Fragen & Antworten.

Ein nächtlicher Datenabzug reicht nicht, wenn die Automatik tagsüber mit dem Tagesgeschäft arbeiten muss. Bei uns kaufte eine Neukundin ein Fahrzeug, die Rechnung wurde noch am selben Tag eingescannt, aber unsere Dokumentenablage kannte nur den Kundenstamm der letzten Nacht aus Loco-Soft. Darin gehörte das Fahrzeug noch uns selbst, also ordnete sie die Rechnung dem eigenen Autohaus zu statt der Käuferin. Jetzt bauen wir den Abgleich mehrmals täglich direkt aus der laufenden Datenbank. Der Datenstand von gestern Nacht kennt den Kunden von heute Mittag nicht.

Ein neuer Alarm kann einen alten Ausfall erklären, manchmal besser als jede Suche damals. Wir hatten unserem nächtlichen Sicherungsskript gerade erst einen Wächter in Uptime Kuma gegeben, und schon in der ersten Nacht schlug er an. Die Suche zeigte: Das Skript war seit rund elf Wochen still kaputt, seine Aufräum-Routine lief nie, der Backup-Ordner wuchs auf 208 GB, und genau diese volle Platte hatte Anfang Juli unsere ganze Cloud lahmgelegt. Ein Fehler ohne Alarm verschwindet nicht, er sammelt sich nur an.

Dass eine Verbesserung nichts Bestehendes verschlechtert, stellt man sicher, indem man alt und neu über den kompletten Bestand laufen lässt, ohne etwas zu verändern. Bevor unsere überarbeitete Beleg-Erkennung live ging, die unserem lokalen Gemma-Modell die Kundennummern zuliefert, habe ich beide Fassungen read-only über 22.242 Archiv-PDFs geschickt: über dreitausend Kundennummern zusätzlich erkannt, keine einzige verloren, die wenigen Abweichungen einzeln geprüft. Erst diese Zahlen gaben die Freigabe für den Abend. Besser ist eine Änderung erst, wenn gemessen ist, dass nichts Vorhandenes verloren geht.

Einem Programm, das immer mehr Speicher frisst, setzt man eine feste Grenze, statt auf einen Fix zu warten. Unser Dokumentenarchiv wurde am Tresen unbenutzbar, mit Antwortzeiten von 33 Sekunden, weil ein einzelner Serverprozess über Stunden auf sieben Gigabyte anwuchs und den ganzen Server mit sich zog. Der Fehler ist dem Hersteller bekannt und derzeit nicht behebbar, also bekam der Docker-Container eine Speichergrenze, und jeder Arbeitsprozess wird automatisch ersetzt, sobald er zu groß wird. Manche Fehler kann man nicht reparieren, nur einzäunen.

Den ganzen Server schützt man vor einem einzelnen fehlerhaften Programm wie das Auto vor einem defekten Verbraucher: mit einer Sicherung. Unsere Dokumentenverwaltung hat ein Speicherleck und füllt rund acht Gigabyte in acht Stunden, behoben ist das noch nicht. Deshalb hat der Dienst eine feste Speichergrenze bekommen, und heute Mittag griff sie zum ersten Mal: kurzer Neustart des einen Dienstes, der Rest des Servers lief ungestört weiter. Eine Grenze behebt den Fehler nicht, aber sie bestimmt, wie groß er werden darf.

Wenn die KI einen Beleg falsch zuordnet, obwohl die Kundennummer daraufsteht, liegt der Fehler meist nicht bei der KI, sondern einen Schritt davor. Bei uns übersah eine zu schmale Leseregel die Kundennummern auf Barverkaufs- und Fahrzeugrechnungen, also musste Gemma aus dem Text raten und lag daneben. Nach dem Nachschärfen der Regel fanden sich in 22.242 Alt-Belegen über dreitausend Kundennummern zusätzlich, ohne dass die KI ein einziges Mal raten musste. Wer der Maschine die Fakten vorenthält, darf sich über ihr Raten nicht wundern.

