#UptimeKuma

Wenn im gespiegelten Server eine Festplatte ausfällt, merkt man es im Alltag nicht, denn genau dafür ist die Spiegelung gebaut: alles läuft weiter. Ich habe erst an diesem Sonntag im Ereignisprotokoll unseres Fujitsu-Servers gelesen, dass schon im August 2025 eine Platte ausgefallen war, und eine der Warnadressen gehörte noch dem früheren IT-Betreuer. Seitdem prüft ein eigener Wächter die Hardware alle fünf Minuten und meldet sich in Uptime Kuma. Redundanz kauft nur Zeit, wenn jemand merkt, dass die Uhr läuft.

Einen Server, der seit Jahren durchläuft, sollte man geplant neu starten, solange man Zeit dafür hat, und nicht erst im Notfall. Unser Hauptserver in der Werkstatt lief über drei Jahre ohne einen einzigen Neustart, an einem Samstag haben wir ihn zweimal kontrolliert heruntergefahren. Er kam sauber zurück, nach rund sechzehn Minuten waren alle acht Systeme wieder grün. Dabei fiel auf, dass das Programm am Abgas-Prüfplatz still mit ausstieg, weil es vom Server aus startet. Eine Abhängigkeit, die man im Ruhigen findet, kostet keinen Kunden.

Ob ein Server nach einem Stromausfall von selbst wieder startet, weiß man erst, wenn man es einmal ausprobiert hat. Beim ersten geplanten Neustart unseres Betriebsservers seit drei Jahren haben wir auch den Netzstecker gezogen. Danach blieb er im Standby, die Fernwartungskarte antwortete, die Lüfter standen still, und erst die Betriebstaste weckte ihn. Bis alle acht Dienste wieder grün waren, vergingen noch rund sechzehn Minuten. Was man nicht im Ruhigen probiert, erfährt man sonst am Montagmorgen nach dem Gewitter.

Einen Dienst, über den man selbst verbunden ist, schaltet man aus der Ferne nur mit einem vorher eingeplanten Rückweg ab. Ich wollte abends prüfen, ob Uptime Kuma den Ausfall unseres Fernzugangs meldet, und habe dafür den VPN-Dienst auf einem kleinen Rechner im Keller gestoppt. Nur lief meine eigene Verbindung genau über diesen Dienst, und von selbst startete er nicht wieder. Seitdem stelle ich vor so einem Test einen Zeitschalter, der den Dienst nach sechs Minuten wieder hochfährt. Wer an dem Ast sägt, auf dem er sitzt, stellt vorher die Leiter hin.

Einen kurzen Leitungsabriss meldet eine Überwachung nie, wenn sie nur einen Zustand prüft und kein Ereignis festhält. Unser Uptime Kuma schlägt bei der Telefonie erst an, wenn zwei Prüfungen in Folge ausbleiben. So haben wir es eingestellt, nachdem ein zu knapper Takt an einem einzigen Tag neunundvierzig Fehlalarme ausgelöst hatte. Eine Leitung, die sich für zwei, drei Minuten neu synchronisiert, ist aber wieder da, bevor die zweite Prüfung kommt. Jetzt meldet der Sender einen erkannten Abriss fünf Minuten lang weiter als Störung. Wer nur den Zustand abfragt, verpasst jedes Ereignis, das kürzer ist als der Abstand zwischen zwei Prüfungen.

Mein Testalarm schlug nicht an, weil die echte Meldequelle noch lief und ihn überholte. Ich wollte in Uptime Kuma prüfen, ob die Störmeldung unserer Telefonie wirklich ankommt, und schickte künstliche Fehler hinein. Der laufende Prüfdienst meldete im nächsten Takt Entwarnung, bevor die Überwachung den Fehler überhaupt bestätigt hatte. Erst nachdem ich ihn angehalten und dreimal im Abstand von zwölf Sekunden eine Störung gemeldet hatte, ging die Mail raus. Wer einen Alarm testet, während der Normalbetrieb weiterredet, prüft nur, wer lauter ist.

