// GRAFANA ENTERPRISE FÜR BEHÖRDEN UND KÖRPERSCHAFTEN
Grafana Enterprise für Behörden und Körperschaften: Einführung, Anbindung, Betrieb
Behörden, Körperschaften und Sozialversicherungsträger setzen Grafana Enterprise meist als Ergänzung zu ihrem bestehenden Monitoring ein: Daten aus PRTG, Azure Monitor und SAP laufen in rollenbasierten Dashboards zusammen, ohne dass ein bewährtes System abgelöst wird. Wir übernehmen die Einführung, die Anbindung der Datenquellen, die Schulung Ihrer Administratoren und die laufende Betreuung.
// TYPISCHE AUSGANGSLAGE
Monitoring in Inseln – und niemand sieht das Ganze
Mehrere Systeme, kein Gesamtbild
Zwei oder drei PRTG-Core-Server für Netz und Server, Azure Monitor für die Cloud-Dienste, die SAP-Basis mit eigenen Werkzeugen. Jedes System ist für sich in Ordnung. Ob ein Fachverfahren gerade läuft, erfährt die IT trotzdem oft erst, wenn jemand anruft.
Keine Sicht für Leitung und Fachbereiche
Die Werkzeuge sind für Administratoren gebaut. Amtsleitung, Fachbereiche und Revision bekommen bestenfalls eine Excel-Auswertung, meist aber gar keine Sicht auf Verfügbarkeit und Störungen.
Anforderungen aus ISMS und Revision
Das Informationssicherheits-Managementsystem (ISMS) verlangt nachvollziehbare Rechtevergabe und ein Protokoll darüber, wer wann was geändert hat. Die Anmeldung über das zentrale Verzeichnis (Single Sign-on) ist gesetzt. Beides ist mit den vorhandenen Werkzeugen nur mühsam abzubilden.
Das bestehende Monitoring bleibt. PRTG misst weiter, Azure Monitor sammelt weiter, die SAP-Basis behält ihre Werkzeuge. Grafana Enterprise legt sich als Auswertungs- und Dashboard-Schicht darüber und wird nicht zum vierten Monitoring-System.
// ENTERPRISE STATT OPEN SOURCE
Warum Grafana Enterprise und nicht die Open-Source-Version
Grafana Open Source ist ein ausgereiftes Werkzeug, und für viele Teams reicht es. In Behörden geben regelmäßig sechs Funktionen den Ausschlag, die es nur in der Enterprise-Ausgabe gibt:
SAML/SSO und Team-Sync mit Active Directory
Anmeldung per SAML, also über den zentralen Identitätsdienst der Verwaltung (etwa ADFS oder Entra ID), statt über lokale Grafana-Konten. Team-Sync übernimmt die Gruppen aus dem Active Directory automatisch in Grafana-Teams: Wer in der AD-Gruppe ist, hat die Rechte. Wer sie verlässt, verliert sie.
Feingranulare Rechteverwaltung (RBAC)
Rollenbasierte Zugriffskontrolle (RBAC) geht über die drei Grundrollen Betrachter, Bearbeiter und Administrator hinaus: Rechte gelten je Aktion, Ordner und Datenquelle. Ein Fachbereich darf seine Dashboards bearbeiten, aber keine Datenquelle anlegen und nicht in fremde Ordner schauen.
Audit-Logging
Das Audit-Log protokolliert Benutzeraktivitäten und Konfigurationsänderungen: Anmeldungen, geänderte Dashboards, neue Datenquellen, vergebene Rechte, jeweils mit Benutzer und Zeitstempel. Es lässt sich an Ihr zentrales Log-System weiterleiten und beantwortet die Frage der Revision, wer was wann geändert hat.
PDF-Reporting
Dashboards gehen als PDF nach Zeitplan per E-Mail hinaus, etwa der Verfügbarkeitsbericht montags an die Amtsleitung. Wer keinen Grafana-Zugang braucht, bekommt trotzdem die Zahlen.
