#Selfhosting

Auf einem alten Rechner installiert man nicht blind die neueste Systemversion, sondern die letzte, die nachweislich sauber läuft. Beim Umbau eines ausgemusterten Bürorechners von 2015 zum Heimserver mit Proxmox brachen die zwei neuesten Linux-Kernel die Installation mit Schreibfehlern ab, obwohl die SSD gesund war. Mit einer älteren Version lief alles fehlerfrei, die halte ich jetzt fest und lasse jedes neuere Update nur für einen einzigen Neustart zur Probe. Neu ist eine Eigenschaft der Software, passend eine Eigenschaft des Zusammenspiels.

Wenn der Fehler beim Hosting-Anbieter liegt, hilft vor allem eines: ihn schnell zu erkennen und dann die Finger vom eigenen System zu lassen. Innerhalb von drei Wochen fielen bei uns zweimal Dokumentenarchiv, OpenProject und Fotoarchiv gleichzeitig aus, weil das interne Netz bei Hetzner gestört war, einmal für achtundsechzig Minuten, einmal für zwölf. Mein Netzwerk-Kniff, um die Verbindung schneller zurückzuholen, brachte nichts, also prüfen wir jetzt die Statusseite, pausieren das Scannen und warten. Zu wissen, dass man nichts tun kann, ist auch eine Diagnose, und sie spart die Stunde am falschen Ende.

Die Kontakte sind nicht weg, nur weil das Adressbuch am Mac plötzlich leer ist. Bei uns zeigte der Mac keinen einzigen Eintrag, obwohl auf unserem Stalwart-Server alles vollständig lag. Das iPhone zeigt pro Konto alle Adressbücher an, auch Archiv und Papierkorb. Der Mac nimmt pro Konto nur ein einziges, und er hatte sich ausgerechnet den Papierkorb gegriffen. Bevor man etwas neu importiert, lohnt der Blick, welchen Ordner das Gerät überhaupt liest. Leer heißt oft nur, dass man an der falschen Stelle nachsieht.

Mit dem Firmen-Login allein kommt bei uns niemand ins VPN. Die Kollegen melden sich mit ihrem zentralen Login aus Authentik bei unserem selbst betriebenen NetBird an. Nach der ersten Anmeldung gilt jedes Konto aber als wartend und darf kein einziges Gerät verbinden. Erst wenn ich das Konto von Hand freigebe, kommt die Person in eine Gruppe, die genau das Firmennetz erreicht, aber keine Kameras und keine Server-Konsolen. Heute habe ich den ersten von zwei Kollegen freigegeben. Der Login sagt, wer jemand ist, die Freigabe sagt, wohin er darf.

Ein Hilfswerkzeug, das nur für einen Abend gebraucht wurde, baut man am selben Abend wieder ab, und zwar vollständig. Um 768 alte Google-Kontakte in unser eigenes Stalwart-Postfach zu holen, habe ich mir eine kleine Sortier-Seite gebaut: 207 behalten, 203 ins Archiv, 359 in den Papierkorb. Danach habe ich Seite, Login-Anbindung, Zugangspasswort und Adresse wieder gelöscht. Nur der Papierkorb bleibt vorerst voll, und die Kopie bei Google bleibt noch ein paar Wochen als Sicherheitsnetz. Eine offene Tür, die niemand mehr benutzt, bemerkt zuerst ein Fremder.

Wenn mehrere Programme gleichzeitig ausfallen und die Störung beim Rechenzentrum liegt, repariert man selbst gar nichts, man wartet und schützt die Arbeit, die gerade läuft. Bei uns standen an einem Vormittag Dokumentenarchiv, OpenProject und Fotoarchiv zugleich still, achtundsechzig Minuten lang, während die Datenbank dahinter die ganze Zeit gesund war. Die Statusseite von Hetzner meldete eine gestörte Netzverbindung zwischen unseren Servern. Ich habe nur die Anmeldung gebeten, das Scannen zu pausieren. Fallen mehrere Dinge zugleich aus, liegt der Fehler selten in ihnen, sondern in dem, was sie verbindet.