Wie oft eine Überwachung nachsehen muss, entscheidet sich daran, wann der Kunde die Störung merkt. Bei uns stand ein Monitor in Uptime Kuma auf dreihundert Sekunden, also fünf Minuten zwischen zwei Prüfungen. Jeder Ausfall, der kürzer war, blieb für das System unsichtbar, und ich habe die Störung vor dem Monitoring bemerkt. Seitdem laufen Kundenseiten auf sechzig Sekunden. Eine Überwachung, die langsamer schaut als der Kunde klickt, meldet nur noch, was ohnehin schon alle wissen.

Einen Rechner, den der Überwachungsserver nicht erreicht, überwacht man andersherum: er meldet sich von selbst. Unser Uptime Kuma steht außerhalb des Werkstattnetzes und kommt an den Prüfstands-PC für die Abgasuntersuchung nicht heran. Also läuft dort alle fünf Minuten eine kleine Prüfung und schickt ein Lebenszeichen nach draußen; bleibt es aus, schlägt die Überwachung Alarm. Wer nicht angerufen werden kann, muss selbst anrufen.

Eine Überwachung, die nur läuft, solange jemand angemeldet ist, fällt genau dann aus, wenn man sie braucht. Unser Empfangsprogramm für die Abgasuntersuchung startet mit der Benutzersitzung, und meine erste Prüfaufgabe hing an derselben Sitzung. Meldet sich abends jemand ab, wären beide still gewesen, und Stille sieht aus wie Ruhe. Jetzt läuft die Prüfung als Systemaufgabe, unabhängig von der Anmeldung, und zeigte beim Test knapp acht Tage ununterbrochenen Empfang. Ein Wächter, der mit dem Bewachten einschläft, ist keiner.

Eine Sammeländerung erfasst nur die Datensätze, die das Programm überhaupt anzeigt. Ich hatte in Uptime Kuma alle Überwachungen auf einen E-Mail-Kanal umgestellt und fand fünf Tage später sechs weitere, die in keiner Liste und in keiner Abfrage auftauchten, weil ihnen in der Datenbank ein Feld fehlte. Einer davon stand seit Wochen auf rot, ohne dass es jemand sah. Seitdem zähle ich nach jeder Sammelaktion gegen die Datenbank, nicht gegen die Liste. Was ein Programm nicht anzeigt, hat man auch nicht geändert.

Melden muss sich eine Automatik seltener, als man zuerst denkt, sonst schlägt der Wächter Alarm, wenn gar nichts ist. Für unsere nächtlichen Abläufe habe ich in Uptime Kuma Wächter eingerichtet, bei denen sich der Ablauf selbst meldet statt abgefragt zu werden. Er läuft alle fünf Minuten, der Wächter wartet aber fünfzehn, bevor er Alarm gibt. So übersteht ein einzelner Aussetzer die Prüfung, ein echter Stillstand nicht. Ein Alarm, dem man nicht mehr glaubt, ist schlimmer als keiner.

Wenn alle Überwachungs-Meldungen gleichzeitig verstummen, ist selten jeder Job kaputt, sondern der gemeinsame Weg. Bei uns war die automatische Zertifikats-Erneuerung stillgelegt, das Zertifikat lief ab, und danach kam acht Tage lang keine einzige Erfolgsmeldung mehr bei Uptime Kuma an: 783 Warnungen aus einer einzigen Ursache. Die Sicherungen liefen die ganze Zeit sauber, nur sagen konnte es niemand mehr. Wer viele Alarme auf einmal sieht, sucht zuerst das, was sie alle gemeinsam haben.

