#Automatisierung

Der neue Ordner fehlte auf dem zweiten Rechner trotz Abgleich alle fünfzehn Minuten, weil der Abgleich nur auffrischte, was dort schon lag. Unser Werkzeug holte auf dem Mac und dem Cloud-Arbeitsplatz zuverlässig jede Änderung aus Forgejo, aber nur für Projekte, die dort einmal von Hand angelegt worden waren, also fehlte auf jeder Seite eines. Heute holt der Abgleich alles, was in einer zentralen Liste steht, und vergesse ich den Eintrag, warnt mich der Rechner beim Start. Ein Abgleich, der nur pflegt, was schon da ist, bringt nie etwas Neues.

Die eigene Automatik kann das Werkstatt-Programm zum Absturz bringen, unsere tat es 275 Mal am Tag. Ein Helfer fragte in Loco-Soft alle fünf Minuten denselben Auftrag ab, seit August über sechzehntausend Mal, und jede Abfrage ließ die Schnittstelle abstürzen. Schuld war ein Teil mit hundert Prozent Rabatt: Jeder Auftrag mit so einer Null-Euro-Position bringt die Schnittstelle zu Fall, zurück kommt nur ein Verbindungsabbruch. Heute gibt der Helfer so einen Auftrag nach zwei Fehlversuchen auf, gemeldet ist der Fehler beim Hersteller. Wer dieselbe Frage endlos wiederholt, findet keinen Fehler, er vervielfacht ihn.

Geänderte Fahrzeugfotos kamen bei uns nie auf der Website an, weil unser nächtlicher Abgleich neue Bilder zwar übernahm, geänderte aber nicht ersetzte und alte nicht entfernte. Bei 22 Fahrzeugen fehlten so Bildänderungen, und 14 von 57 Autos zeigten das falsche Hauptbild, etwa das zehnte Foto statt des ersten. Heute setzt der Abgleich das Hauptbild jede Nacht neu, lädt geänderte Bilder frisch hoch und löscht, was nicht mehr exportiert wird. Ein Abgleich, der nur hinzufügt, zeigt irgendwann nicht mehr die Gegenwart, sondern die Vergangenheit.

Wie lange eine Automatik warten soll, bevor sie jemanden für abwesend hält, sagt einem am besten das eigene Protokoll. Bei mir zu Hause schaltet Home Assistant das Licht aus, wenn mein Handy das WLAN verlässt, und anfangs ging es abends mehrfach aus, während ich auf dem Sofa saß. Die Auswertung zeigte: Aussetzer im Standby dauern höchstens zwei Minuten, echtes Weggehen mindestens achtundfünfzig. Seitdem wartet die Regel acht Minuten. Eine Schwelle aus gemessenen Daten schlägt jede aus dem Bauch.

Eine Reparatur darf man erst dann unbeaufsichtigt über Nacht laufen lassen, wenn ein Pilot bei Tageslicht geprüft und abgenommen ist. Bei 388 zusammengeklebten Scans in unserem Dokumentenarchiv habe ich zuerst achtzehn reparierte Teile von Hand kontrolliert. Danach lief der Rest nachts: 350 fertig, null Mängel. Die übrigen 38 scheiterten um sechs Uhr am täglichen Neustart des Archivs, zum Glück ohne Schaden. Seitdem endet das Fenster vorher, und bei einem Serverfehler hält der Lauf an. Wer nachts arbeiten lässt, muss wissen, wer nachts sonst noch arbeitet.

Unser Dokumentenarchiv klebte Belege zusammen, weil es kopierte Trennblätter nicht mehr erkannte. Seit dem 23. September rutschte etwa jedes vierte Trennblatt durch, und bis zum 29. waren es 389 Dokumente mit jeweils mindestens zwei Belegen darin. Auf den nachkopierten Blättern war der QR-Code so blass und körnig gedruckt, dass die Erkennung daran scheiterte. Vorher gab es keinen einzigen Fall. Für den Menschen sieht eine Kopie aus wie das Original, für die Maschine ist sie ein anderes Blatt.

Trennblätter für den Scanner sollte man nicht einfach kopieren, denn eine Kopie ist für die Maschine nicht dasselbe wie das Original. Ab dem 23. September waren bei uns kopierte Blätter im Umlauf, deren blassgrauen Code die Software in rund jedem fünften Fall übersah. In einer Woche klebten so 388 Scans aus mehreren Belegen zusammen. Seit die Erkennung mit härterem Kontrast ein zweites Mal hinschaut, findet sie alle 585 Trennseiten. Was das Auge noch lesen kann, ist für die Maschine oft schon verschwunden.

Dass sich ein Zertifikat automatisch erneuert, reicht nur, wenn es danach auch automatisch dort ankommt, wo es gebraucht wird. Bei unserem Mailserver Stalwart holt ein Werkzeug das neue Zertifikat zuverlässig ab, aber das Einspielen in den Mailserver blieb Handarbeit, weil der letzte Schritt nie verdrahtet wurde. Zweimal innerhalb von sechs Wochen, im August und im September, wäre es deshalb fast abgelaufen. Eine Automatik ist nur so automatisch wie ihr letztes Glied.

Es reicht nicht, wenn die Sicherung beim Anstecken der Platte von selbst startet, denn anstecken muss sie immer noch jemand. Mein Mac sichert seine Zugangsdaten mit Borg auf eine externe Platte, seit heute auch automatisch, sobald sie eingesteckt wird. Trotzdem gab es dieses Jahr zwei Lücken, knapp vier Monate und danach noch einmal sieben Wochen, weil die Platte schlicht nicht dran hing. Die Technik kann den Knopf ersetzen, die Gewohnheit ersetzt sie nicht.

