In diesem Artikel 8 Abschnitte
Viele IT-Probleme kündigen sich durch messbare Veränderungen an: Speicherplatz wird knapp, eine Datensicherung endet mit Fehler, ein Zertifikat nähert sich dem Ablaufdatum oder ein Dienst antwortet immer langsamer. Monitoring sammelt solche Signale und macht sie sichtbar. Richtig eingerichtet ist es ein Frühwarnsystem – nicht die Garantie, dass nie mehr etwas ausfällt.
Für KMU ohne interne IT besteht die wichtigste Aufgabe nicht darin, möglichst viele Messwerte zu sammeln. Entscheidend ist, die geschäftlich relevanten Systeme zu überwachen, verständliche Schwellenwerte festzulegen und für jede wichtige Meldung eine zuständige Stelle zu benennen.
Was Monitoring leisten kann
NIST beschreibt kontinuierliches Sicherheitsmonitoring als Strategie, die Sichtbarkeit über Systeme, Bedrohungen, Schwachstellen und die Wirksamkeit von Schutzmassnahmen schaffen soll. Im täglichen IT-Betrieb kommt die technische Gesundheit hinzu: Verfügbarkeit, Kapazität und Leistung.
Typische Signale sind:
- Erreichbarkeit von Internetanschluss, Servern und Diensten
- Auslastung von Prozessor, Arbeitsspeicher und Datenträgern
- freier Speicherplatz und ungewöhnliches Datenwachstum
- Status von Datensicherungen und geplanten Aufgaben
- Ablaufdaten von Zertifikaten und Lizenzen
- fehlgeschlagene Anmeldungen oder auffällige Kontenaktivität
- Antwortzeiten wichtiger Anwendungen und Schnittstellen
- Zustand von Netzwerkgeräten, USV und Hardware-Sensoren
Ein grünes Dashboard bedeutet dabei nur, dass die definierten Prüfungen keinen Alarm auslösen. Es beweist nicht, dass jedes denkbare Problem ausgeschlossen ist. Monitoring muss deshalb mit Wartung, Patch-Management, Datensicherung und klaren Supportwegen zusammenspielen.
Vom Messwert zur hilfreichen Meldung
Microsoft beschreibt Alarme als Regeln, die Mess- oder Protokolldaten gegen Bedingungen prüfen und bei Erfüllung Aktionen auslösen. Dieses Grundmodell gilt unabhängig vom konkreten Produkt: Quelle, Bedingung, Schweregrad, Benachrichtigung und Reaktion müssen zusammenpassen.
Ein Beispiel: «Festplatte zu 80 Prozent belegt» ist allein noch keine gute Regel. Aussagekräftiger wird sie mit Kontext:
- Welches System und welches Laufwerk sind betroffen?
- Wächst die Belegung weiter oder handelt es sich um einen kurzen Ausschlag?
- Ab welchem Wert bleibt genügend Zeit zum Handeln?
- Wer erhält die Meldung zu Geschäfts- und Randzeiten?
- Welche Prüfung oder Bereinigung ist vorgesehen?
Schwellenwerte sollten daher aus Kapazität, normalem Verlauf und betrieblicher Bedeutung abgeleitet werden. Ein Speicherbereich für temporäre Dateien braucht eine andere Behandlung als der Datenträger einer zentralen Datenbank.
Drei Stufen statt Alarmflut
Zu viele Meldungen können dazu führen, dass Wichtiges übersehen wird. Eine einfache Abstufung hilft bei der Priorisierung:
- Information: Eine Veränderung wird protokolliert, erfordert aber keine direkte Aktion.
- Warnung: Eine Grenze nähert sich; die Bearbeitung kann geplant werden.
- Kritisch: Ein Dienst ist ausgefallen oder eine unmittelbar relevante Grenze wurde überschritten; die definierte Eskalation startet.
Zusätzlich braucht es Wartungsfenster, damit angekündigte Neustarts nicht als Störung gemeldet werden. Abhängigkeiten sollten berücksichtigt werden: Ist der Standort-Router nicht erreichbar, sind zwanzig Folgealarme für Geräte dahinter wenig hilfreich. Eine gute Konfiguration bündelt zusammengehörige Ereignisse und zeigt möglichst die wahrscheinliche Ursache.
