Journal.

Zeit für die Abrechnung eines Garantiefalls hat man nur zwanzig Werktage ab Kenntnis, danach verfällt der Anspruch. Bei Microlino steht das in den Richtlinien, zusammen mit dem Satz, dass eine versäumte Frist nicht an den Endkunden weitergegeben werden darf. Das Altteil müssen wir neunzig Werktage aufbewahren. Wir notieren die Frist deshalb beim Anlegen des Antrags, nicht erst wenn das Fahrzeug fertig ist. Eine Frist, die man am Ende bemerkt, ist meistens schon abgelaufen.

Garantieteile rechnet man nicht ab dem eigenen Einkaufspreis ab, sondern zum Garantiepreis der Herstellerliste. Bei einem Microlino-Getriebe haben wir 805 Euro bezahlt, abrechenbar waren 1.162,82 Euro. Wer stattdessen seinen Einkauf plus sieben Prozent ansetzt, verschenkt rund 357 Euro pro Getriebe, weil unser Einkauf gut ein Viertel unter dem Listenpreis liegt. Die Faustformel gilt zwischen zwei Spalten der Preisliste, nicht ab dem eigenen Beleg. Wer die Grundlage verwechselt, rechnet sauber und trotzdem falsch.

Ein Hersteller-Portal mit 285 Artikeln lieferte fast keinen Text, weil der Inhalt komplett in den Anhängen lag. Beim Aufbau unserer Microlino-Hilfe habe ich das Portal erst einmal durchgezählt: 69 Kategorien, 285 Artikel, aber nur 9 davon mit eigenem Text, alles andere steckte in 271 PDF-Dateien. Geplant hatte ich einen Scraper für Webseiten, gebraucht wurde eine Pipeline für Dokumente. Eine Stunde nachsehen, wo der Inhalt wirklich liegt, spart die Woche, in der man das falsche Werkzeug baut.

Unser Dateiserver meldete sich nie, weil seine Warnmails an einen Mailserver gingen, den es auf dieser Maschine gar nicht gab. Fünfzehn Monate lang lief unsere Nextcloud so, und in dieser Zeit hat der Speicheranbieter 634 Zugriffe gedrosselt, ohne dass ein Mensch je davon erfuhr. Erst nach der Umstellung auf unser echtes Postfach kamen die ersten Meldungen an. Ein Alarm, den niemand empfängt, ist kein Alarm, sondern nur eine Zeile im Protokoll.

Wenn eine gemeinsam genutzte Ressource ausgeht, trifft es nicht den Verursacher, sondern den, der zufällig zuletzt kommt. An einem Dienstag wurden 66 Anmeldungen über Authentik abgewiesen, weil unsere Datenbank keine freie Verbindung mehr hatte, während die eigentlichen Dauerverbraucher ungestört weiterliefen. Authentik ist bei uns die Anmeldung für fast alles, also stand plötzlich überall die Tür zu. Wer die Ursache am lautesten Symptom sucht, verdächtigt meistens den Falschen.

Ein stärkerer Server hilft nicht, wenn der angebundene Speicher der Flaschenhals ist. Bei unserer Nextcloud habe ich erst gemessen, bevor ich über neue Hardware nachdachte: 8,4 Megabyte pro Sekunde beim Schreiben in den Objektspeicher, 67 beim Lesen, während das Netz selbst in unter einer Millisekunde antwortete. Die Maschine hatte nie Not, die Leitung dahinter schon. Bevor man aufrüstet, misst man, wo die Zeit wirklich verlorengeht.

Große Uploads brechen nach genau einer Minute ab, weil dort ein Zeitlimit sitzt und kein Zufall waltet. Bei uns endete jede Übertragung über zweihundert Megabyte mit einem Fehler, immer nach 60,1 Sekunden. Der Verdacht lag zuerst beim Programm auf dem Rechner, tatsächlich hatte unser Proxy Traefik in der neuen Version ein Werksmaß von sechzig Sekunden mitgebracht. Eine Störung, die auf die Zehntelsekunde wiederkehrt, kommt nicht von der Leitung, sondern aus einer Einstellung.