Eine Automatik, die etwas abschaltet, sollte nicht auf ein einziges Signal hören. Ich habe zu Hause Home Assistant auf einem ausgemusterten Industrie-PC aus unserem Showroom eingerichtet, und das Licht sollte ausgehen, sobald mein Handy nicht mehr im WLAN antwortet. Am ersten Abend ging es mehrfach aus, während ich auf dem Sofa saß, denn das Handy schläft im Standby und schweigt einfach. Heute gelte ich erst als weg, wenn es drei Minuten lang still bleibt und das Handy zusätzlich ein fremdes WLAN meldet. Schweigen ist kein Beweis für Abwesenheit.

Unsere Software hielt das Wort Kilometerleistung für eine Fahrgestellnummer, weil sie nur Länge und Zeichen prüfte. Das Wort hat zufällig genau siebzehn Buchstaben, so viele wie eine echte Fahrgestellnummer. Beim Digitalisieren alter Werkstattakten landeten dadurch Belege in der falschen Akte, dazu kamen Nummern aus lauter Einsen. Heute verwirft die Automatik jede Nummer, die nicht plausibel ist. Ein Hinweis darauf sind die Buchstaben I, O oder Q, denn die kommen in echten Fahrgestellnummern nie vor. Die richtige Form beweist noch keinen richtigen Inhalt.

Eine Werkstattrechnung gehört zu dem, der oben im Rechnungskopf als Debitor steht, nicht automatisch zum Halter des Autos. Beim Import von 1.593 alten Rechnungen in unser Dokumentenarchiv lagen 65 beim falschen Kunden, weil die Automatik im Zweifel den Halter nahm. Bei Garantiefällen zahlt aber der Hersteller, bei frisch verkauften Autos schon der neue Käufer, und manchmal zahlt der Fahrer selbst statt seiner Firma. Wem das Auto gehört und wer die Rechnung bezahlt, sind zwei verschiedene Fragen.

Dutzende falsch zugeordnete Belege repariert man, indem die Automatik nur die eindeutigen Fälle korrigiert und alle übrigen als Liste für den Menschen ablegt. In unserem Dokumentenarchiv mit Paperless lagen rund einundvierzig Belege aus Kundenakten beim eigenen Betrieb statt beim Kunden, dazu siebenundzwanzig mit einer unsinnigen Fahrgestellnummer. Die Korrektur holt sich die richtigen Werte aus den anderen Belegen derselben gescannten Akte, aber nur, wenn diese sich einig sind, und jede Änderung landet in einem Protokoll. Eine Reparatur, die rät, ist nur der nächste Fehler mit besserem Gewissen.

Solange das Signal schwach bleibt, sollte man ein Gerät nicht daran hindern, sich ständig neu ins WLAN einzuwählen. Einer unserer Schaltaktoren warf sich bei schlechtem Empfang jede Minute selbst aus dem Netz, 81-mal in vierzehn Tagen. Ich habe die Schwelle gelockert, und der erste Test sah glänzend aus: Der Paketverlust fiel von zehn auf ein Prozent. Zwanzig Minuten später hing das Gerät fünfundzwanzig Minuten lang an einer toten Verbindung, weil ihm seine einzige Selbstheilung fehlte. Wer nur das Symptom abstellt, tauscht oft viele kurze Ausfälle gegen einen langen.

Einen einmal gescheiterten Vorgang darf eine Automatik nie für immer überspringen. Unser Import ins Dokumentenarchiv merkte sich jede Rechnung, die er schon angefasst hatte, unabhängig davon, ob sie angekommen oder gescheitert war. Als der Archivdienst wegen Speichermangels ein paar Tage streikte, fehlten am Ende 44 Rechnungen aus zwei Monaten, ohne dass jemand etwas bemerkte. Ein Aussetzer von Stunden wird so zu einem Verlust von Monaten.

Als Dauerüberwachung taugt ein Diagnose-Skript nicht, solange ein Ende fest eingebaut ist. Ich wollte eine sporadische Internet-Störung mitschneiden und hatte dafür eine Schleife laufen, 2160 Durchläufe alle zehn Sekunden, also genau sechs Stunden. Als ich einen Monat später ins Protokoll sah, endete es mit der Zeile Monitor Ende, nachmittags am ersten Tag, und lag im Zwischenspeicher, den jeder Neustart leert. Ein Wächter, der sich unbemerkt verabschiedet, ist schlimmer als gar keiner, weil man sich auf ihn verlässt.

Ein Urlaubshinweis verschwindet am Enddatum von selbst, wenn der Zeitraum an zwei Stellen geprüft wird, beim Bauen der Seite und noch einmal im Browser des Besuchers. Auf unserer Firmenseite liegt die Meldung als Datensatz im Directus mit Start- und Enddatum. Abgelaufene Hinweise landen gar nicht erst im HTML, und ein kurzes Skript blendet sie auch dann aus, wenn seit Tagen niemand neu gebaut hat. Der verlässlichste Ablauf ist der, den am Stichtag niemand mehr anstoßen muss.

