Fragen & Antworten.

Die Backup-Berichte las bei uns nach dem Wechsel immer noch der frühere IT-Betreuer, jeden Tag, nur wir selbst nicht. Aufgefallen ist das, weil jemand sagte, wir bekämen keine Backup-Mail mehr. Bei der Bestandsaufnahme fand ich drei getrennte Sicherungsstränge, einer davon stand seit dem 8. August still, und den Hauptzugang zur Sicherungsmaschine hat bis heute nur er. Wer den Betreuer wechselt, übergibt nicht nur die Schlüssel, sondern auch die Frage, wem die Maschinen Bescheid sagen.

Viermal eine neue Sicherungsplatte zu kaufen half nicht, weil der Fehler nie in der Platte saß, sondern im Weg dorthin. Seit März kamen bei uns vier neue USB-Platten, trotzdem stand die nächtliche Serversicherung seit dem 8. August still. Das Protokoll zeigte, dass die Platte an einem einzigen Tag rund 550 Mal getrennt und neu erkannt wurde, ein Aussetzer in der Durchreichung zum virtuellen Server. Jeder Mechaniker kennt das vom Sensor, der dreimal getauscht wird, obwohl der Kabelbaum schuld ist.

Eine Anleitung, die alle Mitarbeiter lesen sollen, schreibt man dorthin, wo sie ohnehin jeden Tag hinschauen. Ich hatte unsere Anleitung zum Dokumentenarchiv zuerst in die Versionsverwaltung gelegt, sauber geschrieben und trotzdem wirkungslos, denn keiner meiner fünfzehn Mitarbeiter öffnet Forgejo. Jetzt steht sie im Mitarbeiterhandbuch in Nextcloud, direkt neben den Ordnern, die den ganzen Tag offen sind. Eine Dokumentation am falschen Ort ist keine Dokumentation, sondern ein Selbstgespräch.

Eine Vermutung reicht nicht, man braucht eine Messung, die Zeitpunkt und Ausmaß festhält. Unser Internet war seit Mitte Juli immer wieder zäh, aber einundfünfzig Tage lang hat niemand gemessen, weil das alte Prüfskript keine echte Systemd-Unit war und nach sechs Stunden von selbst ausstieg. Seit es als Dienst mit Neustart-Garantie läuft und alle zehn Sekunden Verlust, Latenz und Jitter mitschreibt, standen nach anderthalb Stunden sechs belegte Störungen im Protokoll, darunter zehn Prozent Paketverlust. Wer nicht misst, verhandelt mit Gefühlen.

Ein Neustart der Telefonanlage hilft nicht, solange niemand geprüft hat, ob sie überhaupt krank ist. Bei uns hieß es morgens, die Anlage sei ausgefallen; in Wahrheit hing ein einzelnes WLAN-Handset draußen am Platz zwischen drei Funkzellen und meldete sich bei jedem Wechsel komplett neu an. Die Anlage selbst war in unter einer Minute freigemessen, Erreichbarkeit, Oberfläche und Telefonie-Port antworteten alle drei sauber. Der Neustart hat nichts repariert, weil nichts kaputt war. Wer zuerst die große Kiste neu startet, verliert die Spur zum kleinen Gerät.

Eine unveränderte Antwortzeit beweist nicht, dass die Maßnahme nichts gebracht hat, sondern oft nur, dass man das Falsche gemessen hat. Nach dem Umbau des Funknetzes für unser Werkstatt-Telefon lag die Ping-Zeit vorher bei 169 und nachher bei 174 Millisekunden, also praktisch gleich. Ein Ping läuft aber als gewöhnlicher Verkehr, während das Gespräch bevorzugt behandelt wird; die Verbesserung konnte in dieser Zahl gar nicht auftauchen. Belastbar war erst der Testanruf beim Gang über den Platz. Eine ehrliche Zahl zur falschen Frage bleibt eine falsche Antwort.

