Fragen & Antworten.

Ein Muster-Suchlauf allein reicht nicht, um Passwörter in alten Dateien zu finden. Als ich den Code unserer zweiten Firmen-Website erstmals unter Versionsverwaltung stellte, fand die automatische Suche nach typischen Passwort-Mustern das meiste, aber zwei Dateien kamen erst ans Licht, als ich gezielt nach den bereits bekannten Klartext-Werten suchte. In einer davon steckte das Passwort mitten in einem Datensatz und sah aus wie ein ganz normaler Wert. Seitdem mache ich immer beides. Ein Suchmuster findet nur, was es erwartet.

Ein Urlaubshinweis verschwindet am Enddatum von selbst, wenn der Zeitraum an zwei Stellen geprüft wird, beim Bauen der Seite und noch einmal im Browser des Besuchers. Auf unserer Firmenseite liegt die Meldung als Datensatz im Directus mit Start- und Enddatum. Abgelaufene Hinweise landen gar nicht erst im HTML, und ein kurzes Skript blendet sie auch dann aus, wenn seit Tagen niemand neu gebaut hat. Der verlässlichste Ablauf ist der, den am Stichtag niemand mehr anstoßen muss.

Ein Behördenformular per Skript auszufüllen lohnt sich, sobald eine Korrektur wahrscheinlich ist. Von drei Bögen eines Antrags gab es nur einen als ausfüllbares PDF zum Herunterladen, die beiden anderen existierten bloß als Scan. Statt sie zu drucken und zu tippen, habe ich die Werte mit einem kleinen Python-Skript als Overlay daraufgelegt. Beim ersten Mal dauert das länger als Tippen, bei der ersten Korrektur ist es wieder drin. Handarbeit kostet jedes Mal gleich viel, ein Skript nur beim ersten Mal.

Ein lückenloser Beleg reicht nicht, wenn das Gesetz den Zahlweg vorschreibt. Ich habe im Juli knapp neunzehnhundert Euro Unterhalt bar an eine Angehörige im Ausland übergeben, mit Flugticket und Abhebungsbeleg sauber dokumentiert. Seit 2025 erkennt § 33a EStG dafür nur noch die Überweisung auf ein Konto der unterstützten Person an, damit sind rund sechshundert Euro Erstattung weg. Genauso verliert den Abzug, wer eine Handwerkerrechnung im eigenen Haushalt bar bezahlt. Eine Regel, die jahrelang galt, gilt nicht deshalb auch dieses Jahr.

Jeden Beleg zu sammeln lohnt sich nicht, wenn die Summe am Ende unter der Pauschale bleibt. Für 2025 komme ich auf rund sechshundertsechzig Euro Werbungskosten, der Pauschbetrag liegt bei eintausendzweihundertdreißig, im Jahr davor waren es sogar nur fünfhundertacht. Alles Sortieren und Abheften dafür war verschenkte Zeit, während die zwei Posten, an denen wirklich Geld hängt, liegen blieben. Erst rechnen, wo etwas wirkt, dann sammeln.

Wenn dieselben Ordner auf zwei Rechnern liegen sollen, nehme ich Versionsverwaltung statt Dateisync. Meine Arbeitsordner lagen früher in Nextcloud, und dort steht bis heute ein veralteter Zwilling mit neunzehn statt neunundzwanzig Einträgen, inklusive eines Projekts, das ich längst beerdigt habe. Seit dem zehnten August hängt der zweite Rechner stattdessen an Forgejo, und jeder Arbeitsplatz holt sich denselben nachvollziehbaren Stand. Ein Sync kennt nur den letzten Schreiber, eine Historie kennt den Weg dorthin.

