Kardia — ein Business-System als Werkstück

Ausgangslage

Kleine Unternehmen jonglieren Kalender, Aufgaben, Notizen, Berichte und Zeiterfassung über ein halbes Dutzend getrennter Tools — oder über Tabellen. Die Frage hinter Kardia war nicht nur, ob sich das bündeln lässt, sondern ob ein System dieser Größe so gebaut werden kann, dass ein Dritter es prüfen kann.

Ansatz

Ein modularer Monolith: FastAPI + React-19-PWA, Bausteine zum Zuschalten, verbunden durch einen KI-Assistenten nach dem Prinzip propose-then-approve — er schlägt vor, freigegeben wird von Hand, jede Freigabe landet in einem unveränderlichen Protokoll.

Umsetzung

Mandantentrennung über PostgreSQL Row-Level Security (Rolle NOBYPASSRLS): von der Datenbank erzwungen, nicht von Disziplin, mit Pflicht-Isolationstests je Tabelle. Der Assistent spricht über eine OpenAI-kompatible Schnittstelle — dieselbe Inferenz lokal (llama.cpp) oder EU-serverless; ein Providerwechsel ist Konfiguration, kein Umschreiben. Betrieb auf eigener EU-Infrastruktur: Caddy, docker-compose, Auto-HTTPS, nächtliche Backups mit Restore-Runbook, Monitoring (Sentry, EU).

Audit

Am 07.09.2026 wurde der eigene Code geprüft wie fremder: 1.596 automatisierte Tests grün (1.239 im Backend auf laufender Datenbank, 357 im Frontend), 28/28 Tabellen mit erzwungener Mandantentrennung, fail-closed. Die offenen Befunde stehen priorisiert in der Akte, nicht unter dem Teppich.

Was bleibt

Kardia ist heute ein Werkstück: der Beleg, wie hier Systeme gebaut und geprüft werden. Genau diese Prüfung ist als Leistung buchbar — auf der Seite Verteidigung.