Journal.

Einen fehlgeschlagenen Login darf eine Sperr-Automatik nur an einem Muster erkennen, das bei Erfolg sicher anders aussieht. Nach einem Angriff mit 2.743 Anfragen auf unsere Anmeldeseiten wollte ich zuerst jeden Zugriff auf eine zweite Schnittstelle mitzählen. Diese Regel hätte den ganz normalen Verkehr eines Zusatzdienstes gesperrt, denn dort antwortet der Server bei Fehler und Erfolg gleich. Jetzt sperre ich nach fünf Fehlversuchen in zehn Minuten, aber nur bei einem Muster, das ein Erfolg nie erzeugt. Wer automatisch aussperrt, muss den Unterschied beweisen können, nicht vermuten.

Fast keine Suchbegriffe zeigt die Statistik, weil Google seltene Anfragen aus Datenschutzgründen gar nicht erst ausweist. Am ersten Messtag tauchten meine Seiten neunmal in den Ergebnissen auf, verteilt auf zehn Adressen, ausgewiesen war genau eine einzige Suchanfrage. Welche Seite gefunden wurde, konnte ich lesen, wonach gesucht wurde, noch nicht. Kleine Zahlen tragen keine feine Auswertung, und wer sie trotzdem deutet, liest sein eigenes Wunschbild.

Eine Warnung, die fast immer falsch ist, muss man reparieren, bevor irgendjemand anfängt nach ihr zu handeln. Meine neue Prüfung vergleicht die aus dem Beleg gelesene Fahrzeugnummer mit dem Stamm in Loco-Soft und markierte 124 Dokumente. Beim Durchsehen blieb genau ein echter Zahlendreher übrig, der Rest waren Lesefehler der Texterkennung und dreizehn Platzhalter-Nummern im Stamm, siebzehn Nullen und Doppelkreuze. Eine Lampe, die grundlos leuchtet, schaut nach kurzer Zeit niemand mehr an.

Ein Besucherzähler reicht dafür nicht, weil er zeigt, dass jemand kam, aber nicht, warum. Unser Umami misst sauber, wie viele Leute eine Seite öffnen und wie weit sie lesen, doch die Suchbegriffe, mit denen sie überhaupt erst bei uns landen, stehen dort nirgends. Dafür habe ich diese Woche die Search Console angebunden, die einzige Quelle für diese eine Frage. Zwei Werkzeuge, zwei verschiedene Fragen: das eine zählt die Leute, das andere verrät, was sie gesucht haben.

Nach einer DNS-Änderung muss man in aller Regel keine zwei Tage warten, das ist ein Überbleibsel aus alten Zeiten. Als ich einen Bestätigungseintrag für eine Domain gesetzt habe, hatten die drei ausgelagerten Nameserver ihn nach rund zwanzig Sekunden. Entscheidend ist die Gültigkeitsdauer, die man selbst vorgibt, nicht ein pauschaler Erfahrungswert aus dem Internet. Wer die eigenen Einstellungen kennt, muss nicht auf eine Faustregel hoffen.

Eine gute eigene Website reicht nicht, um als Fachmann gefunden zu werden. Ich habe zwei unabhängige Suchindizes geprüft und die Search Console eingerichtet: Über meinen Namen steht die Seite auf Platz eins und wird zügig gecrawlt, bei konkreten Fachfragen taucht sie überhaupt nicht auf. Der Grund ist banal: Außer meinen eigenen Betrieben nennt mich niemand, kein Fachartikel, kein Vortrag. Wer nur über sich selbst schreibt, bleibt eine Quelle ohne Zeugen.

Ob ein Fehler im Protokoll neu ist, weiß man erst, wenn man ihn im alten Zustand nachzählt. Nach dem Umzug unseres Dokumentenarchivs auf eigene Hardware meldete das Protokoll rund zweihundert Mal am Tag, die Datenbankverbindung sei geschlossen, und ich hielt das prompt für eine Folge des Umzugs. Im alten Container stand dieselbe Meldung 320 Mal, seit Monaten, ohne jeden Schaden: die Software baut die Verbindung einfach neu auf. Ein Fehler, der auffällt, weil man gerade hinsieht, ist deshalb noch keiner, der gerade entstanden ist.

