Software-Architekturen für Web-Anwendungen: Schulung

Moderne Webarchitekturen im Überblick

Vom World Wide Web zur verteilten Anwendungsplattform

• Entwicklung von klassischen Websites zu komplexen Webanwendungen
• Browser, mobile Clients, Edge, Backend und Cloud
• Webanwendungen als verteilte Systeme
• Abgrenzung von Softwarearchitektur, Systemarchitektur und Infrastruktur
• Zusammenspiel von Architektur, Technologie und Organisation
• Warum eine moderne Architektur mehr als eine Frameworkauswahl ist
• Typische Ursachen überkomplexer Webarchitekturen
• Überblick über das im Seminar verwendete Referenzsystem

Architektur als Entscheidungsprozess

• Architekturentscheidungen unter Unsicherheit
• Anforderungen, Einschränkungen und Annahmen
• Nutzen, Kosten und Risiken einer Architektur
• Trade-offs statt allgemeingültiger Best Practices
• Reversible und schwer reversible Entscheidungen
• Vermeidung von Hype-driven Architecture

Anforderungen und Architekturtreiber

Von der fachlichen Anforderung zur technischen Struktur

• funktionale und nichtfunktionale Anforderungen
• Geschäftsziele als Ausgangspunkt der Architektur
• fachliche Komplexität und technische Komplexität
• Stakeholder und ihre unterschiedlichen Qualitätsvorstellungen
• organisatorische Rahmenbedingungen
• vorhandene Systeme, Kompetenzen und Betriebsmodelle

Qualitätsattribute moderner Webanwendungen

• Änderbarkeit und Wartbarkeit
• Performance und Antwortzeiten
• Skalierbarkeit und Elastizität
• Verfügbarkeit und Ausfallsicherheit
• Sicherheit und Datenschutz
• Testbarkeit und Beobachtbarkeit
• Interoperabilität und Portabilität
• Benutzerfreundlichkeit und Barrierefreiheit
• Kosten und Nachhaltigkeit
• Time-to-Market und Developer Experience

Praxisübung

• Architekturtreiber für das Referenzsystem bestimmen
• Qualitätsattribute priorisieren
• Zielkonflikte und Risiken sichtbar machen

Webplattform und Laufzeitarchitektur

Wie eine moderne Webanwendung ausgeführt wird

• Browser als Anwendungsplattform
• Rendering Engine und JavaScript Engine
• Document Object Model und Web APIs
• HTML als Living Standard, CSS in Modulen und Levels, JavaScript in jährlichen ECMAScript-Editionen
• Web Platform Baseline zur Bewertung der Browserunterstützung
• JavaScript und TypeScript im modernen Entwicklungsprozess
• Web Components und Design-Systeme
• WebAssembly als ergänzende Laufzeittechnologie

Kommunikation im Web

• HTTP als Grundlage der Webarchitektur
• HTTPS und Transport Layer Security
• HTTP/1.1, HTTP/2 und HTTP/3
• Request-Response und zustandslose Kommunikation
• Cookies, Sessions und Tokens
• Caching und Conditional Requests
• Content Delivery Networks und Edge Caching
• WebSockets, Server-Sent Events und WebTransport
• Auswirkungen der Kommunikationsform auf die Architektur

Frontend- und Rendering-Architekturen

Verteilung der Verantwortung zwischen Client und Server

• klassische serverseitig erzeugte Webanwendungen
• Client-side Rendering und Single Page Applications
• Server-side Rendering
• Static Site Generation
• inkrementelle statische Generierung
• Streaming und progressive Darstellung
• hybride Rendering-Architekturen
• Islands Architecture und partielle Hydration
• Auswahl anhand von Interaktivität, SEO, Performance und Betrieb

Moderne Komponentenmodelle

• komponentenbasierte Benutzeroberflächen
• Server Components und Client Components
• Server Functions und serverseitige Aktionen
• Zustandsmanagement
• Datenzugriff und Caching
• Formulare und Validierung
• Design-Systeme und wiederverwendbare Komponenten

Frontend-Architekturen im Vergleich

• Multi-Page Application
• Single Page Application
• Progressive Web Application: Service Worker, Offline-Betrieb, Installierbarkeit
• Backend for Frontend: eigene Serverschicht je Oberfläche
• Microfrontend Architecture
• modulare Frontends innerhalb eines Monolithen
• unabhängige Entwicklung und Bereitstellung
• organisatorische Voraussetzungen von Microfrontends
• Risiken durch redundante Frameworks und Abhängigkeiten

