DATAZONE-Referenz: TrueNAS und Proxmox in einer Anwaltskanzlei mit 25 Anwälten

Diese Referenz beschreibt ein reales Projekt, das wir 2026 für eine mittelgroße Anwaltskanzlei in Süddeutschland umgesetzt haben. Die Kanzlei bleibt aus Vertraulichkeitsgründen anonym — der Aufbau ist aber typisch für Sozietäten in dieser Größenordnung, und die technischen Entscheidungen lassen sich fast eins zu eins übertragen. Wir beschreiben, was die Kanzlei vorher hatte, was sie brauchte, was wir gebaut haben und wo wir unterwegs nachjustieren mussten.

Wer den Einstieg für eine kleinere Kanzlei sucht, findet die Grundlagen-Architektur in unserem Artikel 3-Personen-Anwaltskanzlei: Best-Practice-IT-Setup. Dieser Text hier ist die nächste Stufe: 25 Anwälte, mehrere Standorte, Terminalserver, DATEV, echte Aktenmengen.

Ausgangslage: gewachsene IT in einer 25-Kopf-Kanzlei

Die Kanzlei arbeitet überwiegend im Wirtschafts- und Arbeitsrecht, dazu ein spürbarer Anteil öffentliches Recht. 25 Anwälte, dazu Sekretariat, Buchhaltung und ein zweiköpfiges IT-Team, das sich nebenher um die Systeme kümmert. Vor unserem Projekt sah die IT so aus:

• Ein älterer physischer Windows-Server mit den Aktenverzeichnissen als SMB-Freigabe.
• Zwei ESXi-Hosts mit VMware vSphere Essentials Plus, darauf DMS-Server, DATEV-Server, Windows-Terminalserver und ein AD-Domaincontroller.
• Backup via Veeam auf eine NAS von der Stange, Bänder wurden alle paar Wochen “irgendwann” rotiert.
• Home-Office über eine Fritzbox-VPN, das immer wieder aussetzte.
• Ein einzelner Aktenserver, den niemand mehr anfassen wollte, weil “der schon immer so lief”.

Der Auslöser für das Projekt war doppelt: Die VMware-Lizenzumstellung 2024 machte die Verlängerung wirtschaftlich unattraktiv, und ein Ransomware-Vorfall in einer befreundeten Kanzlei im Nachbarort hatte die Geschäftsführung wachgerüttelt. Die Zielsetzung an uns war klar formuliert: saubere Trennung von Storage und Compute, echte Snapshots, ein belastbarer Restore-Prozess, kein Vendor-Lock-in mehr und kalkulierbare Folgekosten.

Zielarchitektur: Storage entkoppelt vom Compute

Nach der Bestandsaufnahme haben wir uns für eine klare Zweiteilung entschieden, die sich in einer Kanzlei dieser Größe bewährt hat:

1. TrueNAS als Aktenserver und Dataset-Ebene für VMs — ein Enterprise-Storage-System mit ZFS, das die Akten, die DMS-Datenbanken und die VM-Disks hält.
2. Proxmox VE als Compute-Ebene — drei Nodes mit lokalen NVMe-SSDs für schnelle Scratch-Volumes, aber alle produktiven VMs auf TrueNAS via NFS/iSCSI. Details zu diesem Ansatz beschreiben wir in Proxmox Architektur planen und TrueNAS iSCSI Storage für Proxmox.
3. Getrennter Backup-Pfad — eigenständiger Proxmox Backup Server und ein zweiter TrueNAS als Replikations-Ziel, plus verschlüsseltes Cloud-Offsite.

Als TrueNAS-Systeme kommen aktuelle Enterprise-Modelle zum Einsatz. Für diese Kanzlei war ein Hybrid-System aus HDD-Kapazität und NVMe-Cache passend — die genaue Bestückung haben wir über unseren TrueNAS-Konfigurator mit Kundenzahlen (Aktenwachstum, DMS-Datenbankgröße, Backup-Fenster) durchgerechnet. Ältere M-Serie-Modelle wie M50 oder M60 sind mittlerweile abgekündigt und waren für eine Neuinstallation nicht mehr im Rennen; wir haben mit den aktuellen M-Serie-Nachfolgern geplant.

