Eine Automatisierung ist praktisch, weil sie an vielen Systemen gleichzeitig hängt: am E-Mail-Postfach, am CRM, an der Buchhaltung, am Dateispeicher. Genau das macht sie aber auch zu einem lohnenden Ziel – ein einziges Tool, das die Zugänge zu fast allem hält. In diesem Artikel geht es um die technische Seite der Sicherheit: wie Sie diese Zugänge schützen, Rechte klein halten und den möglichen Schaden begrenzen. Die rechtliche Pflichtseite (Art. 32 DSGVO) habe ich getrennt in der DSGVO-Checkliste für Automatisierungsprojekte behandelt.
Warum das Automatisierungs-Tool ein lohnendes Ziel ist
Bei klassischer Software hat jedes Programm seinen eigenen, begrenzten Zugriff. Eine Automatisierungsplattform ist anders: Sie sammelt bewusst die Zugangsdaten zu allen Systemen, die sie verbinden soll, an einer Stelle. Das ist der ganze Witz daran – und zugleich das Risiko. Wer Zugriff auf diese eine Plattform erlangt, hat potenziell Zugriff auf alles, was dahinterliegt.
Deshalb verdient ein Automatisierungs-Tool denselben Respekt wie der Server, auf dem Ihre Buchhaltung läuft. Die gute Nachricht: Man muss kein Sicherheitsexperte sein, um das Wesentliche richtig zu machen. Es geht um eine Handvoll Prinzipien, die sich auch ohne tiefes IT-Wissen einfordern lassen. Die Marktanalysten von Gartner führen einen Teil der hohen Abbruchquote bei KI- und Agenten-Projekten – über 40 Prozent bis Ende 2027 – ausdrücklich auch auf unzureichende Risikokontrollen zurück. Sicherheit ist eine solche Kontrolle.
Zugangsdaten verschlüsseln – und den Schlüssel sichern
Jeder Workflow braucht Zugangsdaten, um sich gegenüber anderen Systemen auszuweisen. Diese dürfen nicht im Klartext herumliegen. Selbst gehostetes n8n verschlüsselt gespeicherte Credentials laut Dokumentation mit einem Schlüssel, den es beim ersten Start automatisch erzeugt und im Verzeichnis ~/.n8n ablegt. Sie können stattdessen einen eigenen, starken Schlüssel über die Umgebungsvariable N8N_ENCRYPTION_KEY setzen.
Der entscheidende Punkt wird oft übersehen: Dieser Schlüssel ist selbst ein Geheimnis ersten Ranges. Geht er verloren – etwa weil das System neu aufgesetzt wird und einen anderen Schlüssel erzeugt –, lassen sich die gespeicherten Zugänge nicht mehr entschlüsseln. Sie sind dann unbrauchbar und müssen alle neu hinterlegt werden. Hinterlegen Sie den Schlüssel deshalb in einem Passwort-Manager oder Tresor, getrennt von der Datenbank. Und denken Sie daran: Eine Datenbanksicherung ohne den passenden Schlüssel ist nur das halbe Backup. Wer es noch sauberer braucht, kann den Datenschlüssel in neueren Versionen turnusmäßig rotieren lassen, ohne den Master-Schlüssel zu ändern – das ist aber eher etwas für gewachsene Setups.
Das wichtigste Prinzip: minimale Rechte
Wenn Sie nur eine Regel aus diesem Artikel mitnehmen, dann diese: Jeder Zugang darf nur das, was die eine Aufgabe wirklich braucht. Ein Workflow, der Rechnungen in einen Ordner ablegt, braucht keinen Vollzugriff auf das gesamte Postfach. Einer, der CRM-Einträge liest, braucht keine Löschrechte.
Ein Automatisierungs-Tool verdient denselben Schutz wie der Server, auf dem Ihre Buchhaltung läuft – denn es hält die Schlüssel zu vielen Systemen zugleich. Die wirksamste Sicherheitsregel ist deshalb nicht die teuerste Software, sondern das Prinzip der minimalen Rechte: Jeder Zugang darf genau das, was die eine Aufgabe verlangt – und nichts darüber hinaus.
Moderne Dienste machen das einfach. GitHub etwa bietet feingranulare Zugriffstoken, die sich laut GitHub-Dokumentation auf einzelne Repositorys und über 50 einzelne Berechtigungen einschränken lassen – jeweils als „kein Zugriff“, „lesen“ oder „lesen und schreiben“. So entsteht ein Token, das wirklich nur eine Sache darf. In der Praxis bewährt sich außerdem:
- Ein eigener Dienst-Account je Integration, nicht das persönliche Admin-Konto eines Mitarbeiters. Verlässt die Person das Unternehmen, bricht sonst alles auf einmal weg.
- Schreibrechte nur, wo wirklich geschrieben wird. Lesen reicht für die meisten Auswerte- und Benachrichtigungs-Workflows.
- Getrennte Zugänge für Test und Produktivbetrieb, damit ein Fehler beim Ausprobieren nicht echte Kundendaten berührt.
