Blinde Flecken im Monitoring: Was fast nie überwacht wird

Über Monitoring wird meist dann gesprochen, wenn es zu laut ist. Der teurere Fehler ist der leise: Komponenten, die niemand überwacht, melden sich auch dann nicht, wenn sie ausfallen. Eine Sammlung der Lücken, die in gewachsenen Umgebungen immer wieder offen stehen, unabhängig vom eingesetzten Werkzeug.

Warum Lücken schwerer zu finden sind als Fehlalarme

Ein falsch gesetzter Schwellwert meldet sich jeden Tag. Irgendwann ist er jemandem lästig genug, dass er korrigiert wird. Eine nicht überwachte Komponente meldet sich nie. Sie steht im Dashboard nicht als rote Kachel, sondern gar nicht.

Dazu kommt, wie Monitoring in der Praxis entsteht: entlang von Vorfällen. Was einmal wehgetan hat, wird danach überwacht. Das ist vernünftig, hat aber eine Schlagseite. Die Umgebung ist gut abgedeckt gegen Probleme, die es schon gab und blind gegenüber allem, was bisher gut gegangen ist.

Der häufigste Hinweis auf eine Lücke ist deshalb kein Alarm, sondern ein Satz aus dem Fachbereich: „Bei uns geht seit gestern nichts mehr." Wenn der Anwender schneller ist als das Monitoring, war die Komponente nicht überwacht.

7 Lücken, die immer wieder offen stehen

1. Zertifikatslaufzeiten jenseits der Webseite

Das öffentliche Zertifikat der Firmenwebseite ist meist überwacht oder erneuert sich automatisch. Abgelaufen sind in der Praxis andere: das Zertifikat des internen Portals, das eines Applikationsservers, das der VPN-Einwahl, das Signaturzertifikat einer selbst verteilten Anwendung. Diese Ausfälle sind besonders ärgerlich, weil sie exakt vorhersagbar sind. Das Ablaufdatum steht von Anfang an fest.

2. Backup-Ergebnisse statt Backup-Jobs

Überwacht wird üblicherweise, ob der Sicherungslauf durchgelaufen ist. Das ist die schwächste verfügbare Aussage. Sie deckt nicht ab, ob alle gewünschten Quellen enthalten waren, ob eine neue virtuelle Maschine überhaupt in den Auftrag aufgenommen wurde, ob das Ziel noch Platz hat und ob sich aus der Sicherung etwas zurückspielen lässt.

Belastbarer sind Ergebniswerte: Alter der jüngsten brauchbaren Sicherung je System, Datenmenge im Vergleich zu den Vorwochen und ein regelmäßiger Rückspiel-Test. Eine Sicherung, die nie zurückgespielt wurde, ist eine Annahme.

3. Geplante Jobs, die einfach nicht mehr laufen

Nächtliche Auswertungen, Importe, Bereinigungen, Schnittstellenläufe: Bricht so ein Job ab, gibt es oft eine Fehlermeldung. Läuft er gar nicht mehr an, weil der Dienst gestoppt ist oder das Kennwort des ausführenden Kontos abgelaufen ist, passiert nichts. Kein Fehler, keine Meldung, nur ein Ergebnis, das ausbleibt.

Die Gegenmaßnahme ist unspektakulär: nicht den Job überwachen, sondern sein Resultat. Ist die erwartete Datei da, ist sie von heute und hat sie eine plausible Größe.

4. Schnittstellen zwischen grünen Systemen

Beide Seiten laufen, beide Server sind erreichbar, beide Dienste antworten. Trotzdem fließt zwischen ihnen seit Stunden nichts. Warteschlangen, Übertragungsverzeichnisse und Importtabellen sind in vielen Umgebungen der größte unbewachte Bereich, obwohl genau dort das Geschäft durchläuft.

Brauchbare Messgrößen sind das Alter des jüngsten verarbeiteten Datensatzes, die Länge der Warteschlange und die Zahl der Sätze mit Fehlerstatus. Alle 3 sagen mehr über den Betrieb aus als die Verfügbarkeit der beteiligten Server.

5. Fremdleistungen, von denen der Betrieb abhängt

Identitätsdienst, Mailversand, Zahlungsdienstleister, DNS, Zeitquelle: Systeme, die nicht im eigenen Haus stehen, fallen aus dem Monitoring heraus, weil man sie nicht betreibt. Abhängig ist man trotzdem. Die Statusseite des Anbieters ist dafür kein Ersatz, denn sie zeigt seine Sicht mit seiner Verzögerung.

Sinnvoller ist der eigene Nutzungspfad: eine Testanmeldung, eine Testmail, ein lesender Aufruf der Schnittstelle. Gemessen wird, was Sie tatsächlich brauchen.

6. Strom, Kühlung und Akkus

Die unterbrechungsfreie Stromversorgung ist der klassische Fall: Sie steht seit Jahren im Raum, der Akku altert unbemerkt und beim eigentlichen Ereignis trägt sie 2 Minuten statt 20. Dasselbe gilt für Temperatur und Luftfeuchte im Technikraum sowie für Redundanzen, die nie geprüft werden. Ein zweites Netzteil, dessen Ausfall niemand meldet, ist keine Redundanz, sondern ein gutes Gefühl.