Was zuerst überwacht werden sollte
Beginnen Sie bei den Geschäftsabläufen, nicht bei der Werkzeugliste. Fragen Sie: Welche Dienste müssen funktionieren, damit Mitarbeitende arbeiten, Kundenanfragen bearbeiten und Daten wiederherstellen können?
Für viele KMU ergibt sich daraus diese Reihenfolge:
- Internet, Firewall und zentrale Netzwerkverbindungen
- Identitäts-, E-Mail- und Kollaborationsdienste
- geschäftskritische Fachanwendungen und Datenbanken
- Status der Datensicherungen und Wiederherstellungsjobs
- Serverkapazität, Hardwarezustand und Zertifikate
- wichtige externe Websites und Schnittstellen
Auch Cloud-Dienste sollten einbezogen werden. Dabei sind nicht nur öffentliche Statusseiten relevant, sondern – soweit verfügbar – der Zustand des eigenen Mandanten, fehlgeschlagene Anmeldungen, Integrationen und Synchronisationsprozesse.
Reaktion gehört zum Monitoring
Ein Alarm ohne Bearbeitungsweg ist nur eine Nachricht. Für jede kritische Regel sollte dokumentiert sein, wer sie erhält, bis wann sie geprüft wird, wann eskaliert wird und welche ersten Diagnoseschritte erlaubt sind. Ausserhalb der vereinbarten Betreuungszeit braucht es eine klare Regelung statt stillschweigender Erwartungen.
Ebenso wichtig ist die Nachkontrolle: Hat sich der Zustand normalisiert? War der Alarm berechtigt? Muss der Schwellenwert angepasst oder eine dauerhafte Ursache behoben werden? Wiederkehrende Meldungen sollten nicht einfach geschlossen werden. Sie können auf zu geringe Kapazität, einen fehlerhaften Prozess oder eine unpassende Regel hinweisen.
Wie Überwachung, Wartung und Support als laufender Betriebsprozess zusammenwirken, beschreibt Managed IT Services. Schutzrelevante Protokollierung und Wiederherstellung gehören zusätzlich in ein abgestimmtes Konzept für Sicherheit & Resilienz.
Offene Standards und portable Konfigurationen
Monitoring-Daten haben langfristigen Wert, wenn sie nicht nur in einer proprietären Oberfläche nutzbar sind. OpenTelemetry ist ein hersteller- und werkzeugunabhängiges Open-Source-Framework für die Erzeugung, Sammlung und den Export von Telemetriedaten wie Metriken, Logs und Traces. Solche offenen Schnittstellen können den Wechsel oder die Kombination von Auswertungswerkzeugen erleichtern; sie ersetzen jedoch weder eine saubere Konfiguration noch ein Betriebskonzept.
Achten Sie unabhängig vom Produkt auf dokumentierte APIs, exportierbare Alarmregeln, lesbare Dashboards und gesicherte Konfigurationen. Prometheus zeigt als Open-Source-Beispiel, wie Zeitreihenmetriken gesammelt, mit PromQL abgefragt und durch Regeln zu Alarmen verarbeitet werden. Für ein KMU ist nicht entscheidend, dass jede Komponente Open Source ist. Wichtig ist, dass Messdaten und Regeln zugänglich bleiben und bei einem Anbieterwechsel nicht vollständig neu erstellt werden müssen.
Klein anfangen, gezielt verbessern
Starten Sie mit einer Liste der fünf wichtigsten Dienste. Definieren Sie je Dienst wenige aussagekräftige Prüfungen, drei Schweregrade und einen erreichbaren Verantwortlichen. Prüfen Sie nach einigen Wochen, welche Meldungen zu einer sinnvollen Handlung geführt haben und welche nur Lärm erzeugten. So wächst Monitoring kontrolliert mit Ihrer Umgebung – als nüchternes Frühwarnsystem, nicht als überladenes Kontrollzentrum.