Journal.

Eine geräteübergreifende Zwischenablage kopiert auch Passwörter mit, denn sie unterscheidet nicht, was man kopiert. Beim Einrichten von SyncClipboard über unsere Nextcloud habe ich ein frisch erzeugtes Zugangspasswort kopiert. Wenig später lag es auf allen drei Geräten, in der Cloud samt alten Dateiversionen und im Klartext im Protokoll des Linux-Rechners. Ich habe die Einträge überschrieben, das Protokoll geschwärzt und das Passwort zum Tausch vorgemerkt. Ein Werkzeug, das alles mitnimmt, nimmt auch das mit, was man nie teilen wollte.

Wenn der Laptop auf Reisen gestohlen wird, passiert mit der Arbeit wenig, sofern der eigentliche Arbeitsplatz gar nicht im Laptop steckt. Vor meiner Reise nach Thailand habe ich meinen täglichen Arbeitsplatz auf einen gemieteten Server bei Hetzner gelegt, für rund sechzehn Euro im Monat, dazu eine Sicherung mit sieben Tagesständen, die sich per Klick zurückspielen lassen. Erreichbar ist er nur über unser eigenes VPN, aus dem offenen Internet sieht man ihn nicht. Ein Gerät, das man verlieren kann, sollte nur das Fenster sein, nicht der Tresor.

Eine Zugriffsregel ist nicht aktiv, nur weil das System das Speichern bestätigt hat. Ich habe in unserem selbst betriebenen VPN NetBird eine Freigabe mit zwei Regeln in einem Schritt angelegt, eine für die Fernwartung, eine für eine zweite Verbindungsart. Die Antwort war eine Erfolgsmeldung, gespeichert wurde nur die erste, die zweite verschwand ohne jeden Hinweis. Seitdem lege ich jede Regel einzeln an und sehe danach auf dem Zielgerät nach, was wirklich gilt. Eine Bestätigung sagt, dass die Anfrage ankam, nicht, was daraus wurde.

Eine Erfolgsmeldung heißt noch lange nicht, dass eine Zugriffsregel auch wirklich gespeichert wurde. Beim Einrichten unseres Firmen-VPNs mit NetBird habe ich eine Regel mit zwei Teilen angelegt, einen für die Fernwartung und einen für die mobile Verbindung. Das System meldete sauber Erfolg, gespeichert hatte es aber nur den ersten Teil, der zweite war still verschwunden. Seitdem lege ich jede Regel einzeln an und prüfe danach am Gerät selbst, was wirklich gilt. Ein Häkchen sagt nur, dass der Auftrag angekommen ist, nicht dass er ausgeführt wurde.

Unser Dokumentenarchiv klebte Belege zusammen, weil es kopierte Trennblätter nicht mehr erkannte. Seit dem 23. September rutschte etwa jedes vierte Trennblatt durch, und bis zum 29. waren es 389 Dokumente mit jeweils mindestens zwei Belegen darin. Auf den nachkopierten Blättern war der QR-Code so blass und körnig gedruckt, dass die Erkennung daran scheiterte. Vorher gab es keinen einzigen Fall. Für den Menschen sieht eine Kopie aus wie das Original, für die Maschine ist sie ein anderes Blatt.

Ob wirklich alle Dateien zentral liegen, merkt man erst, wenn ein leerer Rechner alles von dort holen muss. Beim Einrichten unseres dritten Arbeitsplatzes zeigte sich, dass 201 Firmware-Dateien einer Wallbox nie auf unserem Forgejo-Server angekommen waren, sie lagen nur auf meinem Mac. Dort sah alles vollständig aus, denn der Mac hatte sie ja. Wäre er ausgefallen, wären sie weg gewesen. Ein Rechner, der alles hat, beweist nichts, erst der leere zeigt, was fehlt.

Schon ein bisschen Schmutz auf dem Scannerglas kann die Texterkennung spürbar verschlechtern. An unserem Scantag zog Schmutz auf dem Einzugsglas ab dem späten Vormittag eine einen Pixel dünne Linie durch etwa die Hälfte der Seiten. Sie zerschnitt genau die Wörter, an denen die Software den Rechnungsbetrag findet, und die Quote erkannter Beträge fiel von dreiundsiebzig auf sechsunddreißig Prozent. Immerhin blieb das Feld leer statt falsch. Ein geputztes Glas ist die billigste Datenqualität, die es gibt.

