Überwachung, die nicht nervt
Dreißig Meldungen am Tag und keine einzige gelesen — so sah meine Überwachung nach zwei Wochen aus. Hier steht, welche zwei Fälle das geändert haben, wie ich Messung und Meldung voneinander getrennt habe und warum am Ende weniger Meldungen mehr Sicherheit bedeuten.
Mein erster Versuch mit Überwachung war ein Erfolg auf dem Papier: Alles, was mir wichtig war, meldete sich. Nach zwei Wochen habe ich die Meldungen nicht mehr gelesen. Genau dort hört Überwachung auf zu arbeiten — nicht wenn ein Wert fehlt, sondern wenn zu viele Werte rufen. Seither baue ich es anders herum.
Der erste Alarm war der Anfang vom Problem
Angefangen habe ich wie viele: ein Dienst nach dem anderen ins Blickfeld, jeder mit seiner eigenen Grenze. Das Netzwerk gerät aus dem Tritt — Meldung. Ein Gerät antwortet nicht — Meldung. Der Speicher wächst — Meldung. Es hat funktioniert. Erst kamen zwanzig Meldungen am Tag, dann dreißig, und irgendwann habe ich sie nur noch durchgewischt, ohne eine einzige zu lesen.
Das ist kein Charakterfehler, sondern eine Rechnung. Wer täglich dreißig Meldungen bekommt und davon achtundzwanzig folgenlos sind, lernt in zwei Wochen, dass Meldungen folgenlos sind. Der Blick wird schneller, die Aufmerksamkeit kürzer — und die zwei echten Fälle gehen in derselben Bewegung unter.
Die Nacht, in der niemand etwas merkte
Ein Fall, den ich nicht vergesse. Ein Dienst ist kurz nach drei Uhr morgens ausgefallen, und die Meldung kam sauber und pünktlich. Nur lag sie in einem Postfach, das ich nachts nicht öffne, und der zweite Weg, auf dem sie zusätzlich landen sollte, war seit Monaten stumm gestellt, weil er zu laut war. Als ich um halb acht vor dem Rechner saß, stand sie zwischen sechs anderen, die ich mit einem Wisch erledigt habe. Gefunden habe ich den Ausfall erst, als jemand fragte, warum etwas nicht ging.
Der Ausfall selbst war nicht das Problem. Er dauerte ein paar Minuten, und die Wiederherstellung war eine Handbewegung. Das Problem war, dass ich eine Meldung gebaut hatte, die im entscheidenden Moment niemanden erreicht — und dass so ein Muster monatelang unbemerkt bleiben kann.
Der zweite Fall: der Wert, der nie auffiel
Anders, aber genauso lehrreich: Ein Wert war monatelang unauffällig. Ich hatte eine Grenze gesetzt, die deutlich über dem lag, was normal war — großzügig gedacht, damit es nicht ständig piept. Damit lag sie aber so hoch, dass sie erst greift, wenn es zu spät ist. Der Wert stieg langsam, Woche für Woche, immer unterhalb dieser Grenze. Als sie endlich riss, war das Problem nicht mehr klein: Der Speicher war voll, und ich musste in Ruhe aufräumen, statt einer Kleinigkeit nachzugehen.
Beide Fälle haben dieselbe Wurzel. Ich hatte mir die Frage gestellt, wie ich einen Fehler bemerke — und nicht, wer im Ernstfall etwas tun kann und wann ich es überhaupt wissen will.
Was ich überwache — und was nicht
Die Umstellung war vor allem eine Entscheidung darüber, was nicht überwacht wird. Heute steht nur im Blickfeld, was wirkliche Folgen hat: ob Dienste antworten, ob der Speicher knapp wird, ob fremde Geräte im Netz auftauchen, ob die Sicherungen gelaufen sind. Alles andere darf ein Diagramm sein, aber keine Meldung.
- Eine Meldung muss einen Grund haben, jetzt zu kommen — nicht irgendwann.
- Sie muss sagen, was zu tun ist; sonst ist sie eine Frage, kein Hinweis.
- Was niemand nachts lesen würde, meldet sich auch nachts nicht.
- Ein Wert, der nur langsam wächst, braucht keine Grenze, sondern einen Verlauf mit Blick nach vorn.
Die Messwerte kommen weiter von allen Seiten: AdGuard Home für die Namensauflösung, Authelia für die Anmeldungen, NetAlertX für die Geräte im Netz, Proxmox VE für die Maschinen, TrueNAS für den Speicher, dazu Home Assistant und ein paar Shelly-Steckdosen. Bewertet wird das nicht an sechs Stellen, sondern an einer.
Der Filter sitzt zwischen Messung und Nachricht
Zwischen die Messung und die Nachricht gehört eine Stufe, die zusammenfasst. Sie kennt die letzten Tage, ordnet ein, ob etwas neu ist, und schweigt, wenn nichts Neues passiert ist. Dasselbe Wissen prüft, ob wirklich ein Muster vorliegt: Ein einzelner Aussetzer ist kein Ausfall, und wer fünf Minuten später wieder da ist, war auch keiner. Erst was bleibt, wird eine Meldung.
Wichtig ist, dass diese Stufe nichts verschwinden lässt. Aufgeschrieben wird weiter alles; sie entscheidet nur, was geweckt wird. Wird eine Kleinigkeit später doch wichtig, kann ich nachsehen — ich habe den Verlauf, nicht nur den letzten Alarm.
Der zweite Teil ist die Zustellung. Es gibt genau einen Weg, der nachts wirklich gelesen wird, und der ist reserviert für Fälle, in denen jemand handeln muss. Alles andere kommt mit dem Bericht am Morgen: gesammelt, mit Zeit und Häufigkeit, an einer Stelle. Seit diese Trennung steht, ist der Bericht wieder nützlich, weil in ihm nur steht, was tatsächlich passiert ist.
Zwei Regeln, die sich bewährt haben
Die erste Regel: Jede Meldung muss sich abschalten lassen, ohne dass etwas verloren geht. Gelingt das nicht, ist die Meldung falsch geschnitten. Die zweite: Wer eine Meldung einbaut, sorgt für den Gegenfall — einen Test, der sie wirklich einmal ausgelöst hat. Eine Meldung, die nie ausgelöst hat, ist eine Vermutung.
Was besser geworden ist
Der Unterschied ist nicht, dass weniger passiert. Es passiert ungefähr dasselbe. Der Unterschied ist, dass ich wieder lese, was kommt, und dass ein Wert, der langsam wächst, rechtzeitig auffällt. Wenn nachts etwas kommt, war in den letzten Monaten jedes Mal wirklich etwas.
Was ich daraus mitnehme
Überwachung ist kein Blickfeld, das alles abdeckt, sondern eine Vereinbarung mit mir selbst: wenige Meldungen, jede mit einem Grund, jede mit einem nächsten Schritt — und ein ruhiger Bericht für alles, was dazwischen liegt. Wer alles meldet, meldet am Ende nichts.