Schnittstellen richtig überwachen: mehr als „Server läuft“

Verfügbarkeitsüberwachung prüft, ob ein System antwortet. Sie fragt in kurzen Abständen bei einem Server, einem Dienst oder einer Adresse nach und meldet, wenn keine Antwort kommt. Das ist sinnvoll und gehört zur Grundausstattung jedes Betriebs. Nur beschreibt diese Prüfung den Zustand der Technik, nicht das Ergebnis der Arbeit. Sie kann nicht unterscheiden zwischen einer Übertragung, die zwanzigtausend Positionen bewegt hat, und einer, die nichts bewegt hat — beide Male hat der Server geantwortet.

Die Störungen, die im Mittelstand wirklich Geld kosten, sehen sich in der Regel sehr ähnlich: der abgelaufene Zugangsschlüssel, den niemand erneuert hat. Das zusätzliche Pflichtfeld nach einem Update, wegen dem das Zielsystem jeden zweiten Datensatz zurückweist. Der Filter, der nach einer Sortimentsänderung greift und dadurch eine ganze Artikelgruppe ausschließt. Der Auftragsstatus, der umbenannt wurde und deshalb nicht mehr zur Regel passt. In allen vier Fällen läuft der Server durchgehend, der Dienst ist erreichbar, die Sicherung ist grün. Und trotzdem kommt fachlich nichts mehr an.

Der Unterschied zwischen beiden Arten von Überwachung ist weniger technischer als organisatorischer Natur: Verfügbarkeit definiert die Technik, Fachlichkeit definiert der Fachbereich. Welche Menge an einem Dienstagvormittag normal ist, weiß niemand in der IT — das weiß die Person, die täglich mit den Aufträgen arbeitet. Eine Überwachung, die ohne diese Person entworfen wurde, prüft zwangsläufig nur das, was sich technisch messen lässt.

Eine fachliche Prüfung ist kein kompliziertes Werkzeug, sondern eine Frage, die täglich automatisch gestellt und beantwortet wird. Drei Fragen reichen für den Anfang aus, und sie lassen sich für praktisch jede Verbindung formulieren, unabhängig davon, welche Systeme beteiligt sind: Ist etwas angekommen? Ist die Menge plausibel? Ist etwas liegen geblieben?

Die erste Frage erkennt den vollständigen Stillstand, die zweite die schleichende Lücke, die dritte den Rückstau. Zusammen decken sie den größten Teil dessen ab, was in der Praxis schiefgeht. Wichtig ist, dass die Prüfung von außerhalb der Schnittstelle erfolgt und die Zahlen aus beiden beteiligten Systemen holt. Eine Komponente, die sich selbst prüft, meldet im Zweifel genau dann nichts, wenn sie ausgefallen ist.

Diese Prüfungen erzeugen einen kurzen Tagesbericht, der auch dann verschickt wird, wenn alles in Ordnung ist. Das klingt nach unnötiger Post, hat aber einen praktischen Zweck: Ein Bericht, der ausbleibt, ist selbst eine Meldung. Wer nur bei Fehlern benachrichtigt wird, kann nicht unterscheiden zwischen einem ruhigen Tag und einer ausgefallenen Überwachung.

Ein solcher Bericht ist in wenigen Minuten lesbar und braucht keine technische Vorbildung. Genau das ist der Punkt: Die Person, die ihn liest, muss beurteilen können, ob 148 Aufträge an diesem Tag plausibel sind. Diese Beurteilung kann kein Werkzeug übernehmen, und sie ist der Grund, warum fachliche Überwachung im Fachbereich verankert gehört und nicht ausschließlich in der IT.

Der häufigste Grund, warum Überwachung im Mittelstand ins Leere läuft, ist nicht fehlende Technik, sondern fehlende Zuständigkeit. Die Meldung geht an eine Sammeladresse, in der alle mitlesen und deshalb niemand handelt, oder an eine Verteilerliste, die vor drei Jahren angelegt wurde und Personen enthält, die den Betrieb längst verlassen haben. Fachlich ist die Störung erkannt worden — betrieblich ist nichts passiert.

Zuständigkeit heißt: eine namentlich benannte Person, eine namentlich benannte Vertretung, eine Frist für die erste Reaktion und eine zweite Stufe, die greift, wenn diese Frist verstreicht. Das ist keine Bürokratie, sondern die einzige Möglichkeit, aus einer Meldung eine Handlung zu machen. Für die meisten Verbindungen in einem mittelständischen Betrieb genügen drei bis vier Stufen, und sie passen auf eine halbe Seite.

Wird die Betreuung extern vergeben, gehört die Eskalationskette in die Vereinbarung: wer meldet, wer reagiert, innerhalb welcher Zeiten und was außerhalb der Geschäftszeiten gilt. Ohne diese Festlegung entsteht die typische Lücke, in der beide Seiten annehmen, die andere kümmere sich. Wie ein solcher Betreuungsrahmen aufgebaut sein kann, beschreiben wir unter IT-Betrieb.

Es gibt einen Zustand, der schlechter ist als keine Überwachung: eine Überwachung, der niemand mehr glaubt. Sie entsteht auf dem gleichen Weg. Anfangs sind die Schwellen zu eng gesetzt, es kommen täglich mehrere Meldungen, von denen die meisten keine Handlung erfordern. Nach zwei Wochen richtet der Empfänger eine Regel ein, die diese Nachrichten in einen Ordner sortiert. Ab diesem Moment ist die Überwachung faktisch abgeschaltet, obwohl in jedem Bericht steht, dass sie aktiv ist.

Gegenmittel gibt es mehrere, und sie kosten wenig. Meldungen zusammenfassen statt einzeln verschicken: eine Nachricht je Verbindung und Vorfall, nicht je fehlgeschlagenem Datensatz. Wiederholungen unterdrücken, solange ein Vorfall offen ist, und stattdessen in festen Abständen erinnern. Bekannte, geplante Zustände stumm schalten, aber nur befristet und mit automatischem Wiedereinschalten — eine dauerhaft stumme Prüfung ist eine gelöschte Prüfung, nur unehrlicher.

Der zweite Prüfstein ist der bewusste Test. Eine Überwachung, die nie ausgelöst hat, ist eine Vermutung. Einmal im Quartal wird eine Prüfung absichtlich zum Auslösen gebracht — Zugangsdaten befristet ungültig setzen, den Dienst kurz anhalten, einen Testdatensatz mit falscher Menge einspielen. Gemessen wird nicht nur, ob eine Meldung kommt, sondern wann sie kommt und bei wem sie ankommt. In der Praxis fällt dabei häufiger die Empfängerliste auf als die Technik (Projekterfahrung).