IT-Monitoring in kleinen Verwaltungen: womit man anfängt
5 Min. Lesezeit
Kleine und mittlere Verwaltungen betreiben mehr IT, als ihnen im Alltag bewusst ist: Server für Fachverfahren, virtuelle Maschinen, Firewall und VPN, Netzwerkinfrastruktur, Telefonanlage, Backup-Systeme, Zeiterfassung, Zutrittskontrolle, Digitalisierungsstraßen. Betreut wird das oft von ein bis drei Personen, die daneben Anwenderbetreuung und Beschaffung machen — und es gibt keine Nachtschicht.
Genau deshalb ist Monitoring hier keine Kür. Wer nicht rund um die Uhr hinschaut, braucht etwas, das an seiner Stelle hinschaut.
Der falsche Anfang
Der häufigste Fehlstart besteht darin, alles zu überwachen, was sich überwachen lässt. Nach zwei Wochen kommen fünfzig Meldungen am Tag, davon achtundvierzig belanglos. Nach vier Wochen werden die Meldungen nicht mehr gelesen. Nach sechs Wochen fällt ein Server aus, die Meldung geht unter, und das Monitoring gilt intern als gescheitert.
Das ist kein Werkzeugproblem, sondern ein Auswahlproblem. Eine Meldung, die keine Handlung auslöst, ist keine Meldung, sondern Rauschen — und Rauschen macht die echten Meldungen unsichtbar.
Die nützliche Leitfrage vor jeder Prüfung lautet deshalb: Was tue ich, wenn diese Meldung um drei Uhr nachts kommt? Gibt es keine Antwort, gehört die Prüfung nicht in die Alarmierung. Vielleicht in einen Bericht, vielleicht in ein Dashboard, aber nicht in die Alarmierung.
Die ersten fünf Prüfungen
Für den Einstieg reichen erstaunlich wenige Prüfungen, wenn es die richtigen sind.
- Erreichbarkeit der zentralen Systeme. Antwortet der Server, läuft der Dienst, ist die Anwendung über den Port erreichbar, den die Nutzer verwenden. Nicht nur der Ping — ein Server kann antworten, während das Fachverfahren steht.
- Freier Speicherplatz. Der volle Datenträger ist nach wie vor die häufigste vermeidbare Störung. Er kündigt sich zudem tagelang an, wenn jemand hinsieht.
- Backup-Erfolg. Nicht ob der Auftrag gestartet ist, sondern ob er erfolgreich beendet wurde und wie alt der jüngste erfolgreiche Lauf ist. Der klassische Fall ist das Backup, das seit fünf Wochen mit Warnungen endet, die niemand liest.
- Zertifikatslaufzeiten. Ein ablaufendes Zertifikat legt an einem Montagmorgen einen Dienst lahm, den alle brauchen. Die Vorwarnzeit sollte großzügig sein, dreißig Tage sind ein guter Wert.
- Ausfall des Monitorings selbst. Ein Überwachungssystem, das schweigt, sieht aus wie ein System, in dem alles in Ordnung ist. Es braucht deshalb eine Gegenprobe, die meldet, wenn keine Daten mehr ankommen.
Schwellenwerte, die zum Betrieb passen
Voreinstellungen sind für Rechenzentren gemacht, nicht für ein Rathaus. Zwei Anpassungen lohnen sich fast immer:
Zeitliche Staffelung. Ein Dienst, der um 3 Uhr nachts eine Minute nicht antwortet, ist während des Backup-Fensters normal. Derselbe Ausfall um 9 Uhr ist eine Störung. Wer das nicht trennt, bekommt entweder nachts unnötige Alarme oder tagsüber zu späte.
Dauer statt Momentaufnahme. Meldungen sollten erst nach mehreren fehlgeschlagenen Prüfungen in Folge ausgelöst werden. Ein einzelner verlorener Antwortpaket-Durchlauf ist kein Ereignis.
Bei Speicherplatz ist der absolute Wert oft aussagekräftiger als der Prozentwert: Zehn Prozent frei sind auf einem kleinen Datenträger unkritisch und auf einem großen ein Alarm, der zu spät kommt. Umgekehrt gilt dasselbe.
Wer wird wann geweckt?
Eine Alarmierung ohne Empfängerregelung ist eine Alarmierung an alle — und damit an niemanden. Nötig sind drei Festlegungen, die auf eine halbe Seite passen:
- Welche Meldungen erreichen jemanden außerhalb der Dienstzeit? In den meisten Verwaltungen ist die ehrliche Antwort: sehr wenige. Das ist in Ordnung, solange es entschieden und nicht zufällig ist.
- Wer ist zuständig, und wer vertritt? Inklusive der Frage, was passiert, wenn niemand reagiert.
- Worüber wird alarmiert? E-Mail erreicht nachts niemanden. Wenn nachts reagiert werden soll, braucht es einen Kanal, der weckt — und dann auch nur für die Meldungen, bei denen das gerechtfertigt ist.
Was Monitoring nebenbei liefert
Der Nutzen, der in Projekten selten eingeplant und später am meisten geschätzt wird, ist die Historie. Sobald Messwerte über Monate vorliegen, lassen sich Fragen beantworten, die vorher Ansichtssache waren:
- Wächst der Speicherbedarf so, dass die Beschaffung im nächsten Haushalt eingeplant werden muss?
- War die Störung im letzten Quartal ein Einzelfall oder das dritte Mal?
- Hält der Dienstleister die vereinbarte Verfügbarkeit ein?
Zur Dokumentationspflicht
Wer sich an den BSI-Grundschutz anlehnt, findet dort die Erwartung, den Betrieb nachvollziehbar zu überwachen und Störungen zu erfassen. Das ist weniger dramatisch, als es klingt: Ein Monitoring, das Prüfungen, Ergebnisse und Störungen protokolliert, erfüllt den Kern dieser Erwartung von selbst — es entsteht ohnehin eine lückenlose Aufzeichnung.
Wichtig ist nur, dass die Aufzeichnungen erhalten bleiben und auswertbar sind. Ein System, das Messwerte nach sieben Tagen verwirft, hilft im Betrieb, aber nicht beim Nachweis.
Häufige Fragen
Brauchen wir dafür zusätzliches Personal? Für den Betrieb nein, für die Einrichtung ein paar Tage. Der laufende Aufwand liegt vor allem darin, Meldungen zu bearbeiten — und der ist kleiner als der Aufwand für ungeplante Ausfälle.
Wie viele Meldungen pro Tag sind normal? An einem ruhigen Tag null. Wer regelmäßig mehrere Meldungen täglich bekommt, überwacht zu viel oder hat die Schwellenwerte zu eng gesetzt.
Sollen wir auch Arbeitsplatzrechner überwachen? Für den Anfang nicht. Der Nutzen ist gering, die Zahl der Meldungen hoch. Sinnvoll wird es bei Geräten mit besonderer Funktion — Digitalisierungsstraße, Kassenarbeitsplatz, Terminal.
Was ist mit Systemen beim Dienstleister? Die Erreichbarkeit aus Ihrer Sicht können und sollten Sie selbst messen. Genau diese Sicht fehlt sonst im Störungsfall, und sie ist die einzige, die für Ihre Nutzer zählt.