Ein Versionssprung ändert nicht nur Funktionen, sondern auch Voreinstellungen, die es vorher gar nicht gab. Unser Proxy Traefik kannte in Version zwei keine Zeitgrenze für eingehende Übertragungen, Version drei bringt sechzig Sekunden ab Werk mit, und das galt schlagartig für alle Dienste dahinter: Dokumentenablage, Projektverwaltung, Dateiserver. Aufgefallen ist es nur an einer einzigen Stelle. Nach einem Update lohnt der Blick auf das, was der Hersteller jetzt anders für richtig hält.

Für den Dauerbetrieb reicht die Werkseinstellung einer Datenbank nicht, sie ist für den kleinsten denkbaren Fall gemacht. Unser PostgreSQL lief mit hundert erlaubten Verbindungen und 128 Megabyte Puffer bei knapp vier Gigabyte Arbeitsspeicher im Server, und seit Mai wurden über zwölftausend Verbindungen abgewiesen. Nach dem Anheben auf zweihundert fiel die Auslastung von achtzig auf vierunddreißig Prozent, bei 0,85 Sekunden Ausfall. Eine Werkseinstellung ist eine Startposition, kein Betriebszustand.

Eine Werkseinstellung kann eine Funktion tatsächlich von Anfang an unmöglich machen. Unsere Nextcloud lief über ein Jahr mit einem Zeitlimit von fünfzehn Sekunden für den angebundenen Objektspeicher, während ein einzelner Datenblock bei gemessenem Durchsatz neunundfünfzig Sekunden gebraucht hätte. Jeder größere Upload musste also scheitern, ganz ohne Defekt. Werkseinstellungen sind eine Annahme des Herstellers über einen Betrieb, den er nicht kennt.

Beim Umzug einer Website kommt erst das Zertifikat, dann die DNS-Umstellung. Wir ziehen zwei unserer Domains auf einen neuen Reverse Proxy, und in der umgekehrten Reihenfolge entsteht ein Zeitfenster, in dem Besucher auf einem Server landen, der für diese Adresse noch gar kein gültiges Zertifikat hat: Warnseite im Browser, mitten am Werktag. Also erst den Traefik-Router scharf schalten, dann den Wegweiser umstellen. Man baut die Brücke fertig, bevor man den Verkehr darüberschickt.

Ein Diagnose-Schalter, den man nach der Reparatur anlässt, wird irgendwann selbst zum Fehler. Auf einem unserer WordPress-Server stand die ausführliche Fehlerprotokollierung seit Monaten auf an, im Produktivbetrieb. Die Protokolldatei war auf 1,96 Gigabyte gewachsen und der Datenträger zu sechsundachtzig Prozent voll. Bevor ich sie geleert habe, habe ich ihr Ende gelesen, denn genau dort stand die Ursache des Ausfalls. Was man zum Suchen anschaltet, gehört nach dem Finden wieder ausgeschaltet.

Umbauen muss man ein Programm dafür nicht, wenn die Entscheidung in der Konfiguration steht und nicht im Code. Unsere Achsvermessung schickt jedes Messprotokoll automatisch per Mail und druckte es zusätzlich in der Werkstatt aus. Diese Woche habe ich den Ausdruck abgeschaltet und den Verteiler verkleinert, dafür reichten zwei Werte in einer Einstellungsdatei und eine Sicherung davon. Der nächste Wagen lief sauber durch: keine Seite gedruckt, Mail zugestellt. Was sich im Betrieb ändern kann, gehört dorthin, wo man es ohne Programmierer ändert.

