Um 03:14 kommt die Meldung: Seite nicht erreichbar. Was in den nächsten dreißig Minuten passiert, entscheidet darüber, ob daraus zwanzig Minuten Ausfall werden oder vier Stunden. Der Unterschied liegt selten am Können, sondern daran, ob es einen festgelegten Ablauf gibt oder ob improvisiert wird.
Ein Ablauf für Störungen legt drei Dinge vorher fest: in welcher Reihenfolge geprüft wird, ab wann auf die Sicherung zurückgegriffen wird, und wer wann informiert wird. Diese drei Punkte gehören aufgeschrieben, solange nichts brennt, denn um 03:14 denkt niemand strukturiert.
Die Prüfreihenfolge
Von außen nach innen, weil die häufigsten Ursachen außen liegen und am schnellsten zu prüfen sind.
- Ist es wirklich aus? (1 Minute) Aufruf von einem anderen Netz, etwa über das Mobilfunknetz. Überraschend oft ist die Seite erreichbar und das Problem liegt beim Meldeweg oder im eigenen Netz.
- Namensauflösung und Zertifikat (2 Minuten) Löst der Name noch auf? Ist das Zertifikat gültig? Ein abgelaufenes Zertifikat sieht für Besucher aus wie ein Ausfall und ist eine völlig andere Ursache.
- Läuft die Maschine? (2 Minuten) Antwortet der Server überhaupt? Wenn nicht, geht es um Infrastruktur, und die Prüfung wandert zum Anbieter.
- Plattenplatz und Arbeitsspeicher (3 Minuten) Die häufigste Einzelursache bei Servern, die vorher liefen. Eine volle Platte legt Datenbanken still, und die Fehlermeldung sieht danach völlig anders aus, als das Problem ist.
- Laufen die Dienste? (5 Minuten) Webserver, Anwendung, Datenbank, Zwischenspeicher, einzeln geprüft. Hier zeigt sich meist, welcher Baustein fehlt.
- Protokolle der letzten Stunde (10 Minuten) Erst jetzt, denn davor ging es um schnelle Wiederherstellung, nicht um Ursachenforschung.
Die Reihenfolge ist bewusst so gewählt, dass die billigsten Prüfungen zuerst kommen. Wer bei Schritt sechs anfängt, verliert zwanzig Minuten mit dem Lesen von Protokollen, während die Platte voll ist.
Der Entscheidungspunkt
Nach etwa fünfzehn Minuten fällt eine Entscheidung, und die sollte vorher festgelegt sein: weiter suchen oder auf den letzten funktionierenden Stand zurückgehen?
Eine brauchbare Regel: Wenn die Ursache nach fünfzehn Minuten nicht eingegrenzt ist und ein geprüfter Stand von heute Nacht vorliegt, wird zurückgegangen. Die Ursachensuche findet danach statt, in Ruhe, mit einer laufenden Seite im Rücken.
Der häufigste Fehler ist der umgekehrte: weitersuchen, weil man kurz vor der Lösung zu sein glaubt. Dieses Gefühl hält sich stundenlang, und der Kunde ist die ganze Zeit offline.
Was der Kunde wann erfährt
Kommunikation ist kein Beiwerk, sondern der Teil, an den sich der Kunde später erinnert.
| Zeitpunkt | Inhalt |
|---|---|
| Innerhalb von 15 Minuten | Wir wissen davon und arbeiten daran. Ohne Ursache, ohne Prognose. |
| Nach 30 bis 60 Minuten | Was wir wissen, was wir tun, wann die nächste Meldung kommt. |
| Nach Behebung | Seite läuft wieder, seit wann, was betroffen war. |
| Innerhalb von zwei Werktagen | Was die Ursache war und was dagegen unternommen wurde. |
Die erste Meldung ist die wichtigste, und sie ist am einfachsten. Sie muss keine Antwort enthalten, sie muss nur sagen, dass jemand wach ist. Ein Kunde, der als Erster anruft und dann eine Stunde nichts hört, verliert das Vertrauen unabhängig davon, wie schnell die Seite danach wieder läuft.
Was vorher da sein muss
Der Ablauf funktioniert nur, wenn diese Dinge vorbereitet sind:
- Zugänge griffbereit, und zwar nicht in einem System, das auf demselben Server liegt. Wer nachts erst Passwörter sucht, verliert die ersten zehn Minuten.
- Eine geprüfte Sicherung. Der Rückgriff ist nur eine Option, wenn feststeht, dass sich die Sicherung einspielen lässt.
- Ein zweiter Meldeweg. Wenn die Überwachung auf demselben Server läuft wie die Anwendung, meldet sie bei einem Totalausfall gar nichts.
- Eine Vertretungsregelung. Wer übernimmt, wenn die erste Person nicht erreichbar ist? Das gehört geklärt, bevor es nötig wird.
Was realistisch zugesagt werden kann
Vorsicht bei Zusagen zur Verfügbarkeit. Ein Prozentwert von 99,9 klingt gut und erlaubt rechnerisch rund achteinhalb Stunden Ausfall im Jahr. Die praktisch wichtigere Zusage ist eine andere: Innerhalb welcher Zeit reagiert jemand, und innerhalb welcher Zeit gibt es eine Rückmeldung?
Ein Betrieb ohne Bereitschaft sollte das offen sagen. „Reaktion an Werktagen innerhalb von vier Stunden“ ist eine ehrliche Zusage. „Rund um die Uhr“ ist es nur, wenn es tatsächlich jemanden gibt, der nachts aufsteht.
Wie wir das handhaben
Wir arbeiten die Prüfreihenfolge von oben ab und gehen nach fünfzehn Minuten ohne eingegrenzte Ursache auf den letzten geprüften Stand zurück. Die erste Rückmeldung geht raus, bevor die Ursache bekannt ist. Was sonst zum Betrieb gehört, steht unter Managed Hosting und laufender Betrieb.
Was ist bei einem Website-Ausfall zuerst zu prüfen?
Von außen nach innen: Erreichbarkeit aus einem anderen Netz, Namensauflösung und Zertifikat, dann ob die Maschine antwortet, danach Plattenplatz und Arbeitsspeicher, dann die einzelnen Dienste. Protokolle kommen zuletzt.
Wann sollte man auf ein Backup zurückgehen?
Als Faustregel dann, wenn die Ursache nach etwa fünfzehn Minuten nicht eingegrenzt ist und ein geprüfter Stand vorliegt. Die Ursachensuche findet danach statt, mit einer laufenden Seite im Rücken.
Wie schnell sollte der Kunde informiert werden?
Innerhalb von etwa fünfzehn Minuten, und zwar bevor die Ursache bekannt ist. Diese erste Meldung muss keine Antwort enthalten, sie muss nur zeigen, dass jemand bereits daran arbeitet.
Was bedeutet eine Verfügbarkeit von 99,9 Prozent?
Rechnerisch rund achteinhalb Stunden Ausfall im Jahr. Praktisch aussagekräftiger sind Zusagen zur Reaktionszeit und zur Rückmeldung, weil sie beschreiben, was im Störungsfall tatsächlich passiert.
Passend dazu
