben und das mit DATEV-Support keine Probleme macht.

Wie geht ihr mit BRAO und DSGVO um?

Aufbewahrungspflichten aus der BRAO decken wir ueber lange Snapshot-Retention und Offsite-Backup ab. DSGVO-Themen betreffen vor allem AV-Vertraege fuer den Cloud-Speicher, MFA fuer alle Anwaelte und dokumentierte Zugriffsprotokolle auf sensible Datasets. Ein Ueberblick zu KMU-Sicherheit steht in IT-Sicherheit KMU-Checkliste.

Fuer wen ist diese Referenz uebertragbar?

Kanzleien und Steuerkanzleien zwischen etwa fuenfzehn und fuenfzig Anwaelten mit gewachsener IT profitieren fast eins zu eins von diesem Muster. Kleinere Buero-Groessen finden ihren Einstieg im Artikel zur 3-Personen-Anwaltskanzlei, grossere Sozietaeten brauchen zusaetzliche Bausteine (Zwei-Standort-Aktiv/Aktiv, dediziertes SIEM, VDI). Wenn Sie diese Groessenordnung bespielen: sprechen Sie uns an.