Fragen & Antworten.

Ein geplanter Ausfall steht nicht auf der Störungsseite, weil er dort gar nicht als Störung geführt wird, sondern unter angekündigter Wartung. Hetzner hatte die Arbeiten an einem Netzwerkverteiler im Rechenzentrum für eine Stunde angekündigt, samt Anweisung, die angehängten Speicher vorher abzutrennen. Die Mail lag ungelesen, und vier Minuten nach Beginn des Fensters standen unsere Seiten. Eine Ankündigung, die niemand liest, ist für den Betrieb dasselbe wie keine.

Eine Bilddatei kann mit richtiger Größe und richtigem Datum trotzdem leer sein. Nach einem Dateisystemschaden lagen in unserem Bildarchiv Fotos, bei denen Name, Aufnahmedatum und drei Megabyte Größe stimmten, im Inneren aber nur ein winziges fremdes Vorschaubild steckte und der Rest aus Nullen bestand. Beim Durchgang durch knapp zwanzigtausend Bilder habe ich achtzig solcher Hüllen gefunden, die jede Übersicht als heil gezählt hat. Eine Sicherung, die nur Namen und Größen vergleicht, sichert am Ende die Verpackung.

Ganz lesen muss man keine Datei, wenn man weiß, an welcher Stelle der Schaden sichtbar wird. Ein vollständiges JPEG trägt am Ende eine feste Abschlussmarke, also habe ich von jedem der 19.991 Archivbilder nur das letzte Kilobyte geholt statt der kompletten Datei: rund zwanzig Megabyte Prüfaufwand statt vieler Gigabyte, und genau ein Bild war am Ende wirklich unlesbar. Wer die Stelle kennt, an der ein Fehler auftauchen muss, spart sich den Blick auf alles andere.

In einem alten Datenbestand fehlen selten einzelne Dateien, es fehlen ganze Zeiträume. Ich habe 3.154 Rohbilder von einer Archivplatte entwickelt und gegen mein Bildarchiv in Immich abgeglichen: 2.753 waren längst vorhanden, nur 401 waren neu. Und die verteilten sich fast alle auf drei Tage, an denen der Import damals abgebrochen sein muss. Wer nach Einzelstücken sucht, findet nichts. Wer nach Lücken im Kalender sucht, findet den Schaden.

Tausende Dateien tauscht man nur aus, wenn jeder einzelne Schritt protokolliert ist und die alten Fassungen noch liegen. In unserem selbst betriebenen Fotoarchiv Immich habe ich 2.675 Kamerabilder durch meine eigenen Entwicklungen ersetzt, jedes mit alter Kennung, neuer Kennung und zugehörigen Alben in einer Protokolldatei. Über fünfunddreißig Alben ging dabei keine einzige Zuordnung verloren, und bis Anfang Oktober kann ich alles zurückdrehen, weil die Originale noch im Papierkorb liegen. Ein Rückweg mit Frist gehört in den Kalender, sonst ist er keiner.

Rohdateien allein reichen als Archiv nicht, wenn kein gewöhnliches Programm sie öffnet. Auf einer alten Platte lagen 3.151 Rohbilder mit 52,7 Gigabyte, davon 1.791 ohne jedes sichtbare Gegenstück, und mein Rechner zeigte das eine Herstellerformat von Haus aus an, das andere nicht. Ich habe deshalb jede Datei einmal in ein gängiges Bildformat entwickelt und beides behalten, das Rohe und das Lesbare, die Entwicklungen liegen jetzt in Immich. Ein Archiv, das nur ein bestimmtes Programm lesen kann, ist eine Wette auf dieses Programm.

Ein Rückweg, den nur ein Papierkorb offen hält, bleibt genau so lange offen, wie dessen Frist läuft. Ich habe in unserer Fotoverwaltung Immich 2.675 Kamera-Bilder durch eigene Entwicklungen ersetzt, mit Protokoll über alte und neue Kennung, damit sich jeder einzelne Schritt zurücknehmen lässt. Nur liegen die Originale im Papierkorb, und der räumt nach dreißig Tagen von selbst auf. Seitdem steht das Ablaufdatum im Kalender und nicht im Kopf. Ein Rückweg mit Verfallsdatum ist nur so lange einer, wie jemand das Datum kennt.

