Fragen & Antworten.

Ganz lesen muss man keine Datei, wenn man weiß, an welcher Stelle der Schaden sichtbar wird. Ein vollständiges JPEG trägt am Ende eine feste Abschlussmarke, also habe ich von jedem der 19.991 Archivbilder nur das letzte Kilobyte geholt statt der kompletten Datei: rund zwanzig Megabyte Prüfaufwand statt vieler Gigabyte, und genau ein Bild war am Ende wirklich unlesbar. Wer die Stelle kennt, an der ein Fehler auftauchen muss, spart sich den Blick auf alles andere.

In einem alten Datenbestand fehlen selten einzelne Dateien, es fehlen ganze Zeiträume. Ich habe 3.154 Rohbilder von einer Archivplatte entwickelt und gegen mein Bildarchiv in Immich abgeglichen: 2.753 waren längst vorhanden, nur 401 waren neu. Und die verteilten sich fast alle auf drei Tage, an denen der Import damals abgebrochen sein muss. Wer nach Einzelstücken sucht, findet nichts. Wer nach Lücken im Kalender sucht, findet den Schaden.

Tausende Dateien tauscht man nur aus, wenn jeder einzelne Schritt protokolliert ist und die alten Fassungen noch liegen. In unserem selbst betriebenen Fotoarchiv Immich habe ich 2.675 Kamerabilder durch meine eigenen Entwicklungen ersetzt, jedes mit alter Kennung, neuer Kennung und zugehörigen Alben in einer Protokolldatei. Über fünfunddreißig Alben ging dabei keine einzige Zuordnung verloren, und bis Anfang Oktober kann ich alles zurückdrehen, weil die Originale noch im Papierkorb liegen. Ein Rückweg mit Frist gehört in den Kalender, sonst ist er keiner.

Rohdateien allein reichen als Archiv nicht, wenn kein gewöhnliches Programm sie öffnet. Auf einer alten Platte lagen 3.151 Rohbilder mit 52,7 Gigabyte, davon 1.791 ohne jedes sichtbare Gegenstück, und mein Rechner zeigte das eine Herstellerformat von Haus aus an, das andere nicht. Ich habe deshalb jede Datei einmal in ein gängiges Bildformat entwickelt und beides behalten, das Rohe und das Lesbare, die Entwicklungen liegen jetzt in Immich. Ein Archiv, das nur ein bestimmtes Programm lesen kann, ist eine Wette auf dieses Programm.

Ein Rückweg, den nur ein Papierkorb offen hält, bleibt genau so lange offen, wie dessen Frist läuft. Ich habe in unserer Fotoverwaltung Immich 2.675 Kamera-Bilder durch eigene Entwicklungen ersetzt, mit Protokoll über alte und neue Kennung, damit sich jeder einzelne Schritt zurücknehmen lässt. Nur liegen die Originale im Papierkorb, und der räumt nach dreißig Tagen von selbst auf. Seitdem steht das Ablaufdatum im Kalender und nicht im Kopf. Ein Rückweg mit Verfallsdatum ist nur so lange einer, wie jemand das Datum kennt.

Wenn eine Website gar nicht mehr antwortet statt eine Fehlerseite zu zeigen, ist meist nicht das Programm kaputt, sondern etwas abgeschnitten. Bei uns standen an einem Dienstagmorgen alle Seiten still, der Server selbst war erreichbar, die Last lag bei vierzehn bei freiem Arbeitsspeicher und die Rechenleistung wartete zu siebzig Prozent auf die Platte. Der Speicher war ein Cloud-Volume bei Hetzner, das über das Rechenzentrumsnetz hängt, und genau dieses Netz war gerade in Wartung. Ein defektes Gerät meldet einen Fehler, ein abgeschnittenes schweigt.

Einen einmal gescheiterten Vorgang darf eine Automatik nie für immer überspringen. Unser Import ins Dokumentenarchiv merkte sich jede Rechnung, die er schon angefasst hatte, unabhängig davon, ob sie angekommen oder gescheitert war. Als der Archivdienst wegen Speichermangels ein paar Tage streikte, fehlten am Ende 44 Rechnungen aus zwei Monaten, ohne dass jemand etwas bemerkte. Ein Aussetzer von Stunden wird so zu einem Verlust von Monaten.