Trennblätter für den Scanner sollte man nicht einfach kopieren, denn eine Kopie ist für die Maschine nicht dasselbe wie das Original. Ab dem 23. September waren bei uns kopierte Blätter im Umlauf, deren blassgrauen Code die Software in rund jedem fünften Fall übersah. In einer Woche klebten so 388 Scans aus mehreren Belegen zusammen. Seit die Erkennung mit härterem Kontrast ein zweites Mal hinschaut, findet sie alle 585 Trennseiten. Was das Auge noch lesen kann, ist für die Maschine oft schon verschwunden.

Wer alle Zugänge auf einen neuen Rechner umzieht, lernt vor allem, welche davon längst nicht mehr stimmen. Beim Umzug meines Arbeitsplatzes auf einen Cloud-Server bei Hetzner habe ich einen eigenen Schlüssel auf dreizehn Server verteilt, bei sieben alten Einträgen ging nichts: zwei antworteten nicht, bei vieren hatte sich die Kennung des Servers geändert, einer existierte gar nicht mehr. Erzwungen habe ich nichts, denn eine geänderte Kennung will erst geklärt werden. Ein Umzug ist die ehrlichste Inventur, die man umsonst bekommt.

Ob ein schwaches WLAN-Signal am Standort liegt, weiß man erst, wenn man ausrechnet, wie stark es dort sein müsste. Bei einem Shelly-Schalter im Showroom hat unsere KI den schwachen Pegel als Standortproblem abgetan, vermutlich ein Metallverteiler. Die Dose war aber aus Plastik und hatte zehn Meter freie Sicht zum Access Point. Nachgerechnet fehlten gut zwanzig Dezibel, also rund das Hundertfache an Leistung, und in der Sichtachse stand ein E-Roller. Ein Messwert ohne Sollwert ist eine Zahl, noch kein Befund.

Dass sich ein Zertifikat automatisch erneuert, reicht nur, wenn es danach auch automatisch dort ankommt, wo es gebraucht wird. Bei unserem Mailserver Stalwart holt ein Werkzeug das neue Zertifikat zuverlässig ab, aber das Einspielen in den Mailserver blieb Handarbeit, weil der letzte Schritt nie verdrahtet wurde. Zweimal innerhalb von sechs Wochen, im August und im September, wäre es deshalb fast abgelaufen. Eine Automatik ist nur so automatisch wie ihr letztes Glied.

Ein Ersatz-Arbeitsplatz in der Cloud braucht nicht strengere Regeln als der Rechner im Büro, sondern dieselben, solange derselbe Mensch davor sitzt. Ich plane gerade einen Linux-Rechner bei Hetzner für rund sechzehn Euro im Monat, der einspringt, falls mein Mac ausfällt oder gestohlen wird. Der erste Entwurf schottete ihn vom übrigen Betrieb komplett ab, bis mir auffiel, dass der Mac längst überall hinkommt. Streng eingesperrt wird nur, was unbeaufsichtigt läuft. Wie gut man einen Rechner absichert, hängt davon ab, wer ihn bedient, nicht davon, wo er steht.

Ein erfolgreicher Login mit einem neuen Handy beweist nicht, dass die Anmeldung für alle funktioniert. Bei unserem selbst betriebenen Passwort-Tresor Vaultwarden kamen neue Geräte immer durch. Wer aber die App auf einem bereits bekannten Handy neu installierte, landete nach dem Login bei einer kryptischen Fehlermeldung. Die Ursache: Unser Benachrichtigungsdienst ist in der EU-Region registriert, die Software fragte aber die US-Server, und diese Abfrage läuft nur bei bekannten Geräten. Zwei fehlende Zeilen in der Konfiguration. Ein Test, der nur den frischen Fall prüft, übersieht genau die Kollegen, die schon da sind.