Dass dasselbe Programm im einen Browser alles zeigt und im anderen nichts, liegt fast immer am Rechner davor, nicht am Server. Bei unserem Passwort-Tresor Vaultwarden hatte sich die Erweiterung im einen Browser still auf die Juli-Fassung aktualisiert, im anderen lief noch die vom Juni. Die neuere stolperte über ein altes Feld: leere Liste, kein Fehler, Anmeldung ganz normal. Deshalb führte die Suche im Protokoll ins Leere, es gab dort nichts zu finden. Wenn zwei gleiche Arbeitsplätze sich verschieden verhalten, steckt die Ursache in dem, was sie unterscheidet.

Kennzeichnen muss man es, sobald eine KI hörbar mitspricht, und ab dem zweiten August 2026 ist das in Europa Pflicht. Artikel fünfzig des EU AI Act verlangt, dass synthetische Inhalte als solche erkennbar sind. Mein Interviewer, gebaut mit LiveKit und Claude, sagt es deshalb schon im ersten Satz selbst, und in der Videobeschreibung steht es noch einmal. Für mich ist das keine Hürde, sondern der ehrlichste Aufhänger: Wer offen sagt, dass hier eine Maschine fragt, muss nichts verstecken.

Aktuell ist ein Programm nicht, nur weil irgendwo automatisch danebensteht. Unser Vaultwarden lief unter der Kennzeichnung neueste Version und war trotzdem sechs Wochen hinterher, weil die neue Fassung nie geholt wurde. Das nachgezogene Update schloss neun Sicherheitslücken auf einmal, darunter eine, die Zugriff über Mandantengrenzen hinweg erlaubte. Seitdem schaue ich nicht in die Einstellung, sondern in die laufende Version. Automatisch heißt nur, dass es jemand einmal so eingerichtet hat, nicht, dass es geschieht.

Ein neues Messwerkzeug liefert keine Zahlen aus der Vergangenheit, weil es erst ab dem Tag zählt, an dem man es einschaltet. Ich habe unsere Seite am siebenundzwanzigsten Juli in der Google Search Console angemeldet und sofort eine Auswertung über neunzig Tage abgerufen, die vollkommen leer war. Die ersten echten Zahlen kamen ein bis drei Tage später, alles davor bleibt für immer dunkel. Eine Messung, die man erst startet, wenn man die Antwort braucht, kommt immer zu spät.

Null kopierte Dateien heißt nicht, dass die Sicherung steht, es kann schlicht der Betriebsrhythmus sein. Unser Abgleich in den externen, unveränderlichen Speicher meldete über Tage null neue Dokumente, und ich war schon dabei, den Fehler zu suchen: es war Wochenende, und samstags wie sonntags scannt in der Werkstatt niemand. Die Gegenprobe war nicht das Protokoll des Absenders, sondern die Dateiliste am Ziel. Eine Sicherung beweist man dort, wo sie ankommt, nicht dort, wo sie losgeschickt wird.

Bei einer Rufumleitung klingelt sofort alles mit, weil die Zahl im Rufprofil die Dauer eines Schrittes meint und keine Verzögerung. In unserer AGFEO ES 546 habe ich für die Anmeldung einen Ablauf gebaut: dreißig Sekunden nur der Apparat am Tresen, danach zehn Sekunden Apparat und Zweitgerät gemeinsam, dann die Voicebox. Ich hatte die zehn Sekunden als Wartezeit gelesen und lag daneben, denn alle Ziele eines Blocks läuten gleichzeitig. Eine Zahl im Konfigurationsfeld sagt nicht, was sie bedeutet, das sagt erst der Testanruf.