Ein Behördenformular per Skript auszufüllen lohnt sich, sobald eine Korrektur wahrscheinlich ist. Von drei Bögen eines Antrags gab es nur einen als ausfüllbares PDF zum Herunterladen, die beiden anderen existierten bloß als Scan. Statt sie zu drucken und zu tippen, habe ich die Werte mit einem kleinen Python-Skript als Overlay daraufgelegt. Beim ersten Mal dauert das länger als Tippen, bei der ersten Korrektur ist es wieder drin. Handarbeit kostet jedes Mal gleich viel, ein Skript nur beim ersten Mal.

Eine Sicherung, die jemand erst anstecken muss, taugt nur so weit wie die Gewohnheit dahinter. Unser Borg-Lauf schreibt auf eine externe Platte, und weil die monatelang nicht am Rechner hing, kam einhundertsiebzehn Tage lang keine einzige Sicherung durch, 404 Fehlversuche im Protokoll, die niemand gelesen hat. Time Machine stand ohne Ziel daneben. Erst als ich die Platte wieder ansteckte, lief alles durch. Eine Sicherung, die an einem Handgriff hängt, ist ein Vorsatz und keine Sicherung.

Wenn eine Angabe rechtlich verpflichtend ist, gehört sie als fester Text hinterlegt und nicht als Anweisung an das Sprachmodell. Bei unserem Telefonassistenten steht der Hinweis, dass hier eine KI spricht, als unveränderlicher Begrüßungssatz im System, und ich habe am selben Tag geprüft, dass ihn kein Anrufer unterbrechen oder überreden kann. Als Prompt formuliert wäre er nur wahrscheinlich, nicht sicher. Was man im Zweifel beweisen muss, darf nicht bei jedem Anruf neu erfunden werden.

Umbauen muss man ein Programm dafür nicht, wenn die Entscheidung in der Konfiguration steht und nicht im Code. Unsere Achsvermessung schickt jedes Messprotokoll automatisch per Mail und druckte es zusätzlich in der Werkstatt aus. Diese Woche habe ich den Ausdruck abgeschaltet und den Verteiler verkleinert, dafür reichten zwei Werte in einer Einstellungsdatei und eine Sicherung davon. Der nächste Wagen lief sauber durch: keine Seite gedruckt, Mail zugestellt. Was sich im Betrieb ändern kann, gehört dorthin, wo man es ohne Programmierer ändert.

Eine Login-Sperre schützt nur den Weg, für den sie geschrieben wurde, die Hintertüren bleiben offen. Auf der Website eines Betriebs prasselten an einem Vormittag 1.426 Anfragen in achtundzwanzig Minuten auf eine Programmier-Schnittstelle ein, getarnt als Suchmaschinen-Crawler. Unsere Sperre mit fail2ban wachte am Anmeldeformular und ließ das alles ungebremst durch. Ich habe eine zweite Regel für diesen Weg gebaut und gegen das echte Protokoll geprüft, 1.453 Treffer, ausschließlich Angreifer. Ein Wachhund vor der einen Tür sagt nichts darüber, wie viele Türen das Haus hat.

Ein Protokoll, das jede Minute dieselbe Zeile schreibt, muss man ausdünnen, sonst versteckt es den einen Satz, der zählt. Die Protokolldatei unserer Achsmess-Automatik war auf 4,4 Megabyte und 34.616 Zeilen gewachsen, fast nur Meldungen, dass das Gerät gerade ausgeschaltet ist. Die Hälfte stand sogar doppelt drin, weil zwei Wege in dieselbe Datei schrieben. Jetzt rotiert die Datei täglich, wird nach vierzehn Tagen weggeworfen, und die Doppelung ist raus. Ein Protokoll nützt erst, wenn die Abweichung darin auffällt.

Einen großen Datenbestand direkt von einer Cloud in die andere zu kopieren, geht selten gut. Ich habe knapp dreitausend Dateien in unsere Nextcloud geschoben, und nach 949 Dateien stand die Übertragung still, fünfundzwanzig Stunden lang, ohne eine einzige Fehlermeldung. Am Server lag es nicht: die Quelle musste jede Datei selbst erst aus ihrer eigenen Cloud holen und stieg dabei aus. Seitdem hole ich solche Bestände zuerst vollständig auf die Platte und schiebe sie dann in Häppchen weiter. Zwei Automatiken, die aufeinander warten, arbeiten nicht, sie stehen.

Den ersten Treffer im Text soll eine Automatik nicht nehmen, sondern den besten. Unsere Dokumentenerkennung im Paperless hielt Modellbezeichnungen auf Rechnungen für ein Kennzeichen, brach danach ab und übersah das echte Kennzeichen weiter unten auf dem Blatt. In 388 von 17.076 Dokumenten ging so die Kundenzuordnung verloren. Jetzt hat der Fahrzeugbestand Vorrang vor dem ersten Fund, 1.449 falsche Treffer sind weg und kein einziges echtes Kennzeichen ist dabei verlorengegangen. Wer beim ersten Treffer aufhört, sucht nicht, er rät.

Ein Prüfbericht ordnet sich nie von selbst zu, wenn die Automatik die Fahrgestellnummer gar nicht als Suchmerkmal kennt. Unser Nacht-Job gleicht Belege gegen den Fahrzeugstamm aus Loco-Soft ab, las im Volltext aber nur Debitorennummer und Kennzeichen. Genau die fehlen auf Diagnoseprotokollen und Prüfberichten. Ein Fahrzeug lag drei Nächte unzugeordnet, obwohl seine Nummer zweimal auf dem Blatt stand. Seit die Fahrgestellnummer als dritter Anker gilt, lösen sich statt acht Dokumenten zweiunddreißig von allein auf. Was die Maschine nicht als Merkmal kennt, ist für sie nicht vorhanden.