Eine Website kann monatelang offline sein, obwohl der Server einwandfrei läuft, wenn der Weg zu ihm abgeschnitten ist. Ende Juni habe ich bei Hetzner die Namensauflösung für fünf unserer Domains umgestellt und eine davon vergessen. Ab da war diese Website für jeden Besucher unerreichbar, während der Server fehlerfrei lief. Aufgefallen ist es erst nach gut zwei Monaten. Seitdem gleiche ich jede Sammel-Umstellung mit der vollständigen Liste ab und prüfe von außen, nicht vom Server aus. Wer nur von innen schaut, sieht immer ein gesundes Haus.

Wenn eine Website gar nicht mehr antwortet statt eine Fehlerseite zu zeigen, ist meist nicht das Programm kaputt, sondern etwas abgeschnitten. Bei uns standen an einem Dienstagmorgen alle Seiten still, der Server selbst war erreichbar, die Last lag bei vierzehn bei freiem Arbeitsspeicher und die Rechenleistung wartete zu siebzig Prozent auf die Platte. Der Speicher war ein Cloud-Volume bei Hetzner, das über das Rechenzentrumsnetz hängt, und genau dieses Netz war gerade in Wartung. Ein defektes Gerät meldet einen Fehler, ein abgeschnittenes schweigt.

Einen einmal gescheiterten Vorgang darf eine Automatik nie für immer überspringen. Unser Import ins Dokumentenarchiv merkte sich jede Rechnung, die er schon angefasst hatte, unabhängig davon, ob sie angekommen oder gescheitert war. Als der Archivdienst wegen Speichermangels ein paar Tage streikte, fehlten am Ende 44 Rechnungen aus zwei Monaten, ohne dass jemand etwas bemerkte. Ein Aussetzer von Stunden wird so zu einem Verlust von Monaten.

Die Rechnung eines Neuwagens landet beim eigenen Haus, wenn die Automatik den Käufer nicht aus dem Beleg liest, sondern über die Fahrgestellnummer im Fahrzeugstamm nachschlägt. Unser Import kannte die Überschrift der Gebrauchtfahrzeugrechnung, aber nicht die der Neufahrzeugrechnung, also blieb das Kundenfeld leer und der Ersatzweg griff. Beim Lagerfahrzeug ist abends noch der Betrieb selbst als Halter eingetragen, der Wechsel kommt erst später. Sieben Rechnungen lagen deshalb in der falschen Akte. Ein Ersatzweg, der immer eine Antwort liefert, versteckt die Lücke, die er umgeht.

Steht im Bild selbst kein Aufnahmedatum, nimmt das Archiv das Datum der Datei, also meist den Tag des Imports. Beim Einspielen unserer alten Fotobestände nach Immich landeten so 843 Bilder aus 2013 und 2014 unter dem dreißigsten August 2026, allesamt aus Messenger- und Handy-Sicherungen, denen die Aufnahmedaten fehlen. Retten ließ sich das nur, weil im Dateinamen noch ein Zeitstempel steckte. Ein Archiv ordnet nicht nach dem, was war, sondern nach dem, was es findet.

Eine Archivplatte hängt man nicht einfach ein, wenn sie garantiert unverändert bleiben soll. Ich wollte eine alte Linux-Platte am Mac auslesen, und schon das reine Einhängen schreibt ins Journal des Dateisystems. Stattdessen habe ich mit debugfs nur lesend auf das Rohgerät zugegriffen und die Daten mit konstant rund siebzehn Megabyte je Sekunde herausgezogen, ohne ein einziges Byte auf der Platte zu ändern. Wer nur lesen will, sollte sich auch kein Schreibrecht in die Hand geben lassen.