Sicherheitsregeln für öffentliche Plattformen muss man nicht ungeprüft übernehmen, man muss wissen, wogegen sie schützen. In allen dreiundzwanzig meiner Repositories stand eine Ausschlussliste aus der GitHub-Welt, die Schlüssel- und Zugangsdateien grundsätzlich draußen hielt. Mein Forgejo läuft auf eigener Hardware und hat genau drei Konten, die alle mir gehören, also habe ich die Liste umgedreht: draußen bleibt nur, was auf jedem Rechner ohnehin neu entsteht. Eine Regel ohne ihren Grund ist nur noch eine Gewohnheit.

Eine Sicherung, die jemand erst anstecken muss, taugt nur so weit wie die Gewohnheit dahinter. Unser Borg-Lauf schreibt auf eine externe Platte, und weil die monatelang nicht am Rechner hing, kam einhundertsiebzehn Tage lang keine einzige Sicherung durch, 404 Fehlversuche im Protokoll, die niemand gelesen hat. Time Machine stand ohne Ziel daneben. Erst als ich die Platte wieder ansteckte, lief alles durch. Eine Sicherung, die an einem Handgriff hängt, ist ein Vorsatz und keine Sicherung.

Ein VPN lehnt die Anmeldung auch dann ab, wenn das Passwort stimmt, die Programmversion auf dem eigenen Rechner aber zu alt ist. Bei uns brach OpenVPN jeden Verbindungsversuch mit einer Anmeldefehler-Meldung ab, obwohl die Zertifikatsprüfung eine Zeile vorher sauber durchlief. Der Gegenstelle war die Version zu alt, sie verlangt mindestens 2.6.12. Wer nur die letzte Zeile liest, sucht am falschen Ende.

Es reicht, wenn eine Telefon-KI sich in der Begrüßung selbst als KI vorstellt, solange dieser Satz wirklich in jedem Anruf fällt. Unser Anrufassistent getCarl zeigt dazu einen roten Warnkasten, obwohl die feste Begrüßung das Wort KI-Assistentin im ersten Satz nennt und sich vom Anrufer nicht wegreden lässt. Eine frühere Fassung sagte nur digitaler Assistent, das war zu schwach. Das Werkzeug prüft seinen eigenen Schalter, nicht den Text dahinter. Eine Warnung kennt immer nur das, was sie messen kann.

Wenn eine Angabe rechtlich verpflichtend ist, gehört sie als fester Text hinterlegt und nicht als Anweisung an das Sprachmodell. Bei unserem Telefonassistenten steht der Hinweis, dass hier eine KI spricht, als unveränderlicher Begrüßungssatz im System, und ich habe am selben Tag geprüft, dass ihn kein Anrufer unterbrechen oder überreden kann. Als Prompt formuliert wäre er nur wahrscheinlich, nicht sicher. Was man im Zweifel beweisen muss, darf nicht bei jedem Anruf neu erfunden werden.

Der Chatbot über die Herstellerdoku ist nicht das Wertvollste daran. Für die Microlino-Betreuung habe ich eine Frage-Antwort-Hilfe über 285 Herstellerartikel gebaut, und der Teil, den das Team täglich braucht, ist ein anderer: der Ablauf vom Garantieantrag bis zur Abrechnung, den vorher niemand vollständig aufgeschrieben hatte. Der Weg durch die fremde Doku war schnell gebaut, der Weg durch unseren eigenen Betrieb hat die Arbeit gemacht. Eine Maschine kann fremdes Wissen erschließen, das eigene muss man selbst aufschreiben.

Zeit für die Abrechnung eines Garantiefalls hat man nur zwanzig Werktage ab Kenntnis, danach verfällt der Anspruch. Bei Microlino steht das in den Richtlinien, zusammen mit dem Satz, dass eine versäumte Frist nicht an den Endkunden weitergegeben werden darf. Das Altteil müssen wir neunzig Werktage aufbewahren. Wir notieren die Frist deshalb beim Anlegen des Antrags, nicht erst wenn das Fahrzeug fertig ist. Eine Frist, die man am Ende bemerkt, ist meistens schon abgelaufen.

