Erste Schritte

Von der Einladung bis zur ersten Freigabe. Eine Viertelstunde, wenn der Server schon da ist, auf dem Heinzel arbeiten soll. Wir begleiten Anna Berg, Administratorin der Beispiel GmbH, durch ihren ersten Tag.

1. Anmelden und das Konto einrichten

Sie bekommen eine Mail mit einem Anmeldelink. Der Link gilt einmal und 15 Minuten; wer ihn öffnet, ist angemeldet und setzt als Erstes ein Passwort. Bei einer Installation im eigenen Haus registriert sich die erste Person unter /auth/register, wird Administratorin der Installation, und danach ist die Registrierung geschlossen; alle weiteren werden eingeladen.

Unter Konto und Anmeldung richten Sie danach ein, womit Sie sich künftig anmelden:

Passkey: Fingerabdruck, Gesicht oder Geräte-PIN. Ein Passkey zählt als beide Faktoren, der zweite Faktor entfällt beim Anmelden damit.
Zwei-Faktor-Authentifizierung: ein Code aus einer Authenticator-App. Verlangt die Installation einen zweiten Faktor, richten Sie ihn hier ein, auch mit Passkey, weil die Anmeldung mit Passwort möglich bleibt. Legen Sie danach die Recovery-Codes ab.
Geräte: jede Anmeldung ist eine Sitzung in einem Browser. Ein Gerät, das Sie nicht kennen, melden Sie hier ab, und seine Seiten schließen sich sofort.

Die Seite Konto und Anmeldung: Profil mit Name und Sprache, die eigenen Rechte, Berichte meiner Sessions, Passkeys, Zwei-Faktor-Authentifizierung, E-Mail, Passwort und die Liste der angemeldeten Geräte — Die Kontoseite. Unter „Was Sie dürfen“ steht Ihre Rolle und jedes einzelne Recht, falls eine Seite einmal zu ist.

Beispiel: Anna öffnet den Link aus der Mail, setzt ein Passwort mit zwölf Zeichen, legt mit dem Fingerabdruck ihres Laptops einen Passkey an und richtet dazu die Authenticator-App ein, weil ihre Firma den zweiten Faktor verlangt. Drei Minuten.

2. Die Übersicht lesen

Nach der Anmeldung landen Sie auf der Übersicht. Oben steht, was heute einen Menschen braucht: wartende Freigaben, fehlgeschlagene Sessions, Server, die noch eingerichtet werden müssen. Die Navigation links ist in vier Teile geteilt.

Bereich	Seiten	Wofür
Heute	Sessions, Freigaben, Befunde	Die tägliche Arbeit: Aufgaben geben, Befehle freigeben, Probleme abarbeiten, die ein nächtlicher Lauf gefunden hat.
Einrichten	Server, Zeitpläne, Regeln	Was Heinzel betreut, wann es von allein nachsieht, und das Regelwerk, nach dem es arbeitet.
Nachschlagen	Audit-Protokoll, Begriffe	Wer wann was getan hat, und was jedes Wort der Oberfläche bedeutet.
Verwaltung	Benutzer, Gruppen, Einstellungen, VPN, SSH-Schlüssel, Geheimnisse, API-Tokens und mehr	Für Administratoren. Eingeklappt, bis man es braucht. Ganz unten: Konto, und für Administratoren der Installation der Eintrag Installation.

Die Übersicht von Heinzel Pro mit der Navigation links: Wartet auf Sie, vier Zähler für Server, offene Freigaben, Sessions in Arbeit und Benutzer, die letzten Sessions und ein Kasten mit Version, Regelwerk, Modell und Lizenz der Installation — Die Übersicht der Beispiel GmbH nach dem ersten Nachtlauf. Rechts unten steht, welche Version läuft.

Mit Strg+K öffnen Sie überall die Suche: Server, Sessions, Befehle, Seiten. Mit Strg+S eine neue Session.

3. Das Modell anschließen

Heinzel Pro bringt kein Modell mit. Es spricht mit dem Anbieter, dessen Schlüssel Sie hinterlegen; gehostet bei uns ist das schon geschehen, im eigenen Haus tut es die Administratorin einmal. Unter Verwaltung, Einstellungen, Modellanbieter:

Anbieter hinzufügen. Ein Name („Anthropic“), die Art (Anthropic oder OpenAI-kompatibel) und der API-Schlüssel. Der Schlüssel wird verschlüsselt gespeichert und nie wieder angezeigt; ein leeres Feld beim Bearbeiten behält ihn.
Modelle ankreuzen. Der Katalog kennt die aktuellen Modelle beim Namen; eine andere ID lässt sich eintippen. Typisch sind drei: ein ausgewogenes für alle, das stärkste fürs erfahrene Team, das schnellste für Kleinigkeiten.
Testen. Ein Knopf, eine Anfrage, eine Antwort. Erst dann speichern.

Einstellungen, Modellanbieter: der Anbieter Anthropic mit dem Modell Claude Opus 5.5 als Standard für alle Mitglieder, darunter der Modellkatalog mit Version und einem Feld für einen neueren signierten Katalog — Ein Anbieter, ein Modell, als Standard für alle Mitglieder. Mehr braucht es zum Start nicht.

4. Den ersten Server anlegen

Unter Server, Server hinzufügen drei Angaben: wo Heinzel den Server findet, als wer es sich anmeldet, und das Höchste, was irgendjemand dort darf.

Das Formular Server hinzufügen: Wo findet Heinzel den Server (direkt, über VPN, über einen Sprungserver), Hostname oder IP und SSH-Port, der SSH-Benutzer, und die Obergrenze als vier Knöpfe nichts, sieht, arbeitet, ändert allein — Für den Anfang: direkt erreichbar, Port 22, ein Benutzer, Obergrenze „arbeitet“. Heinzel liest dann allein und fragt vor jeder Änderung.