Was noch fehlt, weiß ich ohne eine einzige angeschlossene Platte, weil ich zuerst ein Inventar gebaut habe. Bevor ich unsere alten Festplatten gesichtet habe, habe ich jede einmal komplett in eine kleine SQLite-Datenbank eingelesen, Pfad, Größe und Kategorie, für alle acht Platten. Seitdem beantworte ich am Schreibtisch, welche der über zwanzigtausend Aufnahmen schon in der Fotoverwaltung liegen und welche nicht. Ein Verzeichnis kostet einen Abend und spart jedes spätere Suchen.

Die Prüfsumme meldet ein längst archiviertes Foto als neu, sobald es noch einmal aus der Rohdatei entwickelt wurde: gleiches Motiv, andere Bytes. Beim Abgleich meines Bildarchivs in Immich half auch der Aufnahmezeitpunkt nicht weiter, weil eine Serienaufnahme fünf Bilder auf dieselbe Sekunde legt. Getragen hat am Ende nur der Kamerazähler im Dateinamen, der jede Entwicklung überlebt. Ein Merkmal taugt erst dann als Schlüssel, wenn es die Bearbeitung übersteht.

Der Restzeit-Anzeige eines Kopiervorgangs kann man am Anfang nicht trauen, jedenfalls nicht bei gemischten Dateigrößen. Beim Auslesen einer Archivplatte lag der Durchsatz die ganze Zeit konstant bei rund siebzehn Megabyte je Sekunde, aber sobald die großen Rohbilder durch waren, stieg die Zahl der fertigen Dateien pro Minute auf das Siebenfache. Jede frühe Hochrechnung war damit wertlos. Ein Mittelwert aus dem ersten Zehntel sagt nichts über den Rest, wenn die Brocken ungleich groß sind.

Vor einer Datei, die schon beim Kopieren kaputtging, schützen vier Kopien gar nichts. Beim Sichten meiner alten Festplatten fand ich 61 Dateien mit null Byte Inhalt, und sie waren auf allen vier Platten leer, darunter ein komplettes Fotoshooting von 2007. Kopiert wurde über die Jahre treu, geprüft wurde nie. Seitdem lege ich in jeden Archivordner eine Prüfsummen-Datei, bevor ich ihn weiterreiche. Eine Kopie vervielfältigt nicht die Sicherheit, sondern das, was schon drinsteht.

Vier Kopien einer Datei sind keine Sicherung, wenn die Datei schon beim ersten Kopieren kaputt war. Beim Sichten der alten Platten fand ich 61 Dateien mit null Byte Inhalt, und sie waren auf allen vier Platten gleich leer, darunter ein komplettes Fotoshooting von 2007. Kopiert wurde jahrelang brav weiter, geprüft hatte nie jemand. Eine Prüfsumme ist mehr wert als die dritte Kopie, denn Kopien vervielfältigen auch den Schaden.

Die Ablagestruktur eines Fotoarchivs legt man vor dem Import fest, solange das Archiv noch leer ist. In unserem neuen Medienarchiv Immich habe ich die Ordnerregel nach Jahr und Monat eingeschaltet, als erst 41 Bilder darin lagen. Die Umsortierung war in Sekunden erledigt. Bei den rund 36.000 privaten Fotos, die noch kommen, hätte sie eine ganze Nacht gedauert. Eine Entscheidung ist am billigsten, solange noch nichts auf ihr aufbaut.

In die Waschhalle darf ein Gerät für Innenräume nur, wenn man die Grenze kennt und bewusst annimmt. Wir hängen dort unseren gebrauchten UniFi-Zugangspunkt auf, der keinerlei Schutzart für Feuchträume hat, trocken und außerhalb des Sprühbereichs. Fällt er dort aus, ist das kein Rätsel, sondern der eingeplante Fall, und es kommt ein Außengerät hin. Ein Risiko, das man vorher aufschreibt, ist eine Entscheidung. Eines, das man verschweigt, wird eine Panne.