Betrieb heute
Architektur & Betrieb
EduSlot läuft vollständig auf eigener Infrastruktur — on-premise oder bei einem deutschen Hoster. Die Plattform besteht aus drei klar getrennten Schichten: Schul-App, zentralem Control Center und einem leichtgewichtigen Agent pro Schule.
- Self-Hosting: On-prem oder deutscher Hoster — keine Abhängigkeit von US-Cloud-Diensten.
- Modularer Stack: Schul-App, Control Center und Agent als eigenständige Dienste mit definierten Schnittstellen.
- Pull-Modell: Der Agent stellt ausgehende HTTPS-Verbindungen her — ohne eingehende Firewall-Öffnungen, geeignet für Schul-Netzwerke.
- Paketbasierter Install-Flow: Neuinstallationen via
/install.shundschool-app.tar.gzdirekt aus dem Control Center — keine GitHub-Credentials auf Schulservern. - Versionierte Migrationen: Alle Datenbankänderungen laufen durch einen kontrollierten Migration-Runner — kein Ad-hoc-Schema-Drift im Betrieb.
- Docker-Stack: Reproduzierbare Rollouts über klar definierte Env-Settings; Speichergrenzen pro Container verhindern unkontrollierte Ressourcenauslastung.
Rollout-Mechanik & Updatepfade
Updates werden zentral gesteuert und laufen kontrolliert durch definierte Phasen — mit Preflight, Backup, Snapshot und automatischem Rollback. Zwei Pfade stehen parallel bereit.
- Zentrale Rollout-Steuerung: Einzelschule, Teilgruppe oder gesamte Flotte über das Deployment Center — ohne manuelle SSH-Sitzungen.
- SSH-Pfad: Control Center baut das Paket und überträgt es per SFTP direkt auf den Zielserver — geeignet für Schulen ohne öffentliche Erreichbarkeit.
- Webhook-Pfad: Schule lädt Paket per
archive_urlselbst vom Control Center — für Schulen mit offener Erreichbarkeit und eigenem Update-Timing. - Agent-Fortschritt: Statusrückmeldung je Rollout-Batch in Echtzeit — sichtbar im Deployment Center.
- Update-Ablauf: Preflight-Prüfung → DB-Backup → Code-Snapshot → Docker-Rebuild → Health-Check → Freigabe. Rollback bei jedem Schritt automatisch auslösbar.
- 502-Minimierung: Nginx und Health-Checks sind in den Recreate-Ablauf integriert — kurze Wartungsfenster statt langer Ausfallzeiten.
Sicherheit & Compliance
Sicherheitsmaßnahmen sind architektonisch verankert — nicht nachträglich aufgesetzt. Von kryptografischen Lizenz-Signaturen bis zu CI-Sicherheitsgates läuft jeder Release durch definierte Prüfschritte.
- Ed25519-Lizenzen: Jede Schullizenz ist kryptografisch signiert; Strict-Mode erzwingt Gültigkeit im Produktivbetrieb. Feature-Flags sind fail-closed — unbekannte Features standardmäßig gesperrt.
- CSRF-Schutz: Kryptografische Tokens auf allen schreibenden Routen; Validierung per
hmac.compare_digest(timing-sicher, kein Timing-Angriff möglich). - Backup-Härtung: Verpflichtende Fernet-Verschlüsselung mit separatem Schlüssel für neue Deployments, Zugriffskontrolle und protokollierte Backup-Zugriffe.
- Sichere Installationsskripte: Token-gesicherte Ausführung; sensible Konfigurationen werden redigiert exportiert — keine Klartext-Credentials in Logs.
- DSGVO-Funktionen: Auskunft (Art. 15), Löschung (Art. 17) und Export (Art. 20) direkt im Adminbereich;
GdprAuditLogals anwendungsseitiges, append-only geführtes Protokoll. - CI-Sicherheitsgates: Dependency-Audit (
pip-audit) und Secret-Pattern-Scan laufen automatisch bei jedem Release.
Qualität, Deployment & Support
Jeder Release folgt einem definierten Ablauf — von automatisierten Prüfschritten in der CI bis zum Go-Live-Runbook mit klaren Rollback-Kriterien. Einführungen werden gestaffelt empfohlen.
- CI-Pipeline: Syntax-Prüfung, Unit-Tests und Deployment-Smoke-Checks laufen automatisch bei jedem Commit.
- Go-Live-Runbook: Pflicht-Settings, Release-Sequenz und Rollback-Kriterien schriftlich dokumentiert — für reproduzierbare Erstinstallationen.
- Pilot-first-Rollout: Empfohlene Reihenfolge: Control Center → Pilotschule → gestaffelte Ausbringung — reduziert Risiko bei größeren Schulträgern.
- Buchungskern: DB-nahe Kapazitätsprüfung reduziert Race-Conditions bei Parallelzugriffen; Schülerkollisionen auf ID-Basis abgesichert.
- Zentrale Lizenz- und Update-Steuerung: Mehrere Schulen über das Deployment Center verwaltbar — keine dezentralen Einzelinstallationen im Betrieb.
- Verbesserte Buchungs-UX: Klarere Status-Anzeigen, stärkerer Kontrast und geführter Buchungsflow für Lehrkräfte und Schüler.
Roadmap
- Erweiterte Telemetrie- und Health-Signale für schnellere Incident-Diagnose im Schulbetrieb
- Feinere Rollout-Kontrollen: Wellen, Wartungsfenster, explizite Freigabestufen
- Weitere Extraktion verbliebener Inline-Migrationen in den versionierten Runner
- Feingranulare Security-Policies und CI-Reporting für Release-Freigaben
- Erweiterte Prüfschritte für Paket-Integrität und Rollout-Nachvollziehbarkeit
- Weitere Härtung von Observability, Auditierbarkeit und Rollout-Automatisierung
- Kontinuierliche technische Dokumentation für Träger- und Schul-IT-Prozesse
- Standardisierte Betriebsprofile für kleine, mittlere und große Schulträger