Fragen & Antworten.

Eine Sicherheitsfunktion, die eingeschaltet, aber nie zu Ende eingerichtet wurde, schützt gar nichts. Bei uns war eine Domain seit März 2025 kryptografisch signiert, 133 Signaturen, jeden Tag um 17:20 automatisch erneuert. Es fehlte nur der letzte Schritt, der Eintrag beim Registrar, der die Vertrauenskette schließt. Anderthalb Jahre lang hat die Maschine für nichts gerechnet, und aufgefallen wäre es von allein nie. Halber Schutz ist kein halber Schutz, sondern nur die Ruhe, die dazugehört.

Das Internet kennt einen neuen Server, sobald er sein erstes Zertifikat bekommt, auch wenn man die Adresse niemandem gesagt hat. Bei der Inbetriebnahme unseres Bildarchivs mit Immich hinter Traefik wird jedes ausgestellte Zertifikat in öffentliche Protokolle geschrieben, und die liest jeder mit. Bei Immich wird zugleich der erste, der sich registriert, automatisch Administrator. Also habe ich das Admin-Konto in derselben Minute angelegt, in der die Seite zum ersten Mal über HTTPS erreichbar war. Zwischen Türöffnen und Abschließen darf kein Abend liegen.

Dass ein Gerät im richtigen Netz hängt, beweist eine leuchtende Netzwerkdose nicht. Bei uns blieb ein Canon-Drucker stumm, obwohl der Switch-Port sauber mit tausend Megabit meldete. Der Port lag noch im alten Telefonie-Netz, weil ein paar Dosen im Patchfeld aus der früheren Telefonverkabelung stammen und außen wie jede andere aussehen. Erst der Blick auf die Netzzuordnung und ein kurzes Aus und Ein am Port brachten ihn zurück. Ein Signal beweist, dass etwas ankommt, nicht wohin es führt.

Als Dauerüberwachung taugt ein Diagnose-Skript nicht, solange ein Ende fest eingebaut ist. Ich wollte eine sporadische Internet-Störung mitschneiden und hatte dafür eine Schleife laufen, 2160 Durchläufe alle zehn Sekunden, also genau sechs Stunden. Als ich einen Monat später ins Protokoll sah, endete es mit der Zeile Monitor Ende, nachmittags am ersten Tag, und lag im Zwischenspeicher, den jeder Neustart leert. Ein Wächter, der sich unbemerkt verabschiedet, ist schlimmer als gar keiner, weil man sich auf ihn verlässt.

Ein externer Dienstleister sieht bei uns mit seinem eigenen Zugang genau einen Kanal und sonst nichts. In Authentik hängt jede Anwendung an einer Gruppe: Externe bekommen eine eigene, die alles außer dem Support-Chat sperrt, Interne je nach Aufgabe zwei oder drei. Als ich zuletzt einen Zugang anlegte und die Gruppe vergaß, sah der Kollege eine völlig leere Startseite, und genau so soll es sein. Ein Zugang, der von sich aus nichts zeigt, ist der einzige, den man ruhig vergibt.

Ein geändertes Passwort gilt nicht automatisch in allen Firmensystemen, auch wenn es überall dasselbe ist. Unsere Anmeldung über Authentik und das Microsoft-Konto der Mitarbeiter sind technisch nicht gekoppelt: Wer sein Passwort ändert, muss es an zwei Stellen setzen, sonst sperrt ihn die zweite aus. Seitdem steht dieser Hinweis im Notizfeld jedes betroffenen Eintrags, direkt beim Zugang selbst. Wissen, das nur im Kopf eines Einzelnen liegt, ist kein Wissen des Betriebs.

Ein längst veröffentlichter Fix kam drei Wochen lang nicht bei uns an, weil ihn niemand abgeholt hat. Unser Passwort-Tresor Vaultwarden lief auf der Einstellung latest, seit Ende Juli ließen sich keine Einladungen mehr annehmen, und der Hersteller hatte den Fehler zwei Tage später behoben. Nur bewegt sich ein laufender Container nicht von allein: Er bleibt auf seinem Stand, bis jemand die neue Fassung aktiv holt. Inzwischen steht bei uns eine feste Version statt latest. Ein Fix, den es gibt, ist noch keiner, den man hat.