Ein VPN schützt im Hotel-WLAN nicht automatisch alles, was das Gerät sendet. Für Reisen habe ich in unserem selbst betriebenen NetBird einen Ausgang über den eigenen Server eingerichtet und mit Laptop und Handy getestet. Der Datenverkehr lief sauber durch den Tunnel, die Namensabfragen aber nicht, also die Frage, welche Seite ich gerade aufrufen will. Dafür war im VPN nur die interne Firmenadresse hinterlegt. Jetzt verschlüsselt das Gerät diese Abfragen selbst. Ein Tunnel schützt nur, was man auch hineinlegt.

Eine geräteübergreifende Zwischenablage synchronisiert auch Passwörter, denn sie unterscheidet nicht zwischen einem Satz und einem Geheimnis. Beim Einrichten von SyncClipboard über unsere Nextcloud habe ich ein frisch erzeugtes Gerätepasswort kopiert. Kurz darauf lag es auf allen drei Geräten, in den Dateiversionen der Nextcloud und im Klartext im Protokoll des Linux-Rechners. Ich habe den Eintrag überschrieben, das Protokoll geschwärzt und das Passwort zum Austausch vorgemerkt. Bequemlichkeit, die alles mitnimmt, nimmt auch das mit, was nie reisen sollte.

Eine geräteübergreifende Zwischenablage kopiert auch Passwörter mit, denn sie unterscheidet nicht, was man kopiert. Beim Einrichten von SyncClipboard über unsere Nextcloud habe ich ein frisch erzeugtes Zugangspasswort kopiert. Wenig später lag es auf allen drei Geräten, in der Cloud samt alten Dateiversionen und im Klartext im Protokoll des Linux-Rechners. Ich habe die Einträge überschrieben, das Protokoll geschwärzt und das Passwort zum Tausch vorgemerkt. Ein Werkzeug, das alles mitnimmt, nimmt auch das mit, was man nie teilen wollte.

Ein erfolgreicher Login mit einem neuen Handy beweist nicht, dass die Anmeldung für alle funktioniert. Bei unserem selbst betriebenen Passwort-Tresor Vaultwarden kamen neue Geräte immer durch. Wer aber die App auf einem bereits bekannten Handy neu installierte, landete nach dem Login bei einer kryptischen Fehlermeldung. Die Ursache: Unser Benachrichtigungsdienst ist in der EU-Region registriert, die Software fragte aber die US-Server, und diese Abfrage läuft nur bei bekannten Geräten. Zwei fehlende Zeilen in der Konfiguration. Ein Test, der nur den frischen Fall prüft, übersieht genau die Kollegen, die schon da sind.

Ein VPN für Mitarbeiter sollte nicht das ganze Firmennetz öffnen, sondern nur das, was die Arbeit wirklich braucht. Als wir unser selbst betriebenes NetBird eingerichtet haben, habe ich als Erstes die Standardregel abgeschaltet, die jedem Gerät alles erlaubt. Zwei Kollegen erreichen jetzt den Dateiserver und den Remote-Desktop, aber keine Kameras, keine smarten Steckdosen und keinen Wartungszugang zu den Servern. Jede Erstanmeldung gebe ich außerdem von Hand frei. Ein Tunnel ins Haus ist eine Tür, und eine Tür öffnet man für einen Raum, nicht für das ganze Gebäude.

Per VPN ins Firmennetz darf bei uns nicht automatisch jeder, der einen Firmen-Login hat. Unser VPN habe ich mit NetBird aufgebaut und an den zentralen Login in Authentik gehängt, und trotzdem landet jede Erstanmeldung zuerst in einer Warteschleife, bis ich sie von Hand freigebe. Die ersten zwei Kollegen bekommen danach genau zwei Ziele: den Dateiserver und den Remote-Desktop, keine Kameras, keinen Serverzugang. Ein Login beweist, wer jemand ist, nicht, wohin er darf.

Die Telefon-App klingelt trotz Anmeldung nicht, weil sich ab Werk oft gar nicht die App selbst anmeldet, sondern ein Cloud-Dienst des Herstellers an ihrer Stelle. Bei uns zeigte Groundwire an unserer AGFEO-Anlage einen grünen Haken, und trotzdem kam kein einziger Anruf durch, denn dieser Cloud-Dienst erreicht eine Anlage, die nur im Firmennetz steht, nie. Ein anderes Programm auf demselben Handy klingelte sofort, und nach der Umstellung auf direkte Anmeldung auch Groundwire. Ein grünes Lämpchen zeigt nur, dass sich jemand angemeldet hat, nicht wer.

