◍Betrieb und Sicherungen

Die Innensicht auf Ihr System: Datenbank, Hintergrunddienst, Plattenplatz, Alter der letzten Sicherung — mit Klartext-Deutung statt nackter Zahlen.

Die Ampeln heißen „in Ordnung“, „beachten“, „handeln“; das Banner oben fasst zusammen. Die Seite prüft sich alle sechzig Sekunden selbst, „Neu prüfen“ geht jederzeit.

Auf der Übersicht ist das zur Kachel „Betrieb“ zusammengefasst — sieben Prüfungen, ein Punkt.

Vergrößern

Nein, und das ist ein wichtiger Vorbehalt. Diese Seite prüft von innen. Ob die Instanz von außen erreichbar ist, kann sie prinzipiell nicht sagen.

Der Grund ist einfach: Eine Statusseite, die nur läuft, solange das System läuft, meldet den Totalausfall nie. Für die Erreichbarkeit von außen gehört ein zweiter Beobachter dazu, der nicht auf demselben Server steht.

Wenn Nutzer melden, dass nichts geht, und die Statusseite grün ist, kann beides gleichzeitig stimmen.

Das Alter der letzten Sicherung ist eine der sieben Prüfungen im Betriebszustand. Springt sie auf „beachten“ oder „handeln“, ist die letzte Sicherung zu alt.

Nehmen Sie das ernst, auch wenn sonst alles läuft: Eine fehlende Sicherung fällt erst in dem Moment auf, in dem man sie braucht. Und eine Sicherung, die nie zurückgespielt wurde, ist eine Vermutung — der Rückspieltest gehört dazu.

Die Datenbank, die Umgebungsdateien und alle hochgeladenen Dateien — Anhänge, Kandidatendokumente, Onepager-Bilder.

Wie lange die Sicherungen aufbewahrt werden und wann sie laufen, hängt an Ihrem Betriebsvertrag; auf einer betreuten Instanz läuft die Sicherung nächtlich.

Was nicht gesichert wird, ist alles, was nur im Browser liegt — etwa ein halb geschriebener Text, der noch nicht gespeichert wurde.

Oft ja — aber nicht durch Sie allein, und die Zeit spielt gegen Sie.

Melden Sie es so früh wie möglich und so genau wie möglich: Was fehlt, seit wann, und wann es zuletzt sicher da war. Aus diesen drei Angaben ergibt sich, welche Sicherung eingespielt werden muss.

Arbeiten Sie in der Zwischenzeit möglichst nicht weiter im betroffenen Bereich: Eine Wiederherstellung setzt den Stand auf einen früheren Zeitpunkt zurück, und alles, was danach entstanden ist, muss von Hand gerettet werden.

Aus Ihren Stammdaten unter Rechtliches. Aurora erzeugt daraus Impressum, Datenschutzerklärung, den Auftragsverarbeitungsvertrag und die Anlage über die technischen Maßnahmen.

Zwei Eigenschaften sind dabei wichtiger als die Bequemlichkeit:

• Was Sie offen lassen, bleibt sichtbar leer — erfunden wird nichts. Erfundene Firmendaten in einem Impressum fallen niemandem auf, bis es zu spät ist.
• Die Liste der eingesetzten Dienste ist aus der tatsächlichen Konfiguration dieser Instanz abgeleitet, nicht aus einer festen Vorlage. Was dort steht, ist auch wirklich eingeschaltet.

Nein. Es sind Entwürfe, keine Rechtsberatung. Lassen Sie sie vor dem ersten Kundenvertrag prüfen — den Auftragsverarbeitungsvertrag zuerst: Danach fragt der Datenschutzbeauftragte Ihres Kunden im ersten Gespräch, und er hat die längste Vorlaufzeit.

Der Nutzen liegt nicht darin, den Anwalt zu ersetzen, sondern darin, ihm eine vollständige, auf Ihre tatsächliche Konfiguration passende Fassung vorzulegen statt einer Vorlage aus dem Netz.

Pflicht sind:

• Firmierung — genau wie im Handelsregister, samt Rechtsform.
• Anschrift — ladungsfähig. Ein Postfach genügt dem § 5 DDG nicht.
• Vertretungsberechtigt — wer das Unternehmen nach außen vertritt.
• E-Mail — muss im Impressum stehen und erreichbar sein.

Dazu kommen, soweit zutreffend: Register und Nummer, die Umsatzsteuer-Identifikationsnummer (nur die USt-IdNr. nach § 27a UStG, nicht die Steuernummer) und die datenschutzbeauftragte Person — Pflicht ab 20 Personen, die ständig personenbezogene Daten verarbeiten.