Die Beschwerden hören nicht auf, weil es oft zwei Ursachen gleichzeitig sind und man nur eine davon behoben hat. Ich hatte unsere Telefonprobleme dem WLAN am Arbeitsplatz zugeschrieben und die Leitung freigesprochen. Dann maß der neue Monitor auf der DSL-Strecke dreiundneunzig Millisekunden Latenz bei fast fünfundzwanzig Millisekunden Jitter, während Fritzbox und Telefonanlage sauber blieben. Es war beides. Wer bei der ersten plausiblen Ursache aufhört, repariert die Hälfte und wundert sich über den Rest.

Wenn man neue Technik bewertet, zählt die eigene Messung am Einsatzort mehr als das Datenblatt. Wir haben einen neuen WLAN-Zugangspunkt in der Anmeldung montiert, und auf dem Papier hatte der alte sogar die stärkeren Antennen, acht statt sechs dBi. Am Arbeitsplatz selbst sah es umgekehrt aus: rund minus sechsundfünfzig statt minus dreiundsechzig dBm, also spürbar besseres Signal. Ein Datenblatt beschreibt ein Gerät im Labor, die Messung beschreibt es an dem Ort, an dem es arbeiten muss.

Eine Domain kann offline sein, obwohl der Server einwandfrei läuft. Bei einer unserer Domains zeigte der Delegationseintrag bei Hetzner auf drei Namensserver, die diese Domain gar nicht kannten, und jede Anfrage von außen lief ins Leere. Der Webserver war gesund, die Seite fertig ausgeliefert, nur fand kein Besucher den Weg dorthin. Aufgefallen ist es erst zwei Monate später, als ich alle Domains einzeln von außen durchprüfte. Ein gesunder Server sagt nichts darüber, ob jemand bei ihm ankommt.

Ein Abgleich kann Bilder als fehlend melden, die ich selbst bewusst weggeschlossen habe. Private Aufnahmen schiebe ich in unserem Fotoarchiv Immich in einen gesperrten Ordner, und der ist für jede Abfrage über die Schnittstelle unsichtbar. Die Liste der angeblich fehlenden Motive führte sie deshalb wieder auf, ein Massenimport hätte sie zurück in die offene Galerie geholt. Heute halte ich zwei Listen gegeneinander: Was im Papierkorb steht, ist gelöscht, was aus jeder Abfrage fällt, ist gesperrt. Nicht jede Lücke ist ein Verlust.

Ein geplanter Ausfall steht nicht auf der Störungsseite, weil er dort gar nicht als Störung geführt wird, sondern unter angekündigter Wartung. Hetzner hatte die Arbeiten an einem Netzwerkverteiler im Rechenzentrum für eine Stunde angekündigt, samt Anweisung, die angehängten Speicher vorher abzutrennen. Die Mail lag ungelesen, und vier Minuten nach Beginn des Fensters standen unsere Seiten. Eine Ankündigung, die niemand liest, ist für den Betrieb dasselbe wie keine.

Eine Bilddatei kann mit richtiger Größe und richtigem Datum trotzdem leer sein. Nach einem Dateisystemschaden lagen in unserem Bildarchiv Fotos, bei denen Name, Aufnahmedatum und drei Megabyte Größe stimmten, im Inneren aber nur ein winziges fremdes Vorschaubild steckte und der Rest aus Nullen bestand. Beim Durchgang durch knapp zwanzigtausend Bilder habe ich achtzig solcher Hüllen gefunden, die jede Übersicht als heil gezählt hat. Eine Sicherung, die nur Namen und Größen vergleicht, sichert am Ende die Verpackung.

Ganz lesen muss man keine Datei, wenn man weiß, an welcher Stelle der Schaden sichtbar wird. Ein vollständiges JPEG trägt am Ende eine feste Abschlussmarke, also habe ich von jedem der 19.991 Archivbilder nur das letzte Kilobyte geholt statt der kompletten Datei: rund zwanzig Megabyte Prüfaufwand statt vieler Gigabyte, und genau ein Bild war am Ende wirklich unlesbar. Wer die Stelle kennt, an der ein Fehler auftauchen muss, spart sich den Blick auf alles andere.