Warum kein reines Hyperconverged-Setup

Ceph im Proxmox-Cluster wäre technisch machbar gewesen. Wir haben uns bewusst dagegen entschieden, weil das interne IT-Team den Betrieb im Alltag machen soll und ZFS-Snapshots per Weboberfläche deutlich zugänglicher sind als Ceph-Operations. Hyperkonvergenz mit Proxmox und Ceph ist ein tolles Modell für Kunden mit eigener Storage-Erfahrung — dazu gibt es unseren Überblick Proxmox Ceph Storage hyperkonvergent — aber sie bringt in einer Kanzlei mit halber IT-Stelle mehr Komplexität als Nutzen.

TrueNAS als Aktenablage: Datasets, Rechte, Snapshots

Der Aktenserver ist das Herzstück der Kanzlei. Falsch konfigurierte Rechte oder verlorene Snapshots fallen hier sofort auf. Wir haben die Datasets nach Verantwortlichkeit geschnitten, nicht nach Ordnerlogik:

• kanzlei/akten — Aktenverzeichnisse, angebunden ans DMS, ACLs pro Referat.
• kanzlei/vorlagen — Schriftsatzvorlagen, nur schreibbar für Sekretariat und Referatsleitung.
• kanzlei/zeiterfassung — Backend der Zeitverwaltung, striktes Backup-Fenster.
• kanzlei/datev — ausgelagerter Datenaustausch mit dem Steuerberater und internes DATEV-Archiv.
• kanzlei/scan — Zentrale für die Sharp-Multifunktionsgeräte, tageweise rotiert.

Jedes Dataset hat einen eigenen Snapshot-Fahrplan. Bei den Akten laufen stündliche Snapshots mit 24-Stunden-Retention, tägliche mit 30 Tagen, wöchentliche mit einem Jahr und monatliche mit 24 Monaten. Die technische Grundlage ist in Vorteile von TrueNAS-Snapshots und TrueNAS Snapshots und Replikation erklärt beschrieben.

Wichtig war, dass Snapshots und Backup zwei getrennte Schutzebenen sind. Ein Snapshot ist kein Backup, aber ein Snapshot ist die schnellste Antwort auf “der Referent hat gerade den falschen Ordner überschrieben”.

Rechteschichten und Active Directory

Die Kanzlei nutzt eine Windows-Domäne. Der TrueNAS ist AD-integriert, ACLs werden pro Dataset gepflegt. Referenten sehen ihre Akten, Referatsleitung sieht die Referatsakten, Managing Partner sehen alles. Die Buchhaltung ist strikt getrennt, das Sekretariat hat einen definierten Ausschnitt. Auditlogs auf dem TrueNAS zeichnen sensible Zugriffe auf — vor allem im datev- und intern-Dataset.

Proxmox VE als Terminalserver-Plattform

Auf drei Proxmox-Nodes laufen die produktiven VMs:

• Zwei Windows-Terminalserver (Session-Host, kein Full-VDI) als aktives Paar mit Session-Broker. Von hier arbeiten die Anwälte per RDP, egal ob im Büro, im Home-Office oder von der Bahn aus.
• Ein DMS-Applikationsserver mit dem gängigen Backend für die Kanzlei-Software.
• Ein DATEV-Server für Zeiterfassung, Abrechnung und den Steuerberateraustausch.
• Zwei Windows-Domaincontroller als redundantes Paar.
• Ein Print- und Scan-Server mit Anbindung an die Sharp-Flottengeräte.
• Diverse Utility-VMs — Monitoring, Managementkonsolen, ein Jump-Host für Fernwartung.

Alle produktiven VM-Disks liegen auf dem TrueNAS. Damit können wir VMs zwischen Nodes verschieben, ohne Storage neu zu provisionieren, und Restores greifen auf dieselbe ZFS-Basis zu. Ein sauberer Umzugsplan von einer bestehenden VMware-Umgebung ist in Von VMware zu Proxmox: der Umstieg skizziert.

Warum Terminalserver statt Full-VDI

Ein Full-VDI mit dedizierten Desktops pro Anwalt wäre theoretisch schöner, praktisch aber teurer und in der Wartung aufwendiger. Session-Hosts sind für eine typische Kanzlei die pragmatische Wahl: 25 Anwälte, homogene Software, wenig persönliche Sondersoftware. Die zwei Session-Hosts laufen im aktiven Cluster; wenn einer wegbricht, laufen die Sessions auf dem anderen weiter. Für die Anwälte bleibt es bei der gewohnten RDP-Verbindung.

Home-Office läuft über einen internen RD-Gateway-Server hinter einer OPNsense-Firewall. WireGuard ist als zweiter Weg für administrative Zugriffe eingerichtet. Wer sich für die Firewall-Seite interessiert: dazu haben wir den Beitrag OPNsense WireGuard VPN einrichten.