Ein fehlender Kundenname darf die übrigen erkannten Daten nicht mitreißen, und bei uns tat er es jahrelang doch. In unserer Dokumenten-Pipeline hingen Fahrzeugnummer, Kennzeichen und Betrag an derselben Bedingung wie der Kunde: kein Kunde erkannt, kein einziges Feld gespeichert. 153 von 164 Belegen ohne Kunden standen deshalb nackt im Archiv, obwohl die Erkennung alles sauber gelesen und ins Protokoll geschrieben hatte. Ausgerechnet die Belege, die Nacharbeit brauchen, verloren so jeden Anhaltspunkt. Wer das Unsichere verwirft, darf das Sichere nicht mitverwerfen.

Einen fehlgeschlagenen Login darf eine Sperr-Automatik nur an einem Muster erkennen, das bei Erfolg sicher anders aussieht. Nach einem Angriff mit 2.743 Anfragen auf unsere Anmeldeseiten wollte ich zuerst jeden Zugriff auf eine zweite Schnittstelle mitzählen. Diese Regel hätte den ganz normalen Verkehr eines Zusatzdienstes gesperrt, denn dort antwortet der Server bei Fehler und Erfolg gleich. Jetzt sperre ich nach fünf Fehlversuchen in zehn Minuten, aber nur bei einem Muster, das ein Erfolg nie erzeugt. Wer automatisch aussperrt, muss den Unterschied beweisen können, nicht vermuten.

Eine Überwachung, die nur läuft, solange jemand angemeldet ist, fällt genau dann aus, wenn man sie braucht. Unser Empfangsprogramm für die Abgasuntersuchung startet mit der Benutzersitzung, und meine erste Prüfaufgabe hing an derselben Sitzung. Meldet sich abends jemand ab, wären beide still gewesen, und Stille sieht aus wie Ruhe. Jetzt läuft die Prüfung als Systemaufgabe, unabhängig von der Anmeldung, und zeigte beim Test knapp acht Tage ununterbrochenen Empfang. Ein Wächter, der mit dem Bewachten einschläft, ist keiner.

Unser Offsite-Lauf kopierte die Sicherung vom Vortag, weil er startete, bevor die Sicherung des laufenden Tages fertig war. Der Container-Server schreibt seine Archive bis kurz nach fünf Uhr morgens, der Abholer lief um vier, beide Seiten grün, und die Kopie außer Haus hinkte strukturell vierundzwanzig Stunden hinterher. Dazu rechnete die eine Maschine in Weltzeit und die andere in Sommerzeit. Wer zwei Automatiken hintereinander hängt, muss wissen, wann die erste fertig ist, nicht nur dass sie läuft.

Ansprechbar sein sollte eine Betriebs-KI dort, wo die Arbeit ohnehin läuft, nicht in einem weiteren Programm. Seit heute bekommt bei uns jeder offene Loco-Soft-Werkstattauftrag automatisch einen eigenen Chat-Raum, in dem unsere KI sitzt, und ein kleiner Dienst gleicht alle fünf Minuten ab, welche Aufträge offen sind. Der Kollege muss nichts suchen und nichts erklären, der Raum weiß bereits, um welches Fahrzeug es geht. Ein Werkzeug, das man erst aufrufen muss, benutzt am Ende niemand.

Ein Dienst darf sich selbst neu starten, aber nur mit fester Bremse und nur als Schadensbegrenzung, nicht als Reparatur. Unser Dokumentenarchiv Paperless war wegen eines bekannten Speicherlecks erst sieben Stunden, dann noch einmal anderthalb Stunden nicht erreichbar, bis jemand den Container von Hand neu startete. Jetzt prüft ein kleiner Wächter alle zwei Minuten den Zustand und startet höchstens einmal in zehn Minuten neu, aus Stunden werden so drei bis vier Minuten. Die Ursache beheben wir trotzdem, der Wächter kauft nur die Zeit bis dahin.

Der Fehlerliste einer Automatik kann man nicht blind glauben, weder bei dem was fehlt noch bei dem was ankam. Nach einem Serverausfall lagen rund 235 Tresen-Belege eines ganzen Arbeitstags im Ordner für Fehlversuche, im Paperless-Archiv fehlten sie tatsächlich. Neun weitere Gruppen standen ebenfalls als Fehlversuch da und waren trotzdem doppelt angekommen. Erst der Abgleich Datei für Datei gegen das Zielsystem zeigte, was wirklich stimmt. Ein Programm weiß oft nur, ob es die Antwort gehört hat, nicht, ob die Arbeit getan wurde.

Ein Fehler schlägt erst zu, wenn die Notkorrektur ausfällt, weil sie ihn vorher nur übertüncht hat. In unserem Dokumentenarchiv, Paperless, setzte eine vergessene Automatik jedem neuen Beleg einen Besitzer, und ein zweiter Schritt nahm ihn Sekunden später wieder weg. In jedem Test sah alles sauber aus. Erst als dieser Schritt an einem Ausfall scheiterte, blieben 208 Belege unsichtbar. Heute räumt das System den Besitzer selbst weg, ausfallsicher an der Quelle. Eine Abhilfe, die den Fehler ständig übermalt, ist kein Fix, sie verschiebt nur den Tag, an dem er auffliegt.

