Die meisten KMU stellen erst dann fest, dass ihre IT-Infrastruktur nicht funktioniert, wenn jemand in der Buchhaltung um 9 Uhr morgens eine Rechnung schreiben will. Nicht früher. Infrastruktur-Monitoring ist kein Spielzeug für IT-Abteilungen großer Konzerne — es ist eine deutlich günstigere Variante panischer Samstagabend-Anrufe.
Bei einem unserer Kunden — einem 28-köpfigen Möbelhersteller — füllte sich am Samstagnachmittag die Festplatte mit der Comarch-Optima-Datenbank durch Transaktionslogs vollständig. Niemand hat es bemerkt. Am Montag um 7:30 begannen die Anrufe, weil die Produktion stand: keine Lieferscheine, keine eingehenden B2B-Bestellungen. Sie haben etwa einen halben Produktionstag verloren, dazu ein paar dringende Sendungen mit Verspätung. Gesamtkosten des Vorfalls, der Feuerwehrübung und der Überstunden: rund 14 Tausend Zloty. Eine E-Mail-Warnung bei 80% Festplattenbelegung hätte sie null Zloty pro Monat gekostet — sie hätte auf einem kostenlosen Tool gelaufen, das ohnehin schon auf einem anderen Server lief.
Monitoring verhindert keinen Ausfall. Es verkürzt die Zeit zwischen „etwas läuft schief" und „jemand weiß, dass etwas schiefläuft". Das ist meist der Unterschied zwischen einem halbstündigen Vorfall und einem halbtägigen Stillstand.
Zuerst: Festplatten, RAM, CPU
Die Liste der Dinge, die du auf dem ERP-Server, dem Dateiserver und der Firewall messen musst, ist kurz. Festplattenbelegung (pro Volume getrennt — System, Datenbank, Transaktionslogs, Sicherungen). Arbeitsspeicher. Durchschnittliche CPU-Auslastung. Betriebszeit (plötzliche Neustarts bedeuten meistens etwas). Und ganz grundlegend „lebt die Kiste überhaupt" — ein Ping jede Minute.
Das alles bekommst du in jedem Monitoring-Tool der letzten 15 Jahre kostenlos. Zabbix, Prometheus, Uptime Kuma, Checkmk Raw — alle zeigen dir nach zwei Stunden Arbeit das Wesentliche. Das KMU-Problem ist, dass es niemand einrichtet. Der vor vier Jahren gekaufte Server läuft „bis er stirbt", und Schlussfolgerungen zieht man danach.
- Festplattenbelegung — Warnung bei 80%, kritisch bei 90%.
- Freier Speicher auf der Datenbankpartition — eigener Schwellenwert, niedriger als für die Systemplatte.
- Betriebszeit — wenn der Server sich selbst neu gestartet hat, sollte jemand am selben Tag davon wissen.
- Temperaturen und RAID-Status — der Controller schreibt von selbst keine E-Mail, das musst du konfigurieren.
Backups, die wirklich laufen
Der häufigste Fallstrick, den wir sehen: Backups „gibt es", aber niemand prüft, ob das letzte tatsächlich gelaufen ist. Die 3-2-1-Regel hilft dir nicht, wenn der Sicherungsjob seit sechs Monaten mit einem Fehler beendet wird und niemand es merkt, weil niemand die Veeam-Logs liest.
Backup-Monitoring sind buchstäblich drei Dinge: ist der Job gestartet, ist er erfolgreich beendet, und wie lange hat er gedauert (ein plötzlicher Sprung in Dauer oder Volumen ist ein Signal — etwa Ransomware, die Dateien verschlüsselt). Die meisten Backup-Tools bieten einen Webhook oder verschicken Status-Mails. Leite sie an jemanden weiter, der morgens den Posteingang liest, oder an ein einfaches Dashboard, das rot wird, wenn etwas nicht gelaufen ist.
- Jeder Sicherungsjob hat einen Eintrag im „Monitoring-Kalender" — bekannt ist, wann er läuft und wann er fertig sein soll.
- Kein Erfolgsbericht = Alarm, nicht Stille.
- Einmal im Quartal stellt jemand eine zufällige Datei aus dem Backup wieder her. Ohne das weißt du nicht, dass das Backup funktioniert — nur, dass der Job durchläuft.
Dienste, die das Team wirklich sieht
Die zweite Schicht des Monitorings sind die Dinge, die Mitarbeiter zuerst bemerken: ERP, E-Mail, Netzwerkdrucker, VPN, Dateifreigaben. Die Kunst besteht darin, dass die IT (intern oder ausgelagert) vom Problem weiß, bevor der erste Nutzer anruft.
