Fragen & Antworten.

Wer alle Zugänge auf einen neuen Rechner umzieht, lernt vor allem, welche davon längst nicht mehr stimmen. Beim Umzug meines Arbeitsplatzes auf einen Cloud-Server bei Hetzner habe ich einen eigenen Schlüssel auf dreizehn Server verteilt, bei sieben alten Einträgen ging nichts: zwei antworteten nicht, bei vieren hatte sich die Kennung des Servers geändert, einer existierte gar nicht mehr. Erzwungen habe ich nichts, denn eine geänderte Kennung will erst geklärt werden. Ein Umzug ist die ehrlichste Inventur, die man umsonst bekommt.

Ob ein schwaches WLAN-Signal am Standort liegt, weiß man erst, wenn man ausrechnet, wie stark es dort sein müsste. Bei einem Shelly-Schalter im Showroom hat unsere KI den schwachen Pegel als Standortproblem abgetan, vermutlich ein Metallverteiler. Die Dose war aber aus Plastik und hatte zehn Meter freie Sicht zum Access Point. Nachgerechnet fehlten gut zwanzig Dezibel, also rund das Hundertfache an Leistung, und in der Sichtachse stand ein E-Roller. Ein Messwert ohne Sollwert ist eine Zahl, noch kein Befund.

Dass sich ein Zertifikat automatisch erneuert, reicht nur, wenn es danach auch automatisch dort ankommt, wo es gebraucht wird. Bei unserem Mailserver Stalwart holt ein Werkzeug das neue Zertifikat zuverlässig ab, aber das Einspielen in den Mailserver blieb Handarbeit, weil der letzte Schritt nie verdrahtet wurde. Zweimal innerhalb von sechs Wochen, im August und im September, wäre es deshalb fast abgelaufen. Eine Automatik ist nur so automatisch wie ihr letztes Glied.

Ein Ersatz-Arbeitsplatz in der Cloud braucht nicht strengere Regeln als der Rechner im Büro, sondern dieselben, solange derselbe Mensch davor sitzt. Ich plane gerade einen Linux-Rechner bei Hetzner für rund sechzehn Euro im Monat, der einspringt, falls mein Mac ausfällt oder gestohlen wird. Der erste Entwurf schottete ihn vom übrigen Betrieb komplett ab, bis mir auffiel, dass der Mac längst überall hinkommt. Streng eingesperrt wird nur, was unbeaufsichtigt läuft. Wie gut man einen Rechner absichert, hängt davon ab, wer ihn bedient, nicht davon, wo er steht.

Ein erfolgreicher Login mit einem neuen Handy beweist nicht, dass die Anmeldung für alle funktioniert. Bei unserem selbst betriebenen Passwort-Tresor Vaultwarden kamen neue Geräte immer durch. Wer aber die App auf einem bereits bekannten Handy neu installierte, landete nach dem Login bei einer kryptischen Fehlermeldung. Die Ursache: Unser Benachrichtigungsdienst ist in der EU-Region registriert, die Software fragte aber die US-Server, und diese Abfrage läuft nur bei bekannten Geräten. Zwei fehlende Zeilen in der Konfiguration. Ein Test, der nur den frischen Fall prüft, übersieht genau die Kollegen, die schon da sind.

Am schlechtesten gesichert ist oft der Ordner, den man bewusst aus allen Systemen heraushält. Meine Projekte liegen in Forgejo, die Zugangsdaten sichert Borg auf eine externe Platte. Mein privater Ordner geht aber absichtlich nie nach Forgejo, und genau deshalb lag er nirgends doppelt. Seit heute nimmt die Sicherung den ganzen Arbeitsordner mit, dreizehn Gigabyte, und startet von selbst, sobald ich die Platte anstecke. Was man aus gutem Grund von allem fernhält, hält man leicht auch von der Sicherung fern.

Es reicht nicht, wenn die Sicherung beim Anstecken der Platte von selbst startet, denn anstecken muss sie immer noch jemand. Mein Mac sichert seine Zugangsdaten mit Borg auf eine externe Platte, seit heute auch automatisch, sobald sie eingesteckt wird. Trotzdem gab es dieses Jahr zwei Lücken, knapp vier Monate und danach noch einmal sieben Wochen, weil die Platte schlicht nicht dran hing. Die Technik kann den Knopf ersetzen, die Gewohnheit ersetzt sie nicht.

