Journal.

Zwei laufende Exemplare eines wichtigen Programms reichen als Absicherung nicht, wenn beide im Gleichtakt altern. Unser Dokumentensystem Paperless hatte zwei Webserver-Prozesse als Reserve, doch beide starteten morgens zur selben Minute, verbrauchten gleich schnell Speicher und wurden deshalb fast gleichzeitig ausgetauscht. Genau in dieses Fenster fiel die Meldung vom Empfang, die Seite reagiere nicht. Seit drei Prozesse mit kleinerer Schwelle laufen, springt bei jedem Wechsel eine warme Reserve ein, die Seite antwortet in einer Drittelsekunde. Eine Reserve schützt nur, wenn sie nicht im selben Takt ausfällt wie das, was sie ersetzen soll.

Ob eine neue Software im Betrieb ein Erfolg wird, entscheiden nicht die Techniker, sondern die Mitarbeiter, die täglich damit arbeiten. Unser neues Dokumenten-System Paperless lief seit über einer Woche technisch sauber, jeder Abgleich per Schnittstelle war grün, aber am Tresen fühlten sich die Kollegen wie Beta-Tester, weil frisch eingescannte Belege für sie unsichtbar blieben. Seitdem melde ich mich nach jeder Änderung als normaler Mitarbeiter an und prüfe, ob ein Tresen-Scan wirklich ankommt, statt nur der Technik zu glauben. Ein Update ist erst fertig, wenn es niemandem auffällt.

Einen Fehler, der immer wiederkommt, behebt man nicht nur, man baut ihm einen Wächter. In unserer Dokumentenablage schlich sich derselbe Sichtbarkeits-Fehler seit Projektbeginn in jeden neuen Upload-Weg ein, zuletzt bei 132 Bildern, die nachts eingespielt wurden. Jetzt prüft eine kleine Routine alle fünf Minuten den Bestand und stellt falsche Zuordnungen von selbst richtig. Die Ursache beheben wir trotzdem jedes Mal, aber der Wächter fängt das nächste Vergessen ab. Gegen einen wiederkehrenden Fehler hilft keine Erinnerung, nur ein Mechanismus.

Der Wert einer KI-Lösung steckt in den aufbereiteten Daten, nicht im Werkzeug drumherum. Wir haben den internen Doku-Chatbot für unser Werkstatt-Programm Loco-Soft vom Eigenbau auf die fertige Software Open WebUI umgestellt, und die eigentliche Arbeit zog einfach mit um: 1.184 sauber aufbereitete Hilfetexte und 85 Hersteller-PDFs. Das alte Programm war nach einem Tag ersetzt, die Daten blieben ohne eine Stunde Nacharbeit nutzbar. Werkzeuge kommen und gehen, gut aufbereitete Daten überleben jeden Wechsel.

Eine Automatik darf einen offenen Fall bei uns drei Nächte lang behalten, dann muss sie ihn sichtbar an den Menschen übergeben. Belege ohne zugeordneten Kunden bekommen jetzt einen Marker-Tag, und der nächtliche Lauf versucht die Zuordnung nachzuholen, sobald frische Daten da sind. Beim ersten scharfen Lauf löste er 39 von 112 offenen Belegen von allein, der Rest wandert nach der Frist mit sichtbarem Hinweis zu den Kollegen. Eine Automatik, die still auf offenen Fällen sitzt, ist nur eine ordentlichere Form des Vergessens.

Ein Beleg im Fehlerordner ist erst gerettet, wenn dort auch regelmäßig jemand hineinsieht. Unsere Beleg-Automatik legt Dokumente, die sie nicht in die Ablage hochladen kann, sauber in einen Fehlerordner, damit nichts verloren geht. Genau dort lagen fünf Belege aus mehreren Tagen, still und unbemerkt, bis ich zufällig nachsah. Alle fünf habe ich am selben Abend nachträglich eingespeist, und als Nächstes bekommt der Ordner eine Überwachung, die meldet, sobald er nicht leer ist. Ein Auffangnetz, in das niemand schaut, ist nur ein zweiter Ort zum Verlieren.