Enterprise-Datenquellen
Anbindungen an SAP HANA, ServiceNow, Splunk und Oracle sind Teil der Enterprise-Lizenz. Damit liegen Fachverfahren und Ticketdaten neben den Infrastrukturmessungen, ohne dass Sie eigene Konnektoren bauen und pflegen müssen.
Herstellersupport
Mit der Enterprise-Lizenz steht Grafana Labs als Hersteller für Fehler im Produkt ein, mit zugesicherten Reaktionszeiten. Im sicherheitsrelevanten Betrieb einer Körperschaft ist das praktisch Pflicht: Ein Sicherheitsupdate oder ein Produktfehler braucht einen verantwortlichen Ansprechpartner, den ein Community-Forum nicht ersetzt.
// ANBINDUNG BESTEHENDER SYSTEME
Anbindung am Beispiel PRTG: ohne eigenen Konnektor, mit klaren Grenzen
PRTG stellt alle Daten über seine HTTP-API bereit: Geräte, Sensoren, Status, letzte Messwerte und die Historie einzelner Sensoren. Grafana liest diese Schnittstelle über das Infinity-Plugin, eine Datenquelle, die JSON-Antworten beliebiger HTTP-Endpunkte in Tabellen und Zeitreihen übersetzt. Ein eigener PRTG-Konnektor ist deshalb nicht nötig, und es entsteht kein Stück Software, das Sie später pflegen müssten.
Jeder PRTG-Core-Server wird in Grafana als eigene Datenquelle angelegt, mit eigener Basis-URL und eigenem API-Token. Ein Dashboard fragt mehrere dieser Datenquellen nebeneinander ab: Die Tabelle „Sensoren im Status Down“ zeigt dann die Treffer aus drei Core-Servern in einer Liste, mit der Spalte, aus welchem Server sie stammen. Aktueller Zustand und Historie einzelner Sensoren kommen als Tabellen zurück, die Grafana als Liste oder Zeitreihe darstellt.
Wo die Grenzen liegen
- Abfragelast: Jedes Dashboard-Panel ist ein API-Aufruf auf den Core-Server. Zehn Panels mit 30-Sekunden-Aktualisierung, offen auf vielen Bildschirmen, spürt der PRTG-Server. Historie-Abfragen begrenzt PRTG zusätzlich auf wenige Aufrufe pro Minute.
- Aggregation über Server hinweg: PRTG kennt nur seinen eigenen Baum. Eine Summe oder ein Durchschnitt über drei Core-Server muss in Grafana gebildet werden.
- Sensor-Namenskonventionen: Was in PRTG „Ping“, „PING“ und „Ping (Standort B)“ heißt, lässt sich nicht sauber gruppieren, egal wie gut das Dashboard ist.
- API-Tokens und Rechte: Der Token erbt die Rechte des PRTG-Benutzers. Ein Administrator-Token in einer Datenquelle wäre ein Sicherheitsvorfall, kein Komfort.
Wie wir das lösen
- Abfrageintervalle je Panel bewusst setzen, Übersichten auf wenige Abfragen mit Filtern und Zeilenbegrenzung zuschneiden, Ergebnisse über das Query-Caching von Grafana Enterprise zwischenspeichern. Der Core-Server sieht eine Abfrage, nicht dreißig Browser.
- Aggregation in Grafana: Transformationen wie „Merge“ und „Group by“ führen die Tabellen der einzelnen Server zusammen. Die Rechenlogik liegt versioniert im Dashboard, nicht in einem Skript.
- Namenskonventionen vorab: Vor dem ersten Dashboard vereinbaren wir mit Ihren PRTG-Administratoren Tags und Benennungsregeln. Danach filtern die Abfragen über Tags statt über Namensmuster.
- Je Datenquelle ein eigener PRTG-Benutzer, nur lesend und auf den benötigten Teilbaum beschränkt. Der API-Token liegt verschlüsselt in der Datenquellen-Konfiguration von Grafana und taucht in keinem Dashboard auf.
