Gestern früh, 05:34 Uhr: Beim deutschen Hoster manitu steht auf der eigenen Statusseite ein knapper Satz. Es gebe derzeit einen Überlastungsangriff auf das Rechenzentrum, die Erreichbarkeit könne eingeschränkt sein, man arbeite an Gegenmassnahmen.
08:36 Uhr, gut drei Stunden später: erledigt.
Wir schreiben darüber nicht, um den Vorfall eines anderen zu kommentieren. Wir schreiben darüber, weil wir selbst ein Hoster sind — und weil diese Art von Ausfall eine Eigenschaft hat, die sie von allen anderen unterscheidet, über die wir hier sonst berichten.
Der Ausfall, bei dem alles in Ordnung ist
Sonst geht es hier um Dinge, die man reparieren kann. Eine Lücke, die man schliesst. Ein Update, das man einspielt. Eine Sicherung, die man zurückspielt.
Hier nicht. Bei einem Angriff auf das Netz eines Rechenzentrums ist Ihr Server in Ordnung. Die Festplatten sind heil, die Datenbank läuft, nichts ist verschlüsselt und nichts ist gelöscht. Es kommt nur niemand hin.
Es gibt nichts zu reparieren, nichts neu zu starten und nichts zurückzuspielen. Sie können in diesem Moment nichts tun — ausser dem, was Sie vorher getan haben.
Deshalb besteht der nützliche Teil dieses Beitrags aus vier Fragen, die sich alle nur vorher beantworten lassen.
Erstens: Wissen Sie, wo Ihr Anbieter meldet, dass etwas ist?
Der Grund, warum der Vorfall von gestern überhaupt als Beispiel taugt, ist nicht der Angriff. Angriffe gibt es. Der Grund ist, dass dort während des Vorfalls stand, was los war — und dass er danach mit Uhrzeit als erledigt markiert wurde.
Das klingt selbstverständlich und ist es nicht. Es bedeutet für einen Kunden den Unterschied zwischen «meine Website ist weg, ich weiss nicht warum» und «das Rechenzentrum meines Anbieters wird angegriffen, er arbeitet daran, ich kann meinen Kunden etwas sagen».
Dazu gehört ein zweiter Punkt, der oft übersehen wird: Eine Statusseite muss woanders stehen als das, worüber sie berichtet. Liegt sie auf derselben Infrastruktur, ist sie genau dann weg, wenn man sie braucht. Dass die Seite gestern erreichbar war, während das Rechenzentrum unter Beschuss stand, ist keine Selbstverständlichkeit, sondern eine Entscheidung, die jemand vorher getroffen hat.
Und hier die unbequeme Antwort über uns: Eine solche Seite haben wir nicht. Wer bei uns wissen will, ob etwas ist, ruft an oder schreibt — und wir melden uns bei betroffenen Kunden, bevor sie fragen. Bei einem einzelnen Server trägt das. Ob es trägt, wenn der Ausfall breit ist, ist eine faire Frage, und wir beantworten sie hier nicht mit einem Versprechen.
Zweitens: Erreichen Sie Ihre Kunden, wenn Ihre Technik weg ist?
Diese Frage wird fast nie gestellt, und sie entscheidet, wie ein Ausfall nach aussen aussieht.
Wenn Website und E-Mail beim selben Anbieter liegen — was die Regel ist und wirtschaftlich auch sinnvoll —, dann sind Sie im selben Moment stumm, in dem Sie unsichtbar werden. Keine Website, auf die Sie einen Hinweis stellen könnten. Kein Mailversand, um Termine abzusagen.
Was dann bleibt: das Telefon, und ein Kanal, der nicht bei Ihnen liegt. Ein Konto bei einem sozialen Netzwerk genügt dafür, wenn jemand die Zugangsdaten zur Hand hat. Es muss nichts Aufwendiges sein — es muss nur vorher existieren.
Drittens: Wissen Sie, was Sie sagen würden, und wer es sagt?
Drei Stunden sind kurz für eine Störung und lang für einen Kunden, der ein Angebot erwartet.
Der Satz, der in so einer Lage hilft, ist einfach und muss nicht vorbereitet klingen: was nicht geht, seit wann, was man dazu weiss, und wann man sich wieder meldet. Vorbereitet werden muss nur, wer ihn sagt — sonst sagen entweder alle etwas Verschiedenes oder niemand etwas.
Das ist derselbe Gedanke wie in der Kontaktliste des IT-Notfallplans des Bundes, den wir kürzlich durchgegangen sind. Ein Ausfall beim Anbieter ist der Notfall, der am häufigsten eintritt und für den am seltensten etwas aufgeschrieben ist.
Viertens: Was ist realistisch, und was nicht?
Hier gehört Ehrlichkeit dazu, auch gegen das eigene Verkaufsinteresse.
Man liest bei solchen Anlässen oft den Rat, die Umschaltzeiten im Namenssystem niedrig zu halten, damit man schnell auf eine Ausweichadresse wechseln kann. Das stimmt technisch. Nur: In drei Stunden zieht niemand um, der nicht schon einen zweiten, betriebsbereiten Standort hat. Und den haben die wenigsten Betriebe unserer Grössenordnung, aus dem einfachen Grund, dass er das Hosting ungefähr verdoppelt.
Der ehrliche Rat lautet deshalb nicht «sorgen Sie für Ausfallsicherheit». Er lautet: Entscheiden Sie bewusst, wie lange Sie einen Ausfall aushalten — und wenn die Antwort «keine drei Stunden» ist, dann kostet das etwas, und dann reden wir darüber. Wenn die Antwort «einen halben Tag schon» lautet, ist das völlig in Ordnung, und dann sparen Sie sich den Aufwand.
Wir haben dieselbe Abwägung schon einmal gemacht, als es einen grossen Schweizer Dienst getroffen hat.
Was das mit einem Ausfall im eigenen Haus zu tun hat
Die Gattung ist dieselbe wie bei einem Fall, über den wir Anfang September geschrieben haben: Der Server lief, nur kam niemand mehr hinein.
Verfügbarkeit ist nicht dasselbe wie «die Maschine läuft». Zwischen Ihrem Server und Ihrem Kunden liegen Leitungen, Namensauflösung, Filter und fremde Netze, und jedes Stück davon kann ausfallen, ohne dass an Ihrem Server etwas falsch ist. Eine Überwachung, die nur prüft, ob der Rechner antwortet, sieht davon nichts — sie muss von aussen schauen, wie wir es im August beschrieben haben.
Und zu uns
Wir können nicht versprechen, dass uns so etwas nicht trifft. Gegen einen Überlastungsangriff auf ein Rechenzentrum kann sich kein einzelner Kunde durch die Wahl seines Pakets schützen, und kein Anbieter kann zusichern, dass es ihn nie erwischt. Wer das behauptet, hat es entweder noch nicht erlebt oder sagt nicht die Wahrheit.
Was wir zusichern können, ist das, was in so einer Lage tatsächlich zählt: dass Sie erfahren, was los ist, solange es los ist. Wenn Sie dann eine Nummer wählen, ist jemand dran, der es weiss.
Dass wir dafür bisher keine Seite haben, auf der es auch ohne Anruf steht, ist eine Lücke. Wir benennen sie lieber selbst, als sie schönzureden.