7. Das Monitoring selbst

Der unangenehmste blinde Fleck. Ein ausgefallenes Monitoring-System sieht von außen genauso aus wie eine ruhige Nacht: keine Meldungen. Dazu gehört die gesamte Benachrichtigungskette, also auch der Mailversand, der Empfänger-Verteiler, der ausgeschiedene Kollege in der Rufliste und der Vertrag, der die Wartung abdeckt.

Nötig ist ein Lebenszeichen von außerhalb des Systems und ein periodischer Test der Kette bis zum Telefon. Welcher Kanal nachts überhaupt zuverlässig weckt, ist eine eigene Frage — die steht in PRTG Alarmierung: Welcher Kanal um 3 Uhr morgens wirklich klingelt.

Das Muster hinter allen 7

Monitoring wird üblicherweise entlang der Technik aufgebaut: Server, Dienste, Schnittstellen, Datenträger. Der Betrieb hängt aber an Ergebnissen: Die Rechnung ist raus, die Bestellung ist angekommen, die Sicherung ist brauchbar, die Anmeldung funktioniert.

Zwischen beiden Ebenen liegt die Lücke. Alle Komponenten können einzeln verfügbar sein, während das Ergebnis ausbleibt. Deshalb führt die Frage „Welche Systeme haben wir?" fast zwangsläufig zu einer unvollständigen Abdeckung. Die bessere Frage lautet: Welches Ergebnis muss morgen früh vorliegen und woran würde ich merken, dass es fehlt?

3 Fragen, mit denen Sie Ihre eigenen Lücken finden

• Wer hat die letzten 3 Störungen gemeldet? Gehen Sie die letzten Vorfälle durch und notieren Sie je Fall, ob das Monitoring zuerst da war oder ein Anwender. Jeder Fall aus der zweiten Kategorie zeigt direkt auf eine Lücke.
• Was würde 4 Wochen lang niemandem auffallen? Diese Frage findet zuverlässig die stillen Kandidaten: der Import, den nur die Monatsauswertung braucht, das Protokollverzeichnis, das langsam vollläuft, die zweite Stromversorgung.
• Welche grüne Anzeige glauben wir ungeprüft? Meist ist es die Sicherung. Manchmal die Replikation. Fast immer ist es eine Anzeige, die bestätigt, dass ein Vorgang gestartet wurde und nicht, dass er funktioniert hat.

Wer die 3 Fragen mit dem Team durchgeht, hat nach einer Stunde eine Liste. Die ist selten kurz, aber sie ist konkret.

Zu viel, zu laut, zu wenig

Die 3 typischen Zustände einer gewachsenen Monitoring-Umgebung treten meist gemeinsam auf. Sie brauchen aber unterschiedliche Antworten:

Die Reihenfolge ist keine Rangfolge. In der Praxis lohnt es sich trotzdem, mit den Lücken anzufangen: Aufräumen verbessert den Betrieb, eine geschlossene Lücke verhindert einen Ausfall.

Häufige Fragen

Warum fallen blinde Flecken im Monitoring so spät auf?

Weil ein fehlender Sensor keinen Alarm erzeugt. Ein falsch konfigurierter Schwellwert meldet sich täglich, eine nicht überwachte Komponente meldet sich nie. Die Lücke fällt erst auf, wenn der Schaden schon eingetreten ist und jemand rückwirkend fragt, warum das Monitoring grün war.

Reicht es nicht, wenn der Backup-Job als erfolgreich gemeldet wird?

Nein. Ein grüner Job sagt, dass die Software durchgelaufen ist. Er sagt nichts darüber, ob alle gewünschten Quellen enthalten waren, ob das Sicherungsziel noch Platz hat und ob sich daraus etwas zurückspielen lässt. Überwachen Sie das Ergebnis: Alter der jüngsten Sicherung, Größe im Vergleich zur Vorwoche und regelmäßige Rückspiel-Tests.

Wie überwacht man Dienste, die man selbst nicht betreibt?

Nicht über die Statusseite des Anbieters, sondern über den eigenen Nutzungspfad. Prüfen Sie regelmäßig genau die Funktion, von der Sie abhängen: eine Testanmeldung am Identitätsdienst, eine Testmail über den Versanddienstleister, einen lesenden Aufruf der Schnittstelle. Der Anbieter meldet Störungen aus seiner Sicht, nicht aus Ihrer.

Wer überwacht eigentlich das Monitoring-System?

In vielen Umgebungen niemand. Ein ausgefallener Monitoring-Server sieht von außen genauso aus wie eine störungsfreie Nacht. Es braucht deshalb ein einfaches Lebenszeichen von außerhalb des Systems, etwa eine erwartete Meldung, deren Ausbleiben auffällt, plus einen periodischen Test der kompletten Benachrichtigungskette bis zum Telefon.

Der ehrliche Schluss

Keine dieser Lücken ist technisch anspruchsvoll. Zertifikatsprüfungen, Dateialter und Warteschlangenlängen kann jedes gängige Werkzeug, ob PRTG, Zabbix oder Checkmk. Der Grund, warum sie trotzdem fehlen, ist ein anderer: Niemand hat je gefragt, was passieren müsste, damit es keiner merkt.

Diese Frage kostet eine Stunde und ist der wirksamste Monitoring-Termin, den ein Team im Jahr haben kann.