Als Versionsverwaltung genügen datierte Sicherungskopien nicht. Der Code unserer zweiten Firmen-Website lebte lange nur auf dem Server, gesichert durch Kopien mit Anlass und Datum im Dateinamen. Wer wissen wollte, warum eine Zeile so aussieht, musste raten. Seit diesem Monat liegt alles in Git, gearbeitet wird weiter direkt auf dem Server, und das Deploy-Skript erinnert am Ende an noch nicht gesicherte Änderungen. Ein Stapel Kopien ist ein Archiv, kein Gedächtnis.

Die empfohlenen Zusatzdienste einer selbst betriebenen Software muss man tatsächlich einrichten, auch wenn ohne sie zunächst alles zu laufen scheint. Bei unserer Nextcloud fehlte seit dem ersten Tag der Melde-Dienst, den der Hersteller für die Mac-Anbindung ausdrücklich empfiehlt; ohne ihn kann der Server nichts von sich aus melden, jeder Rechner fragt nur in Abständen nach. Sichtbar wurde das an sieben Zurücksetzungen des Clients in knapp vier Monaten, im Schnitt alle sechzehn Tage. Eine Empfehlung, die man überliest, bezahlt man später in Stunden.

Eine Fehlermeldung über eine nicht lesbare Datei heißt nicht, dass die Datei verloren ist. In unserer Nextcloud stand so eine Zeile 636 Mal im Protokoll, und ich habe im Speicher nachgesehen und die Byte-Zahl mit dem Datenbankeintrag verglichen: identisch, es fehlte nichts. Ein einziger Aussetzer schreibt dabei gleich drei Meldungen, was die Lage schlimmer aussehen lässt als sie ist. Bevor man den Verlust meldet, sieht man nach, ob wirklich etwas fehlt.

Ein Muster-Suchlauf allein reicht nicht, um Passwörter in alten Dateien zu finden. Als ich den Code unserer zweiten Firmen-Website erstmals unter Versionsverwaltung stellte, fand die automatische Suche nach typischen Passwort-Mustern das meiste, aber zwei Dateien kamen erst ans Licht, als ich gezielt nach den bereits bekannten Klartext-Werten suchte. In einer davon steckte das Passwort mitten in einem Datensatz und sah aus wie ein ganz normaler Wert. Seitdem mache ich immer beides. Ein Suchmuster findet nur, was es erwartet.

Ein Urlaubshinweis verschwindet am Enddatum von selbst, wenn der Zeitraum an zwei Stellen geprüft wird, beim Bauen der Seite und noch einmal im Browser des Besuchers. Auf unserer Firmenseite liegt die Meldung als Datensatz im Directus mit Start- und Enddatum. Abgelaufene Hinweise landen gar nicht erst im HTML, und ein kurzes Skript blendet sie auch dann aus, wenn seit Tagen niemand neu gebaut hat. Der verlässlichste Ablauf ist der, den am Stichtag niemand mehr anstoßen muss.

Ein Behördenformular per Skript auszufüllen lohnt sich, sobald eine Korrektur wahrscheinlich ist. Von drei Bögen eines Antrags gab es nur einen als ausfüllbares PDF zum Herunterladen, die beiden anderen existierten bloß als Scan. Statt sie zu drucken und zu tippen, habe ich die Werte mit einem kleinen Python-Skript als Overlay daraufgelegt. Beim ersten Mal dauert das länger als Tippen, bei der ersten Korrektur ist es wieder drin. Handarbeit kostet jedes Mal gleich viel, ein Skript nur beim ersten Mal.