Vergrößern

Sie zeigt den Stand der Umgebungen, der Sicherungen und die Übernahme von Änderungen — nur für Administratoren. Aktionen laufen direkt auf dem Server; die Ausgabe läuft dabei sichtbar mit.

Der Weg zur Auslieferung ist fest: Commit und Push, dann Übernahme in die Testumgebung, erst danach auf Live. Jede Auslieferung macht vorher eine Sicherung, prüft die Gesundheit und rollt bei Fehlern selbst zurück.

Zwei Gruppen, und beide sind gekennzeichnet:

• Rote Knöpfe wollen zwei Klicks. Gefährliche Aktionen fragen mit „Sicher? Nochmal klicken“ nach. Das ist kein Fehler, das ist die letzte Ausfahrt.
• Die Übernahme echter Daten überschreibt. „Live → DEV“ und „Live → ABNA“ kopieren echte Daten in die jeweilige Umgebung — und überschreiben dort alles. Was dort an Testständen lag, ist danach weg.

Während eine Aktion läuft, sind alle Knöpfe gesperrt. Warten Sie das ab, statt neu zu laden.

Die Instanz zeigt statt der Anwendung eine Wartungsseite. Das ist der richtige Zustand für eine Auslieferung, bei der Nutzer sonst auf halb aktualisierte Stände treffen würden.

Ein Hinweis aus der Praxis, der Zeit spart: Nach dem Ende der Wartung kann es vorkommen, dass ein Browser die Wartungsseite noch im Zwischenspeicher hat und sich dann mit seltsamen Fehlern meldet. Ein hartes Neuladen mit Strg+Umschalt+R räumt das auf.

Drei Stellen, an denen üblicherweise der Platz liegt:

1. Anhänge aus verbundenen Postfächern. Ein Postfach mit gespeicherten Anhängen kann leicht mehrere Gigabyte belegen — der Haken lässt sich abschalten.
2. Hochgeladene Dateien bei Kandidaten und Anhängen. Archiviertes und endgültig Überflüssiges aufräumen.
3. Sicherungen, wenn sie auf derselben Platte liegen. Das gehört dem Betreiber, nicht Ihnen.

Warten Sie damit nicht, bis die Ampel auf „handeln“ steht: Eine volle Platte legt nicht nur eine Funktion lahm.

Prüfen Sie zuerst die Wirkung, nicht die Anzeige: Laufen Kampagnen? Kommen Antworten an? Wenn ja, ist es kosmetisch.

Es gibt einen bekannten Fall dieser Art: Ist der Posteingang für eine Instanz abgeschaltet, meldet sich der zugehörige Dienst nicht, und wird deshalb als ungesund geführt, obwohl er nichts zu tun hat und nichts fehlt.

Bleiben dagegen Kampagnen stehen und der Balken bewegt sich über Stunden nicht, ist es echt und ein Fall für den Betreiber.

Selbst: alles rund um das eigene Postfach (Kennwort, Erlaubnis), Filter und Ansichten, hängende Browserzustände, Kampagnen anhalten und fortsetzen.

Melden: alles, was den Betriebszustand betrifft — Plattenplatz, Sicherungen, Hintergrunddienste —, sowie jeden Fehler, der reproduzierbar auftritt.

Der Grenzfall ist die Zustellbarkeit: Die DNS-Einträge setzt Ihr Domainanbieter, nicht der Betreiber der Instanz. Aurora sagt Ihnen nur, was fehlt.

Sehen können Sie das Alter der letzten Sicherung im Betriebszustand. Ob sie sich zurückspielen lässt, sieht man daran nicht — dafür braucht es einen Rückspieltest, und der gehört zum Betrieb Ihrer Instanz.

Fragen Sie danach. Eine Sicherung, die nie zurückgespielt wurde, ist eine Vermutung — und die Frage, wann zuletzt getestet wurde, ist eine faire und übliche.

• Entwicklung — hier wird gebaut. Daten sind Testdaten.
• Abnahme — hier wird geprüft, bevor etwas produktiv geht.
• Produktiv — Ihr echtes System.

Sie sehen gleich aus und haben getrennte Datenbestände und getrennte Zugänge. Deshalb sagt die Adresszeile mehr als der Bildschirminhalt.

Der Weg geht immer in eine Richtung: Commit und Push, dann Abnahme, erst danach Produktiv. Und Datenübernahmen laufen umgekehrt — von Produktiv nach unten, wobei sie das Ziel vollständig überschreiben.