Die Rechnung eines Neuwagens landet beim eigenen Haus, wenn die Automatik den Käufer nicht aus dem Beleg liest, sondern über die Fahrgestellnummer im Fahrzeugstamm nachschlägt. Unser Import kannte die Überschrift der Gebrauchtfahrzeugrechnung, aber nicht die der Neufahrzeugrechnung, also blieb das Kundenfeld leer und der Ersatzweg griff. Beim Lagerfahrzeug ist abends noch der Betrieb selbst als Halter eingetragen, der Wechsel kommt erst später. Sieben Rechnungen lagen deshalb in der falschen Akte. Ein Ersatzweg, der immer eine Antwort liefert, versteckt die Lücke, die er umgeht.

Steht im Bild selbst kein Aufnahmedatum, nimmt das Archiv das Datum der Datei, also meist den Tag des Imports. Beim Einspielen unserer alten Fotobestände nach Immich landeten so 843 Bilder aus 2013 und 2014 unter dem dreißigsten August 2026, allesamt aus Messenger- und Handy-Sicherungen, denen die Aufnahmedaten fehlen. Retten ließ sich das nur, weil im Dateinamen noch ein Zeitstempel steckte. Ein Archiv ordnet nicht nach dem, was war, sondern nach dem, was es findet.

Eine Archivplatte hängt man nicht einfach ein, wenn sie garantiert unverändert bleiben soll. Ich wollte eine alte Linux-Platte am Mac auslesen, und schon das reine Einhängen schreibt ins Journal des Dateisystems. Stattdessen habe ich mit debugfs nur lesend auf das Rohgerät zugegriffen und die Daten mit konstant rund siebzehn Megabyte je Sekunde herausgezogen, ohne ein einziges Byte auf der Platte zu ändern. Wer nur lesen will, sollte sich auch kein Schreibrecht in die Hand geben lassen.

Was noch fehlt, weiß ich ohne eine einzige angeschlossene Platte, weil ich zuerst ein Inventar gebaut habe. Bevor ich unsere alten Festplatten gesichtet habe, habe ich jede einmal komplett in eine kleine SQLite-Datenbank eingelesen, Pfad, Größe und Kategorie, für alle acht Platten. Seitdem beantworte ich am Schreibtisch, welche der über zwanzigtausend Aufnahmen schon in der Fotoverwaltung liegen und welche nicht. Ein Verzeichnis kostet einen Abend und spart jedes spätere Suchen.

Die Prüfsumme meldet ein längst archiviertes Foto als neu, sobald es noch einmal aus der Rohdatei entwickelt wurde: gleiches Motiv, andere Bytes. Beim Abgleich meines Bildarchivs in Immich half auch der Aufnahmezeitpunkt nicht weiter, weil eine Serienaufnahme fünf Bilder auf dieselbe Sekunde legt. Getragen hat am Ende nur der Kamerazähler im Dateinamen, der jede Entwicklung überlebt. Ein Merkmal taugt erst dann als Schlüssel, wenn es die Bearbeitung übersteht.

Der Restzeit-Anzeige eines Kopiervorgangs kann man am Anfang nicht trauen, jedenfalls nicht bei gemischten Dateigrößen. Beim Auslesen einer Archivplatte lag der Durchsatz die ganze Zeit konstant bei rund siebzehn Megabyte je Sekunde, aber sobald die großen Rohbilder durch waren, stieg die Zahl der fertigen Dateien pro Minute auf das Siebenfache. Jede frühe Hochrechnung war damit wertlos. Ein Mittelwert aus dem ersten Zehntel sagt nichts über den Rest, wenn die Brocken ungleich groß sind.