Ransomware-Resilienz: Snapshots, Replikation, Offsite

Der Ransomware-Vorfall in der Nachbarkanzlei war der emotionale Auslöser — der technische Anteil hat drei Ebenen:

1. ZFS-Snapshots auf dem primären TrueNAS. Read-only, nicht über SMB veränderbar, mit der oben genannten Retention.
2. Replikation auf ein zweites TrueNAS im selben Netz, aber in einem anderen Brandabschnitt. Der Replikations-Zielserver ist mit einem separaten Administrationskonto konfiguriert; ein kompromittierter Windows-Admin kann ihn nicht löschen.
3. Offsite-Backup über Proxmox Backup Server auf verschlüsselten Cloud-Speicher. PBS macht die deduplizierten VM-Backups, ZFS-Send legt Datensicherungen der Datei-Datasets zusätzlich in verschlüsselter Form ab. Grundlagen dazu haben wir in ZFS-Backup-Strategien und in 3-2-1-Backup-Regel für KMU beschrieben.

Wir haben in der Projektphase zwei echte Restore-Übungen gemacht — einmal aus einem Snapshot heraus, einmal komplett aus dem Cloud-Backup. Beide Übungen wurden in der Wiedervorlage terminiert; die Kanzlei plant sie ab jetzt vierteljährlich. Warum Übungen wichtiger sind als Backup-Reports, haben wir in TrueNAS Datensicherheit und Ransomware Resilience ausführlicher formuliert.

DATEV, beA und Kanzleisoftware

Auf der Anwendungsseite hat die Kanzlei drei Sonderthemen, die technisch nebeneinander laufen müssen:

• DATEV für Zeiterfassung, Rechnungsstellung und den Austausch mit dem externen Steuerberater. DATEV läuft klassisch als Windows-Applikation auf einem eigenen Server; der Steuerberateraustausch geht über DATEVnet und einen dedizierten Datenpfad.
• beA (besonderes elektronisches Anwaltspostfach) auf jedem Anwalts-Client — keine zentrale Serverkomponente, dafür sauber gepflegte Kartenleser und ein dokumentierter Support-Prozess.
• Kanzleisoftware (DMS) mit eigenem Datenbank-Backend, Files auf dem TrueNAS, Applikation auf einer Windows-VM in Proxmox.

Wir haben bewusst nichts aus diesem Stack “modernisieren” wollen. Kanzleisoftware und DATEV sind nicht die Baustelle, an der man sich in einem Infrastruktur-Projekt aufhängt. Was wir gemacht haben: sauberes Trennen der Datenpfade, definierte Rechte, eigenes Dataset pro Bereich.

Betrieb, Monitoring und die Menschen dahinter

Technik ist nur die halbe Miete. In der Übergabephase haben wir mit dem internen IT-Team Runbooks für die häufigsten Fälle geschrieben: Snapshot-Wiederherstellung, VM-Neustart, Terminalserver-Session sauber trennen, Sharp-Drucker-Warteschlange leeren, DATEV-Update einspielen. Das Monitoring läuft über unser DATAZONE-Control — eine zentrale Sicht auf TrueNAS, Proxmox, Windows-VMs und OPNsense.

Für die Kanzlei war ein Punkt besonders wichtig: kein Anruf ins Ausland, wenn etwas brennt. Der First-Level-Support läuft über unseren IT-Service mit deutschsprachigen Ansprechpartnern und definierten Reaktionszeiten. Zweit-Level auf Storage und Virtualisierung machen wir selbst, dritte Ebene ist der Herstellersupport bei iXsystems für TrueNAS-Hardware.

Was der Umzug gebracht hat — eine ehrliche Bilanz

Nach sechs Monaten Produktivbetrieb können wir Folgendes sagen, ohne Marketing:

• Die Terminalserver-Sessions sind spürbar schneller als in der alten Umgebung. Das liegt weniger an Proxmox als solches, sondern an sauber ausgelegtem NVMe-Cache im TrueNAS und einem passenden Netzwerk-Design mit 25/100-GbE-Backbone.
• Die Lizenzkosten sind gesunken, aber nicht in Größenordnungen. VMware war teuer, Proxmox ist günstig, dafür haben wir mehr Zeit in Setup und Runbooks investiert. Unterm Strich ist die jährliche IT-Rechnung kleiner geworden, aber vor allem kalkulierbarer.
• Die Ransomware-Resilienz ist deutlich höher. Das messen wir nicht an einem Zahlenwert, sondern an dem, was ein Restore-Test uns zeigt: aus einem beliebigen Punkt der letzten zwölf Monate kommen wir bei den Akten in unter einer Stunde zurück.
• Das interne IT-Team arbeitet an anderen Themen als vorher. Weniger Feuerwehr, mehr Weiterentwicklung.