Beim Alten ist nach einer abgebrochenen Änderung nichts, das muss man jedes Mal nachsehen. Beim Umbau unserer Überwachung mit Uptime Kuma habe ich ein Feld im falschen Format zurückgeschickt, das Speichern brach mit einem Fehler ab, und trotzdem war die Alarm-Verknüpfung des Monitors danach gelöscht. Das Programm räumt erst auf und legt dann neu an, gescheitert ist nur der zweite Schritt. Ich habe hinterher alle neunundzwanzig Monitore nachgeprüft. Eine Fehlermeldung sagt, dass etwas nicht fertig wurde, nicht dass nichts passiert ist.

Eine Überwachung meldet keinen Ausfall, wenn ihre Prüfung kein Zeitlimit hat. Unser Dokumentenarchiv lag sieben Stunden am Boden, und der zuständige Monitor blieb die ganze Zeit auf grün: Sein Zeitlimit stand auf null, also wartete er sechs Stunden und neunundvierzig Minuten auf eine Antwort, statt aufzugeben und Alarm zu schlagen. Heute hat jede Prüfung achtundvierzig Sekunden Zeit, danach gilt sie als gescheitert. Wer nie aufgibt, meldet auch nie einen Fehler.

Wenn das Messgerät abends ausgeschaltet ist, tut eine gute Automatik gar nichts, und genau das ist die richtige Antwort. Unser Achsmessstand wird jede Minute abgefragt; ist er aus, schreibt der Ablauf eine ruhige Zeile ins Protokoll und beendet sich, ohne den Stand der Dinge zu verändern. Am nächsten Morgen holt er die offenen Messungen binnen einer Minute nach. Nicht erreichbar ist kein Fehler, und wer beides gleich laut meldet, erzieht seine Leute dazu, Alarme zu überlesen.

Automatisch im Dokumentenarchiv landen sollte ein Messprotokoll nur, wenn klar ist, zu welchem Auftrag es gehört. Unser Achsmessstand liefert Zeitpunkt und eine Kennung, aber Kunde, Auftrag und Kilometerstand bleiben in seiner Schnittstelle immer leer, bei allen 122 Messungen im Bestand. Deshalb fügt der Ablauf die vier Berichte zusammen, druckt sie und schickt sie per Mail, und die Zuordnung macht ein Mensch. Ein Dokument ohne Bezug ist kein Archiv, sondern ein Fundbüro.

Aus einem Gerät ohne offizielle Schnittstelle holt man die Protokolle über dieselbe Oberfläche, die es selbst benutzt. Unser Achsmessstand druckt laut Anleitung nur auf einen lokalen Drucker, ist aber webbasiert, und hinter der Weboberfläche lagen 122 gespeicherte Messungen mit je vier PDF-Varianten. Ein kleiner Abholdienst zieht sie jetzt und schickt sie ins interne Postfach. Was ein Gerät dem Browser zeigt, kann es auch einem Programm zeigen.

Die nächtliche Verarbeitung stoppte, weil das Programm gar kein Systemdienst ist, sondern nur in der angemeldeten Sitzung läuft. An unserem Rechner für die Abgasuntersuchung hängen drei Bausteine, und nur einer davon, die Datenannahme, ist ein echter Dienst. Import und Druck starten erst mit der Anmeldung des Benutzers. Wer sich per Fernwartung abmeldet statt die Verbindung nur zu trennen, legt beides still. Seitdem gilt dort eine einzige Regel: trennen, nicht abmelden.

Einen Fehler, der keinen Schaden anrichtet, behebt man trotzdem, sobald er regelmäßig im Protokoll steht. Unser Dokumentenarchiv Paperless startet jeden Morgen um sechs kurz neu, und unser Import-Programm klopfte im Fünf-Minuten-Takt genau in diese Lücke: jeden Tag rote Fehlermeldungen, nie ein echter Schaden. Jetzt fragt das Programm vorher kurz an, ob das Archiv erreichbar ist, und zieht sich sonst still bis zum nächsten Takt zurück. Ein Protokoll voller harmloser Fehler erzieht zum Überlesen, und irgendwann überliest man den einen, der zählt.

Wenn eine Kundennummer an einen neuen Kunden vergeben wird, erben die alten Dokumente stillschweigend den falschen Besitzer. Unser Werkstatt-Programm Loco-Soft verwendet frei gewordene Nummern wieder, und prompt lag eine frisch gescannte Rechnung in der Akte des Vorgängers. Unser nächtlicher Abgleich meldete daraufhin zwölf verdächtige Fälle, nach genauem Vergleich blieben zwei echte übrig, und umgehängt wird nur, wenn das Dokument selbst den neuen Namen belegt. Eine Nummer, die zweimal vergeben wird, ist kein Schlüssel mehr, sondern eine Falle.

Sechstausend alte Dokumente holt man ins Archiv, indem man der Automatik Zeit gibt statt Tempo. Bei uns wandern gerade 6.215 Bilddateien alter Fahrzeug- und Kundenakten aus Loco-Soft in die Dokumentenablage, und die Texterkennung braucht gut vierzig Sekunden pro Stück. Der Import läuft deshalb nur nachts und belegt bewusst nur einen von zwei Arbeitsprozessen, damit tagsüber niemand am Tresen wartet und die nächtliche Datensicherung Luft behält. Nach rund sechs Nächten ist der Bestand drin. Eine gute Migration merkt niemand, und genau das ist ihr Erfolg.

