Fragen & Antworten.

Steht im Bild selbst kein Aufnahmedatum, nimmt das Archiv das Datum der Datei, also meist den Tag des Imports. Beim Einspielen unserer alten Fotobestände nach Immich landeten so 843 Bilder aus 2013 und 2014 unter dem dreißigsten August 2026, allesamt aus Messenger- und Handy-Sicherungen, denen die Aufnahmedaten fehlen. Retten ließ sich das nur, weil im Dateinamen noch ein Zeitstempel steckte. Ein Archiv ordnet nicht nach dem, was war, sondern nach dem, was es findet.

Eine Archivplatte hängt man nicht einfach ein, wenn sie garantiert unverändert bleiben soll. Ich wollte eine alte Linux-Platte am Mac auslesen, und schon das reine Einhängen schreibt ins Journal des Dateisystems. Stattdessen habe ich mit debugfs nur lesend auf das Rohgerät zugegriffen und die Daten mit konstant rund siebzehn Megabyte je Sekunde herausgezogen, ohne ein einziges Byte auf der Platte zu ändern. Wer nur lesen will, sollte sich auch kein Schreibrecht in die Hand geben lassen.

Was noch fehlt, weiß ich ohne eine einzige angeschlossene Platte, weil ich zuerst ein Inventar gebaut habe. Bevor ich unsere alten Festplatten gesichtet habe, habe ich jede einmal komplett in eine kleine SQLite-Datenbank eingelesen, Pfad, Größe und Kategorie, für alle acht Platten. Seitdem beantworte ich am Schreibtisch, welche der über zwanzigtausend Aufnahmen schon in der Fotoverwaltung liegen und welche nicht. Ein Verzeichnis kostet einen Abend und spart jedes spätere Suchen.

Der Restzeit-Anzeige eines Kopiervorgangs kann man am Anfang nicht trauen, jedenfalls nicht bei gemischten Dateigrößen. Beim Auslesen einer Archivplatte lag der Durchsatz die ganze Zeit konstant bei rund siebzehn Megabyte je Sekunde, aber sobald die großen Rohbilder durch waren, stieg die Zahl der fertigen Dateien pro Minute auf das Siebenfache. Jede frühe Hochrechnung war damit wertlos. Ein Mittelwert aus dem ersten Zehntel sagt nichts über den Rest, wenn die Brocken ungleich groß sind.

Vier Kopien einer Datei sind keine Sicherung, wenn die Datei schon beim ersten Kopieren kaputt war. Beim Sichten der alten Platten fand ich 61 Dateien mit null Byte Inhalt, und sie waren auf allen vier Platten gleich leer, darunter ein komplettes Fotoshooting von 2007. Kopiert wurde jahrelang brav weiter, geprüft hatte nie jemand. Eine Prüfsumme ist mehr wert als die dritte Kopie, denn Kopien vervielfältigen auch den Schaden.

In die Waschhalle darf ein Gerät für Innenräume nur, wenn man die Grenze kennt und bewusst annimmt. Wir hängen dort unseren gebrauchten UniFi-Zugangspunkt auf, der keinerlei Schutzart für Feuchträume hat, trocken und außerhalb des Sprühbereichs. Fällt er dort aus, ist das kein Rätsel, sondern der eingeplante Fall, und es kommt ein Außengerät hin. Ein Risiko, das man vorher aufschreibt, ist eine Entscheidung. Eines, das man verschweigt, wird eine Panne.

Ein neuer Dienst ist nicht automatisch mit gesichert, nur weil der Server gesichert wird. Unser Bildarchiv Immich erzwingt eine eigene PostgreSQL-Instanz mit Vektor-Erweiterung und läuft deshalb neben dem zentralen Cluster, den pgBackRest jede Nacht wegschreibt. Diese eine Datenbank sah die Sicherung schlicht nicht. Die Bilddateien lagen längst doppelt, aber die Zuordnung von 35.986 Aufnahmen zu Alben und Personen hing an einer ungesicherten Datenbank. Jeder neue Dienst bringt seine eigene Datenhaltung mit, und was die Sicherung nicht kennt, sichert sie nicht.

