Journal.

Eine Einstellung am WLAN hält Gäste fern, aber nur so lange, wie niemand sie verstellt. Bei uns teilen sich Gäste-WLAN und Firmen-WLAN dasselbe Netzsegment, getrennt allein durch eine Regel an den Access Points, und im selben Segment hängt ein Telefon, das für Gebührenbetrüger ein lohnendes Ziel wäre. Die Regel ist sauber gebaut und heute dicht, doch sie hängt an einem einzigen Schalter, den ein Fehlklick oder die Neueinrichtung eines Geräts lautlos umlegt. Echte Trennung braucht zwei Schlösser, nicht eines.

Ein Zugangscode macht das Gäste-WLAN nur dann sicherer, wenn ihn auch jemand pflegt. Bei uns lagen 31 Codes, alle an einem einzigen Tag im Jahr 2020 angelegt, unbegrenzt oft einlösbar und nie gewechselt, und einzelne wanderten nachweislich von Gerät zu Gerät. Genutzt wurde das Portal zwölfmal in zwölf Monaten. Wir ersetzen die Codes jetzt durch ein offenes Portal, das nur zu den Öffnungszeiten sendet und jedem Gast die Bandbreite begrenzt. Ein Schloss, dessen Schlüssel jeder kennt, schützt nicht, es beruhigt nur.

Vollen Zugriff auf das eigene Firmen-WLAN hat man als Inhaber nicht automatisch, man muss es nachprüfen. Als ich bei uns ein neues Netz für Geräte anlegen wollte, zeigte die Steuerung zwei Administratoren: mein eigenes Konto durfte nur zuschauen, ändern konnte allein das Konto unseres früheren Dienstleisters. Dessen Zugang stand nirgends in unserem Passwort-Tresor. Heute liegt er dort. Wer an seiner eigenen Anlage nur zuschauen darf, dem gehört sie nicht ganz.

Eine schnellere Internetleitung hilft nicht, wenn die vorhandene gar nicht ausgelastet ist. Unsere Leitung schafft laut Fritz!Box gut achtundsechzig Megabit im Download. Wir nutzen im Tagesschnitt zwei bis drei davon, am stärksten Tag gut neun. Die Aussetzer kamen trotzdem, und die Messung verortete sie außerhalb unseres Hauses. Ein teurerer Tarif hätte Geld gekostet und nichts geändert. Eine breitere Straße hilft nicht, wenn die Schlaglöcher bleiben.

Ein abgeschottetes Netz für Kameras und smarte Steckdosen sollte man fürs bequeme Streamen nicht öffnen. Wir haben einen Vermittler getestet, der Handy und Fernseher über die Netzgrenze hinweg sichtbar macht, und dabei gemerkt: Casten braucht Verkehr in beide Richtungen, hätte die Isolierung also aufgehoben. Wir haben ihn komplett zurückgebaut und den Fernseher stattdessen zu den Handys gelegt, in eines unserer drei Funknetze, das ebenfalls vom Firmennetz getrennt ist. Geräte sortiert man nach Risiko, nicht danach, ob sie smart sind.

Überwachungskameras und smarte Steckdosen gehören nicht ins Firmennetz, sondern in ein eigenes, abgeschottetes Funknetz. Wir haben unsere Geräte nach Risiko sortiert, nicht danach, ob sie smart sind: Die PCs mit Loco-Soft bleiben im Firmennetz, Handys und Fernseher bekommen ein getrenntes Netz, Kameras und Shellys ein drittes, das nur ins Internet darf, verteilt auf alle sieben Access Points. Eine Brücke fürs bequeme Streamen zwischen den Netzen haben wir getestet und wieder abgebaut, weil sie die Trennung aufgehoben hätte. Eine Mauer mit Komforttür ist keine Mauer mehr.

Beim Videoanruf geht der Ton, aber das Bild bricht ab, wenn die Leitung zwar nichts verliert, aber sehr ungleichmäßig liefert. Unsere Messung zeigte an diesem Tag null Prozent Paketverlust, dafür Schwankungen der Laufzeit bis vierundvierzig Millisekunden. Die Ursache lag außerhalb unseres Hauses, nicht im WLAN. Für Sprache reichen rund dreißig Kilobit, und ein kleiner Puffer gleicht die Schwankungen aus. Video braucht gleichmäßig etwa ein Megabit, also schaltet der Sender das Bild ab. Eine Leitung kann schnell genug sein und trotzdem zu unruhig.