Die Duplikat-Warnung eines Programms reicht als Schutz nicht, denn eine Meldung ist keine Sperre. Unser Dokumentenarchiv Paperless meldete bei jedem erneuten Upload brav, dass ein Dokument mit gleichem Inhalt schon existiert, und importierte die Datei trotzdem. So sammelten sich 527 Kopien desselben Fotos an, bis ich die Prüfung selbst eingebaut habe: ein Inhalts-Vergleich vor jedem Upload. Was ein System nur meldet, muss man selbst verhindern.

Eine Automatik darf einen Vorgang nicht wiederholen, nur weil die Antwort ausbleibt, denn keine Antwort heißt nicht gescheitert. Bei uns ließ ein einziges 138-Megapixel-Foto die Texterkennung in Paperless länger laufen als die zwei Minuten, die mein Skript wartete. Es wertete das Schweigen als Fehlschlag und lud dieselbe Datei immer wieder neu hoch, am Ende standen 526 Duplikate im Archiv. Seitdem unterscheidet das Skript drei Ausgänge: gelungen, gescheitert und noch offen. Wer Schweigen als Scheitern deutet, wiederholt Dinge, die längst gelungen sind.

Ins Dokumentenarchiv gehört ein Foto nicht in voller Auflösung, sondern in der Auflösung, die das Archiv wirklich braucht. Ein einzelnes 138-Megapixel-Bild aus unseren alten Fahrzeugakten trieb die Texterkennung von Paperless über jede Zeitgrenze, und die Automatik erzeugte daraus über fünfhundert Duplikate. Seit wir solche Riesenbilder vor dem Hochladen auf 300 DPI verkleinern, also volle A4-Druckqualität, ist die Erkennung in siebenundzwanzig Sekunden fertig, und das Original bleibt unangetastet auf dem Quell-Laufwerk liegen. Mehr Auflösung ist nicht mehr Wert, sie ist nur mehr Last.

Ein eingespielter Handgriff kann einen Fehler in der Automatik tagelang verstecken. In unserem Dokumentensystem Paperless kamen neue Scans mit falschen Sichtbarkeitsrechten an, 208 Dokumente konnte nur ein einziger Nutzer sehen. Drei Tage fiel das niemandem auf, weil ich als Postverteiler ohnehin jeden Beleg von Hand zuordne und die Rechte dabei unbewusst mit reparierte. Erst als der Empfang einen fehlenden Scan meldete, flog der Fehler auf. Wo ein Mensch täglich stillschweigend nachbessert, sieht der Prozess gesund aus, obwohl die Maschine krank ist.

Einen Fehler, der immer wiederkommt, behebt man nicht nur, man baut ihm einen Wächter. In unserer Dokumentenablage schlich sich derselbe Sichtbarkeits-Fehler seit Projektbeginn in jeden neuen Upload-Weg ein, zuletzt bei 132 Bildern, die nachts eingespielt wurden. Jetzt prüft eine kleine Routine alle fünf Minuten den Bestand und stellt falsche Zuordnungen von selbst richtig. Die Ursache beheben wir trotzdem jedes Mal, aber der Wächter fängt das nächste Vergessen ab. Gegen einen wiederkehrenden Fehler hilft keine Erinnerung, nur ein Mechanismus.

Eine Automatik darf einen offenen Fall bei uns drei Nächte lang behalten, dann muss sie ihn sichtbar an den Menschen übergeben. Belege ohne zugeordneten Kunden bekommen jetzt einen Marker-Tag, und der nächtliche Lauf versucht die Zuordnung nachzuholen, sobald frische Daten da sind. Beim ersten scharfen Lauf löste er 39 von 112 offenen Belegen von allein, der Rest wandert nach der Frist mit sichtbarem Hinweis zu den Kollegen. Eine Automatik, die still auf offenen Fällen sitzt, ist nur eine ordentlichere Form des Vergessens.

Ein Beleg im Fehlerordner ist erst gerettet, wenn dort auch regelmäßig jemand hineinsieht. Unsere Beleg-Automatik legt Dokumente, die sie nicht in die Ablage hochladen kann, sauber in einen Fehlerordner, damit nichts verloren geht. Genau dort lagen fünf Belege aus mehreren Tagen, still und unbemerkt, bis ich zufällig nachsah. Alle fünf habe ich am selben Abend nachträglich eingespeist, und als Nächstes bekommt der Ordner eine Überwachung, die meldet, sobald er nicht leer ist. Ein Auffangnetz, in das niemand schaut, ist nur ein zweiter Ort zum Verlieren.

Ein nächtlicher Datenabzug reicht nicht, wenn die Automatik tagsüber mit dem Tagesgeschäft arbeiten muss. Bei uns kaufte eine Neukundin ein Fahrzeug, die Rechnung wurde noch am selben Tag eingescannt, aber unsere Dokumentenablage kannte nur den Kundenstamm der letzten Nacht aus Loco-Soft. Darin gehörte das Fahrzeug noch uns selbst, also ordnete sie die Rechnung dem eigenen Autohaus zu statt der Käuferin. Jetzt bauen wir den Abgleich mehrmals täglich direkt aus der laufenden Datenbank. Der Datenstand von gestern Nacht kennt den Kunden von heute Mittag nicht.

Eine Änderung an einem System, in dem tagsüber mehrere Kollegen live arbeiten, spielt man erst abends ein, wenn niemand mehr darin sitzt. Unsere Aktendigitalisierung läuft über einen Dauerdienst mit Gemma, und jedes Deploy heißt Neustart: die laufende Verarbeitung bricht ab, der neue Code wird scharf. Tagsüber wartet vielleicht eine Anmeldung auf die Bestätigung eines Scans, also baue und teste ich tagsüber nur trocken gegen eine Kopie und rolle erst nach Feierabend aus. Man fährt die Bühne nicht hoch, solange das Auto darauf steht.