Eines wollen wir auch nicht verschweigen: In den ersten Wochen gab es Streit um Freigaben, weil das alte “jeder darf überall” nicht mehr funktioniert hat. Das ist normal in einer Kanzlei mit gewachsenen Strukturen, und es hat einige Gespräche zwischen Managing Partner und Referaten gebraucht, bevor die Rechteschichten saßen.

Was ein ähnliches Setup kostet

Feste Preise nennen wir bewusst nicht — Hardwarepreise für NVMe, HDDs und Netzwerktechnik schwanken zu stark, und jede Kanzlei hat andere Randbedingungen (Standortzahl, Home-Office-Anteil, DMS-Wahl, Migrationsaufwand). Was wir sagen können: Für ein Projekt in dieser Größenordnung planen wir mit einer klaren Bandbreite für die Erst-Investition und einer transparenten Kalkulation für Betrieb, Support und Cloud-Offsite. Ein individuelles Angebot erstellen wir gerne auf Anfrage; die grobe Vorabschätzung machen wir mit unserem TrueNAS-Konfigurator und einem kurzen Telefontermin.

FAQ

Wie lange dauert so ein Projekt in einer Kanzlei mit 25 Anwälten?

Von der ersten Aufnahme bis zum produktiven Terminalserver-Umzug haben wir rund vier Monate gebraucht. Die Hardware-Vorlaufzeiten waren dabei der größte einzelne Block. Der eigentliche Cutover lief über ein verlängertes Wochenende; die Kanzlei war Montagfrüh im neuen System.

Was passiert bei einem Ransomware-Vorfall in der neuen Umgebung?

Wir haben drei Schutzebenen: read-only ZFS-Snapshots, Replikation auf ein zweites TrueNAS in einem anderen Brandabschnitt und ein verschlüsseltes Offsite-Backup im Proxmox Backup Server. Restore-Übungen finden vierteljährlich statt. Die Frage ist nicht mehr “können wir wiederherstellen”, sondern “wie schnell und aus welchem Punkt”.

Warum Proxmox statt VMware oder Hyper-V?

Wirtschaftlich, weil die VMware-Lizenzumstellung 2024 den Betrieb unattraktiv gemacht hat — Hintergrund in VMware-Lizenzumstellung und Proxmox-Alternative. Technisch, weil Proxmox mit ZFS und TrueNAS sehr gut zusammenspielt und weil wir den Live-Betrieb selbst gut kennen. Hyper-V wäre gegangen; die Kanzlei wollte aber weg von einem einzelnen großen Anbieter.

Ist TrueNAS mit DATEV zertifiziert?

DATEV zertifiziert Anwendungsserver, nicht Dateisysteme. Der DATEV-Server ist eine Windows-VM auf Proxmox mit lokalem Datenverzeichnis; TrueNAS taucht dort nur als Backup- und Archivziel auf. Das ist ein Setup, das wir in mehreren Kanzleien und Steuerkanzleien im Einsatz haben und das mit DATEV-Support keine Probleme macht.

Wie geht ihr mit BRAO und DSGVO um?

Aufbewahrungspflichten aus der BRAO decken wir über lange Snapshot-Retention und Offsite-Backup ab. DSGVO-Themen betreffen vor allem AV-Verträge für den Cloud-Speicher, MFA für alle Anwälte und dokumentierte Zugriffsprotokolle auf sensible Datasets. Ein Überblick zu KMU-Sicherheit steht in IT-Sicherheit KMU-Checkliste.

Für wen ist diese Referenz übertragbar?

Kanzleien und Steuerkanzleien zwischen etwa fünfzehn und fünfzig Anwälten mit gewachsener IT profitieren fast eins zu eins von diesem Muster. Kleinere Büro-Größen finden ihren Einstieg im Artikel zur 3-Personen-Anwaltskanzlei, größere Sozietäten brauchen zusätzliche Bausteine (Zwei-Standort-Aktiv/Aktiv, dediziertes SIEM, VDI). Wenn Sie diese Größenordnung bespielen: sprechen Sie uns an.