Wie lange der Umzug eines Fotoarchivs auf den eigenen Server dauert, entscheidet nicht der Server, sondern die eigene Internetleitung. Unser Speicher bei Hetzner schreibt gut hundert Megabyte pro Sekunde, unsere DSL-Leitung schafft beim Hochladen aber nur 4,3. Für die knapp dreihundert Gigabyte meines privaten Archivs heißt das rund zwanzig Stunden reine Übertragung, also ein Wochenende statt einer Mittagspause. Wer so einen Umzug plant, misst zuerst den Upload und erst dann die Festplatte.

Tausende Fotos lädt man mit genau dem Konto hoch, dem sie am Ende gehören sollen, nicht mit dem bequemen Admin-Zugang. In Immich gehört jedes Bild dem Konto, dessen Schlüssel den Import startet, und eine Besitzübertragung gibt es nicht. Mit dem Admin-Schlüssel lägen die knapp 36.000 privaten Fotos für immer beim falschen Konto. Deshalb bekommen auch die Firmenfotos ein eigenes Firmenkonto, bevor das erste hochgeladen wird. Wer den Import startet, bestimmt, wem das Archiv gehört.

Der Umstieg auf eine eigene Open-Source-Telefonanlage lohnt sich bei uns im Moment nicht, so verlockend die Idee ist. Als ich die Ablösung unserer AGFEO geprüft habe, steckte der Aufwand nicht in der Software, sondern auf den Schreibtischen: Unsere Systemtelefone laufen nur an dieser einen Anlage, zehn bis zwanzig Nebenstellen hätten neue Geräte gebraucht, und jeder Kollege hätte umlernen müssen. Die Aussetzer kamen ohnehin aus der Leitung, und die trifft jede Anlage gleich. Wer eine Anlage tauschen will, tauscht in Wahrheit alles, was an ihr hängt.

Passende kostenlose Software für Prüffristen findet man kaum, weil die Prüfmittelverwaltung eine deutsche Nische zwischen Inventar- und Wartungsprogrammen ist. Ich habe vier Open-Source-Programme geprüft, und keines passte. Das bekannteste kennt pro Gerät nur eine einzige Frist, dabei braucht eine Hebebühne die UVV-Prüfung und die elektrische Prüfung nach DGUV V3 nebeneinander. Ein anderes sperrte schon das Hochladen von Dateien hinter eine Lizenz. Wo nur Kaufsoftware eine Lücke füllt, lohnt es sich, genau aufzuschreiben, was wirklich fehlt, bevor man sich entscheidet.

Wenn eine Website gar nicht mehr antwortet statt eine Fehlerseite zu zeigen, ist meist nicht das Programm kaputt, sondern etwas abgeschnitten. Bei uns standen an einem Dienstagmorgen alle Seiten still, der Server selbst war erreichbar, die Last lag bei vierzehn bei freiem Arbeitsspeicher und die Rechenleistung wartete zu siebzig Prozent auf die Platte. Der Speicher war ein Cloud-Volume bei Hetzner, das über das Rechenzentrumsnetz hängt, und genau dieses Netz war gerade in Wartung. Ein defektes Gerät meldet einen Fehler, ein abgeschnittenes schweigt.

Freigeben lässt sich das nur über eine dauerhafte Verbindung zwischen Konten, nicht über einzelne Alben. Immich, mit dem wir unsere Fahrzeugfotos verwalten wollen, kennt keine Benutzergruppen: Jedes Album muss einzeln an einzelne Personen gegeben werden, bei fünfzehn Mitarbeitern also fünfzehn Handgriffe pro Album. Stattdessen hält ein Firmen-Konto die Bibliothek, alle anderen hängen lesend als Partner daran, und neue Fotos sind sofort für alle da. Vor der Einführung lohnt die Frage, ob eine Software überhaupt Rollen kennt und nicht nur einzelne Nutzer.

Gesichert ist ein Fotoarchiv erst, wenn auch die Ordnung mitgesichert wird, nicht nur die Bilddateien. Bei der Planung unseres Bildarchivs mit Immich liegen die knapp sechsunddreißigtausend Aufnahmen auf dem gesicherten Speicher, die Datenbank mit Alben, Orten und Gesichtern aber lokal auf der SSD und fiel damit aus der Sicherung heraus. Ohne sie hätte ich nach einem Ausfall dreihundert Gigabyte namenlose Dateien. Der Wert eines Archivs steckt nicht in den Dateien, sondern darin, dass man wiederfindet, was man sucht.