Einzeln zugeordnet werden sollte nicht jedes Blatt einer Akte, denn ein Stapel gehoert meist zu einem einzigen Kunden und Fahrzeug. Als Gemma jedes Dokument fuer sich betrachtete, riet es beim Diagnoseausdruck den Geraetehersteller, obwohl das Deckblatt derselben Akte den Halter laengst nannte. Jetzt erbt der ganze Schwung zwischen zwei Trennblaettern denselben Korrespondenten, statt Seite fuer Seite neu zu raten. Wer den Zusammenhang wegwirft, muss ihn auf jedem Blatt neu erfinden.

Ein Archiv legt seine Dateien besser nach einer festen Nummer ab als nach dem sprechenden Titel. Unser Langzeit-Archiv sortierte die Belege nach dem Titel, den die KI vergibt, doch dieselbe Bezeichnung entsteht dutzendfach, und so lagen am Ende 14.138 Objekte gegenüber rund 6.800 echten Dateien, sechs davon unter einem fremden Namen. Jetzt bekommt jedes Dokument seine unveränderliche Kennung, der Titel bleibt nur zum Lesen. Ein Name darf sprechen, tragen muss ihn eine Nummer, die sich nie verschiebt.

Ein Erpressungstrojaner kann unsere Datensicherung nicht verschlüsseln, weil sich die Kopie selbst gegen jeden Zugriff sperrt, auch gegen meinen. Unsere Belege liegen zusätzlich im Hetzner Object Storage mit echtem Object-Lock: 14.138 Dokumente, zehn Jahre unveränderbar, unlöschbar selbst mit gestohlenen Administrator-Rechten. Als sich ein lokales Original änderte, verweigerte der Speicher die Überschreibung, genau wie er soll. Ein Backup, das ich selbst noch löschen kann, kann auch ein Angreifer löschen.

Meine eigenen Belege nicht löschen zu können, ist kein Mangel, sondern der ganze Sinn eines revisionssicheren Archivs. Unsere Dokumente wandern jede Nacht in einen Hetzner Object Storage mit echtem Object-Lock, Modus Compliance und zehn Jahren Aufbewahrung, aktuell 14.138 Objekte, die auch ich als Administrator oder ein Angreifer mit gestohlenen Zugängen nicht mehr überschreiben kann. Als der Lauf Fehler meldete, weil sich lokale Originale geändert hatten, war das kein Defekt, sondern die Sperre, die ihre Arbeit tat. Ein Archiv, das der Besitzer selbst überschreiben kann, kann auch ein Angreifer überschreiben.

Ein Datenbank-Backup, dessen Schlüssel fehlt, nützt im Ernstfall gar nichts. Beim Härten unserer Sicherungen fiel auf, dass unser Skript zwar jede Datenbank zog, die Service-Schlüssel aber nicht mitsicherte, den Vaultwarden-Schlüssel, die n8n-Verschlüsselung, die Matrix-Signaturen. Ohne die wären die Daten nur unlesbarer Zeichensalat gewesen. Jetzt wandern rund neun Megabyte Schlüssel bei jedem Lauf mit ins Archiv. Ein Backup, das man nicht wieder aufschließen kann, ist ein Schrank ohne Schlüssel.

Den Geraetehersteller traegt die KI als Kunden ein, weil sie den auffaelligsten Namen auf dem Blatt greift, nicht den richtigen. Unser lokales Modell Gemma ordnete einen Diagnoseausdruck dem aufgedruckten Tester-Hersteller Hella Gutmann zu, bei einer Fahrzeugrechnung sogar meinem eigenen Autohaus als Rechnungssteller, statt der Kundin. Jetzt haengt die Zuordnung an der Fahrgestellnummer, die eindeutig einen Halter trifft, und bekannte Nicht-Kunden sind hart gesperrt. Der groesste Name auf einem Dokument ist selten der gesuchte.

Eine Sicherung, die auf demselben Rechner wie die Originaldaten liegt, ist noch keine echte Sicherung. Bei uns war das nächtliche Auslagern der Archive an einen zweiten Ort seit Mai still ausgefallen, ohne dass es jemand bemerkte, und so lagen die Kopien nur dort, wo auch das Original lag. Jetzt geht jede Nacht eine Kopie an einen Rechner an einem anderen Standort mit über achthundert Gigabyte Platz, und jeder Job meldet sich danach bei Uptime Kuma. Eine Kopie neben dem Original teilt im Ernstfall dessen Schicksal.

