Ich helfe Teams, zuverlässige und kosteneffiziente Cloud-Systeme auf AWS produktionsreif umzusetzen.
Kennenlernen
Über 20 Jahre Softwareentwicklung, davon ein Jahrzehnt auf AWS. Als Team-Lead und Tech-Lead. In Beratungs- und Entwicklungsprojekten für Mittelstand und Konzerne. Ich liefere tragfähige, produktionsreife Lösungen, die skalieren.
Dabei habe ich auch die Querschnittsthemen im Blick, die zuverlässige und zukunftssichere Cloud-Systeme ausmachen: Kosten, Monitoring, Plattform und Governance.
Je nach Bedarf fungiere ich als beratender Architekt, eingebettet in interdisziplinäre Teams oder als selbstständiger Umsetzer. Egal in welcher Rolle: ich achte auf Details, verliere dabei aber nie den Blick aufs große Ganze.
Mein Fokus liegt auf cloud-nativer Entwicklung mit Serverless. Ich begleite Sie gerne in jeder Phase Ihrer Cloud-Journey.
Production-ready Serverless auf AWS. APIs, asynchrone Prozesse, Event-Driven Architekturen und Automatisierung. Hier treffen Abwägungen zu gängigen Patterns in puncto Skalierbarkeit, Resilienz und Kosten häufig auf Fragen nach Security und Observability. Ich bringe die nötige Praxiserfahrung mit - vom kleinen API-Backend bis zu Plattformen, die Millionen Events verarbeiten.
Modernisierung gewachsener AWS-Landschaften und Migration in die Cloud. AWS entwickelt sich kontinuierlich weiter. So lassen sich bestehende Architekturen vereinfachen und die TCO senken. Zentral ist hier ein klarer Kompass: Welche Metriken zeigen, dass eine Komponente besser geworden ist? Und welche Reihenfolge ist ideal, wenn Komponenten verwoben sind? Schritt für Schritt umgesetzt, zeigt sich gerade bei Migrationen in die Cloud direkt, wie sich Komponenten unter produktiver Last verhalten. Dadurch lässt sich das Risiko minimieren und Lerneffekte fließen direkt in den nächsten Schritt mit ein.
KI-Funktionen in bestehende Anwendungen und Prozesse einbinden - RAG-basierte Suche über eigene Daten, LLM-gestützte Klassifikation und Extraktion, agentische Workflows. Von managed Services in der Cloud über Hybrid-Architekturen bis zu vollständig lokalen Lösungen - passend zur jeweiligen Sicherheitsanforderung und Datensensibilität. Korrektheit, Nachvollziehbarkeit und Kosteneffizienz gehen Hand in Hand mit Zugriffskontrolle und gezieltem Monitoring.
Die Themen, die man gern nach hinten schiebt und deren Impact oft unterschätzt wird. Dazu ist es schwer, hier die richtige Balance zwischen Komplexität und Nutzen zu finden. AWS Organizations, OrgFormation, eine klare SCP und IAM Identity Strategy helfen, flexibel zu bleiben, ohne mit Kanonen auf Spatzen zu schießen. Dazu IaC mit CDK, Cost-Allocation und die richtigen FinOps-Kennzahlen mit einer klaren CloudTrail-Auditierungsstrategie. Konsequent umgesetzt entsteht eine Organisation, die mitwächst, Sicherheit gibt und sich später nicht als Blocker erweist.
Architekturen für mandantenfähige SaaS-Plattformen. Isolation, Noisy-Neighbours, Datenresidenz und Security. Die richtigen Trade-offs hängen von Mandantenzahl und Lastasymmetrie, regulatorischen Anforderungen und eigenem Kostenmodell ab. Meine Erfahrung kommt zu einem Großteil aus Architektur, Entwicklung und dem jahrelangen Betrieb eigener SaaS-Produkte.
Die Spannung zwischen US-amerikanischer Cloud-Dominanz und europäischen Souveränitätsanforderungen prägt die Architekturentscheidungen vieler Unternehmen. Mit der European Sovereign Cloud (EUSC) hat AWS hier eine konkrete Antwort geschaffen, deren Tragfähigkeit ich seit dem Marktstart beobachte und teste. Auch mit den derzeit noch bestehenden Service-Lücken lassen sich vollwertige und konforme Anwendungen realisieren, die auch in stark reguliertem Umfeld bestehen.
Mein EUSC Status-Tracker und Newsfeed: eusc.dev
Full-Stack Cloud Development mit SchwerpunktAWSServerlessTypeScriptCDKReact
SchwerpunktServices, die ich vertieft und häufig einsetze.