Ein lückenloser Beleg reicht nicht, wenn das Gesetz den Zahlweg vorschreibt. Ich habe im Juli knapp neunzehnhundert Euro Unterhalt bar an eine Angehörige im Ausland übergeben, mit Flugticket und Abhebungsbeleg sauber dokumentiert. Seit 2025 erkennt § 33a EStG dafür nur noch die Überweisung auf ein Konto der unterstützten Person an, damit sind rund sechshundert Euro Erstattung weg. Genauso verliert den Abzug, wer eine Handwerkerrechnung im eigenen Haushalt bar bezahlt. Eine Regel, die jahrelang galt, gilt nicht deshalb auch dieses Jahr.

Jeden Beleg zu sammeln lohnt sich nicht, wenn die Summe am Ende unter der Pauschale bleibt. Für 2025 komme ich auf rund sechshundertsechzig Euro Werbungskosten, der Pauschbetrag liegt bei eintausendzweihundertdreißig, im Jahr davor waren es sogar nur fünfhundertacht. Alles Sortieren und Abheften dafür war verschenkte Zeit, während die zwei Posten, an denen wirklich Geld hängt, liegen blieben. Erst rechnen, wo etwas wirkt, dann sammeln.

Wenn dieselben Ordner auf zwei Rechnern liegen sollen, nehme ich Versionsverwaltung statt Dateisync. Meine Arbeitsordner lagen früher in Nextcloud, und dort steht bis heute ein veralteter Zwilling mit neunzehn statt neunundzwanzig Einträgen, inklusive eines Projekts, das ich längst beerdigt habe. Seit dem zehnten August hängt der zweite Rechner stattdessen an Forgejo, und jeder Arbeitsplatz holt sich denselben nachvollziehbaren Stand. Ein Sync kennt nur den letzten Schreiber, eine Historie kennt den Weg dorthin.

Sicherheitsregeln für öffentliche Plattformen muss man nicht ungeprüft übernehmen, man muss wissen, wogegen sie schützen. In allen dreiundzwanzig meiner Repositories stand eine Ausschlussliste aus der GitHub-Welt, die Schlüssel- und Zugangsdateien grundsätzlich draußen hielt. Mein Forgejo läuft auf eigener Hardware und hat genau drei Konten, die alle mir gehören, also habe ich die Liste umgedreht: draußen bleibt nur, was auf jedem Rechner ohnehin neu entsteht. Eine Regel ohne ihren Grund ist nur noch eine Gewohnheit.

Eine Sicherung, die jemand erst anstecken muss, taugt nur so weit wie die Gewohnheit dahinter. Unser Borg-Lauf schreibt auf eine externe Platte, und weil die monatelang nicht am Rechner hing, kam einhundertsiebzehn Tage lang keine einzige Sicherung durch, 404 Fehlversuche im Protokoll, die niemand gelesen hat. Time Machine stand ohne Ziel daneben. Erst als ich die Platte wieder ansteckte, lief alles durch. Eine Sicherung, die an einem Handgriff hängt, ist ein Vorsatz und keine Sicherung.

Ein VPN lehnt die Anmeldung auch dann ab, wenn das Passwort stimmt, die Programmversion auf dem eigenen Rechner aber zu alt ist. Bei uns brach OpenVPN jeden Verbindungsversuch mit einer Anmeldefehler-Meldung ab, obwohl die Zertifikatsprüfung eine Zeile vorher sauber durchlief. Der Gegenstelle war die Version zu alt, sie verlangt mindestens 2.6.12. Wer nur die letzte Zeile liest, sucht am falschen Ende.

Es reicht, wenn eine Telefon-KI sich in der Begrüßung selbst als KI vorstellt, solange dieser Satz wirklich in jedem Anruf fällt. Unser Anrufassistent getCarl zeigt dazu einen roten Warnkasten, obwohl die feste Begrüßung das Wort KI-Assistentin im ersten Satz nennt und sich vom Anrufer nicht wegreden lässt. Eine frühere Fassung sagte nur digitaler Assistent, das war zu schwach. Das Werkzeug prüft seinen eigenen Schalter, nicht den Text dahinter. Eine Warnung kennt immer nur das, was sie messen kann.