
\section{Anforderungserhebung} %(10-12 Seiten) %long dash

\subsection{Stakeholder-Analyse}
- DevOps-Team (Automatisierung, Wartbarkeit)
- Sicherheitsteam (Compliance, Audit)
- Kunden (Air-Gapped-Betrieb, Support)
- Entwickler (CI/CD-Geschwindigkeit)

\subsection{Funktionale Anforderungen}
| ID | Anforderung | Priorität |
|----|-------------|-----------|
| FA-1 | Container-Image-Build mit automatischem SBOM | Hoch |
| FA-2 | Image-Signing nach Build | Hoch |
| FA-3 | Vulnerability-Scan vor Registry-Push | Hoch |
| FA-4 | Nur signierte Images deployen (Policy Enforcement) | Hoch |
| FA-5 | Automatisierte Image-Sync aus externer Registry (Air-Gapped) | Hoch |
| FA-6 | Cluster-Provisioning mit kubeadm in <2h | Mittel |
| FA-7 | Rollback bei Failed Deployment | Hoch |

\subsection{Qualitative Anforderungen} %(Qualitätsziele)
| Qualitätsmerkmal | Zielwert | Messung |
|------------------|----------|---------|
| **Verfügbarkeit** (Air-Gapped) | 99,9% ohne Internet | Uptime-Monitoring |
| **Security** | 0 kritische CVEs in Production | Trivy-Scan |
| **Patch-Reaktionszeit** | ≤48h nach CVE-Veröffentlichung | Zeitstempel-Messung |
| **Automatisierungsgrad** | >90% manuell → automatisiert | Steps zählen |
| **Deployment-Zeit** (Air-Gapped) | ≤30min nach Sync | CI/CD-Logs |
| **Wartbarkeit** | Vollständig dokumentiert (arc42) | Checkliste |

\subsection{Randbedingungen}
- Bestehender Stack: 20-30 Container aus Praktikum
- Team-Kenntnisse: Kubernetes-Basis, wenig Security-Expertise
- Budget: Open-Source-Tools bevorzugt
- Compliance: BSI-Kritis/ISO 27001 (optional, aber empfohlen)

\subsection{Zielkonflikte}
| Konflikt | Auflösung |
|----------|-----------|
| Security-Scans verlangsamen CI | Parallelisierung, Caching |
| Air-Gapped-Sync vs. Aktualität | Automatisiertes Scheduling (alle 24h) |
| Automatisierung vs. Komplexität | Dokumentation, Runbooks, Training |