Eine Überschrift soll gesucht werden, nicht schön klingen. Zwei meiner Artikel über Loco-Soft ranken für nichts, obwohl über dreitausendvierhundert Betriebe mit dieser Software arbeiten und es im Netz keine unabhängige Anleitung dazu gibt. Der Fehler lag nicht am Inhalt, sondern am Titel: Ich hatte eine Geschichte übertitelt, statt die Frage hinzuschreiben, die ein Nutzer abends wirklich eintippt. Ein Text, den niemand sucht, ist kein Ratgeber, sondern ein Tagebuch.

Einen Rechner, den der Überwachungsserver nicht erreicht, überwacht man andersherum: er meldet sich von selbst. Unser Uptime Kuma steht außerhalb des Werkstattnetzes und kommt an den Prüfstands-PC für die Abgasuntersuchung nicht heran. Also läuft dort alle fünf Minuten eine kleine Prüfung und schickt ein Lebenszeichen nach draußen; bleibt es aus, schlägt die Überwachung Alarm. Wer nicht angerufen werden kann, muss selbst anrufen.

Eine Überwachung, die nur läuft, solange jemand angemeldet ist, fällt genau dann aus, wenn man sie braucht. Unser Empfangsprogramm für die Abgasuntersuchung startet mit der Benutzersitzung, und meine erste Prüfaufgabe hing an derselben Sitzung. Meldet sich abends jemand ab, wären beide still gewesen, und Stille sieht aus wie Ruhe. Jetzt läuft die Prüfung als Systemaufgabe, unabhängig von der Anmeldung, und zeigte beim Test knapp acht Tage ununterbrochenen Empfang. Ein Wächter, der mit dem Bewachten einschläft, ist keiner.

Eine KI, die öffentlich spricht, darf nur wissen, was auch öffentlich gesagt werden darf. Ich baue gerade einen Interviewer, der mich vor der Kamera befragt, und der eigentliche Hebel war nicht die Technik, sondern das Vorwissen: echte Projekte, harte Zahlen, eigene Fehlschläge, etwa 819 statt 1.176 verarbeiteter Dokumente. Deshalb gilt bei mir eine einfache Regel: Was im Briefing steht, kann die Maschine aussprechen, also stehen dort keine Kundennamen und keine Kennzeichen. Was eine Maschine weiß, sagt sie irgendwann, und selten im passenden Moment.

Bei einem weitergeleiteten Anruf fehlt die Nummer des Kunden, weil die Telefonanlage nach außen ein zweites Gespräch aufbaut und der Anbieter fremde Absendernummern durch die eigene Hauptrufnummer ersetzt. Auf dem Zielgerät stand deshalb jedes Mal unsere eigene Nummer, ein Rückruf war unmöglich. Geholfen hat eine einzige Einstellung im SIP-Konto, die die Umleitung dem Netz des Anbieters überlässt statt der Anlage. Dafür verlässt der Anruf die Anlage ganz, die eigene Voicebox fängt ihn nicht mehr auf. Wo eine Umleitung passiert, entscheidet, was unterwegs verloren geht.

Eine alte Firmen-Website, die noch online steht, schadet, weil sie der neuen Konkurrenz macht. Bei mir liefen zwei Adressen aus der Vergangenheit weiter, eine alte Marken-Domain und eine alte WordPress-Seite, beide mit meinem Namen und sehr ähnlichen Texten. Für eine Suchmaschine sind das zwei Personen, die um dieselbe Aufmerksamkeit ringen. Ich habe jetzt nachgemessen: beide antworten mit einer dauerhaften Weiterleitung auf die eine Seite. Zwei Stimmen mit demselben Namen sind leiser als eine.

Bei einer neuen Ausgabe der Starthilfe trage ich kein Datum mehr von mir aus ein, ich frage nach. Die Reihe holt gerade ihre eigene Geschichte auf, jede Ausgabe bekommt den Tag, an dem das Projekt wirklich lief, und die beiden Teile über die Loco-Soft-Wissensbasis stehen deshalb auf Ende Oktober und Anfang November. Hätte ich stattdessen den nächsten freien Sonntag gewählt, wäre eine Sperrfrist von vierzehn Tagen angelaufen und ein Countdown über einem Text, der längst fertig war. Das Datum gehört dem Vorfall, nicht meinem Kalender.