Installation

ProcessFlow läuft vollständig in Ihrer eigenen Infrastruktur (On-Premise). Dieses Kapitel beschreibt die Voraussetzungen, die beiden Installationswege und die Konfiguration, die für einen sicheren Start nötig ist.

Architektur in Kürze

ProcessFlow besteht aus wenigen Bausteinen:

• Backend (Spring Boot, Java 25): der zentrale Dienst. Er enthält die gesamte Logik.
• Web-Oberfläche: wird vom Backend mit ausgeliefert. Es gibt einen Dienst und einen Port – keine getrennte Web-Installation.
• PostgreSQL-Datenbank: speichert Konfiguration, Flows und Ausführungen.
• Geräte-App (Android): läuft auf Scannern und Tablets und verbindet sich über das Netzwerk mit dem Backend.

Systemvoraussetzungen

Komponente	Anforderung
Betriebssystem	Windows-Server (für den Installer) oder ein Docker-fähiger Linux-Host
Datenbank	PostgreSQL. Beim Windows-Weg optional mitinstalliert (Version 16 wird gebündelt)
Netzwerk	Die Geräte müssen den Server-Port erreichen (Standard 8081)
Web-Oberfläche	Aktueller Browser auf dem Administrations-Arbeitsplatz
Laufzeit	Java wird beim Windows-Installer mitgeliefert; im Docker-Image bereits enthalten

Standardmäßig genutzte Ports:

Port	Dienst	Zweck
8081	Backend (Windows-Dienst „ProcessFlow“ bzw. Docker-Container)	Web-Oberfläche, Geräte-Anbindung, API
5433	Dienst „ProcessFlowDb“ (lokale PostgreSQL beim Windows-Weg)	Datenbank

Zwei Installationswege

Es gibt zwei unterstützte Wege. Wählen Sie einen – beide führen zum selben Ergebnis.

1. Windows-Installer – empfohlen für On-Premise-Betrieb ohne Container-Infrastruktur.
2. Docker – für Umgebungen, in denen bereits Container betrieben werden.

Weg 1: Windows-Installer

Der Setup-Assistent installiert das Backend als Windows-Dienst „ProcessFlow“ inklusive mitgelieferter Java-Laufzeit.

1. Installer als Administrator starten und dem Assistenten folgen.
2. Datenbank wählen:
   • eigene lokale PostgreSQL-Instanz – wird als Dienst „ProcessFlowDb“ auf Port 5433 mitinstalliert, oder
   • vorhandene PostgreSQL-Datenbank – hier ist ein Verbindungstest verpflichtend, bevor es weitergeht.
3. Sicherheits-Secrets: Der Installer setzt die beiden Pflichtwerte (siehe Abschnitt Pflicht-Konfiguration) während des Setups.
4. TLS: wahlweise ein selbstsigniertes Zertifikat erzeugen lassen oder eine eigene PFX-Datei übernehmen.
5. Optional die signierte Geräte-App (APK) mitinstallieren – sie wird dann direkt vom Server bereitgestellt.

Der Installer trennt Programm und Daten sauber:

Verzeichnis	Inhalt	Bei Updates
C:\Program Files\ProcessFlow	Programmdateien, Java-Laufzeit	wird ersetzt
C:\ProgramData\ProcessFlow	Daten, Konfiguration, Zertifikate, Logs, Backups, Lizenz	bleibt erhalten

📷 Screenshot folgt

TODO-SCREENSHOT: Setup-Assistent des Windows-Installers, Schritt „Datenbank auswählen“ mit Verbindungstest.

Weg 2: Docker

Das Container-Image läuft als Nicht-Root. Ein Beispiel für docker-compose.yml:

services:
  processflow:
    image: processflow:latest
    ports:
      - "8081:8081"          # der Dienst lauscht im Container auf Port 8081
    environment:
      JASYPT_ENCRYPTOR_PASSWORD: "<pro Installation individuell setzen>"
      PROCESSFLOW_DEVICEAUTH_PEPPER: "<pro Installation individuell setzen>"
      SPRING_DATASOURCE_URL: "jdbc:postgresql://db:5432/processflow"
      SPRING_DATASOURCE_USERNAME: "processflow"
      SPRING_DATASOURCE_PASSWORD: "ENC(...)"   # verschlüsselt hinterlegen
    depends_on:
      - db

  db:
    image: postgres:16
    environment:
      POSTGRES_DB: processflow
      POSTGRES_USER: processflow
      POSTGRES_PASSWORD: "<Datenbank-Passwort>"
    volumes:
      - pgdata:/var/lib/postgresql/data

volumes:
  pgdata:

PostgreSQL können Sie als eigenen Container betreiben (wie oben) oder auf eine externe Datenbank verweisen. Das Image bringt einen eigenen Healthcheck mit, der /actuator/health prüft.

Pflicht-Konfiguration: Sicherheits-Secrets

Pro Installation individuell setzen

Zwei Secrets müssen pro Installation individuell gesetzt und sicher verwahrt werden (z. B. im Passwort-Manager):

• PROCESSFLOW_DEVICEAUTH_PEPPER – sichert die Geräte-PINs zusätzlich ab. Ohne diesen Wert verweigert das Backend absichtlich den Start.
• JASYPT_ENCRYPTOR_PASSWORD – verschlüsselt die gespeicherten Zugangsdaten Ihrer Ressourcen. Hier gibt es keinen Startabbruch als Sicherheitsnetz — prüfen Sie nach der Installation bewusst, dass der Wert gesetzt ist.

Beim Windows-Weg setzt der Installer beide Werte während des Setups.

Achtung

Geht das Jasypt-Passwort verloren, lassen sich die verschlüsselt gespeicherten Ressourcen-Zugangsdaten nicht mehr entschlüsseln. Sie müssten dann neu eingegeben werden. Behandeln Sie den Wert wie einen Hauptschlüssel.

Weitere Konfiguration

Bereich	Einstellung	Hinweis
Datenbank	JDBC-URL, Benutzer, Passwort	Passwort verschlüsselt als ENC(...) ablegen
TLS	PKCS12/PFX-Zertifikat, optional HTTP→HTTPS-Umleitung	selbstsigniert (Installer) oder eigenes Zertifikat
Anmelde-Modus	processflow.auth.mode: keycloak oder internal	siehe Sicherheit und Datenschutz
Geräte-Registrierung	URL für den Registrierungs-QR-Code	Adresse, unter der die Geräte den Server erreichen
CORS	standardmäßig aus	nur nötig, wenn die Web-Oberfläche ausnahmsweise von einem anderen Origin ausgeliefert wird

TLS (Transport Layer Security, verschlüsselte Verbindung) wird direkt im Dienst terminiert – ein vorgeschalteter Reverse Proxy ist nicht zwingend erforderlich.

Schema-Migrationen

Hinweis

Die Datenbank-Migrationen (Liquibase) laufen automatisch beim Start des Backends. Es gibt keinen manuellen Migrationsschritt – auch nicht nach einem Update.

Updates einspielen

Windows-Installer:

1. Neuen Installer über die bestehende Installation laufen lassen.
2. Die Dienste werden gestoppt; bei mitinstallierter Datenbank wird vorher automatisch gesichert.
3. Nach dem Neustart laufen die Migrationen automatisch. Konfiguration, Zertifikate und Lizenz bleiben erhalten.

Docker:

1. Neues Image ziehen.
2. Container neu erstellen.
3. Die Datensicherung vor dem Update liegt in Ihrer Verantwortung als Betreiber.

Details zur Sicherung finden Sie unter Betrieb und Wartung.

Nach der Installation geht es weiter mit der Ersten Einrichtung.