Beispiel: Anna trägt web01.example.com ein, Port 22, Benutzer heinzel, Obergrenze rw-. Nach dem Speichern zeigt die Seite des Servers den öffentlichen Schlüssel, den Heinzel Pro gerade erzeugt hat. Den privaten Schlüssel verlässt die Anwendung nie.

Auf dem Server, als root, einmal:

# Ein eigener Benutzer für Heinzel, mit sudo ohne Passwort
$ adduser --disabled-password --gecos "Heinzel Pro" heinzel
$ install -d -m 700 -o heinzel -g heinzel /home/heinzel/.ssh
$ echo "ssh-ed25519 AAAAC3NzaC1lZDI1NTE5AAAAI… heinzel-pro" \
  > /home/heinzel/.ssh/authorized_keys
$ chown heinzel:heinzel /home/heinzel/.ssh/authorized_keys
$ chmod 600 /home/heinzel/.ssh/authorized_keys
$ echo "heinzel ALL=(ALL) NOPASSWD: ALL" > /etc/sudoers.d/heinzel
$ chmod 440 /etc/sudoers.d/heinzel

Die Schlüsselzeile kopieren Sie von der Serverseite. Dann Testen: Heinzel Pro meldet sich an, speichert den Host-Key des Servers und zeigt System, Platten und Laufzeit. Von jetzt an verweigert es die Verbindung, sollte der Host-Key sich je ändern.

Die Seite des Servers backup2.example.com: Zustand einrichten, System und Platten noch nicht erfasst, der Zugang root mit rwx und den Knöpfen Testen, Bearbeiten und Session als root, darunter Schlüssel und Host-Key, Wer darf hier was, Journal, Was Heinzel weiß, Sessions und Server entfernen — Die Serverseite direkt nach dem Anlegen. Unter „Schlüssel und Host-Key“ steht der öffentliche Schlüssel zum Kopieren; nach dem ersten Test füllen sich System und Platten.

Mehr dazu, auch Sprungserver, VPN und der Import vieler Server auf einmal, in Server und Verbindungen.

5. Die erste Session

Neue Session: Server wählen, die Stufe lassen, wie sie ist, und die Aufgabe in einem Satz schreiben. Kein Befehl, kein Fachbegriff.

Annas erste Aufgabe auf web01:

Eingabe: Welche Dienste laufen auf web01, und gibt es ausstehende Sicherheitsupdates? Nur nachsehen, nichts ändern.

Heinzel liest: Betriebssystem, laufende Dienste, die Paketliste. Lesende Befehle laufen auf jeder Stufe sofort, jeder mit seiner Einstufung „nur lesen“, Exit-Code, Dauer und Ausgabe. Nach einer Minute steht die Antwort: Debian 12, nginx und PHP-FPM, sieben Sicherheitsupdates, darunter zwei für PHP.

Eine Session: drei lesende Befehle mit ihrer Ausgabe, darunter die Antwort von Heinzel mit der gefundenen Ursache — So sieht Lesen aus, hier in der Session zum Backup-Alarm aus den Beispielen: Befehl, Einstufung, Ausgabe, dann die Antwort.

6. Die erste Freigabe

Schreiben Sie weiter: „Spiel die Sicherheitsupdates ein, ohne Neustart.“ Der nächste Befehl ändert etwas, also wartet er. Die Karte zeigt die Einstufung (für ein Update „Paket“), den Befehl Wort für Wort, Heinzels Begründung und zwei Knöpfe.

Eine Befehlskarte, die auf Freigabe wartet: Einstufung Dienst, der Server, der vollständige Befehl, die Begründung von Heinzel und die Knöpfe Freigeben und Ablehnen — Eine wartende Karte, hier aus dem Backup-Beispiel mit der Einstufung „Dienst“. Lesen Sie den Befehl, nicht nur die Begründung: Heinzel kann sich irren, und die Freigabe ist Ihre.

Freigeben: der Befehl läuft, genau so, wie er dasteht.
Ablehnen, mit einem Grund, wenn Sie wollen. Heinzel liest ihn und sucht einen anderen Weg oder fragt nach; umformulieren und noch einmal vorschlagen darf es nicht.

Sie müssen dafür nicht auf der Seite bleiben. Die Seite Freigaben sammelt wartende Befehle aller Sessions, der Browser-Tab zeigt „● Freigabe nötig“ im Titel, und mit „In diesem Browser benachrichtigen“ meldet sich der Browser auch aus einem anderen Fenster. Auf dem Handy sieht die Karte genauso aus.

Ist die Aufgabe erledigt, schreibt Heinzel eine Zusammenfassung oben in die Session (Änderungen, Prüfung, offene Punkte, Weg zurück) und eine Notiz ins Journal des Servers. Die nächste Session auf web01 liest sie, ob morgen oder in einem Jahr.

Das Ende einer Session: ein prüfender Lesebefehl mit Exit-Code und Dauer, der Hinweis, dass ein Journaleintrag für den Server geschrieben wurde, die Abschlussmeldung von Heinzel und das Eingabefeld für die nächste Nachricht — Erledigt: Heinzel prüft nach, schreibt ins Journal und sagt, was offen bleibt.

Wie es weitergeht

Sessions und Freigaben: die drei Stufen, Pläne für größere Aufgaben, Dateiänderungen als Diff, Teilen mit Kollegen, Berichte.
Zeitpläne: dieselbe Prüfung jede Nacht auf allen Servern, mit Bericht am Morgen.
Rechte: Kollegen einladen und festlegen, wer auf welchem Server wie weit gehen darf.