Eine Sicherheitsfunktion, die eingeschaltet, aber nie zu Ende eingerichtet wurde, schützt gar nichts. Bei uns war eine Domain seit März 2025 kryptografisch signiert, 133 Signaturen, jeden Tag um 17:20 automatisch erneuert. Es fehlte nur der letzte Schritt, der Eintrag beim Registrar, der die Vertrauenskette schließt. Anderthalb Jahre lang hat die Maschine für nichts gerechnet, und aufgefallen wäre es von allein nie. Halber Schutz ist kein halber Schutz, sondern nur die Ruhe, die dazugehört.

Das Internet kennt einen neuen Server, sobald er sein erstes Zertifikat bekommt, auch wenn man die Adresse niemandem gesagt hat. Bei der Inbetriebnahme unseres Bildarchivs mit Immich hinter Traefik wird jedes ausgestellte Zertifikat in öffentliche Protokolle geschrieben, und die liest jeder mit. Bei Immich wird zugleich der erste, der sich registriert, automatisch Administrator. Also habe ich das Admin-Konto in derselben Minute angelegt, in der die Seite zum ersten Mal über HTTPS erreichbar war. Zwischen Türöffnen und Abschließen darf kein Abend liegen.

Die Einstellung neueste Version hält eine Software nicht aktuell, sie macht nur unberechenbar, wann sich etwas ändert. Unser Passwort-Tresor Vaultwarden lief so, und beim Neuaufbau kam ungefragt eine Version herein, mit der niemand mehr eine Einladung annehmen konnte. Der Hersteller lieferte die Korrektur zwei Tage später, bei uns kam sie drei Wochen lang nicht an, weil der laufende Dienst auf dem alten Stand blieb. Seitdem schreibe ich bei Diensten, die alle Mitarbeiter nutzen, die Version fest. Ein Update sollte eine Entscheidung sein, kein Zufall.

Die empfohlenen Zusatzdienste einer selbst betriebenen Software muss man tatsächlich einrichten, auch wenn ohne sie zunächst alles zu laufen scheint. Bei unserer Nextcloud fehlte seit dem ersten Tag der Melde-Dienst, den der Hersteller für die Mac-Anbindung ausdrücklich empfiehlt; ohne ihn kann der Server nichts von sich aus melden, jeder Rechner fragt nur in Abständen nach. Sichtbar wurde das an sieben Zurücksetzungen des Clients in knapp vier Monaten, im Schnitt alle sechzehn Tage. Eine Empfehlung, die man überliest, bezahlt man später in Stunden.

Große Uploads brechen nach genau einer Minute ab, weil dort ein Zeitlimit sitzt und kein Zufall waltet. Bei uns endete jede Übertragung über zweihundert Megabyte mit einem Fehler, immer nach 60,1 Sekunden. Der Verdacht lag zuerst beim Programm auf dem Rechner, tatsächlich hatte unser Proxy Traefik in der neuen Version ein Werksmaß von sechzig Sekunden mitgebracht. Eine Störung, die auf die Zehntelsekunde wiederkehrt, kommt nicht von der Leitung, sondern aus einer Einstellung.

Für den Dauerbetrieb reicht die Werkseinstellung einer Datenbank nicht, sie ist für den kleinsten denkbaren Fall gemacht. Unser PostgreSQL lief mit hundert erlaubten Verbindungen und 128 Megabyte Puffer bei knapp vier Gigabyte Arbeitsspeicher im Server, und seit Mai wurden über zwölftausend Verbindungen abgewiesen. Nach dem Anheben auf zweihundert fiel die Auslastung von achtzig auf vierunddreißig Prozent, bei 0,85 Sekunden Ausfall. Eine Werkseinstellung ist eine Startposition, kein Betriebszustand.

Eine Werkseinstellung kann eine Funktion tatsächlich von Anfang an unmöglich machen. Unsere Nextcloud lief über ein Jahr mit einem Zeitlimit von fünfzehn Sekunden für den angebundenen Objektspeicher, während ein einzelner Datenblock bei gemessenem Durchsatz neunundfünfzig Sekunden gebraucht hätte. Jeder größere Upload musste also scheitern, ganz ohne Defekt. Werkseinstellungen sind eine Annahme des Herstellers über einen Betrieb, den er nicht kennt.