Das Problem eines einzelnen Geräts löst man am Gerät oder an seinem Einbauort, nicht mit einer Ausnahme im gemeinsamen Firmennetz. Heute sollte eine smarte Shelly-Steckdose nicht mehr zum falschen WLAN-Sender in der Werkstatt wechseln. Deshalb wurde das Netz für smarte Geräte an genau diesem einen Sender abgeschaltet. Ich habe das sofort zurückdrehen lassen: Braucht dort später jemand ein smartes Gerät, sucht er stundenlang, warum es nicht geht. Eine unsichtbare Sonderregel ist eine Falle, die man sich selbst stellt.

Ein Rechner startet ohne Bildschirm manchmal gar nicht, weil seine Firmware beim Einschalten ein Anzeigegerät verlangt. Ich hatte einen alten Industrie-PC aus dem Showroom zum Steuerrechner für Home Assistant umgebaut und ihn nach dem Umstellen ohne Monitor eingeschaltet. Er antwortete mit fünf Piepsern und blieb stehen, die Tastatur war ihm dabei egal. Ein kleiner HDMI-Blindstecker löst das. Ein Gerät, das allein laufen soll, muss man auch einmal allein starten lassen.

Ein alter Industrie-PC taugt noch, wenn man ihm eine schmale Aufgabe gibt statt jede beliebige. Bei uns stand ein Rechner mit Atom-Prozessor, vier Gigabyte Speicher und einem BIOS von 2012 ungenutzt im Autohaus. Für Home Assistant ist er zu alt, sein Prozessor kennt die nötigen Befehle nicht, und vom USB-Stick wollte er nicht starten, erst über das Netzwerk ließ er sich installieren. Jetzt wird er der Zugangspunkt für unser NetBird-VPN und misst nebenbei die Leitung. Alte Hardware ist kein Schrott, solange man ihr nur zumutet, was sie kann.

Einen Dienst, über den man selbst verbunden ist, schaltet man aus der Ferne nur mit einem vorher eingeplanten Rückweg ab. Ich wollte abends prüfen, ob Uptime Kuma den Ausfall unseres Fernzugangs meldet, und habe dafür den VPN-Dienst auf einem kleinen Rechner im Keller gestoppt. Nur lief meine eigene Verbindung genau über diesen Dienst, und von selbst startete er nicht wieder. Seitdem stelle ich vor so einem Test einen Zeitschalter, der den Dienst nach sechs Minuten wieder hochfährt. Wer an dem Ast sägt, auf dem er sitzt, stellt vorher die Leiter hin.

Friert das Werkstatt-Programm direkt nach der Anmeldung ein, liegt es oft gar nicht am Server, sondern am kleinen Lizenz-Stick. Bei uns hängt der Dongle für Loco-Soft an einem Netzwerk-USB-Server. Kurz nach halb elf hatte er sich still neu verbunden, obwohl das Kabel laut Switch nie unterbrochen war, und das Programm verkraftete das nicht. Wir haben den Stick abgezogen, zehn Sekunden gewartet und wieder eingesteckt. Danach lief die Werkstatt wieder, ganz ohne Server-Neustart. Man fängt beim kleinsten Handgriff an, nicht beim größten.

Ein VPN für Mitarbeiter sollte nicht das ganze Firmennetz öffnen, sondern nur das, was die Arbeit wirklich braucht. Als wir unser selbst betriebenes NetBird eingerichtet haben, habe ich als Erstes die Standardregel abgeschaltet, die jedem Gerät alles erlaubt. Zwei Kollegen erreichen jetzt den Dateiserver und den Remote-Desktop, aber keine Kameras, keine smarten Steckdosen und keinen Wartungszugang zu den Servern. Jede Erstanmeldung gebe ich außerdem von Hand frei. Ein Tunnel ins Haus ist eine Tür, und eine Tür öffnet man für einen Raum, nicht für das ganze Gebäude.

Per VPN ins Firmennetz darf bei uns nicht automatisch jeder, der einen Firmen-Login hat. Unser VPN habe ich mit NetBird aufgebaut und an den zentralen Login in Authentik gehängt, und trotzdem landet jede Erstanmeldung zuerst in einer Warteschleife, bis ich sie von Hand freigebe. Die ersten zwei Kollegen bekommen danach genau zwei Ziele: den Dateiserver und den Remote-Desktop, keine Kameras, keinen Serverzugang. Ein Login beweist, wer jemand ist, nicht, wohin er darf.