Ich arbeite ergebnisorientiert und in inkrementellen Schritten, die jeder für sich einen klaren Mehrwert liefern. Mit klar definierten Zielen und Anforderungen. So werden Ergebnisse sofort sichtbar und Fortschritt und Kosten bleiben transparent. Nötige Kurskorrekturen werden früh erkennbar und Blocker lassen sich schnell aus dem Weg räumen. Dabei kommuniziere ich klar und direkt und bleibe auch bei komplexen technischen Zusammenhängen verständlich für die jeweilige Zielgruppe.
Multi-Tenant-SaaS-Produkt zur automatisierten Dokumentenerfassung und -verwaltung. KI-gestützte Pipeline aus OCR, Klassifikation, Datenextraktion und automatischem Tagging mithilfe von Amazon Bedrock. Sämtliche Infrastruktur wird mittels CDK über GitHub Actions deployed. Das Projekt ist rein Serverless auf AWS Lambda mit TypeScript entwickelt. Das Frontend basiert auf React mit TSX und nutzt shadcn/ui Komponenten mit eigenem Styling. User können über einen Self-Onboarding-Prozess gestützt auf Cognito Accounts erstellen und sich passwortlos via OTP anmelden oder ihr Microsoft-Konto als IdP nutzen. Authentifizierung und Föderation laufen über OAuth2/OIDC-Flows.
Experimentelles Frage-Antwort-System für Dokumente mit Quellenangabe. Durchgängig serverlose Codebasis (TypeScript auf AWS Lambda) mit austauschbarer Modellanbindung: AWS-managed, European Sovereign Cloud und lokale Modelle on-prem, für unterschiedliche Souveränitäts-Stufen. Eine rollenbasierte Autorisierungsschicht stellt sicher, dass nur Dokumente im Zugriffsbereich des Benutzers in den Retrieval-Kontext gelangen. Im Frontend kam React und ebenfalls TypeScript zum Einsatz.
Mandantenfähige Plattform für Kundenbindung im Retail, serverless und event-driven. Migration der bestehenden ECS-Lösung per Strangler Pattern auf Lambda im laufenden Betrieb. Datenhaltung und Queues pro Mandant getrennt, Events über Accountgrenzen verteilt, DynamoDB Single Table Design plus OpenSearch für komplexere Abfragen und die UI. Die Entwicklung folgte API-first mit OpenAPI und eigener Codegenerierungsschicht. Sowohl der Backend-Code auf Lambda als auch die Infrastruktur mit CDK wurden vollständig mit TypeScript entwickelt. Zum Monitoring kommt ein Mix aus CloudWatch und OpenSearch + Grafana zum Einsatz.
Modernisierung eines Stateful Messaging Services, der aufgrund seines Architekturmusters nur über Überprovisionierung skalierte und in Low-Traffic-Zeiten unwirtschaftlich war. Schrittweiser Umbau auf Serverless, beginnend bei selten genutzten Features einzelner konsumierender Systeme bis hin zu zentralen Endpunkten mit hohem Traffic. Der zuvor in-memory gehaltene State wanderte dabei nach DynamoDB und EFS. Ergebnis: bessere Skalierbarkeit, geringere Betriebskosten, deutlich weniger Code.
Umstellung einer gewachsenen AWS-Organisation auf vollständig IaC-basierte Landing Zones (OrgFormation) als Ablösung von Control Tower. Zentrales Identity Management mit Identity Center und Azure Entra ID als IdP. Verschiedene Standard-Rollen können per IaC provisioniert werden und Member-Accounts und Regionen wurden durch OUs und passende SCPs abgesichert.
Multi-Mandanten Frontend-Plattform für verschiedene Services im Retail-Bereich, umgesetzt als Microfrontends unter einer zentralen App-Shell. Die App-Shell orchestriert die einzelnen Microfrontends und stellt gemeinsam genutzte Grundfunktionalitäten zur Verfügung. Die Microfrontends sind versioniert; die App-Shell verantwortet die Auflösung und Auslieferung der jeweils richtigen Version. Dies erfolgt über CloudFront mit Lambda@Edge und CloudFront Functions, wobei der passende Origin dynamisch aus dem CloudFront KeyValue Store aufgelöst wird. Die Umsetzung erfolgte mit React/TypeScript und dem Cloudscape Design System von AWS. Im Hintergrund sorgt ein Verwaltungssystem basierend auf AWS Lambda, DynamoDB und Cognito für die Möglichkeit, Mandantenworkspaces zu erstellen und Föderationen mit externen IdPs wie Microsoft Entra ID oder SAP Cloud Identity Services herzustellen. Ich war von der Konzeption bis zur fertigen Umsetzung maßgeblich beteiligt.
Anbindung eines lokalen Rechenzentrums an eine Multi-Account AWS-Umgebung in Hub/Spoke-Architektur. Bei RZ-Ausfall übernehmen Cloud-Dienste den Betrieb - Voraussetzung war saubere DNS- und Netzwerk-Konfiguration über alle Accounts hinweg.
