Custom-Domain für KI-Workflow: Subdomain-Strategie

Einordnung

Abschnitt 01

Subdomain-Strategie für KMU

Drei häufige Subdomain-Patterns: (1) ai.kunde.de — für interne Mitarbeiter-KI (z.B. DSGVO-KI-Audit-Suite, interner Chat-Bot). Eindeutig erkennbar als KI-Tool. (2) support.kunde.de oder kontakt.kunde.de — für Customer-Facing-Voice-Agent oder Chatbot. Subtiler, weniger "KI-fokus". (3) Subdomain mit Tool-Name: numen.kunde.de oder bot.kunde.de — für eigenständige Produkt-Identität. Empfehlung: für Customer-Facing-Tools subtile Subdomain, für interne Tools eindeutige "ai." Subdomain.

Abschnitt 02

Caddy 2.x als Reverse-Proxy

Caddy ist unsere Standard-Wahl als Reverse-Proxy + SSL-Manager. Config in 8 Zeilen für eine Standard-Konfiguration. Automatisches HTTPS via Let's Encrypt mit Auto-Renewal. ZeroTrust-Ansatz: Caddy mit Customer-Authentifizierung vor jedem KI-Service. Setup-Zeit: 30-45 Minuten pro Customer. Im Vergleich zu Nginx + Certbot: deutlich einfacher zu konfigurieren, weniger Stolperfallen mit Auto-Renewal, kleinerer Footprint.

Abschnitt 03

Caddy-Config-Beispiel

Standard-Caddyfile für KI-Service: ai.kunde.de { reverse_proxy localhost:8080 encode gzip zstd log { output file /var/log/caddy/ai-kunde-access.log format json } rate_limit { zone single_ip { key {remote_host} events 100 window 1m } } } Das reicht für die meisten Standard-Setups. Erweiterungen: Basic-Auth für Admin-Endpunkte, IP-Whitelisting für sensiblere Services, Cache-Header für statische Inhalte.

Abschnitt 04

Cloudflare-Tunnel als Alternative

Wenn Customer-DNS bei Cloudflare läuft: Cloudflare-Tunnel ermöglicht den Service-Zugriff ohne öffentliche Server-IP. Vorteile: keine offene Server-Ports, DDoS-Schutz inkludiert, schnellere Edge-Performance. Nachteile: zusätzliche Cloudflare-Abhängigkeit, 2-5 ms Latenz-Overhead. Sinnvoll ist Cloudflare-Tunnel vor allem bei hoher Public-Exposure-Risiko (z.B. KI-Receptionist, der öffentlich beworben wird) oder bestehender Cloudflare-Bindung.

Abschnitt 05

Multi-Tenant mit Wildcard-Cert

Bei mehreren Customer-Subdomains auf gleichem Server: Wildcard-Zertifikat *.dripback-customer.de spart Setup-Zeit pro Customer. Caddy unterstützt Wildcard-Certs via DNS-Challenge (Customer muss DNS-Provider unterstützen — Cloudflare, Route53, Hetzner DNS funktionieren). Pro Customer wird ein Subdomain registriert (kunde1.dripback-customer.de), die zum Customer-Service routet. Setup-Aufwand pro Customer: rund 15-20 Minuten. Sicherheits-Aspekt: Wildcard-Cert deckt nur Subdomains, kein Cross-Customer-Zugriff.

Abschnitt 06

DNS-Konfiguration

Standard-DNS-Records pro Customer-Subdomain: A-Record auf Server-IP (oder Cloudflare-Tunnel-Hostname). AAAA-Record für IPv6 (falls Server-IPv6-fähig). CNAME für www-Subdomain falls gewünscht. TXT-Record für ACME-Challenge bei initialem Cert (Caddy automatisiert das in der Regel). Bei Anwalts-/Arzt-Customers: zusätzlich CAA-Record, der CA-Auswahl auf Let's Encrypt beschränkt. SPF/DKIM/DMARC bei Email-Versand vom KI-Service.

Abschnitt 07

SSL-Best-Practices 2026

TLS 1.3 als Mindest-Version, TLS 1.2 nur für Legacy-Kompatibilität. Cipher-Suite-Wahl: TLS_AES_256_GCM_SHA384, TLS_CHACHA20_POLY1305_SHA256 als primäre Optionen. HSTS-Header mit 31 Tagen max-age (Standard) oder 6 Monaten bei strenger Anforderung. Certificate-Pinning vermeiden (zu komplex für KMU-Setups). Caddy macht 90% davon automatisch konform. Bei strengeren Compliance-Anforderungen (z.B. BSI-Grundschutz) gibt es Caddy-Plugins für zusätzliche Härtung.

Abschnitt 08

Subdomain-Routing zu Services

Bei mehreren KI-Services pro Customer: Subdomain-Routing löst dies elegant. ai.kunde.de → Caddy → /api/* zu Service A, /chat/* zu Service B, /admin/* zu Service C. Caddy unterstützt Path-Routing-Rules in der Config. Vorteile: ein SSL-Cert, einheitliche Domain. Nachteile: Service-Isolierung nur via Path, nicht via Subdomain. Für stärkere Isolierung: separate Subdomains pro Service (chat.kunde.de, admin.kunde.de).

Abschnitt 09

Multi-Server-Setup

Bei größeren Customers mit hohen Anforderungen: KI-Workloads auf einem Server, Storage auf einem zweiten, Frontend auf einem dritten. Caddy routet zwischen den Servern via interner Reverse-Proxy. Setup-Aufwand: zusätzlich 1-2 Tage zur Standard-Single-Server-Konfiguration. Failover-Möglichkeiten: zwei Caddy-Server hinter Hetzner-Load-Balancer, mit Health-Check. Das lohnt sich vor allem ab etwa 100 MA und bei hohen Verfügbarkeits-Anforderungen.

Abschnitt 10

Maintenance + Updates

Caddy-Updates: automatisch via Hetzner Auto-Updates oder per Cron einmal pro Woche manuell. Major-Updates (z.B. Caddy 2.x → 3.x) erfordern Config-Validierung. Cert-Renewal: läuft automatisch alle 60 Tage, gut zu beobachten in Logs. Bei Renewal-Fehler: Alert via Prometheus + Slack. Wichtigste Risiko: DNS-Provider-Ausfall, dann kann ACME-Challenge fehlschlagen — Caddy verwendet existierendes Cert bis Ablauf, gibt Customer Zeit für Reaktion. Standard-Setup-Aufwand pro Customer: rund 30-45 Minuten initial, danach autopilot.