Gekaufte Herstellerdoku darf man von einer externen KI verarbeiten lassen, solange das rein intern bleibt und der Anbieter mit den Daten nicht trainiert. Ich habe unseren internen Frage-Antwort-Helfer für die Loco-Soft-Handbücher aus Sorge um das Urheberrecht lange klein gehalten und lag daneben: rechtlich ist das Auftragsverarbeitung, nichts anderes, als dieselben PDFs in der Cloud abzulegen. Jetzt stecken die aktuelle Hilfe und 85 offizielle Handbuch-PDFs drin, zusammen gut viertausend Wissensabschnitte. Übertriebene Vorsicht hat auch einen Preis: das Werkzeug, das man sich nicht zu bauen traut.

Ein nächtlicher Datenabzug reicht nicht, wenn die Automatik tagsüber mit dem Tagesgeschäft arbeiten muss. Bei uns kaufte eine Neukundin ein Fahrzeug, die Rechnung wurde noch am selben Tag eingescannt, aber unsere Dokumentenablage kannte nur den Kundenstamm der letzten Nacht aus Loco-Soft. Darin gehörte das Fahrzeug noch uns selbst, also ordnete sie die Rechnung dem eigenen Autohaus zu statt der Käuferin. Jetzt bauen wir den Abgleich mehrmals täglich direkt aus der laufenden Datenbank. Der Datenstand von gestern Nacht kennt den Kunden von heute Mittag nicht.

Ein neuer Alarm kann einen alten Ausfall erklären, manchmal besser als jede Suche damals. Wir hatten unserem nächtlichen Sicherungsskript gerade erst einen Wächter in Uptime Kuma gegeben, und schon in der ersten Nacht schlug er an. Die Suche zeigte: Das Skript war seit rund elf Wochen still kaputt, seine Aufräum-Routine lief nie, der Backup-Ordner wuchs auf 208 GB, und genau diese volle Platte hatte Anfang Juli unsere ganze Cloud lahmgelegt. Ein Fehler ohne Alarm verschwindet nicht, er sammelt sich nur an.

Dass eine Verbesserung nichts Bestehendes verschlechtert, stellt man sicher, indem man alt und neu über den kompletten Bestand laufen lässt, ohne etwas zu verändern. Bevor unsere überarbeitete Beleg-Erkennung live ging, die unserem lokalen Gemma-Modell die Kundennummern zuliefert, habe ich beide Fassungen read-only über 22.242 Archiv-PDFs geschickt: über dreitausend Kundennummern zusätzlich erkannt, keine einzige verloren, die wenigen Abweichungen einzeln geprüft. Erst diese Zahlen gaben die Freigabe für den Abend. Besser ist eine Änderung erst, wenn gemessen ist, dass nichts Vorhandenes verloren geht.

Einem Programm, das immer mehr Speicher frisst, setzt man eine feste Grenze, statt auf einen Fix zu warten. Unser Dokumentenarchiv wurde am Tresen unbenutzbar, mit Antwortzeiten von 33 Sekunden, weil ein einzelner Serverprozess über Stunden auf sieben Gigabyte anwuchs und den ganzen Server mit sich zog. Der Fehler ist dem Hersteller bekannt und derzeit nicht behebbar, also bekam der Docker-Container eine Speichergrenze, und jeder Arbeitsprozess wird automatisch ersetzt, sobald er zu groß wird. Manche Fehler kann man nicht reparieren, nur einzäunen.

Den ganzen Server schützt man vor einem einzelnen fehlerhaften Programm wie das Auto vor einem defekten Verbraucher: mit einer Sicherung. Unsere Dokumentenverwaltung hat ein Speicherleck und füllt rund acht Gigabyte in acht Stunden, behoben ist das noch nicht. Deshalb hat der Dienst eine feste Speichergrenze bekommen, und heute Mittag griff sie zum ersten Mal: kurzer Neustart des einen Dienstes, der Rest des Servers lief ungestört weiter. Eine Grenze behebt den Fehler nicht, aber sie bestimmt, wie groß er werden darf.

Wenn die KI einen Beleg falsch zuordnet, obwohl die Kundennummer daraufsteht, liegt der Fehler meist nicht bei der KI, sondern einen Schritt davor. Bei uns übersah eine zu schmale Leseregel die Kundennummern auf Barverkaufs- und Fahrzeugrechnungen, also musste Gemma aus dem Text raten und lag daneben. Nach dem Nachschärfen der Regel fanden sich in 22.242 Alt-Belegen über dreitausend Kundennummern zusätzlich, ohne dass die KI ein einziges Mal raten musste. Wer der Maschine die Fakten vorenthält, darf sich über ihr Raten nicht wundern.