Beim Alten ist nach einer abgebrochenen Änderung nichts, das muss man jedes Mal nachsehen. Beim Umbau unserer Überwachung mit Uptime Kuma habe ich ein Feld im falschen Format zurückgeschickt, das Speichern brach mit einem Fehler ab, und trotzdem war die Alarm-Verknüpfung des Monitors danach gelöscht. Das Programm räumt erst auf und legt dann neu an, gescheitert ist nur der zweite Schritt. Ich habe hinterher alle neunundzwanzig Monitore nachgeprüft. Eine Fehlermeldung sagt, dass etwas nicht fertig wurde, nicht dass nichts passiert ist.

Dass ein Alarm im Ernstfall wirklich ankommt, weiß man erst, wenn man ihn einmal absichtlich auslöst. Bei uns war das Dokumentenarchiv sieben Stunden nicht erreichbar, und Uptime Kuma blieb stumm: der Monitor war nie mit einem Meldekanal verknüpft, sein Zeitlimit stand auf null, und der E-Mail-Kanal selbst zeigte auf einen toten Anschluss. Drei Fehler auf einmal, und jeder einzelne hätte jede Warnung verhindert. Aufgeflogen ist das erst, als wir eine Testmeldung schickten und keine ankam. Eine Überwachung, die man nie testet, überwacht am Ende nur sich selbst.

Eine Überwachung meldet keinen Ausfall, wenn ihre Prüfung kein Zeitlimit hat. Unser Dokumentenarchiv lag sieben Stunden am Boden, und der zuständige Monitor blieb die ganze Zeit auf grün: Sein Zeitlimit stand auf null, also wartete er sechs Stunden und neunundvierzig Minuten auf eine Antwort, statt aufzugeben und Alarm zu schlagen. Heute hat jede Prüfung achtundvierzig Sekunden Zeit, danach gilt sie als gescheitert. Wer nie aufgibt, meldet auch nie einen Fehler.

Ein neuer Alarm kann einen alten Ausfall erklären, manchmal besser als jede Suche damals. Wir hatten unserem nächtlichen Sicherungsskript gerade erst einen Wächter in Uptime Kuma gegeben, und schon in der ersten Nacht schlug er an. Die Suche zeigte: Das Skript war seit rund elf Wochen still kaputt, seine Aufräum-Routine lief nie, der Backup-Ordner wuchs auf 208 GB, und genau diese volle Platte hatte Anfang Juli unsere ganze Cloud lahmgelegt. Ein Fehler ohne Alarm verschwindet nicht, er sammelt sich nur an.

Eine Sicherung, die auf demselben Rechner wie die Originaldaten liegt, ist noch keine echte Sicherung. Bei uns war das nächtliche Auslagern der Archive an einen zweiten Ort seit Mai still ausgefallen, ohne dass es jemand bemerkte, und so lagen die Kopien nur dort, wo auch das Original lag. Jetzt geht jede Nacht eine Kopie an einen Rechner an einem anderen Standort mit über achthundert Gigabyte Platz, und jeder Job meldet sich danach bei Uptime Kuma. Eine Kopie neben dem Original teilt im Ernstfall dessen Schicksal.

Nur die Startseite zu überwachen reicht nicht, denn ein Haus kann eine offene Tür und trotzdem ein verschlossenes Zimmer haben. Bei einem unserer Auftritte lief die Startseite einwandfrei, doch das Impressum war über einen Routing-Fehler nicht erreichbar, also ausgerechnet eine Pflichtseite, deren Fehlen rechtlich teuer wird. Seitdem legt unsere Überwachung mit Uptime Kuma für jeden Auftritt auch eine Unterseite an, nicht nur die Homepage. Wer nur die Vordertür prüft, übersieht das kaputte Zimmer dahinter.

Nicht vom Kunden, wenn man es richtig macht. Wir überwachen die wichtigen Dienste durchgehend mit Uptime Kuma und bekommen eine Meldung, bevor jemand anruft. Was man nicht misst, bemerkt man erst, wenn der Schaden schon da ist. Stille Überwachung ist der Unterschied zwischen reagieren und überrascht werden.