Garantieteile rechnet man nicht ab dem eigenen Einkaufspreis ab, sondern zum Garantiepreis der Herstellerliste. Bei einem Microlino-Getriebe haben wir 805 Euro bezahlt, abrechenbar waren 1.162,82 Euro. Wer stattdessen seinen Einkauf plus sieben Prozent ansetzt, verschenkt rund 357 Euro pro Getriebe, weil unser Einkauf gut ein Viertel unter dem Listenpreis liegt. Die Faustformel gilt zwischen zwei Spalten der Preisliste, nicht ab dem eigenen Beleg. Wer die Grundlage verwechselt, rechnet sauber und trotzdem falsch.

Ein Hersteller-Portal mit 285 Artikeln lieferte fast keinen Text, weil der Inhalt komplett in den Anhängen lag. Beim Aufbau unserer Microlino-Hilfe habe ich das Portal erst einmal durchgezählt: 69 Kategorien, 285 Artikel, aber nur 9 davon mit eigenem Text, alles andere steckte in 271 PDF-Dateien. Geplant hatte ich einen Scraper für Webseiten, gebraucht wurde eine Pipeline für Dokumente. Eine Stunde nachsehen, wo der Inhalt wirklich liegt, spart die Woche, in der man das falsche Werkzeug baut.

Unser Dateiserver meldete sich nie, weil seine Warnmails an einen Mailserver gingen, den es auf dieser Maschine gar nicht gab. Fünfzehn Monate lang lief unsere Nextcloud so, und in dieser Zeit hat der Speicheranbieter 634 Zugriffe gedrosselt, ohne dass ein Mensch je davon erfuhr. Erst nach der Umstellung auf unser echtes Postfach kamen die ersten Meldungen an. Ein Alarm, den niemand empfängt, ist kein Alarm, sondern nur eine Zeile im Protokoll.

Wenn eine gemeinsam genutzte Ressource ausgeht, trifft es nicht den Verursacher, sondern den, der zufällig zuletzt kommt. An einem Dienstag wurden 66 Anmeldungen über Authentik abgewiesen, weil unsere Datenbank keine freie Verbindung mehr hatte, während die eigentlichen Dauerverbraucher ungestört weiterliefen. Authentik ist bei uns die Anmeldung für fast alles, also stand plötzlich überall die Tür zu. Wer die Ursache am lautesten Symptom sucht, verdächtigt meistens den Falschen.

Ein stärkerer Server hilft nicht, wenn der angebundene Speicher der Flaschenhals ist. Bei unserer Nextcloud habe ich erst gemessen, bevor ich über neue Hardware nachdachte: 8,4 Megabyte pro Sekunde beim Schreiben in den Objektspeicher, 67 beim Lesen, während das Netz selbst in unter einer Millisekunde antwortete. Die Maschine hatte nie Not, die Leitung dahinter schon. Bevor man aufrüstet, misst man, wo die Zeit wirklich verlorengeht.

Große Uploads brechen nach genau einer Minute ab, weil dort ein Zeitlimit sitzt und kein Zufall waltet. Bei uns endete jede Übertragung über zweihundert Megabyte mit einem Fehler, immer nach 60,1 Sekunden. Der Verdacht lag zuerst beim Programm auf dem Rechner, tatsächlich hatte unser Proxy Traefik in der neuen Version ein Werksmaß von sechzig Sekunden mitgebracht. Eine Störung, die auf die Zehntelsekunde wiederkehrt, kommt nicht von der Leitung, sondern aus einer Einstellung.

Ein Versionssprung ändert nicht nur Funktionen, sondern auch Voreinstellungen, die es vorher gar nicht gab. Unser Proxy Traefik kannte in Version zwei keine Zeitgrenze für eingehende Übertragungen, Version drei bringt sechzig Sekunden ab Werk mit, und das galt schlagartig für alle Dienste dahinter: Dokumentenablage, Projektverwaltung, Dateiserver. Aufgefallen ist es nur an einer einzigen Stelle. Nach einem Update lohnt der Blick auf das, was der Hersteller jetzt anders für richtig hält.