Weitere Quellen: SAP HANA und Azure Monitor. Azure Monitor ist als Datenquelle in Grafana enthalten. Die Anbindung läuft über eine App-Registrierung in Entra ID mit Leserechten auf die betroffenen Abonnements, danach stehen Metriken, Log-Analytics-Abfragen (KQL) und der Azure Resource Graph in Dashboards zur Verfügung. SAP HANA kommt über die Enterprise-Datenquelle dazu: ein technischer Datenbankbenutzer mit Leserecht auf die Monitoring-Sichten (die M_-Views), abgefragt in SQL, Ergebnisse als Tabelle oder Zeitreihe. In beiden Fällen gilt dieselbe Regel wie bei PRTG: technischer Benutzer, nur lesend, Zugangsdaten in der Datenquelle, nicht im Dashboard.
// RECHTE, AUDIT, SSO
Das Betriebskonzept: Rechte aus dem Active Directory, Nachweise im Audit-Log
Ein Rechtekonzept, das in Grafana von Hand gepflegt wird, ist nach dem zweiten Personalwechsel veraltet. Deshalb koppeln wir es an die Gruppenstruktur, die Ihre Verwaltung ohnehin pflegt.
AD-Gruppen als einzige Quelle. Je Fachbereich und je Rolle gibt es eine Gruppe im Active Directory, nach einem Schema wie GRAFANA-Soziales-Editor oder GRAFANA-Leitung-Viewer. Team-Sync bildet diese Gruppen auf Grafana-Teams ab; Mitgliedschaften werden in Grafana nicht mehr von Hand gepflegt. Ordner und Rechte hängen an den Teams: Jeder Fachbereich bekommt einen eigenen Ordner mit Bearbeitungsrecht für sein Team, andere Teams sehen ihn nicht. Datenquellen-Rechte legen zusätzlich fest, welches Team welchen PRTG-Server oder welche Azure-Abonnements abfragen darf. Der Bearbeiter-Rolle nehmen wir per RBAC das Recht, Datenquellen anzulegen; die Explore-Ansicht mit freiem Zugriff auf Rohdaten bleibt den Administratoren vorbehalten.
Leitung und Management
- Lesezugriff auf den Ordner „Leitung“ mit den verdichteten Dashboards: Verfügbarkeit je Fachverfahren, offene Störungen, Trend über 30 Tage
- PDF-Bericht nach Zeitplan per E-Mail, ohne eigenen Grafana-Zugang
- Keine Bearbeitungsrechte, kein Zugriff auf Rohdaten oder fremde Ordner
Fachbereiche und Betrieb
- Eigener Ordner je Fachbereich, Bearbeitungsrecht für das Fachbereichs-Team
- Sicht nur auf die eigenen Datenquellen beziehungsweise den eigenen PRTG-Teilbaum
- Eigene Dashboards und Alarmregeln innerhalb des Ordners, keine Rechte auf Datenquellen, Benutzer oder fremde Ordner
Was im Audit-Log landet. An- und Abmeldungen einschließlich fehlgeschlagener Versuche. Erstellen, Ändern und Löschen von Dashboards und Ordnern. Änderungen an Datenquellen, Teams, Rechten und Service-Accounts. Der Versand von Berichten. Jeder Eintrag trägt Benutzer, Zeitstempel, Aktion und das betroffene Objekt. Das Log bleibt nicht in einer Datei auf dem Grafana-Server, sondern geht an Ihr zentrales Log-System, damit Revision und ISMS-Beauftragte es unabhängig von den Grafana-Administratoren auswerten können. Das ist auch die Antwort auf die Frage, wer den Bericht für die Leitung zuletzt geändert hat.