Vor einer Datei, die schon beim Kopieren kaputtging, schützen vier Kopien gar nichts. Beim Sichten meiner alten Festplatten fand ich 61 Dateien mit null Byte Inhalt, und sie waren auf allen vier Platten leer, darunter ein komplettes Fotoshooting von 2007. Kopiert wurde über die Jahre treu, geprüft wurde nie. Seitdem lege ich in jeden Archivordner eine Prüfsummen-Datei, bevor ich ihn weiterreiche. Eine Kopie vervielfältigt nicht die Sicherheit, sondern das, was schon drinsteht.

Vier Kopien einer Datei sind keine Sicherung, wenn die Datei schon beim ersten Kopieren kaputt war. Beim Sichten der alten Platten fand ich 61 Dateien mit null Byte Inhalt, und sie waren auf allen vier Platten gleich leer, darunter ein komplettes Fotoshooting von 2007. Kopiert wurde jahrelang brav weiter, geprüft hatte nie jemand. Eine Prüfsumme ist mehr wert als die dritte Kopie, denn Kopien vervielfältigen auch den Schaden.

In die Waschhalle darf ein Gerät für Innenräume nur, wenn man die Grenze kennt und bewusst annimmt. Wir hängen dort unseren gebrauchten UniFi-Zugangspunkt auf, der keinerlei Schutzart für Feuchträume hat, trocken und außerhalb des Sprühbereichs. Fällt er dort aus, ist das kein Rätsel, sondern der eingeplante Fall, und es kommt ein Außengerät hin. Ein Risiko, das man vorher aufschreibt, ist eine Entscheidung. Eines, das man verschweigt, wird eine Panne.

Ein neuer Dienst ist nicht automatisch mit gesichert, nur weil der Server gesichert wird. Unser Bildarchiv Immich erzwingt eine eigene PostgreSQL-Instanz mit Vektor-Erweiterung und läuft deshalb neben dem zentralen Cluster, den pgBackRest jede Nacht wegschreibt. Diese eine Datenbank sah die Sicherung schlicht nicht. Die Bilddateien lagen längst doppelt, aber die Zuordnung von 35.986 Aufnahmen zu Alben und Personen hing an einer ungesicherten Datenbank. Jeder neue Dienst bringt seine eigene Datenhaltung mit, und was die Sicherung nicht kennt, sichert sie nicht.

Mehr Tempo bringt ein neuer WLAN-Zugangspunkt nur, wenn das Kabel dahinter mitkommt. Bei uns soll die Anmeldung einen neuen UniFi-Zugangspunkt bekommen und der alte in die Waschhalle wandern. Beim Nachsehen fiel auf, dass genau dieser Anschluss nur mit hundert Megabit läuft, seit April als offener Punkt dokumentiert. Der Kabeltausch gehört seitdem zur Beschaffung dazu, nicht in ein späteres Projekt. Ein schnelles Gerät an einer langsamen Leitung ist teuer bezahlte Geduld.

Freigeben lässt sich das nur über eine dauerhafte Verbindung zwischen Konten, nicht über einzelne Alben. Immich, mit dem wir unsere Fahrzeugfotos verwalten wollen, kennt keine Benutzergruppen: Jedes Album muss einzeln an einzelne Personen gegeben werden, bei fünfzehn Mitarbeitern also fünfzehn Handgriffe pro Album. Stattdessen hält ein Firmen-Konto die Bibliothek, alle anderen hängen lesend als Partner daran, und neue Fotos sind sofort für alle da. Vor der Einführung lohnt die Frage, ob eine Software überhaupt Rollen kennt und nicht nur einzelne Nutzer.

Gesichert ist ein Fotoarchiv erst, wenn auch die Ordnung mitgesichert wird, nicht nur die Bilddateien. Bei der Planung unseres Bildarchivs mit Immich liegen die knapp sechsunddreißigtausend Aufnahmen auf dem gesicherten Speicher, die Datenbank mit Alben, Orten und Gesichtern aber lokal auf der SSD und fiel damit aus der Sicherung heraus. Ohne sie hätte ich nach einem Ausfall dreihundert Gigabyte namenlose Dateien. Der Wert eines Archivs steckt nicht in den Dateien, sondern darin, dass man wiederfindet, was man sucht.