Wenn ein Gerät im WLAN angemeldet ist und trotzdem keine Adresse bekommt, verwirft oft ein Filter still die Antwort. Die Basisstation unserer eufy-Kameras hing bei uns stundenlang in dieser Schleife. Unser Server bot ihr eine Adresse an, aber der UniFi-Zugangspunkt warf die Antwort weg, weil ein Broadcast-Filter eingeschaltet war. Die Kameras im selben Netz liefen, weil sie ihre Anfrage anders stellen, und genau das hat uns in die falsche Richtung geschickt. Ohne den Filter kam die Adresse sofort. Dass die Geräte daneben laufen, beweist nicht, dass die Einstellung stimmt.

Gegen ein ruckelndes Internet hilft eine 5G-Ersatzleitung kaum, denn sie springt erst ein, wenn die Hauptleitung wirklich ausfällt. Unsere Fritz!Box kann ab einer bestimmten Softwareversion auf einen angeschlossenen 5G-Router umschalten. Die schwankenden Laufzeiten von bis zu 168 Millisekunden, die unsere Telefonate stören, lösen diese Umschaltung aber gar nicht aus. Dazu kommt: Der Mobilfunkvertrag bringt keine eigene öffentliche Adresse mit, im Notbetrieb wären Fernzugang und Portfreigaben also weg. Eine Ersatzleitung ist ein Rettungsboot, kein stärkerer Motor.

Die IT rund ums Werkstatt-Programm baut man nicht nach eigenem Geschmack, sondern nach den Vorgaben des Herstellers. Ich hatte unsere Drucker gerade zentral über einen Druckserver an alle Plätze verteilt, und am nächsten Morgen las ich im Netzwerk-Leitfaden von Loco-Soft, dass genau davon dringend abgeraten wird. Dort steht auch, dass ein normaler Windows-Rechner als Server nur bis vier Arbeitsplätze trägt, und unsere gewachsene Aufstellung verstößt gleich an mehreren Stellen dagegen. Was technisch läuft, ist im Supportfall trotzdem nicht abgesegnet.

Der Umstieg auf eine eigene Open-Source-Telefonanlage lohnt sich bei uns im Moment nicht, so verlockend die Idee ist. Als ich die Ablösung unserer AGFEO geprüft habe, steckte der Aufwand nicht in der Software, sondern auf den Schreibtischen: Unsere Systemtelefone laufen nur an dieser einen Anlage, zehn bis zwanzig Nebenstellen hätten neue Geräte gebraucht, und jeder Kollege hätte umlernen müssen. Die Aussetzer kamen ohnehin aus der Leitung, und die trifft jede Anlage gleich. Wer eine Anlage tauschen will, tauscht in Wahrheit alles, was an ihr hängt.

Passwörter im Betrieb gibt man besser nach Risiko frei als nach Abteilung. Beim Aufräumen unseres Vaultwarden mit 405 Einträgen haben wir fünf Stufen gebaut: Hersteller-Portale und Teilehändler sehen alle elf Mitarbeiter, Banking und Behörden nur die Buchhaltung, die IT-Zugänge nur die Geschäftsführung. Eine eigene Gruppe für die Werkstatt brauchten wir danach gar nicht mehr. Entscheidend ist nicht, wer wo sitzt, sondern welcher Schaden entsteht, wenn ein Zugang in die falschen Hände gerät.

Passende kostenlose Software für Prüffristen findet man kaum, weil die Prüfmittelverwaltung eine deutsche Nische zwischen Inventar- und Wartungsprogrammen ist. Ich habe vier Open-Source-Programme geprüft, und keines passte. Das bekannteste kennt pro Gerät nur eine einzige Frist, dabei braucht eine Hebebühne die UVV-Prüfung und die elektrische Prüfung nach DGUV V3 nebeneinander. Ein anderes sperrte schon das Hochladen von Dateien hinter eine Lizenz. Wo nur Kaufsoftware eine Lücke füllt, lohnt es sich, genau aufzuschreiben, was wirklich fehlt, bevor man sich entscheidet.