Mobile Bereitstellungsmodelle

• Responsive Web Application
• Progressive Web Application als Alternative zur App aus dem App Store
• native Anwendungen
• Cross-Platform-Anwendungen
• WebView- und Hybridlösungen
• gemeinsame und getrennte Backends
• Entscheidungskriterien für mobile Anwendungsszenarien

Praxisübung

• Rendering-Architektur für unterschiedliche Nutzungsszenarien auswählen
• Entscheidung zwischen SPA, SSR und hybrider Architektur dokumentieren

Backend- und Anwendungsarchitekturen

Strukturierung des Backends

• Präsentations-, Anwendungs-, Domänen- und Infrastrukturschicht
• Layered Architecture
• Hexagonal Architecture
• Ports and Adapters
• Clean Architecture
• Abhängigkeiten und Dependency Inversion
• Trennung von Fachlichkeit und Technik
• vertikale Schnitte und Feature-basierte Strukturen

Backend-Plattformen und Frameworks

• Java und Jakarta EE
• Spring Boot und Quarkus
• .NET und ASP.NET Core
• Node.js und TypeScript
• Python, PHP, Go und weitere Plattformen
• Kriterien für die Technologieauswahl
• Reifegrad, Ökosystem und langfristige Wartbarkeit
• Performance, Hosting und Betriebsanforderungen
• Kompetenzen im Unternehmen als Architekturtreiber

APIs und Integrationsarchitekturen

Synchrone Schnittstellen

• Services und lose Kopplung
• REST als Architekturstil
• Ressourcen, Methoden und Statuscodes
• Richardson Maturity Model
• OpenAPI und Contract-first Development
• API-Versionierung und Kompatibilität
• Pagination, Filtering und Fehlerbehandlung
• Idempotenz und Wiederholbarkeit
• GraphQL: Stärken, Grenzen und Einsatzfelder
• gRPC und Protocol Buffers
• interne und externe APIs

API-Management

• API Gateway
• Backend for Frontend und API Gateway: Aufgaben sauber trennen
• Authentifizierung und Autorisierung
• Rate Limiting und Quotas
• Routing und Transformation
• API-Komposition
• Governance und Lifecycle
• Developer Portals für API-Dokumentation, Testzugänge und Schlüsselvergabe
• API-Monetarisierung als optionales Szenario

Asynchrone Integration

• Messaging und Event-driven Architecture
• Events, Commands und Messages
• Producer, Consumer, Broker und Channels
• Publish-Subscribe
• Queues und Event Streams
• Event Notification und Event-carried State Transfer
• AsyncAPI als Schnittstellenvertrag
• Schema Registry und Schema Evolution
• Reihenfolge, Duplikate und Zustellgarantien
• Dead Letter Queues
• Idempotent Consumer
• Eventual Consistency

Praxisübung

• REST, GraphQL, gRPC und Messaging vergleichen
• Integrationsstil anhand konkreter Anforderungen auswählen
• einen einfachen API- oder Event-Vertrag skizzieren

Datenarchitekturen und Zustandsmanagement

Moderne Datenhaltung

• relationale Datenbanken
• Dokumentendatenbanken
• Key-Value Stores
• spaltenorientierte und Graphdatenbanken
• Suchmaschinen und Suchindizes
• Zeitreihen- und Vektordatenbanken
• Object Storage
• In-memory-Datenbanken und Caches

Auswahl eines Datenmodells

• strukturierte und unstrukturierte Daten
• Konsistenz und Verfügbarkeit
• Transaktionen und ACID
• CAP-Theorem richtig einordnen
• horizontale Skalierung und Partitionierung
• Replikation und Ausfallsicherheit
• Polyglot Persistence
• Risiken einer unnötig heterogenen Datenlandschaft

Daten in verteilten Anwendungen

• Shared Database versus Database per Service
• Datenhoheit und fachliche Zuständigkeit
• Eventual Consistency
• Saga Pattern
• Transactional Outbox
• Change Data Capture
• CQRS
• Event Sourcing
• verteiltes Caching
• Datenmigration und Schema Evolution

Praxisübung

• Datenverantwortung für das Referenzsystem festlegen
• Konsistenzanforderungen bewerten
• geeignete Speichermodelle auswählen

Architekturstile und Systemzuschnitt

Monolithische Architekturen

• klassischer Monolith
• modularer Monolith
• Modulgrenzen und Abhängigkeitsregeln
• Vorteile einer gemeinsamen Bereitstellung
• typische Erosionsprozesse
• automatisierte Prüfung der Modulgrenzen
• der modulare Monolith als langfristige Lösung oder Ausgangspunkt

Microservice Architecture

• fachliche Zerlegung
• Bounded Contexts und Domain-driven Design
• unabhängige Entwicklung und Bereitstellung
• dezentrale Datenhaltung
• Teamautonomie und Conway’s Law
• Service Discovery und Konfiguration
• verteilte Kommunikation
• operative und organisatorische Mehrkosten
• Distributed Monolith als Fehlentwicklung
• Voraussetzungen für erfolgreiche Microservices

Weitere Architekturstile

• Web-Queue-Worker
• Event-driven Architecture
• Serverless Architecture
• Functions as a Service
• Pipeline- und datenorientierte Architekturen
• hybride Architekturen
• Multi-Tenant-SaaS-Architekturen
• Edge- und geografisch verteilte Architekturen

Architekturentscheidung: Monolith oder Microservices?