// LIZENZ UND BETRIEB
Self-Managed oder Cloud, lizenziert nach aktiven Nutzern
Grafana Enterprise gibt es Self-Managed, also auf Ihren eigenen Servern im eigenen Rechenzentrum oder in der Landes-Cloud, und als Grafana Cloud im Betrieb des Herstellers. Behörden entscheiden sich meist für Self-Managed: Die Monitoringdaten verlassen das Haus nicht, und die PRTG-Server im internen Netz sind ohne Tunnel erreichbar. Lizenziert wird nach aktiven Nutzern, also nach Konten, die sich innerhalb der letzten 30 Tage angemeldet haben; angelegte, aber ungenutzte Konten belasten das Kontingent nicht. Eine Instanz bedient mehrere Organisationen, etwa mehrere Ämter oder ein Landesamt mit nachgeordneten Behörden, mit getrennten Dashboards und Rechten unter einer Lizenz. Wächst der Nutzerkreis, lässt sich die Lizenz unterjährig erweitern.
// FÜR DIE BESCHAFFUNG
Was Beschaffer vorab wissen sollten
Lizenzen, Herstellersupport, Schulung und Beratung lassen sich in einer Rahmenvereinbarung bündeln, aus der Sie einzelne Leistungen nach Bedarf abrufen: die Lizenz zum Stichtag, die Schulung, sobald die Administratoren feststehen, Beratungstage, wenn ein neuer Fachbereich dazukommt. Für Referenzen zählt dabei unser eigener Leistungsanteil, also Einführung, Anbindung und Schulung, nicht der Weiterverkauf der Lizenz. Beides sprechen wir vor der Beschaffung mit Ihnen durch, damit die Leistungsbeschreibung zu dem passt, was Sie später tatsächlich abrufen.
// UNSER LEISTUNGSPAKET
Was wir übernehmen
Lizenzbereitstellung
Sie beziehen die Grafana-Enterprise-Lizenz über uns, passend zur Zahl der aktiven Nutzer, mit Verlängerung und Erweiterung aus einer Hand. Ob Enterprise für Ihre Anforderungen überhaupt der richtige Schnitt ist, klären wir vorher und unabhängig davon.
Einführung
Installation auf Ihren Servern, Anbindung an SAML oder LDAP mit Team-Sync zum Active Directory, Rechtekonzept nach Ihrer Gruppenstruktur, Audit-Konfiguration mit Weiterleitung an Ihr Log-System. Dokumentiert so, dass Ihr Betrieb jede Einstellung nachvollziehen kann.
Anbindung der Datenquellen
PRTG-Core-Server über die REST-API und das Infinity-Plugin, Azure Monitor, SAP HANA und weitere Systeme. Je Quelle ein lesender technischer Benutzer, Zugangsdaten in der Datenquelle, Namenskonventionen mit Ihren Administratoren vereinbart.
Dashboard-Entwicklung
Übersichten für die Leitung, Arbeitsdashboards für Fachbereiche und Betrieb, Berichte als PDF. Aufgebaut gemeinsam mit Ihren Fachbereichen, damit sie danach selbst weiterbauen können.
Administrator-Schulung, eintägig
Administration und Konfiguration, Benutzer- und Rechteverwaltung, Datenquellen, Dashboards, Fehleranalyse und Best Practices für den Betrieb. Ein Tag, remote oder vor Ort, an Ihrer Installation statt an einer Demo-Umgebung. So schulen wir →
Laufende Beratung
Ein fester Ansprechpartner, der Ihre Installation kennt: für Fragen aus dem Betrieb, Versions-Upgrades, neue Datenquellen und neue Fachbereiche. Als Abruf aus der Rahmenvereinbarung oder als festes Kontingent. Mehr zur laufenden Betreuung →
Sie planen die Einführung?
Wir sagen Ihnen vorab, was realistisch ist: welche Quellen sich wie anbinden lassen, welchen Umfang Rechtekonzept und Schulung haben und wo die Grenzen liegen. Mit Erfolgsgarantie auf die vereinbarten Abnahmekriterien.
Erster Schritt: ein kurzes, kostenloses Erstgespräch – direkt mit einem Senior Consultant, keine Vertriebskette. Unverbindlich – danach entscheiden Sie.