Ein Diagnose-Schalter, den man nach der Reparatur anlässt, wird irgendwann selbst zum Fehler. Auf einem unserer WordPress-Server stand die ausführliche Fehlerprotokollierung seit Monaten auf an, im Produktivbetrieb. Die Protokolldatei war auf 1,96 Gigabyte gewachsen und der Datenträger zu sechsundachtzig Prozent voll. Bevor ich sie geleert habe, habe ich ihr Ende gelesen, denn genau dort stand die Ursache des Ausfalls. Was man zum Suchen anschaltet, gehört nach dem Finden wieder ausgeschaltet.

Eine Login-Sperre schützt nur den Weg, für den sie geschrieben wurde, die Hintertüren bleiben offen. Auf der Website eines Betriebs prasselten an einem Vormittag 1.426 Anfragen in achtundzwanzig Minuten auf eine Programmier-Schnittstelle ein, getarnt als Suchmaschinen-Crawler. Unsere Sperre mit fail2ban wachte am Anmeldeformular und ließ das alles ungebremst durch. Ich habe eine zweite Regel für diesen Weg gebaut und gegen das echte Protokoll geprüft, 1.453 Treffer, ausschließlich Angreifer. Ein Wachhund vor der einen Tür sagt nichts darüber, wie viele Türen das Haus hat.

Einen fehlgeschlagenen Login darf eine Sperr-Automatik nur an einem Muster erkennen, das bei Erfolg sicher anders aussieht. Nach einem Angriff mit 2.743 Anfragen auf unsere Anmeldeseiten wollte ich zuerst jeden Zugriff auf eine zweite Schnittstelle mitzählen. Diese Regel hätte den ganz normalen Verkehr eines Zusatzdienstes gesperrt, denn dort antwortet der Server bei Fehler und Erfolg gleich. Jetzt sperre ich nach fünf Fehlversuchen in zehn Minuten, aber nur bei einem Muster, das ein Erfolg nie erzeugt. Wer automatisch aussperrt, muss den Unterschied beweisen können, nicht vermuten.

Nach einer DNS-Änderung muss man in aller Regel keine zwei Tage warten, das ist ein Überbleibsel aus alten Zeiten. Als ich einen Bestätigungseintrag für eine Domain gesetzt habe, hatten die drei ausgelagerten Nameserver ihn nach rund zwanzig Sekunden. Entscheidend ist die Gültigkeitsdauer, die man selbst vorgibt, nicht ein pauschaler Erfahrungswert aus dem Internet. Wer die eigenen Einstellungen kennt, muss nicht auf eine Faustregel hoffen.

Dass dasselbe Programm im einen Browser alles zeigt und im anderen nichts, liegt fast immer am Rechner davor, nicht am Server. Bei unserem Passwort-Tresor Vaultwarden hatte sich die Erweiterung im einen Browser still auf die Juli-Fassung aktualisiert, im anderen lief noch die vom Juni. Die neuere stolperte über ein altes Feld: leere Liste, kein Fehler, Anmeldung ganz normal. Deshalb führte die Suche im Protokoll ins Leere, es gab dort nichts zu finden. Wenn zwei gleiche Arbeitsplätze sich verschieden verhalten, steckt die Ursache in dem, was sie unterscheidet.

Ein grünes Backup beweist nicht, dass die Kopie außer Haus liegt, sondern nur, dass die Sicherung geschrieben wurde. Bei uns lief der Job monatelang sauber, während die Übertragung auf den externen Speicher stillstand, weil der Schlüssel dort nicht mehr akzeptiert wurde. Aufgefallen ist es erst beim Nachziehen: 107 Gigabyte auf einen Schlag. Seitdem meldet nicht nur jeder Job, sondern auch jeder Transfer, dass er angekommen ist. Erst die Kopie am zweiten Ort ist die Sicherung.

Alles auf den einen großen Server zu ziehen wäre billiger gewesen, und trotzdem bleiben wir verteilt. Wir haben bei Hetzner ein gebrauchtes Blech mit 256 GB Arbeitsspeicher für hundertneun Euro im Monat gemietet, ein Vielfaches unserer kleinen Cloud-Maschine fürs gleiche Geld. Aber ein einzelner Rechner ist ein einzelner Ausfallpunkt, fällt er, fällt alles. Also bleibt der Zugang zur Außenwelt auf der Cloud, das Blech trägt nur die schweren Lasten. Der günstigste Server wird teuer, wenn an ihm allein der ganze Betrieb hängt.