Automatisiertes Account-Setup für Multi-Account- und Multi-Mandanten-Umgebungen. Jeder neu provisionierte Account erhält ein standardisiertes Basis-Setup aus IAM-Rollen und -Policies, Alarmen und grundlegender Infrastruktur, vollständig per AWS CDK deployed. Die CDK Constructs und Stacks sind modular aufgebaut und lassen sich je Konfiguration mandantenabhängig sowie pro Deployment-Stage anpassen. Verwaltung und Absicherung der Accounts erfolgen organisationsweit über AWS Organizations und AWS Control Tower; das Basis-Setup etabliert dabei eine einheitliche Sicherheits-Baseline für jeden Account. Über Amazon EventBridge wird auf relevante Events reagiert, sodass nachgelagerte Setup- und Steuerungsschritte automatisiert ausgelöst werden. Für Schritte außerhalb der nativen CloudFormation-Abdeckung kommen in TypeScript geschriebene CDK Custom Resources zum Einsatz.
Integrationsarchitektur für mehrere Produktteams in gewachsener Retail-IT. Entkoppelte REST API und Event-System als einheitlicher Zugang zur zentralen SAP Customer Data Platform - Produktteams bekommen kuratierte APIs und arbeiten unabhängig, ohne SAP-Fachwissen aufbauen zu müssen. Platform Events werden in einem Data-Lake gesammelt und für Auswertungen zur Verfügung gestellt.
Shared Service für den Versand transaktionaler Mails aus Cognito, multi-tenant über Mandanten-Accounts hinweg. Realisierung mit Cognito Custom E-Mail Sender, OTP-Decryption mit KMS und pro Mandant individuell gestalteten E-Mails über SES Templates. Inkl. SES Sender Domains sowie Bounce- und Complaint-Management und Einsatz der SES account-level Suppression List.
Zentrale Auditierungslösung für Benutzeraktivitäten auf Basis von AWS CloudTrail über eine gesamte AWS Organization hinweg. Aktivitäten aus allen Member-Accounts werden organisationsweit erfasst und in einem dedizierten Audit-Account zusammengeführt. Kern ist ein CloudTrail-Lake-Event-Data-Store, der die Ereignisse zentral und revisionssicher vorhält. Für wiederkehrende Audit- und Compliance-Fragen (wer hat wann welche Aktion ausgeführt) stehen vorgefertigte Queries bereit, die ad hoc ausgewertet werden können. Der Zugriff erfolgt ausschließlich mit minimalen Berechtigungen über IAM Identity Center und entsprechende Permission Sets. Service Control Policies (SCPs) verhindern das Abschalten oder Manipulieren des Trails.
Datenmigration in einem Loyalty- und Couponing-Projekt: Überführung von ~25 Millionen Datensätzen aus heterogenen Quellsystemen (SAP und historisch gewachsene Eigenentwicklungen) nach AWS. Extraktion, Aufbereitung und Validierung über eigenentwickelte Migrationstools mit AWS Glue, Amazon Athena und S3; Zieldatenhaltung in DynamoDB und Aurora Serverless (MySQL). Da Alt- und Zielsystem längere Zeit parallel liefen, kam eine laufende, event-getriebene Synchronisierung über Amazon EventBridge, SQS und Lambda hinzu, überwacht via CloudWatch. Schwerpunkt: verlustfreie und konsistente Übernahme zwischen altem und neuem System.
Client VPN für Mitarbeiter plus Site-to-Site-Anbindung an Kundensysteme. Zugriffssteuerung über Identity Center und Azure Entra ID, site-spezifische hybride DNS-Auflösung (Split-Horizon) für VPN-basierten Direktzugriff unter Umgehung öffentlicher Endpunkte.
Turborepo ist cool - und als AWS Architect wünscht man sich eine Caching-Lösung ohne Vercel. Das Projekt bietet ein CDK-Construct und CLI zum Deployen eines Turborepo Remote Cache in den eigenen AWS-Account - vollständig serverless. Wahlweise per One-Command-Deploy oder als Construct in bestehende Stacks integriert.
TypeSpec-Emitter-Suite, die aus API-Definitionen produktionsreifen TypeScript-Code generiert. Typen und Zod-Validierungsschemata für Request, Response und Events. HTTP-Routingtabellen mit API Gateway und Lambda-Adapter. Service-Operation-Interfaces mit typisierten Errors, CloudEvents-Envelopes mit Dispatch-Maps und AWS-CDK-Konstrukte für API-Gateway-Bindings. Dazu typisierte HTTP-Clients im AWS-SDK-v3-Stil, um APIs aus Frontends oder M2M zu konsumieren. Emitter sind einzeln oder kombiniert einsetzbar und bewusst opinionated - Ergebnis aus jahrelanger Praxis mit REST-API-Entwicklung und API-First-Ansätzen.