Eine Login-Sperre schützt nur den Weg, für den sie geschrieben wurde, die Hintertüren bleiben offen. Auf der Website eines Betriebs prasselten an einem Vormittag 1.426 Anfragen in achtundzwanzig Minuten auf eine Programmier-Schnittstelle ein, getarnt als Suchmaschinen-Crawler. Unsere Sperre mit fail2ban wachte am Anmeldeformular und ließ das alles ungebremst durch. Ich habe eine zweite Regel für diesen Weg gebaut und gegen das echte Protokoll geprüft, 1.453 Treffer, ausschließlich Angreifer. Ein Wachhund vor der einen Tür sagt nichts darüber, wie viele Türen das Haus hat.

Im Namen der eigenen Firma kann jeder Mails verschicken, und man merkt es nur, wenn man die Berichte dazu liest. Unser Mailserver, Stalwart, sammelt solche Meldungen seit März 2025 in einem Postfach, das ich bis heute nie geöffnet hatte: 517 Berichte über gut vierzehntausend Mails. Darin stand, dass im Mai ein fremder Anbieter drei Mails unter unserem Absender verschickt hat, abgewiesen allein deshalb, weil unsere Regel streng auf Ablehnung steht. Der Beweis lag über ein Jahr ungelesen im eigenen Haus.

Ein Protokoll, das jede Minute dieselbe Zeile schreibt, muss man ausdünnen, sonst versteckt es den einen Satz, der zählt. Die Protokolldatei unserer Achsmess-Automatik war auf 4,4 Megabyte und 34.616 Zeilen gewachsen, fast nur Meldungen, dass das Gerät gerade ausgeschaltet ist. Die Hälfte stand sogar doppelt drin, weil zwei Wege in dieselbe Datei schrieben. Jetzt rotiert die Datei täglich, wird nach vierzehn Tagen weggeworfen, und die Doppelung ist raus. Ein Protokoll nützt erst, wenn die Abweichung darin auffällt.

Wie oft eine Überwachung nachsehen muss, entscheidet sich daran, wann der Kunde die Störung merkt. Bei uns stand ein Monitor in Uptime Kuma auf dreihundert Sekunden, also fünf Minuten zwischen zwei Prüfungen. Jeder Ausfall, der kürzer war, blieb für das System unsichtbar, und ich habe die Störung vor dem Monitoring bemerkt. Seitdem laufen Kundenseiten auf sechzig Sekunden. Eine Überwachung, die langsamer schaut als der Kunde klickt, meldet nur noch, was ohnehin schon alle wissen.

Die Warnmails der eigenen Server landen in der Quarantäne, wenn sie ohne digitale Signatur verschickt werden. Aus den Berichten unseres Mailservers ging hervor, dass 125 von 222 Systemmails eines Verwaltungsrechners beim Empfänger aussortiert wurden, still, ohne dass bei mir eine Fehlermeldung ankam. Betroffen war genau der Kanal, über den sich abgelaufene Zertifikate und fehlgeschlagene Sicherungen melden. Eine Warnung, die niemanden erreicht, ist keine Warnung, sondern nur eine Zeile in einem Protokoll, das keiner liest.

Einen großen Datenbestand direkt von einer Cloud in die andere zu kopieren, geht selten gut. Ich habe knapp dreitausend Dateien in unsere Nextcloud geschoben, und nach 949 Dateien stand die Übertragung still, fünfundzwanzig Stunden lang, ohne eine einzige Fehlermeldung. Am Server lag es nicht: die Quelle musste jede Datei selbst erst aus ihrer eigenen Cloud holen und stieg dabei aus. Seitdem hole ich solche Bestände zuerst vollständig auf die Platte und schiebe sie dann in Häppchen weiter. Zwei Automatiken, die aufeinander warten, arbeiten nicht, sie stehen.

Im Ordner zu stehen heißt nicht, dass eine Datei wirklich auf dem Rechner liegt. Moderne Cloud-Ordner zeigen Platzhalter, die den vollen Namen und die volle Größe melden, obwohl lokal kein einziges Byte liegt. Bei unserem Nextcloud-Umzug habe ich das erst bemerkt, als ich statt der angezeigten Größe die tatsächlich belegten Blöcke abgefragt habe: ein großer Teil des Ordners war Fassade. Wer so einen Ordner sichert, sichert Namen, keine Daten.