Ein neues Programm kann einen Dienst lahmlegen, mit dem es scheinbar nichts zu tun hat, sobald beide sich einen Server teilen. Unser Dokumentenarchiv lief zwölf Tage stabil und war dann sieben Stunden nicht erreichbar: Ein frisch installierter KI-Assistent belegte dauerhaft knapp zwei Gigabyte Arbeitsspeicher, und dem Archiv fehlte genau der Puffer, mit dem es bis dahin über die Runden kam. Der Neustart dauerte eine Minute, das Verstehen einen Abend. Auf einer geteilten Maschine ändert jeder neue Mieter die Statik für alle anderen.

Bevor man einen größeren Server mietet, sollte man den vorhandenen entlasten. Unserem Server ging der Arbeitsspeicher aus, und die nächstgrößere Maschine bei Hetzner hätte statt sechsundzwanzig gut hundert Euro im Monat gekostet, weil der alte Bestandspreis beim Wechsel unwiderruflich verfällt. Stattdessen habe ich zwei Diensten überflüssige Arbeitsprozesse abgedreht und den Reservespeicher vergrößert: sechs Gigabyte wieder frei, Kosten null Euro. Die günstigste Kapazität ist die, die man schon bezahlt und nur schlecht nutzt.

Nach zwei Monaten Laufzeit fällt ein Dienst oft deshalb aus, weil eine Voreinstellung langsam vollgelaufen ist. Unser Mailserver nahm keine Verbindung mehr an, obwohl der Container als laufend gemeldet war. Die Voreinstellung im Docker-Image erlaubte 1024 gleichzeitig geöffnete Dateien, und genau 1024 waren belegt. Wir haben das Limit auf fünfundsechzigtausend gesetzt, danach waren es zweiundzwanzig. Eine Voreinstellung ist für den ersten Testlauf gedacht, nicht für den Dauerbetrieb.

Einem Programm, das immer mehr Speicher frisst, setzt man eine feste Grenze, statt auf einen Fix zu warten. Unser Dokumentenarchiv wurde am Tresen unbenutzbar, mit Antwortzeiten von 33 Sekunden, weil ein einzelner Serverprozess über Stunden auf sieben Gigabyte anwuchs und den ganzen Server mit sich zog. Der Fehler ist dem Hersteller bekannt und derzeit nicht behebbar, also bekam der Docker-Container eine Speichergrenze, und jeder Arbeitsprozess wird automatisch ersetzt, sobald er zu groß wird. Manche Fehler kann man nicht reparieren, nur einzäunen.

Gegen einen Fehler, den der Hersteller selbst nicht beheben kann, hilft kein Warten auf ein Update, sondern eine Grenze, hinter der er keinen Schaden mehr anrichtet. Bei unserer Dokumentenablage über Docker wuchs ein einzelner Dienst auf sieben Gigabyte und riss den ganzen geteilten Server in die Knie, Last bis 118, das Öffnen eines Belegs dauerte 33 Sekunden. Der Fehler ist bekannt und nicht zu flicken, also gab ich dem Dienst eine feste Speichergrenze und einen nächtlichen Neustart. Was man nicht reparieren kann, sperrt man ein, bevor es die Nachbarn mitreißt.

Die alte Internet-Adresse kann man nicht kündigen, sobald die Weiterleitung steht, denn die Weiterleitung lebt genau von dieser Adresse. Als ich Ende Juni die alte Marken-Seite stillgelegt habe, blieben Namensauflösung, Zertifikat und der Eintrag im Nginx-Container bewusst bestehen, nur die Inhalte sind weg. Fehlt eines davon, landet der Besucher bei einer Sicherheitswarnung oder im Nichts statt auf der neuen Seite. Eine Weiterleitung ist kein Abschied, sondern ein Schild, das jemand halten muss.

Manche Fehler bemerkt man erst, wenn ein Neuer dazukommt, weil alle anderen längst eingeloggt sind und aus dem Zwischenspeicher weiterlaufen. Bei unserem selbst gehosteten Chat über Matrix und Element kam kein frischer Login mehr durch die Startseite, jede bestehende Sitzung lief munter weiter, sodass tagelang niemand etwas merkte. Schuld war ein einziger Signaturschlüssel in einem Format, das der Browser beim Start nicht lesen konnte. Wer ein System nur mit dem eigenen, längst eingerichteten Zugang prüft, sieht genau die Tür nicht, durch die der Nächste hereinkommt.