Eine Klimaanlage braucht ein Serverschrank im Keller nicht von Anfang an, das entscheidet erst die Messung. Bei unserer Serverablösung zieht der alte große Server in ein anderes Gebäude. Im Keller bleibt dann kaum ein halbes Kilowatt Abwärme. Ein belüfteter Schrank kostet rund 1.100 bis 4.100 Euro, die Variante mit Kühlung 4.600 bis 7.200 Euro. Also kommt zuerst der belüftete Schrank, über den Sommer messen wir Temperatur und Feuchte, und gekühlt wird nur, wenn die Kurve es verlangt. Nachrüsten kostet weniger als eine Kühlung, die man nie gebraucht hätte.

Ob ein abgebrochenes Telefonat an der Telefonanlage oder an der Internetleitung liegt, zeigt die einfachste Probe: Bricht auch ein internes Gespräch ab, sind es die Anlage oder das Endgerät. Reißen nur Gespräche nach draußen ab, ist es die Leitung. Bei uns hat eine Woche Messung beides zugleich gezeigt. Auf der Leitung gab es 915 Störungen, daneben zehn kurze Aussetzer der Anlage selbst, während die Leitung sauber war. Wer nur nach einer Ursache sucht, findet auch nur eine.

Vor dem Umstieg auf einen Terminalserver muss man die Handgriffe testen, die im Alltag wirklich vorkommen, nicht nur die Funktionsliste. Bei uns arbeiten acht bis zehn Leute gleichzeitig in Loco-Soft. Fahrzeugfotos ziehen sie einfach mit der Maus aus dem Explorer in die Kundenakte. Genau dieses Ziehen wird offiziell nicht unterstützt, wenn das Programm auf dem Server läuft. Deshalb ist es im Pilot ein Pflichttest mit echtem Client und einem Plan B. Eine Umstellung scheitert selten am großen Plan, sondern am Handgriff, den niemand aufgeschrieben hat.

Ein neues System lernt man besser mit den nächsten zwei Klicks als mit einer ausführlichen Erklärung vorweg. Ich wollte bei uns einen Drucker per Gruppenrichtlinie an die Windows-Rechner verteilen und ließ mir von der KI zuerst Verknüpfung, Sicherheitsfilterung und Zielgruppenadressierung erklären, eine ganze Tabelle voller Begriffe, von der nichts hängenblieb. Dann schickte ich einen Screenshot, bekam genau die zwei fehlenden Klicks genannt, und der Drucker war da. Theorie versteht man leichter, wenn man sie einmal selbst ausgelöst hat.

Die Backup-Berichte las bei uns nach dem Wechsel immer noch der frühere IT-Betreuer, jeden Tag, nur wir selbst nicht. Aufgefallen ist das, weil jemand sagte, wir bekämen keine Backup-Mail mehr. Bei der Bestandsaufnahme fand ich drei getrennte Sicherungsstränge, einer davon stand seit dem 8. August still, und den Hauptzugang zur Sicherungsmaschine hat bis heute nur er. Wer den Betreuer wechselt, übergibt nicht nur die Schlüssel, sondern auch die Frage, wem die Maschinen Bescheid sagen.

Die Berichtsmails des eigenen Servers kommen nicht an, weil der Empfänger sie zwar annimmt und danach still aussortiert. In einem Betrieb hieß es seit Wochen, es komme keine Sicherungs-Mail mehr. Der Postfix auf dem Gateway hat jeden Abend zugestellt, Microsoft 365 quittierte täglich mit einem sauberen 250, doch der Absender war im SPF-Eintrag der Domain nicht erlaubt. Die Berichte lagen in der Quarantäne. Angenommen ist nicht dasselbe wie gelesen.

Nach einem Neustart startet ein Dienst meist nicht, weil er zu früh dran war, nicht weil etwas kaputt ist. Der Loco-Soft-Serverdienst blieb bei uns nach dem Hochfahren aus, mit der Meldung Kennwort ungültig. Das Kennwort stimmte, der Server hatte beim Start nur noch keine Verbindung zum Anmeldedienst und konnte das Dienstkonto nicht prüfen. Verzögerter Start und drei Wiederholversuche haben es behoben. Bevor man am Passwort dreht, sollte man fragen, ob die Reihenfolge stimmte.