Störungen erkennen, bevor der Betrieb steht

Monitoring ist keine Frage der Menge, sondern der Auswahl. Wer alles misst, erzeugt eine Datenflut, in der die entscheidenden drei Meldungen untergehen. Wir beginnen deshalb mit der Frage, welche Systeme Ihren Betrieb tatsächlich tragen: die Warenwirtschaft, der Dateiserver, die Internetanbindung, der Mailfluss, die Fachanwendung, ohne die niemand arbeiten kann.

Um diese Kernsysteme herum bauen wir die Überwachung auf. Auf Infrastrukturebene erfassen wir Verfügbarkeit, Auslastung von Prozessor, Arbeitsspeicher und Datenträgern, Temperaturen und Zustandswerte der Hardware. Auf Dienstebene prüfen wir, ob die Anwendung tatsächlich antwortet – ein laufender Prozess ist noch kein funktionierender Dienst.

Ergänzend überwachen wir sicherheitsrelevante Zustände: Patchstände, Ablauf von Zertifikaten, Status des Virenschutzes, fehlgeschlagene Anmeldeversuche in ungewöhnlicher Häufung.

Auf Servern und Arbeitsplätzen installieren wir schlanke Monitoring-Agents. Sie melden Zustandswerte in kurzen Intervallen an unser zentrales System und erlauben zusätzlich die Ausführung definierter Prüfroutinen – etwa die Kontrolle, ob ein bestimmter Dienst läuft oder ob ein Verzeichnis eine erwartete Datei enthält.

Nicht jedes Gerät lässt sich mit einem Agent versehen. Firewalls, Switches, Speichersysteme, Drucker und unterbrechungsfreie Stromversorgungen überwachen wir deshalb agentenlos über SNMP, über die Auswertung ihrer Protokolle oder über gezielte Netzwerkprüfungen von außen.

Beide Wege laufen in derselben zentralen Oberfläche zusammen. Das ist entscheidend, weil sich Störungsursachen oft erst im Zusammenhang erkennen lassen: Wenn gleichzeitig der Dateizugriff langsam wird, die Latenz im Netz steigt und ein Switchport Fehler zählt, ist die Ursache schnell eingegrenzt.

Der schwierigste Teil eines Monitorings ist nicht die Technik, sondern die Kalibrierung. Ein Alarm bei 80 Prozent Datenträgerbelegung ist auf einem stabilen Dateiserver sinnvoll, auf einem Backup-Ziel dagegen völlig normal und damit reine Störung. Wir stimmen Schwellwerte deshalb an der realen Auslastung der jeweiligen Systeme ab und schärfen sie in den ersten Betriebswochen nach.

Jede Meldung erhält eine Einstufung. Informative Ereignisse landen im Bericht, Warnungen werden im nächsten Arbeitstag bearbeitet, kritische Alarme lösen sofortige Benachrichtigung aus. Für kritische Meldungen außerhalb der Geschäftszeiten greift eine Rufbereitschaft mit definierter Eskalationskette: Reagiert die erste Stufe nicht innerhalb der festgelegten Frist, wird automatisch die nächste alarmiert.

Ebenso wichtig ist die Unterdrückung von Folgemeldungen. Fällt eine Internetanbindung aus, sollen nicht vierzig Einzelalarme über nicht erreichbare Geräte auflaufen, sondern eine Meldung mit dem tatsächlichen Auslöser.

Ein grüner Haken im Sicherungsbericht bedeutet weniger, als viele annehmen. Wir prüfen deshalb mehrstufig: ob der Sicherungslauf überhaupt gestartet ist, ob er vollständig durchgelaufen ist, ob die gesicherte Datenmenge zum erwarteten Umfang passt und ob die Zielmedien noch ausreichend Kapazität haben.

Eine plötzlich stark abweichende Sicherungsgröße ist ein besonders wertvolles Signal. Sie deutet entweder auf eine ausgefallene Quelle hin – oder auf eine großflächige Verschlüsselung von Daten durch Ransomware. Beides sollte man am selben Tag erfahren und nicht erst, wenn eine Wiederherstellung nötig wird.

Ergänzend führen wir regelmäßige Wiederherstellungstests durch. Erst die erfolgreiche Rückholung einer virtuellen Maschine oder eines Dateibestands belegt, dass das Sicherungskonzept funktioniert.

Klassisches Monitoring beantwortet die Frage, ob Systeme laufen. Sicherheitsmonitoring beantwortet die Frage, ob sich jemand ungewöhnlich verhält. Beides gehört zusammen, weil viele Angriffe zuerst als scheinbar harmlose Betriebsauffälligkeit sichtbar werden – als Anmeldung zur Nachtzeit, als plötzlicher Anstieg ausgehenden Datenverkehrs, als neu angelegtes Administratorkonto.

Wir führen sicherheitsrelevante Protokolldaten aus Firewall, Servern, Endgeräten und Cloud-Diensten zentral zusammen und werten sie über Regeln aus. In größeren Umgebungen setzen wir dafür eine SIEM-Lösung ein, die Ereignisse aus verschiedenen Quellen korreliert; für kleinere Umgebungen genügt eine schlanke zentrale Logsammlung mit gezielten Alarmregeln.

Die Grenzen benennen wir offen: Ein Monitoring erkennt Auffälligkeiten, es ist kein automatischer Schutz. Die Bewertung und Reaktion bleibt eine Aufgabe von Menschen mit Kenntnis Ihrer Umgebung.

Monitoring liefert nicht nur Alarme, sondern auch eine belastbare Datengrundlage für Entscheidungen. Aus den historischen Messwerten lässt sich ablesen, wie sich Speicherbedarf, Arbeitsspeicherauslastung und Netzlast über Monate entwickeln – und damit, wann eine Erweiterung fällig wird.

Sie erhalten regelmäßige Berichte mit Verfügbarkeitswerten, aufgetretenen Störungen, deren Bearbeitung und dem Zustand Ihrer Systeme. Diese Berichte sind bewusst so gehalten, dass sie auch ohne technische Vorkenntnisse lesbar sind, weil sie in vielen Unternehmen der Geschäftsführung als Entscheidungsgrundlage dienen.

Der praktische Nutzen liegt in der Planbarkeit: Ein Speichersystem, das erkennbar in sechs Monaten an seine Grenze stößt, lässt sich budgetieren. Eines, das an einem Dienstagvormittag volläuft, kostet einen Ausfalltag.

Die Einführung beginnt mit einer Bestandsaufnahme Ihrer Systeme und der Festlegung, was als kritisch gilt. Anschließend rollen wir Agents aus, binden agentenlose Geräte an und definieren die erste Fassung der Schwellwerte. Die folgenden Wochen dienen der Kalibrierung – hier sortieren wir Fehlalarme konsequent aus.

Wo eine eigene IT-Abteilung besteht, arbeiten wir zu, statt zu verdrängen: Ihre Mitarbeitenden erhalten Zugriff auf die Oberfläche und die Berichte, wir übernehmen die Überwachung außerhalb der Geschäftszeiten oder gezielt einzelne Systemgruppen. Wo keine eigene IT vorhanden ist, übernehmen wir den vollständigen Betrieb inklusive Störungsbehebung.

In beiden Fällen gilt: Was überwacht wird, welche Schwellwerte gelten und wer wann alarmiert wird, ist schriftlich festgehalten und wird gemeinsam überprüft.