Ein vergessenes Master-Passwort kann man nirgends nachschlagen, auch nicht als Administrator. Bei Vaultwarden liegt es nie im Klartext, der Server kennt nur einen Hash mit sechshunderttausend Iterationen, aus dem erst auf dem Gerät der Schlüssel abgeleitet wird. Ich habe lange auf dem Server gesucht und musste am Ende einsehen, dass es schlicht nicht abrufbar ist, weil es so gebaut wurde. Genau das ist der Sinn: Was niemand auslesen kann, kann auch niemand stehlen.

Ein öffentliches Repository auf privat zu stellen reicht nicht, man muss prüfen, ob Suchmaschinen es schon gespeichert haben, solange es offen war. Nachdem ich alle Forgejo-Repos privat gestellt hatte, habe ich es mit vier unabhängigen Prüfungen kontrolliert: Exakt-Suchen nach den einmaligen Repo-Namen, die anonyme Übersichtsseite und der direkte Aufruf, der jetzt mit 404 antwortet. Alle vier waren negativ. Privat schalten ist der erste Schritt, nachsehen, was schon nach draußen gelangt ist, der zweite.

Automatisch nur für die eigenen Leute zugänglich ist ein selbst gehosteter Dienst nicht, eine App ohne ausdrückliche Zugriffsregel steht jedem offen. Beim Aufbau unseres Matrix-Support-Systems fiel mir auf, dass vierzehn Anwendungen hinter Authentik ohne Richtlinien-Bindung liefen, und manche legten bei der ersten Anmeldung sogar selbst ein Konto an. Ich habe eine Gruppe externe gebaut und allen vierzehn bis auf eine eine Sperre verpasst. Was keine Regel hat, hat als Regel: alle dürfen herein.

Ein Firmen-Wiki braucht kein eigenes Programm, wenn man eines hat, das ohnehin schon läuft. Für unser Mitarbeiterhandbuch stand BookStack zur Wahl, ein eigener Dienst mit eigener Pflege. Stattdessen habe ich in unserer vorhandenen Nextcloud die App Collectives aktiviert, eine von drei an einem Nachmittag, ohne neuen Container und ohne neue Anmeldung. Jeder Dienst, den ich nicht aufsetze, ist einer, den ich nachts nicht reparieren muss.

Als zentrale Dokumentenablage taugt unser Werkstatt-Programm nicht. Loco-Soft hat auf dem Server nur fünf Gigabyte frei, der TWAIN-Scanner läuft unter Windows 11 nicht mehr, und für jeden Beleg muss man erst den Kunden öffnen und das Bild von Hand kopieren. Deshalb liegen die Belege jetzt in einem eigenen Dokumentensystem, sauber durchsuchbar und von überall erreichbar. Ein Programm ist gut in dem, wofür es gebaut wurde, und nur darin.

Eine Fehlermeldung sagt nicht immer, wo der Fehler wirklich liegt. Eine iOS-App verweigerte die Verbindung zu meinem Paperless und meldete, das Backend unterstütze die nötige API-Version drei nicht. Tatsächlich spricht meine Version die API-Stufen eins bis sieben, die drei war also längst dabei und der Haken saß ganz woanders. Eine Meldung zeigt, was ein Programm gerade vermutet, nicht zwingend, was kaputt ist.

Ein Server, an dem niemand etwas geaendert hat, rebootet meist, weil etwas Vergessenes im Hintergrund Amok laeuft. Bei uns war es ein alter Entwicklungs-Dienst fuer Directus, der sein Arbeitsverzeichnis nicht mehr fand und sich deshalb neu startete, wieder und wieder, ueber fuenfundsiebzigtausend Mal. Das frass den Speicher, bis die Maschine von selbst neu startete. Im Log stand alles, man musste nur nachsehen. Ein abgeschalteter Dienst ist erst dann wirklich tot, wenn ihn niemand mehr neu startet.