Eine vorhandene Windows-Lizenz kann die Wahl zwischen Aufrüsten und Neukauf tatsächlich entscheiden. Bevor wir unseren Server im Keller ersetzen, habe ich nachgesehen, welche Lizenz darauf läuft: eine OEM-Lizenz, fest an genau dieses Gerät gebunden. Mit einem neuen Server wäre sie verfallen. Rüsten wir das alte Gerät mit neuem Prozessor und SSDs auf, deckt sie Terminalserver und Domänencontroller ab. So kostet der Umbau samt Lizenzen höchstens zweitausenddreihundert Euro statt rund achttausendvierhundert für einen neuen Server. Die teuerste Zeile steht oft nicht auf der Hardware-Rechnung.

Eine Automatik, die etwas abschaltet, sollte nicht auf ein einziges Signal hören. Ich habe zu Hause Home Assistant auf einem ausgemusterten Industrie-PC aus unserem Showroom eingerichtet, und das Licht sollte ausgehen, sobald mein Handy nicht mehr im WLAN antwortet. Am ersten Abend ging es mehrfach aus, während ich auf dem Sofa saß, denn das Handy schläft im Standby und schweigt einfach. Heute gelte ich erst als weg, wenn es drei Minuten lang still bleibt und das Handy zusätzlich ein fremdes WLAN meldet. Schweigen ist kein Beweis für Abwesenheit.

Keinen Freiton hört man am Handy manchmal, obwohl die Telefonanlage ihn sauber schickt, weil die App ihn schlicht nicht abspielt. Bei uns blieb die Telefon-App Groundwire an unserer AGFEO-Anlage stumm, bei internen wie externen Rufen. Ein Mitschnitt im Netzwerk zeigte, dass der Ton bis ans Handy kam, und eine zweite App auf demselben Gerät spielte genau diesen Strom ab. Damit war das Netz entlastet, bevor ich eine einzige Einstellung daran verändert hatte. Wer erst misst, wo etwas verloren geht, repariert nicht das Falsche.

Dass die KI bei langen Rechnungen so selten den Betrag findet, lag bei uns nicht an der KI, sondern am Scanner. Ab fünf Seiten war nur bei fünfzehn Prozent ein Betrag erfasst, bei kurzen Rechnungen bei neunundsechzig. Ich vermutete die Summe auf der letzten Seite und habe an acht Belegen nachgemessen: Mit der Umstellung fand die KI fünf statt sechs Beträge, es wurde also schlechter. Die Dokumente mit bis zu vierundzwanzig Seiten waren in Wahrheit Stapel aus mehreren Rechnungen, eingescannt ohne Trennblatt. Manchmal gehört die Korrektur nicht in den Code, sondern an den Scanner, auf den der Beleg gelegt wird.

Die Nachtsicherung fällt aus, wenn abends ein Arbeitsplatz offen bleibt, und das passiert ganz still. Unser Werkstatt-Programm Loco-Soft sichert seine Daten nachts selbst. Ist aber noch ein Rechner angemeldet, wartet es endlos darauf, dass die Datei freigegeben wird, und meldet keinen Fehler. So fehlten in knapp vier Wochen neun Nächte, während unsere beiden anderen Sicherungen die ganze Zeit grün meldeten. Seit heute prüft ein kleiner Wächter jeden Morgen, ob eine frische Sicherungsdatei da ist. Grün heißt nur, dass alles in Ordnung ist, was man auch wirklich prüft.

Funktionierende Software baue ich nicht um, nur damit sie ordentlicher aussieht. Das tue ich erst, wenn ein konkreter Schaden es verlangt. Der teuerste Fehler in unserem Dokumentenarchiv hatte mit der Struktur gar nichts zu tun: Die Anweisung an das lokale Modell über Ollama war neunmal größer, als das Modell überhaupt lesen konnte, und statt 78 Prozent der Felder kamen nur 3 Prozent richtig heraus. Das lief monatelang so, weil nichts hinsah. Zehn Zeilen Wächter hätten es am ersten Tag gezeigt, ein schöner Umbau dagegen nie.