Dass ein Backup-Job seit Wochen nichts mehr sichert, merkt man nur, wenn er sich auch dann meldet, wenn er läuft, nicht bloß wenn er scheitert. Unser Forgejo-Backup-Skript war spurlos verschwunden, der nächtliche Auftrag lief ins Leere, und rund 2,9 GB Repositorien lagen wochenlang ungesichert, ohne dass es jemand bemerkte. Jetzt pusht jeder Job nach getaner Arbeit ein Signal an Uptime Kuma, bleibt es aus, klingelt es. Ein stiller Job sieht aus wie ein erledigter, bis man ihn braucht.

Gegen einen Fehler, den der Hersteller selbst nicht beheben kann, hilft kein Warten auf ein Update, sondern eine Grenze, hinter der er keinen Schaden mehr anrichtet. Bei unserer Dokumentenablage über Docker wuchs ein einzelner Dienst auf sieben Gigabyte und riss den ganzen geteilten Server in die Knie, Last bis 118, das Öffnen eines Belegs dauerte 33 Sekunden. Der Fehler ist bekannt und nicht zu flicken, also gab ich dem Dienst eine feste Speichergrenze und einen nächtlichen Neustart. Was man nicht reparieren kann, sperrt man ein, bevor es die Nachbarn mitreißt.

Eine Änderung an einem System, in dem tagsüber mehrere Kollegen live arbeiten, spielt man erst abends ein, wenn niemand mehr darin sitzt. Unsere Aktendigitalisierung läuft über einen Dauerdienst mit Gemma, und jedes Deploy heißt Neustart: die laufende Verarbeitung bricht ab, der neue Code wird scharf. Tagsüber wartet vielleicht eine Anmeldung auf die Bestätigung eines Scans, also baue und teste ich tagsüber nur trocken gegen eine Kopie und rolle erst nach Feierabend aus. Man fährt die Bühne nicht hoch, solange das Auto darauf steht.

Alte Massen-Dokumente sollen nicht durch denselben Eingangskorb wie die tägliche Post. Wir haben 6215 Altbelege vom alten Werkstatt-Laufwerk in unsere Dokumentenablage geholt, gut dreitausendneunhundert davon Fahrzeugunterlagen. Hätten wir sie in den normalen Posteingang gekippt, hätten die Kollegen am Tresen tagelang zwischen frischer Tagespost und altem Bestand gesucht. Also bekamen sie einen eigenen Marker und gingen direkt ins Archiv. Wer altes Wasser einlässt, darf damit nicht die frische Quelle trüben.

Wenn eine KI einen Betrag erfindet, der nirgends auf dem Beleg steht, lässt man das Feld lieber leer als falsch. Unser Belegleser mit Gemma schrieb einmal 164,50 Euro auf einen Werkstattauftrag, auf dem gar keine Summe stand, frei erfunden und trotzdem völlig plausibel. Seitdem trage ich einen Betrag nur ein, wenn zwei Quellen sich einig sind, der QR-Code auf der Rechnung oder KI und Textsuche gemeinsam. Steht die Zahl nur an einer Stelle, bleibt das Feld leer. Eine leere Zahl fällt auf und wird geprüft, eine erfundene wird gebucht.

Ein neuer Fehler tauchte genau dann auf, als die Verarbeitung schneller wurde, weil Tempo einen Engpass freilegt, den die Langsamkeit vorher zugedeckt hat. Ich hatte das Einlesen der Belege umgebaut, damit niemand mehr wartet: die Blockade pro Beleg sank von rund fünfzig auf zwei bis vier Sekunden. Prompt kollidierten zwei gleichzeitig ankommende Dokumente am selben Volltext-Index von Paperless, eines brach ab. Der Fix war ein zweiter Anlauf mit kurzer Pause. Wer einen Engpass löst, bekommt den nächsten zu sehen.

Ein Beleg soll gleich behandelt werden, egal ob er aus dem Scanner kommt, per Mail oder von Hand hochgeladen wird. Bei uns durchläuft jedes Dokument denselben vollen Flow: Texterkennung, Gemma für den Inhalt, dann Kontext und Felder. Seit die Warteschlange läuft, bekommt jedes neue Dokument denselben Stempel und wird angereichert, ganz gleich auf welchem Weg es hereinkam. Der Weg herein darf nicht über die Sorgfalt entscheiden.