Ob eine Software noch gepflegt wird, erkennt man am Versionsverlauf, nicht an einem einzelnen Forenbeitrag. Bei der Suche nach einer Handy-App für unser Dokumentenarchiv Paperless las ich, das Android-Programm sei seit dem vergangenen Herbst aufgegeben. Die Veröffentlichungsseite zeigte aber Version 4.5.0 vom April, also ganz frische Arbeit. Erst der Blick auf die echten Releases, nicht auf das Gerücht, hat die Frage entschieden. Wer ein Werkzeug einführt, schaut auf das, was geliefert wird, nicht auf das, was jemand behauptet.

Ein zentraler, gut gesicherter Login mit zweitem Faktor. Wir haben unsere Dienste an einen einzigen Identitäts-Anbieter, Authentik, angebunden. Statt zwanzig Passwörtern auf Zetteln gibt es einen Schlüssel, dafür richtig geschützt. Bequemlichkeit und Sicherheit sind kein Gegensatz, wenn man sie zusammen plant.

Alles. Was ich nicht öffnen, verstehen und reparieren kann, besitze ich nicht, am Fahrzeug wie bei der Software. Deshalb baue ich Systeme aus Teilen, die ich im Schadensfall einzeln verstehe und austausche. Ein undurchschaubares Ganzes besitzt man nur scheinbar.

Damit ihr niemand den Stecker ziehen kann. Wir haben Mail, Passwortverwaltung, Dateien und Projektverwaltung, bei uns Stalwart, Vaultwarden, Nextcloud und OpenProject, auf eigene Server geholt. Das ist mehr Arbeit als alles zu mieten, denn Sicherungen und Aktualisierungen liegen dann bei mir. Aber was man mietet, kann einem gekündigt oder verteuert werden. Eigentum ist ein Tausch von Bequemlichkeit gegen Unabhängigkeit.

An dem Tag, an dem ein Anbieter die Preise verdoppelt, einen Dienst einstellt oder ein Konto sperrt. Solange alles läuft, fällt es nicht auf. Genau deshalb haben wir die wichtigen Werkzeuge ins eigene Haus geholt. Wer seine Grundlage besitzt, ist an weniger Stellen erpressbar.

Auf die unsichtbare Grenze. Wir wollten Seafile nutzen, dessen freie Version die entscheidende Speicher-Anbindung schlicht nicht enthielt, egal was man konfigurierte. Geblieben sind wir bei Nextcloud. Das war kein Fehler, sondern Geschäftsmodell. Besser man findet solche Grenzen vorher als mitten in der Migration.

Nein, es ist eine Entscheidung mit Begründung. Wir haben mehrere Werkzeuge ernsthaft evaluiert und dann bewusst verworfen, samt Notiz warum. Diese Notiz erspart, dieselbe Frage in einem halben Jahr noch einmal zu stellen. Verwerfen mit Grund ist Fortschritt, nicht Stillstand.

Ja. Unsere Statistik läuft mit Umami, cookielos und ganz ohne persönliche Profile, deshalb braucht sie keinen Einwilligungs-Banner. Ich sehe, was gelesen wird, aber nicht, wer es liest. Weniger Banner, weniger Reue, und die Zahlen reichen für jede sinnvolle Entscheidung.

Mehrere fast gleich benannte Nextcloud-Ordner lagen auf meinem Rechner, weil nach einem Umbau des Speichers die alten Sync-Konten nicht von selbst verschwinden. Nach dem Wechsel auf den neuen S3-Speicher hatte ich vier veraltete Ordner neben dem aktuellen, jeder mit fast demselben Namen und altem Inhalt. Fast hätte ich in einer toten Kopie weitergearbeitet. Seitdem prüfe ich vor jeder Änderung, welcher Pfad wirklich der lebende ist. Der gefährlichste Ordner ist der, der aussieht wie der richtige.

Sehr. Wir haben neun Server auf vier verdichtet und die Datenhaltung auf einen zentralen PostgreSQL-Server zusammengeführt. Die Kosten sind von rund einundachtzig auf sechsundvierzig Euro im Monat gesunken, und statt fünf Backup-Skripten gibt es eins. Weniger Teile heißt vor allem weniger, das nachts schweigend kaputtgehen kann.

Die einfache, die läuft und die man versteht. Mehrfach habe ich gesehen, wie ein zu cleverer Aufbau später niemand mehr anfassen wollte. Schönheit im System ist gut, aber sie kommt nach der Verständlichkeit, nicht vor ihr. Wartbarkeit ist ein Feature, kein Beiwerk.