• Größe und Komplexität der Fachdomäne
• Anzahl und Struktur der Teams
• Änderungs- und Releasehäufigkeit
• Skalierungsanforderungen
• unterschiedliche Verfügbarkeitsanforderungen
• Technologieheterogenität
• DevOps- und Plattformreife
• Kosten der Verteilung
• evolutionärer Übergang statt Big-Bang-Migration

Praxisübung

• Architekturvarianten für das Referenzsystem entwickeln
• modularen Monolithen und Microservices vergleichen
• begründete Entscheidung als ADR dokumentieren

Cloud-native Architekturen und Plattformen

Bereitstellungsmodelle

• On-Premises, Hosting und Cloud
• Public, Private, Hybrid und Multi-Cloud
• Infrastructure as a Service
• Platform as a Service
• Software as a Service
• Containers as a Service
• Functions as a Service
• Edge Computing

Compute-Entscheidungen

• virtuelle Maschinen
• Container
• Kubernetes
• Managed Container Platforms
• Serverless Functions
• Managed Application Platforms
• Kriterien für die Auswahl
• Kubernetes: wann sinnvoll, wann überdimensioniert?
• Portabilität versus Cloud-Optimierung
• Vendor Lock-in differenziert bewerten

Cloud-native Entwicklungs- und Betriebsmodelle

• Container Images und Registries
• deklarative Infrastruktur
• Infrastructure as Code
• Continuous Integration und Continuous Delivery
• GitOps
• Immutable Infrastructure
• Blue-Green- und Canary-Deployments
• Feature Flags
• automatisierte Rollbacks
• Secrets und Konfigurationsmanagement

Platform Engineering

• interne Entwicklungsplattformen
• Self-Service für Entwicklungsteams
• Golden Paths und Templates
• Developer Portals als Einstieg in die interne Plattform
• Standardisierung ohne unnötige Einschränkungen
• Developer Experience
• Produktdenken für interne Plattformen
• Build versus Buy

Wirtschaftlichkeit

• Total Cost of Ownership
• variable und schwer prognostizierbare Kosten
• FinOps
• Skalierung und Überprovisionierung
• Managed Services versus Eigenbetrieb
• Exit-Strategien und Portabilität

Security, Resilienz und Observability

Security by Design

• Bedrohungsmodell und Schutzbedarf
• Zero Trust und Least Privilege
• Identity Provider
• OAuth 2.0 und OpenID Connect
• Sessions, Tokens und sichere Speicherung
• rollen- und attributbasierte Zugriffskontrolle
• Web Application Firewall
• API-Sicherheit
• Schutz personenbezogener Daten
• Mandantentrennung
• Verschlüsselung während Übertragung und Speicherung

Aktuelle Anwendungssicherheit

• OWASP Top 10:2025
• Broken Access Control
• Security Misconfiguration
• Software Supply Chain Failures
• Injection und unsichere Datenverarbeitung
• OWASP API Security Top 10
• ASVS 5.0 als überprüfbarer Anforderungskatalog
• Threat Modeling
• Security Tests innerhalb der Delivery Pipeline

Software Supply Chain

• Abhängigkeiten und transitive Abhängigkeiten
• Software Bill of Materials
• Signierung von Artefakten
• Provenance und Attestations
• abgesicherte Build-Pipelines
• Schwachstellenprüfung
• Update- und Patch-Strategien
• SLSA als Reifegradmodell

Resilienz verteilter Systeme

• Timeouts und kontrollierte Wiederholungen
• exponentielles Backoff und Jitter
• Circuit Breaker
• Bulkheads
• Rate Limiting
• Load Shedding
• Fallbacks
• Idempotenz
• Health Checks
• Graceful Degradation
• Chaos Engineering
• Disaster Recovery

Observability

• Unterschied zwischen Monitoring und Observability
• Logs, Metriken und Traces
• Distributed Tracing
• Context Propagation und Correlation IDs
• Service Level Indicators und Service Level Objectives
• OpenTelemetry APIs, SDKs und Collector
• herstellerneutrale Instrumentierung
• Telemetriedaten als Bestandteil der Architektur
• Datenschutz und Kosten der Observability