Alte Massen-Dokumente sollen nicht durch denselben Eingangskorb wie die tägliche Post. Wir haben 6215 Altbelege vom alten Werkstatt-Laufwerk in unsere Dokumentenablage geholt, gut dreitausendneunhundert davon Fahrzeugunterlagen. Hätten wir sie in den normalen Posteingang gekippt, hätten die Kollegen am Tresen tagelang zwischen frischer Tagespost und altem Bestand gesucht. Also bekamen sie einen eigenen Marker und gingen direkt ins Archiv. Wer altes Wasser einlässt, darf damit nicht die frische Quelle trüben.

Ein neuer Fehler tauchte genau dann auf, als die Verarbeitung schneller wurde, weil Tempo einen Engpass freilegt, den die Langsamkeit vorher zugedeckt hat. Ich hatte das Einlesen der Belege umgebaut, damit niemand mehr wartet: die Blockade pro Beleg sank von rund fünfzig auf zwei bis vier Sekunden. Prompt kollidierten zwei gleichzeitig ankommende Dokumente am selben Volltext-Index von Paperless, eines brach ab. Der Fix war ein zweiter Anlauf mit kurzer Pause. Wer einen Engpass löst, bekommt den nächsten zu sehen.

Ein Beleg soll gleich behandelt werden, egal ob er aus dem Scanner kommt, per Mail oder von Hand hochgeladen wird. Bei uns durchläuft jedes Dokument denselben vollen Flow: Texterkennung, Gemma für den Inhalt, dann Kontext und Felder. Seit die Warteschlange läuft, bekommt jedes neue Dokument denselben Stempel und wird angereichert, ganz gleich auf welchem Weg es hereinkam. Der Weg herein darf nicht über die Sorgfalt entscheiden.

Belege per Mail darf nicht jeder einspeisen, sondern nur vier bekannte Absender-Domains. Wir richten gerade eine Sammeladresse ein: Anhänge, die dort ankommen, laufen durch denselben Scan-Flow wie am Gerät, mit Texterkennung und Gemma. Damit uns niemand Fremdes Dokumente ins System kippt, dürfen nur vier feste Domains schicken, alles andere wird verworfen. Eine Tür, die jeder öffnen kann, ist kein Eingang, sondern ein Loch.

Erst die Warteschlange zu bauen und dann die Eingaenge anzuschliessen, spart am Ende die meiste Arbeit. Seit unser Anreicherungsdienst jedes Dokument mit dem einen Tag Warteschlange durch denselben Ablauf schickt, egal ob es vom Scanner, per E-Mail oder ueber den Upload-Knopf in Paperless kommt, ist ein neuer Eingang fast geschenkt: er muss nur diesen einen Tag setzen. Vorher haette jeder Weg seinen eigenen Anbau gebraucht. Wer die Naht an der richtigen Stelle legt, macht jede spaetere Erweiterung billig.

Jeden Zweifelsfall dem Menschen vorlegen soll eine Automatik gerade nicht, sonst ertrinkt er in Rückfragen und schaut irgendwann gar nicht mehr hin. Bei der ersten digitalisierten Akte liefen acht Belege glatt durch, nur bei einem meldete das System einen Konflikt, weil die Texterkennung ein B und eine 8 in der Fahrgestellnummer verwechselt hatte. Genau dieser eine Fall gehört auf den Tisch, die anderen sieben nicht. Eine Automatik ist so viel wert wie die Ruhe, die sie schafft, nicht die Meldungen, die sie erzeugt.

Einen Beleg, dessen Kunde beim Einscannen noch nicht im System stand, ordnet man zu, indem man es später noch einmal versucht, statt gleich aufzugeben. Unser Nacht-Job im Paperless gleicht neu gescannte Dokumente ohne Korrespondent noch ein paar Nächte lang gegen die inzwischen aktualisierten Loco-Soft-Daten ab; beim ersten Lauf löste er 28 von 99 offenen Belegen. Bleibt einer nach drei Nächten ungeklärt, bekommt er den Stempel ZU BEARBEITEN und landet beim Menschen. Manches ordnet sich von selbst, wenn man der Welt Zeit gibt aufzuholen, den Rest reicht man weiter, statt ihn stumm liegenzulassen.

Ungeprüft veröffentlicht eine KI bei mir gar nichts. Zwischen dem Modell, das die Notizen schreibt, und der Website sitzt ein fester Torwächter, ein Skript, das jeden Entwurf gegen Secrets, Stil, Schema und Dubletten prüft und alles Zweifelhafte in die Quarantäne legt. Erst was diese starren Regeln passiert, geht live, abgeglichen gegen fünfundachtzig bestehende Notizen. Eine Maschine darf schreiben, aber entscheiden, was öffentlich wird, soll eine Regel, nicht eine zweite Meinung.

Eine KI sollte nur die unsicheren Felder aus einem Beleg ziehen, die festen holt zuverlässiger ein einfaches Muster. Unsere Dokumenten-Pipeline arbeitet in drei Stufen: erst ein deterministischer Mustervergleich für klare Felder wie Datum und Belegnummer, dann Gemma für alles Unscharfe wie Absender und Belegart, am Ende ein Abgleich beider Ergebnisse. So rät die Maschine nur dort, wo es nichts Eindeutiges gibt. Wo eine Regel reicht, braucht es kein Modell, das auch mal halluziniert.