Mehr Tempo bringt ein neuer WLAN-Zugangspunkt nur, wenn das Kabel dahinter mitkommt. Bei uns soll die Anmeldung einen neuen UniFi-Zugangspunkt bekommen und der alte in die Waschhalle wandern. Beim Nachsehen fiel auf, dass genau dieser Anschluss nur mit hundert Megabit läuft, seit April als offener Punkt dokumentiert. Der Kabeltausch gehört seitdem zur Beschaffung dazu, nicht in ein späteres Projekt. Ein schnelles Gerät an einer langsamen Leitung ist teuer bezahlte Geduld.

Freigeben lässt sich das nur über eine dauerhafte Verbindung zwischen Konten, nicht über einzelne Alben. Immich, mit dem wir unsere Fahrzeugfotos verwalten wollen, kennt keine Benutzergruppen: Jedes Album muss einzeln an einzelne Personen gegeben werden, bei fünfzehn Mitarbeitern also fünfzehn Handgriffe pro Album. Stattdessen hält ein Firmen-Konto die Bibliothek, alle anderen hängen lesend als Partner daran, und neue Fotos sind sofort für alle da. Vor der Einführung lohnt die Frage, ob eine Software überhaupt Rollen kennt und nicht nur einzelne Nutzer.

Gesichert ist ein Fotoarchiv erst, wenn auch die Ordnung mitgesichert wird, nicht nur die Bilddateien. Bei der Planung unseres Bildarchivs mit Immich liegen die knapp sechsunddreißigtausend Aufnahmen auf dem gesicherten Speicher, die Datenbank mit Alben, Orten und Gesichtern aber lokal auf der SSD und fiel damit aus der Sicherung heraus. Ohne sie hätte ich nach einem Ausfall dreihundert Gigabyte namenlose Dateien. Der Wert eines Archivs steckt nicht in den Dateien, sondern darin, dass man wiederfindet, was man sucht.

Eine Sicherheitsfunktion, die eingeschaltet, aber nie zu Ende eingerichtet wurde, schützt gar nichts. Bei uns war eine Domain seit März 2025 kryptografisch signiert, 133 Signaturen, jeden Tag um 17:20 automatisch erneuert. Es fehlte nur der letzte Schritt, der Eintrag beim Registrar, der die Vertrauenskette schließt. Anderthalb Jahre lang hat die Maschine für nichts gerechnet, und aufgefallen wäre es von allein nie. Halber Schutz ist kein halber Schutz, sondern nur die Ruhe, die dazugehört.

Das Internet kennt einen neuen Server, sobald er sein erstes Zertifikat bekommt, auch wenn man die Adresse niemandem gesagt hat. Bei der Inbetriebnahme unseres Bildarchivs mit Immich hinter Traefik wird jedes ausgestellte Zertifikat in öffentliche Protokolle geschrieben, und die liest jeder mit. Bei Immich wird zugleich der erste, der sich registriert, automatisch Administrator. Also habe ich das Admin-Konto in derselben Minute angelegt, in der die Seite zum ersten Mal über HTTPS erreichbar war. Zwischen Türöffnen und Abschließen darf kein Abend liegen.

Dass ein Gerät im richtigen Netz hängt, beweist eine leuchtende Netzwerkdose nicht. Bei uns blieb ein Canon-Drucker stumm, obwohl der Switch-Port sauber mit tausend Megabit meldete. Der Port lag noch im alten Telefonie-Netz, weil ein paar Dosen im Patchfeld aus der früheren Telefonverkabelung stammen und außen wie jede andere aussehen. Erst der Blick auf die Netzzuordnung und ein kurzes Aus und Ein am Port brachten ihn zurück. Ein Signal beweist, dass etwas ankommt, nicht wohin es führt.