Modulare CDK-Bibliothek für den Aufbau produktionsreifer Serverless-Anwendungen auf AWS. Sechs Bausteine, einzeln oder zusammen einsetzbar, die immer wiederkehrende Themen in neuen Projekten adressieren: Basis-Infrastruktur (Route53, EventBridge, Lambda-Helper), Edge-Layer mit CloudFront und ACM, ein Email-Service mit Send/Receive und mehrsprachigen Templates, Event-Pipeline von DynamoDB Streams in EventBridge, Identity-Service auf Cognito mit OTP-Flow, User-Onboarding sowie User- und Group-Management - und eine Cedar-basierte In-Process-Autorisierung. Ziel ist es, Erfahrung und Wissen aus 10 Jahren AWS-Projekten in wiederverwendbare Komponenten zu gießen - neue Vorhaben starten direkt bei der eigentlichen Lösung, nicht beim Pflichtteil.
Plugin für serverless-offline, das lokale Lambda-Authorizer im Entwicklungs-Setup ermöglicht. Schließt die DX-Lücke beim lokalen Testen von API-Gateway-Endpunkten mit Custom Authorizern - kein Cloud-Deploy nötig, um Authorizer-Logik zu validieren. Aktiv 2020 bis 2023, in dieser Zeit von der Serverless-Community produktiv eingesetzt. Danach haben sich das Serverless Framework und sein Ökosystem deutlich verändert und die Relevanz des Plugins sank. Zur gleichen Zeit habe ich begonnen, neue Projekte zunehmend mit CDK umzusetzen.
AWS hat Lambda MicroVMs gelauncht: Firecracker-isolierte VMs, die bis zu 8 Stunden laufen, stateful sind und sich suspenden und in unter einer Sekunde wieder aufwecken lassen. Ich habe sie mit einem kleinen NodeJS-Server getestet und mir Durchsatz, Snapshots, PRNG, Disk, Logging und Quotas angesehen.
Ich habe einen Latency Checker für EventBridge, SNS und SQS gebaut und parallel in der AWS European Sovereign Cloud und in eu-central-1 (Frankfurt) laufen lassen. Das Ergebnis: vergleichbare Latenzen, und bei niedrigem Durchsatz aktuell sogar ein Vorteil für die EUSC.
Architecture Decision Records halten fest, warum etwas im Code so ist, wie es ist. Im Zusammenspiel mit KI-Agenten werden sie zu mehr als Doku, nämlich zu maschinenlesbarem Kontext und Leitplanken, die dem Agenten helfen, deinen Code besser zu verstehen.
Am 15. Januar 2026 hat AWS die European Sovereign Cloud gelauncht - eine eigene, vollständig in der EU betriebene Partition für Workloads mit erhöhten Souveränitätsanforderungen. Was steckt dahinter, was kann sie heute schon, und wann lohnt sich der Einsatz wirklich? Eine ehrliche Einordnung aus der Praxis.
AWS CDK oder Terraform? Wir hatten beides im Einsatz - und haben uns am Ende für CDK entschieden. Dieser Artikel vergleicht die zwei aus der Praxis, mit ehrlichen Trade-offs in beide Richtungen.
Manuelles Erstellen von AWS-Infrastruktur funktioniert, solange bis es nicht mehr funktioniert. In diesem Artikel schauen wir uns an, warum klassische IaC-Tools das Problem nur verlagern und wie AWS CDK Infrastruktur zu einem echten Software-Projekt macht.
Eine Multi-Account-Strategie auf AWS bringt Struktur in Sicherheit, Kosten und Compliance. Dieser Artikel zeigt, wie eine saubere Org-Struktur aussieht, welche AWS-Services dabei helfen und wie man Schritt für Schritt dahin kommt.
Eine Serverless-Architektur im Kern bedeutet maximale Flexibilität in jeder Projektphase. Aber heißt das auch hohe Kosten und maximale Komplexität? In diesem Artikel werfen wir einen ehrlichen Blick auf Stärken und Schwächen und klären, warum Serverless die beste Basis ist und was es mit dem Serverless-Paradoxon auf sich hat.
In 5 Schritten zu besserer Observability auf AWS.
Co-Autor: Christian Bannes
Die Observability-Journey: warum klassisches Monitoring in der Cloud oft nicht mehr reicht.
Co-Autor: Christian Bannes
Saubere Kundendaten als Basis für CRM, Analytics und Compliance - Architektur-Pattern auf AWS.
Co-Autor: Simon Irmer, Alexander Strauß