In einem alten Datenbestand fehlen selten einzelne Dateien, es fehlen ganze Zeiträume. Ich habe 3.154 Rohbilder von einer Archivplatte entwickelt und gegen mein Bildarchiv in Immich abgeglichen: 2.753 waren längst vorhanden, nur 401 waren neu. Und die verteilten sich fast alle auf drei Tage, an denen der Import damals abgebrochen sein muss. Wer nach Einzelstücken sucht, findet nichts. Wer nach Lücken im Kalender sucht, findet den Schaden.

Tausende Dateien tauscht man nur aus, wenn jeder einzelne Schritt protokolliert ist und die alten Fassungen noch liegen. In unserem selbst betriebenen Fotoarchiv Immich habe ich 2.675 Kamerabilder durch meine eigenen Entwicklungen ersetzt, jedes mit alter Kennung, neuer Kennung und zugehörigen Alben in einer Protokolldatei. Über fünfunddreißig Alben ging dabei keine einzige Zuordnung verloren, und bis Anfang Oktober kann ich alles zurückdrehen, weil die Originale noch im Papierkorb liegen. Ein Rückweg mit Frist gehört in den Kalender, sonst ist er keiner.

Rohdateien allein reichen als Archiv nicht, wenn kein gewöhnliches Programm sie öffnet. Auf einer alten Platte lagen 3.151 Rohbilder mit 52,7 Gigabyte, davon 1.791 ohne jedes sichtbare Gegenstück, und mein Rechner zeigte das eine Herstellerformat von Haus aus an, das andere nicht. Ich habe deshalb jede Datei einmal in ein gängiges Bildformat entwickelt und beides behalten, das Rohe und das Lesbare, die Entwicklungen liegen jetzt in Immich. Ein Archiv, das nur ein bestimmtes Programm lesen kann, ist eine Wette auf dieses Programm.

Ein Rückweg, den nur ein Papierkorb offen hält, bleibt genau so lange offen, wie dessen Frist läuft. Ich habe in unserer Fotoverwaltung Immich 2.675 Kamera-Bilder durch eigene Entwicklungen ersetzt, mit Protokoll über alte und neue Kennung, damit sich jeder einzelne Schritt zurücknehmen lässt. Nur liegen die Originale im Papierkorb, und der räumt nach dreißig Tagen von selbst auf. Seitdem steht das Ablaufdatum im Kalender und nicht im Kopf. Ein Rückweg mit Verfallsdatum ist nur so lange einer, wie jemand das Datum kennt.

Wenn eine Website gar nicht mehr antwortet statt eine Fehlerseite zu zeigen, ist meist nicht das Programm kaputt, sondern etwas abgeschnitten. Bei uns standen an einem Dienstagmorgen alle Seiten still, der Server selbst war erreichbar, die Last lag bei vierzehn bei freiem Arbeitsspeicher und die Rechenleistung wartete zu siebzig Prozent auf die Platte. Der Speicher war ein Cloud-Volume bei Hetzner, das über das Rechenzentrumsnetz hängt, und genau dieses Netz war gerade in Wartung. Ein defektes Gerät meldet einen Fehler, ein abgeschnittenes schweigt.

Einen einmal gescheiterten Vorgang darf eine Automatik nie für immer überspringen. Unser Import ins Dokumentenarchiv merkte sich jede Rechnung, die er schon angefasst hatte, unabhängig davon, ob sie angekommen oder gescheitert war. Als der Archivdienst wegen Speichermangels ein paar Tage streikte, fehlten am Ende 44 Rechnungen aus zwei Monaten, ohne dass jemand etwas bemerkte. Ein Aussetzer von Stunden wird so zu einem Verlust von Monaten.

Die Rechnung eines Neuwagens landet beim eigenen Haus, wenn die Automatik den Käufer nicht aus dem Beleg liest, sondern über die Fahrgestellnummer im Fahrzeugstamm nachschlägt. Unser Import kannte die Überschrift der Gebrauchtfahrzeugrechnung, aber nicht die der Neufahrzeugrechnung, also blieb das Kundenfeld leer und der Ersatzweg griff. Beim Lagerfahrzeug ist abends noch der Betrieb selbst als Halter eingetragen, der Wechsel kommt erst später. Sieben Rechnungen lagen deshalb in der falschen Akte. Ein Ersatzweg, der immer eine Antwort liefert, versteckt die Lücke, die er umgeht.