Als Dauerüberwachung taugt ein Diagnose-Skript nicht, solange ein Ende fest eingebaut ist. Ich wollte eine sporadische Internet-Störung mitschneiden und hatte dafür eine Schleife laufen, 2160 Durchläufe alle zehn Sekunden, also genau sechs Stunden. Als ich einen Monat später ins Protokoll sah, endete es mit der Zeile Monitor Ende, nachmittags am ersten Tag, und lag im Zwischenspeicher, den jeder Neustart leert. Ein Wächter, der sich unbemerkt verabschiedet, ist schlimmer als gar keiner, weil man sich auf ihn verlässt.

Ein externer Dienstleister sieht bei uns mit seinem eigenen Zugang genau einen Kanal und sonst nichts. In Authentik hängt jede Anwendung an einer Gruppe: Externe bekommen eine eigene, die alles außer dem Support-Chat sperrt, Interne je nach Aufgabe zwei oder drei. Als ich zuletzt einen Zugang anlegte und die Gruppe vergaß, sah der Kollege eine völlig leere Startseite, und genau so soll es sein. Ein Zugang, der von sich aus nichts zeigt, ist der einzige, den man ruhig vergibt.

Ein geändertes Passwort gilt nicht automatisch in allen Firmensystemen, auch wenn es überall dasselbe ist. Unsere Anmeldung über Authentik und das Microsoft-Konto der Mitarbeiter sind technisch nicht gekoppelt: Wer sein Passwort ändert, muss es an zwei Stellen setzen, sonst sperrt ihn die zweite aus. Seitdem steht dieser Hinweis im Notizfeld jedes betroffenen Eintrags, direkt beim Zugang selbst. Wissen, das nur im Kopf eines Einzelnen liegt, ist kein Wissen des Betriebs.

Ein längst veröffentlichter Fix kam drei Wochen lang nicht bei uns an, weil ihn niemand abgeholt hat. Unser Passwort-Tresor Vaultwarden lief auf der Einstellung latest, seit Ende Juli ließen sich keine Einladungen mehr annehmen, und der Hersteller hatte den Fehler zwei Tage später behoben. Nur bewegt sich ein laufender Container nicht von allein: Er bleibt auf seinem Stand, bis jemand die neue Fassung aktiv holt. Inzwischen steht bei uns eine feste Version statt latest. Ein Fix, den es gibt, ist noch keiner, den man hat.

Als Versionsverwaltung genügen datierte Sicherungskopien nicht. Der Code unserer zweiten Firmen-Website lebte lange nur auf dem Server, gesichert durch Kopien mit Anlass und Datum im Dateinamen. Wer wissen wollte, warum eine Zeile so aussieht, musste raten. Seit diesem Monat liegt alles in Git, gearbeitet wird weiter direkt auf dem Server, und das Deploy-Skript erinnert am Ende an noch nicht gesicherte Änderungen. Ein Stapel Kopien ist ein Archiv, kein Gedächtnis.

Die empfohlenen Zusatzdienste einer selbst betriebenen Software muss man tatsächlich einrichten, auch wenn ohne sie zunächst alles zu laufen scheint. Bei unserer Nextcloud fehlte seit dem ersten Tag der Melde-Dienst, den der Hersteller für die Mac-Anbindung ausdrücklich empfiehlt; ohne ihn kann der Server nichts von sich aus melden, jeder Rechner fragt nur in Abständen nach. Sichtbar wurde das an sieben Zurücksetzungen des Clients in knapp vier Monaten, im Schnitt alle sechzehn Tage. Eine Empfehlung, die man überliest, bezahlt man später in Stunden.

Eine Fehlermeldung über eine nicht lesbare Datei heißt nicht, dass die Datei verloren ist. In unserer Nextcloud stand so eine Zeile 636 Mal im Protokoll, und ich habe im Speicher nachgesehen und die Byte-Zahl mit dem Datenbankeintrag verglichen: identisch, es fehlte nichts. Ein einziger Aussetzer schreibt dabei gleich drei Meldungen, was die Lage schlimmer aussehen lässt als sie ist. Bevor man den Verlust meldet, sieht man nach, ob wirklich etwas fehlt.