Den Zugang zum System selbst schützen
Die beste Rechtevergabe nützt wenig, wenn jeder ungehindert an die Plattform herankommt. Drei Dinge gehören zum Pflichtprogramm. Erstens: Zwei-Faktor-Authentifizierung für alle Konten. n8n unterstützt das laut Dokumentation über eine Authenticator-App. Zweitens: Die Bearbeitungsoberfläche gehört nicht offen ins Internet. Üblich ist, n8n hinter einen Reverse-Proxy mit HTTPS zu setzen und nicht direkt erreichbar zu machen.
Drittens, und gern vergessen: Webhooks sind öffentliche Adressen. Wer die URL kennt, kann den Workflow auslösen – es sei denn, Sie schützen ihn. Der Webhook-Node bietet dafür laut Dokumentation Basic Auth, Header Auth und JWT. „Keine Authentifizierung“ ist nur für wirklich öffentliche, harmlose Auslöser vertretbar. Ein eingebauter Sicherheitsbericht (n8n audit) weist ungeschützte Webhooks übrigens gezielt aus – dazu gleich mehr.
Den möglichen Schaden klein halten
Sicherheit heißt nicht nur, Einbrüche zu verhindern, sondern auch, den Schaden zu begrenzen, falls doch etwas schiefgeht. Hier hilft es, den Aktionsradius der Plattform bewusst einzuschränken. Manche Nodes sind mächtig genug, um beliebigen Code oder Befehle auf dem Server auszuführen; n8n sperrt riskante Bausteine wie den Execute Command-Node in aktuellen Versionen standardmäßig und lässt sie über die Variable NODES_EXCLUDE gezielt blockieren. Seit Version 2.0 ist außerdem der Zugriff auf Umgebungsvariablen aus dem Code-Node standardmäßig blockiert – damit ein selbst geschriebenes Skript nicht versehentlich an Server-Geheimnisse kommt.
Wer selbst hostet, kann zusätzlich verhindern, dass ein Workflow als Sprungbrett ins interne Netz missbraucht wird: Der SSRF-Schutz (N8N_SSRF_PROTECTION_ENABLED) blockt ausgehende Anfragen an interne und lokale Adressbereiche. Das ist eine ergänzende Schutzschicht – die erste Verteidigungslinie bleibt eine saubere Firewall auf Infrastrukturebene.
Wissen, was Sie haben – und aufräumen
Sicherheit verfällt, wenn niemand hinschaut. n8n bringt dafür einen eingebauten Audit mit: Der Befehl n8n audit erzeugt laut Dokumentation fünf Risikoberichte – darunter ungenutzte Zugangsdaten, riskante Nodes und ungeschützte Webhooks. Das ist ein guter Startpunkt für ein regelmäßiges Aufräumen. Die folgende Tabelle fasst zusammen, worauf es im Alltag ankommt:
| Worauf Sie achten | Konkrete Maßnahme |
|---|---|
| Wer hat Zugriff auf das System? | 2FA erzwingen, Oberfläche nicht offen ins Netz, Konten beim Offboarding sperren |
| Was darf jeder einzelne Zugang? | Token mit minimalen Rechten, je Integration ein eigener Dienst-Account |
| Ist der Verschlüsselungs-Schlüssel gesichert? | N8N_ENCRYPTION_KEY getrennt im Passwort-Manager hinterlegen |
| Liegen alte Zugänge ungenutzt herum? | Regelmäßig n8n audit laufen lassen, Altlasten entfernen |
| Was kann ein Workflow maximal anrichten? | Riskante Nodes blockieren, Lese- statt Schreibrechte wo möglich |
Ein eigener Punkt ist das Offboarding: Verlässt jemand das Unternehmen oder wird ein Tool abgelöst, gehören die zugehörigen Zugänge zurückgezogen oder neu ausgestellt. Dass Zugänge ohnehin regelmäßig ablaufen und gepflegt werden müssen, ist Teil des normalen Betriebs – das habe ich in Wartung von Automatisierungen genauer beschrieben. Der Unterschied: Dort geht es darum, dass Dinge weiterlaufen, hier darum, dass sie sicher bleiben.
Und noch eine grundsätzliche Frage: Wer kann Ihre Geheimnisse überhaupt sehen? Bei selbst gehostetem Betrieb sind das nur Sie; bei einem Cloud-Dienst vertrauen Sie sie dem Anbieter an. Beides ist legitim – wichtig ist, dass die Entscheidung bewusst fällt und nicht nebenbei.
Diese Liste ist eine Orientierung, kein Ersatz für ein vollständiges Sicherheitsaudit. Wenn Sie wissen wollen, wie eine Automatisierung in Ihrem Betrieb sicher und DSGVO-konform aufgesetzt wird, schauen wir uns im kostenlosen Prozess-Check Ihre Abläufe an. Ich sage Ihnen ehrlich, wo die sensiblen Stellen liegen – und wie man sie ohne übertriebenen Aufwand absichert.