Einzeln zugeordnet werden sollte nicht jedes Blatt einer Akte, denn ein Stapel gehoert meist zu einem einzigen Kunden und Fahrzeug. Als Gemma jedes Dokument fuer sich betrachtete, riet es beim Diagnoseausdruck den Geraetehersteller, obwohl das Deckblatt derselben Akte den Halter laengst nannte. Jetzt erbt der ganze Schwung zwischen zwei Trennblaettern denselben Korrespondenten, statt Seite fuer Seite neu zu raten. Wer den Zusammenhang wegwirft, muss ihn auf jedem Blatt neu erfinden.

Ein Archiv legt seine Dateien besser nach einer festen Nummer ab als nach dem sprechenden Titel. Unser Langzeit-Archiv sortierte die Belege nach dem Titel, den die KI vergibt, doch dieselbe Bezeichnung entsteht dutzendfach, und so lagen am Ende 14.138 Objekte gegenüber rund 6.800 echten Dateien, sechs davon unter einem fremden Namen. Jetzt bekommt jedes Dokument seine unveränderliche Kennung, der Titel bleibt nur zum Lesen. Ein Name darf sprechen, tragen muss ihn eine Nummer, die sich nie verschiebt.

Ein Erpressungstrojaner kann unsere Datensicherung nicht verschlüsseln, weil sich die Kopie selbst gegen jeden Zugriff sperrt, auch gegen meinen. Unsere Belege liegen zusätzlich im Hetzner Object Storage mit echtem Object-Lock: 14.138 Dokumente, zehn Jahre unveränderbar, unlöschbar selbst mit gestohlenen Administrator-Rechten. Als sich ein lokales Original änderte, verweigerte der Speicher die Überschreibung, genau wie er soll. Ein Backup, das ich selbst noch löschen kann, kann auch ein Angreifer löschen.

Meine eigenen Belege nicht löschen zu können, ist kein Mangel, sondern der ganze Sinn eines revisionssicheren Archivs. Unsere Dokumente wandern jede Nacht in einen Hetzner Object Storage mit echtem Object-Lock, Modus Compliance und zehn Jahren Aufbewahrung, aktuell 14.138 Objekte, die auch ich als Administrator oder ein Angreifer mit gestohlenen Zugängen nicht mehr überschreiben kann. Als der Lauf Fehler meldete, weil sich lokale Originale geändert hatten, war das kein Defekt, sondern die Sperre, die ihre Arbeit tat. Ein Archiv, das der Besitzer selbst überschreiben kann, kann auch ein Angreifer überschreiben.

Ein Datenbank-Backup, dessen Schlüssel fehlt, nützt im Ernstfall gar nichts. Beim Härten unserer Sicherungen fiel auf, dass unser Skript zwar jede Datenbank zog, die Service-Schlüssel aber nicht mitsicherte, den Vaultwarden-Schlüssel, die n8n-Verschlüsselung, die Matrix-Signaturen. Ohne die wären die Daten nur unlesbarer Zeichensalat gewesen. Jetzt wandern rund neun Megabyte Schlüssel bei jedem Lauf mit ins Archiv. Ein Backup, das man nicht wieder aufschließen kann, ist ein Schrank ohne Schlüssel.

Den Geraetehersteller traegt die KI als Kunden ein, weil sie den auffaelligsten Namen auf dem Blatt greift, nicht den richtigen. Unser lokales Modell Gemma ordnete einen Diagnoseausdruck dem aufgedruckten Tester-Hersteller Hella Gutmann zu, bei einer Fahrzeugrechnung sogar meinem eigenen Autohaus als Rechnungssteller, statt der Kundin. Jetzt haengt die Zuordnung an der Fahrgestellnummer, die eindeutig einen Halter trifft, und bekannte Nicht-Kunden sind hart gesperrt. Der groesste Name auf einem Dokument ist selten der gesuchte.

Eine Sicherung, die auf demselben Rechner wie die Originaldaten liegt, ist noch keine echte Sicherung. Bei uns war das nächtliche Auslagern der Archive an einen zweiten Ort seit Mai still ausgefallen, ohne dass es jemand bemerkte, und so lagen die Kopien nur dort, wo auch das Original lag. Jetzt geht jede Nacht eine Kopie an einen Rechner an einem anderen Standort mit über achthundert Gigabyte Platz, und jeder Job meldet sich danach bei Uptime Kuma. Eine Kopie neben dem Original teilt im Ernstfall dessen Schicksal.