Dass fünf Mitarbeiter jeden Tag Kundennummern in die Dateinamen tippen, ist genau der Schritt, den ich abschaffen will. An unserem Scanner bekommt bisher jeder Beleg von Hand einen Namen aus Debitoren-Nummer und Kundenname, fünfzehn bis fünfundzwanzig Stück am Tag, und genau dort schleichen sich die Zahlendreher ein. Die Nummer steht längst in der Datenbank, also soll die Maschine sie nachschlagen, nicht der Mensch sie abtippen. Jede Eingabe von Hand ist eine Fehlerquelle, die man sich sparen kann.

Eine Überwachung, die nur prüft ob ein Dienst läuft, übersieht den Dienst, der läuft und trotzdem nichts Frisches liefert. Bei einer Gesundheitsprüfung fiel mir auf, dass unsere nächtliche Kopie drei Tage alt war, während ein Cron alle drei Minuten per curl brav meldete, alles sei erreichbar. Die Datei war da, nur eben von vorgestern. Gesund heißt nicht, dass etwas atmet, sondern dass es das Richtige tut.

Die Ursache zu suchen lohnt nur, solange die Abhilfe davon abhängt. Ich habe bei einem nächtlichen SCP-Job über eine Stunde gegraben, warum er nie in den Logs auftauchte, obwohl er sauber in der Crontab stand. Am Ende war die Lehre simpel: ob er fehlschlägt oder nie startet, die Kopie blieb drei Tage alt, und genau das musste weg. Manchmal ist die ehrliche Antwort, den Job neu aufzusetzen, statt das Rätsel zu lösen.

Wegen zweier Server in zwei Zeitzonen. Ein Server lief in Weltzeit, der andere in unserer Zeit, und dadurch lief das Einspielen der Daten anderthalb Stunden nach dem Abgleich statt davor. Jedes neue Auto verpasste so seinen eigenen Lauf und kam erst die nächste Nacht. Ein falsch gesetzter Zeitplan kostet echte Zeit. Behoben, indem alle Schritte sauber hintereinander gelegt wurden.

Nein. Bei uns erzeugt das System nachts automatisch die Preisschilder als PDF und legt sie auf den Werkstatt-Server, von wo sie morgens gedruckt am Fahrzeug hängen. Wer KI nur online denkt, verschenkt die Hälfte ihres Nutzens. Das Digitale wird erst rund, wenn es im Hof ankommt.

Mit einem QR-Code auf dem Schild, der direkt zur Fahrzeugseite führt. Der Kunde steht am Wagen und hat alle Details in der Hand, ohne zu suchen. Analog und digital sind kein Widerspruch, wenn man sie absichtlich verbindet.

Dass die Maschine das Stumpfe und Wiederkehrende übernimmt, damit vorne Zeit für den Menschen bleibt. Bei uns hat die Automatisierung keinen Job gekostet, sondern eine ungeliebte, stupide Aufgabe. Was an ihre Stelle tritt, ist Zeit am Fahrzeug und am Tresen. Wer das umdreht und den Menschen wegrationalisiert, hat den Satz nicht verstanden.

Weil Docker und der Reverse Proxy so einen Endpunkt tausende Male am Tag abfragen. Bei mir hat ein Health-Check in einem Dienst bei jedem Aufruf eine kostenpflichtige Such-API (Tavily) angestoßen. In vierundzwanzig Stunden waren das über viertausend Aufrufe und rund zehn Euro, ohne dass die eigentliche Funktion ein einziges Mal lief. Seitdem prüft ein Health-Check bei mir nur lokal: Läuft der Prozess, antwortet er. Nichts, was Geld kostet oder nach außen telefoniert.

Abbrechen, laut und sichtbar. Einer unserer Abläufe machte bei fehlgeschlagener Datenanreicherung einfach mit leeren Werten weiter, und die leeren Werte richteten den Schaden an. Heute bricht er ab, sobald die Daten nicht stimmen. Ein sichtbarer Fehler ist ein Geschenk, ein stiller frisst sich durch, bis ihn der Kunde findet.

Nein. Seit ein fehlerhafter Abgleich unsere Website einmal komplett geleert hat, gilt bei uns eine harte Grenze: Kein einzelner Lauf darf mehr als einen Bruchteil des Bestands auf einmal entfernen. Maschinen brauchen solche Grenzen, gerade weil sie nicht zögern. Ein Sicherheitsnetz im Code ist kein Misstrauen, sondern Vorsicht.

Eine, die heimlich nicht mehr läuft. Ein nächtlicher Loco-Soft-Export sprang eine Weile nicht mehr an, und niemand merkte es, weil man sich darauf verließ. Manuell ausgelöst funktionierte er sofort. Seitdem prüfe ich aktiv, dass das Automatische wirklich automatisch passiert, statt es einfach anzunehmen.

Sie wird umgangen. Ein Export in Loco-Soft blockierte den Arbeitsplatz, solange er lief, also überspringen die Kollegen ihn verständlicherweise oft. Unsere Pipeline liest deshalb aus dem Weg, der den Menschen nicht ausbremst. Gute Technik darf den Arbeitsfluss nicht stören, sonst schaltet ihn jemand ab.

In etwa zwei Minuten. Wer im Autohaus eine Fahrzeugänderung pflegt und den Export anstößt, sieht sie kurz darauf auf der Website. Geschwindigkeit ist kein Selbstzweck, sie ist der Grund, warum die Daten ehrlich bleiben, statt tagelang veraltet dazustehen.