Der einfachste Mechanismus: synthetische Prüfungen. Alle 2 Minuten meldet sich ein Skript mit einem Testkonto am ERP an und legt ein Probedokument in einem Sandbox-Konto an. Alle 5 Minuten prüft es, ob der Mailserver auf Port 25 und 993 antwortet. Jede Minute prüft es, ob die Anmeldeseite des Firmenportals HTTP 200 zurückgibt. Jeder dieser „Pings" kostet Minuten in der Einrichtung und spart Stunden an „Ich kann mich nicht einloggen"-Anrufen.
Bei einem Distributionskunden (52 Mitarbeitende, enova365 + WMS) haben wir einen synthetischen WMS-Login-Test eingeführt. Die ersten vier Alarme haben gezeigt, dass die SQL-Server-Express-Datenbank auf das 10-GB-Limit zulief — was früher in einem ganzen Tag Lagerstillstand geendet wäre, wurde stattdessen am Freitagabend gelöst, bevor es jemand bemerkt hat.
Sicherheit: nur sinnvolle Signale
Sicherheits-Monitoring ist der Bereich, in dem man am leichtesten überzahlt und sich am schnellsten im Rauschen verliert. Wenn du anfängst, auf jedes Ereignis zu hören, das Windows Defender oder die Firewall erzeugt, liest in einer Woche niemand mehr die Alarm-Mails.
Im KMU-Maßstab lohnen sich zuerst drei Signale: fehlgeschlagene Anmeldeversuche auf privilegierten Konten (Domain-Admin, ERP-Admin), neue Anmeldeorte in Microsoft 365 (ein Land außerhalb Polens ist ein rotes Signal) und der Antivirus-Status der Endgeräte (läuft er überhaupt und sind die Signaturen aktuell). Das sind die Signale, die Firmen tatsächlich vor Phishing und Ransomware schützen. Der Rest — Paketanalyse, SIEM-Ereigniskorrelation, Threat Intelligence — hat seinen Platz, aber erst in Firmen mit einer eigenen Sicherheitsstelle.
Wer die Alarme bekommt und wann
Auch das bestkonfigurierte Monitoring bringt nichts, wenn die Alarme in einem allgemeinen Postfach landen, in das niemand schaut. Genauso landen Alarme, die nachts um 2 ans ganze Team gehen, schnell in einer „In Ordner verschieben"-Regel. Du brauchst klare Regeln, auch wenn es nur ein einseitiges Dokument ist.
- Eine Liste kritischer Alarme, die jemanden nachts wecken (in der Regel: ERP-Server tot, Firewall tot, Ransomware-Verdacht). Alles andere wartet bis morgens.
- Name und Nachname des Ersthelfers — und einer Vertretung für Urlaubszeiten.
- Der Alarmkanal — am besten SMS oder Push (Slack, Teams, eine dedizierte App). E-Mail als Kanal für kritische Alarme funktioniert nicht.
- Was tun, wenn ein Alarm sich alle 5 Minuten wiederholt — wer bestätigt ihn und wer eskaliert.
Womit überwachen, ohne zu überzahlen
Eine feste Rechnung von 800–1.500 Zloty pro Monat für ein SaaS-Monitoring-Tool ergibt in einer 20-Personen-Firma meist keinen Sinn. Dieselben Funktionen bekommst du in kostenlosen Werkzeugen, wenn jemand 2–3 Tage in die Konfiguration steckt und danach einen Plan hat, sie aktuell zu halten.
Für die meisten KMU genügt der Stack: Uptime Kuma für synthetische Verfügbarkeitsprüfungen, Zabbix oder Checkmk Raw auf Windows-/Linux-Servern, die eingebauten Veeam-/Acronis-Berichte für Backups und ein, zwei Regeln in Microsoft 365 Defender für verdächtige Logins. Zusammen: einige hundert Zloty einmalig für die Konfiguration, null laufende Lizenzkosten. Der entscheidende Punkt ist, dass eine Person — intern oder beim IT-Dienstleister — sich verantwortlich fühlt und weiß, was die einzelnen Werte bedeuten.
Wenn du das Gefühl hast, deine Firma sei „zu klein" dafür, ein ERP-Ausfall von einem halben Tag dich aber so viel kostet wie die gesamte Infrastruktur im Monat — dann ist genau das der richtige Moment. Fang mit einem Server und einem Backup-Job an; in einem halben Jahr hast du den Rest.
Monitoring verhindert keinen Ausfall. Es verkürzt die Lücke zwischen „etwas läuft schief" und „jemand weiß davon" — und das entscheidet meist über die Kosten des Vorfalls.