KI-erweiterte und agentische Webanwendungen

KI als neue Architekturkomponente

• Einordnung von Sprach- und multimodalen Modellen
• externe APIs versus selbst betriebene Modelle
• Modellwahl und Modellabstraktion
• Model Gateway
• Routing zwischen mehreren Modellen
• Latenz, Kosten und Verfügbarkeit
• Streaming von Modellausgaben
• Caching und semantisches Caching
• strukturierte Ausgaben

Retrieval-Augmented Generation

• Grenzen des Modellwissens
• Grounding mit unternehmenseigenen Informationen
• Dokumentaufnahme und Aufbereitung
• Chunking und Metadaten
• Embeddings und Indizes
• Vektor-, Volltext- und hybride Suche
• Retrieval, Re-Ranking und Kontextaufbau
• Berechtigungen bis auf Dokumentebene
• Quellenangaben und Nachvollziehbarkeit
• Evaluation von Retrieval und Antwort
• klassische und agentische Retrieval-Verfahren

KI-Agenten und Werkzeugintegration

• Unterschied zwischen Assistent, Workflow und Agent
• Planung und Werkzeugaufrufe
• Tool- und Kontextprotokolle wie MCP
• Zugriff auf APIs und Unternehmenssysteme
• kurz- und langfristiger Kontext
• Zustandsmanagement
• Human-in-the-Loop
• Freigaben und kontrollierte Aktionen
• Multi-Agent-Systeme kritisch bewerten
• Grenzen der Autonomie

Sicherheit und Betrieb von KI-Anwendungen

• Prompt Injection
• indirekte Prompt Injection
• Datenabfluss
• übermäßige Berechtigungen
• unsichere Tool-Aufrufe
• Modell- und Providerabhängigkeit
• Guardrails und Policy Enforcement
• Evaluation und kontinuierliches Monitoring
• Auditierbarkeit und Governance
• Fallbacks bei Modell- oder Providerfehlern

Architektur dokumentieren und weiterentwickeln

Verständliche Architekturdokumentation

• Zielgruppen von Architekturdokumentation
• Diagramme als Kommunikationsmittel
• C4-Modell
• System Context
• Container
• Components
• dynamische und Deployment-Diagramme
• sinnvolle Diagramme statt beliebiger Kästen und Pfeile

Strukturierte Dokumentation

• arc42 als Dokumentationsstruktur
• Ziele und Rahmenbedingungen
• Kontext und Abgrenzung
• Baustein- und Laufzeitsicht
• Verteilungssicht
• Qualitätsanforderungen
• Risiken und technische Schulden
• Docs as Code

Architecture Decision Records

• Anlass und Kontext einer Entscheidung
• betrachtete Alternativen
• Entscheidung und Begründung
• Konsequenzen und Risiken
• Status und spätere Revision
• Verknüpfung mit Anforderungen und Qualitätszielen
• KI-unterstützte Erstellung und Überprüfung von ADRs

Evolutionäre Architektur

• Architektur als kontinuierliche Aufgabe
• Architecture Fitness Functions
• automatisierte Struktur- und Abhängigkeitsprüfungen
• technische Schulden sichtbar machen
• Refactoring und Modernisierung
• Strangler Fig Pattern
• Migration in überschaubaren Schritten
• Architektur-Governance ohne zentrale Blockade

Abschlussworkshop: Eine Webarchitektur entwerfen

Die Teilnehmenden entwickeln für das Referenzsystem oder ein eigenes Anwendungsszenario eine begründete Zielarchitektur.

Arbeitsschritte

• fachlichen Kontext beschreiben
• Stakeholder und Qualitätsziele bestimmen
• Systemgrenzen definieren
• Frontend- und Rendering-Architektur auswählen
• Backend und Module strukturieren
• APIs und Events festlegen
• Datenverantwortung bestimmen
• Deployment-Modell auswählen
• Security und Observability integrieren
• Einsatz von KI-Komponenten bewerten
• zentrale Architekturentscheidungen als ADR dokumentieren
• Architektur mit einem C4-Containerdiagramm präsentieren

Gemeinsame Auswertung

• Welche Anforderungen werden gut erfüllt?
• Wo entstehen neue Komplexität und Risiken?
• Welche Entscheidungen sind reversibel?
• Welche Annahmen müssen überprüft werden?
• Welche Architekturteile sollten zunächst einfacher gestaltet werden?
• Wie kann sich die Architektur schrittweise weiterentwickeln?