Am schlechtesten gesichert ist oft der Ordner, den man bewusst aus allen Systemen heraushält. Meine Projekte liegen in Forgejo, die Zugangsdaten sichert Borg auf eine externe Platte. Mein privater Ordner geht aber absichtlich nie nach Forgejo, und genau deshalb lag er nirgends doppelt. Seit heute nimmt die Sicherung den ganzen Arbeitsordner mit, dreizehn Gigabyte, und startet von selbst, sobald ich die Platte anstecke. Was man aus gutem Grund von allem fernhält, hält man leicht auch von der Sicherung fern.

Es reicht nicht, wenn die Sicherung beim Anstecken der Platte von selbst startet, denn anstecken muss sie immer noch jemand. Mein Mac sichert seine Zugangsdaten mit Borg auf eine externe Platte, seit heute auch automatisch, sobald sie eingesteckt wird. Trotzdem gab es dieses Jahr zwei Lücken, knapp vier Monate und danach noch einmal sieben Wochen, weil die Platte schlicht nicht dran hing. Die Technik kann den Knopf ersetzen, die Gewohnheit ersetzt sie nicht.

Das Problem eines einzelnen Geräts löst man am Gerät oder an seinem Einbauort, nicht mit einer Ausnahme im gemeinsamen Firmennetz. Heute sollte eine smarte Shelly-Steckdose nicht mehr zum falschen WLAN-Sender in der Werkstatt wechseln. Deshalb wurde das Netz für smarte Geräte an genau diesem einen Sender abgeschaltet. Ich habe das sofort zurückdrehen lassen: Braucht dort später jemand ein smartes Gerät, sucht er stundenlang, warum es nicht geht. Eine unsichtbare Sonderregel ist eine Falle, die man sich selbst stellt.

Ein Rechner startet ohne Bildschirm manchmal gar nicht, weil seine Firmware beim Einschalten ein Anzeigegerät verlangt. Ich hatte einen alten Industrie-PC aus dem Showroom zum Steuerrechner für Home Assistant umgebaut und ihn nach dem Umstellen ohne Monitor eingeschaltet. Er antwortete mit fünf Piepsern und blieb stehen, die Tastatur war ihm dabei egal. Ein kleiner HDMI-Blindstecker löst das. Ein Gerät, das allein laufen soll, muss man auch einmal allein starten lassen.

Ein alter Industrie-PC taugt noch, wenn man ihm eine schmale Aufgabe gibt statt jede beliebige. Bei uns stand ein Rechner mit Atom-Prozessor, vier Gigabyte Speicher und einem BIOS von 2012 ungenutzt im Autohaus. Für Home Assistant ist er zu alt, sein Prozessor kennt die nötigen Befehle nicht, und vom USB-Stick wollte er nicht starten, erst über das Netzwerk ließ er sich installieren. Jetzt wird er der Zugangspunkt für unser NetBird-VPN und misst nebenbei die Leitung. Alte Hardware ist kein Schrott, solange man ihr nur zumutet, was sie kann.

Einen Dienst, über den man selbst verbunden ist, schaltet man aus der Ferne nur mit einem vorher eingeplanten Rückweg ab. Ich wollte abends prüfen, ob Uptime Kuma den Ausfall unseres Fernzugangs meldet, und habe dafür den VPN-Dienst auf einem kleinen Rechner im Keller gestoppt. Nur lief meine eigene Verbindung genau über diesen Dienst, und von selbst startete er nicht wieder. Seitdem stelle ich vor so einem Test einen Zeitschalter, der den Dienst nach sechs Minuten wieder hochfährt. Wer an dem Ast sägt, auf dem er sitzt, stellt vorher die Leiter hin.

Friert das Werkstatt-Programm direkt nach der Anmeldung ein, liegt es oft gar nicht am Server, sondern am kleinen Lizenz-Stick. Bei uns hängt der Dongle für Loco-Soft an einem Netzwerk-USB-Server. Kurz nach halb elf hatte er sich still neu verbunden, obwohl das Kabel laut Switch nie unterbrochen war, und das Programm verkraftete das nicht. Wir haben den Stick abgezogen, zehn Sekunden gewartet und wieder eingesteckt. Danach lief die Werkstatt wieder, ganz ohne Server-Neustart. Man fängt beim kleinsten Handgriff an, nicht beim größten.