Backup-Überwachung: der Totmannschalter, der Schweigen unmöglich macht

Von Johannes Reinthaller, it4business · Veröffentlicht am 30. August 2026 · Aktualisiert am 10. September 2026

Die verbreitete Backup-Überwachung meldet Fehler. Sie meldet nicht, wenn gar nichts mehr läuft — und genau das ist der Fall, der im Ernstfall zählt.

Ein Sicherungsauftrag, der startet und scheitert, hinterlässt eine Fehlermeldung. Einer, der gar nicht mehr startet, hinterlässt nichts. Kein Protokolleintrag, keine Mail, kein roter Punkt — nur Stille, die genauso aussieht wie „alles in Ordnung“. Deshalb drehen wir die Logik um: Nur der Erfolg meldet sich, und sein Ausbleiben schlägt Alarm.

Ruhiges Büro bei Nacht: Server im Rack, Monitor mit leerem Posteingang, Wanduhr – nichts zeigt, dass die Sicherung ausgeblieben ist
So sieht ein ausgefallenes Backup von außen aus: kein Fehler, keine Meldung, ein leerer Posteingang. Alles wirkt in Ordnung – bis jemand zurückspielen muss.

Das Prinzip

Für jedes gesicherte System ist festgelegt, wie lange es höchstens schweigen darf. Nach jedem gelungenen Lauf wird dieser Nachweis erneuert. Läuft er ab, meldet sich die Überwachung von selbst — ohne dass jemand eine Liste durchgehen müsste.

IHRE SICHERUNGEN DIE FRIST DIE PRÜFUNG MELDUNG Gelungener Lauf Sicherung, Kopie an den zweiten Standort, Prüflauf, Datenbanken — jede meldet nur ihren Erfolg Erfolg Nachweis mit Frist Die Frist ist die längste planmäßige Lücke plus Karenz — das Wochenende bleibt still, ohne Fehlalarm. Nur ein neuer Erfolg erneuert ihn. Die Überwachung frisch → still abgelaufen → Alarm Fehler gemeldet → Alarm Ticket wird bearbeitet Nachricht wenn es anhält Zweite Kontrolle mit eigenem Meldeweg läuft außerhalb der überwachten Umgebung
Der linke Rand ist der eigentliche Kniff. Ein Sensor kann nur melden, dass etwas gelungen ist – nie, dass alles in Ordnung sei. Damit ist Schweigen nie zweideutig: Es hat immer eine Frist. Die gestrichelte Linie ist der zweite Kanal – er meldet an der ganzen Kette vorbei, damit ein Ausfall der Überwachung nicht beide Wege gleichzeitig trifft.

Vier Arten zu scheitern, vier Antworten

Ein Backup fällt nicht auf eine Art aus, sondern auf mehrere — und die verbreitete Überwachung kennt nur die erste davon.

Der Lauf gelingt neuer Stand nachgewiesen erneuert frischer Nachweis, Frist beginnt von vorn STILL — keine Meldung Der Lauf scheitert Fehler steht im Auftragslog meldet Fehler gemeldet wird sofort, nicht erst beim Fristablauf ALARM nach 15 Minuten Meldung am selben Tag Der Lauf bleibt aus Zeitplan tot, Server aus, Job weg niemand schreibt der Nachweis altert, die Frist läuft ab ALARM ohne Zutun der eigentliche Totmannschalter Es kam nie etwas an neuer Auftrag, neues System Vereinbarung das Soll kommt aus Ihrer Vereinbarung, nicht aus dem Lauf ALARM ab Tag 1 nie stillschweigend unsichtbar
Spalte 3 ist der Grund, warum es das System gibt. Ein Job, der läuft und scheitert, wird von jeder Überwachung bemerkt. Ein Job, der gar nicht mehr läuft, von keiner – außer man dreht die Logik um. Spalte 4 ist die unbequemste: Was noch nie geliefert hat, hat auch noch nie einen Fehler erzeugt. Nur ein Abgleich gegen das vereinbarte Soll findet so etwas.

Drei Stufen, damit Meldungen gelesen werden

Eine Überwachung, die täglich zwanzig Mails schickt, wird nach zwei Wochen weggefiltert – und dann ist sie schlimmer als keine. Eine Störung, die sich nach fünf Minuten selbst behebt, darf deshalb niemanden wecken. Eine, die anhält, muss es.

0 min 15 min 24 h Dauer der Störung STUFE 0 Sie heilt sich selbst Ein Dienst kippt und kommt zurück, bevor die Wartezeit abgelaufen ist. Wird gezählt. Nicht gemeldet. STUFE 1 Sie besteht fort Ein Ticket, gebündelt: zwanzig Befunde ergeben eine Meldung. Die Entwarnung schließt es wieder. STUFE 2 Sie hält an Oder die Reparatur ist gescheitert, oder der Meldeweg selbst ist tot. Direktnachricht auf anderem Weg.
Das Meldungsbudget ist die Abnahmebedingung: null Meldungen an einem ruhigen Tag, höchstens drei je Störung von Beginn bis Entwarnung, und bei einer Lawine genau eine Sammelmeldung. Bevor eine solche Überwachung scharf geschaltet wird, läuft sie im stummen Probebetrieb – die Melder protokollieren nur, was sie geschickt hätten. Für Sie heißt das: Kommt eine Meldung, ist auch wirklich etwas zu tun.

Wer die Überwachung überwacht

Ein Melder, der niemanden erreicht, ist schlimmer als gar keiner – er täuscht Sicherheit vor. Deshalb prüft kein Glied sich selbst, sondern jedes das nächste.

Die Überwachung liest alle Nachweise, wartet ab, bündelt, meldet Zweite Kontrolle außerhalb prüft, ob die Überwachung noch nachfragt und meldet selbst, wenn sie ausbleibt Versandkontrolle prüft, ob die Meldung wirklich zugestellt wird — und nicht in der Warteschlange hängt Zweiter Transportweg trägt die Eskalation über eine andere Technik als die reguläre Meldung fragt regelmäßig ab bleibt die Abfrage aus → Meldung Mail kommt nicht raus prüft Dienst und Versand KEIN GLIED ÜBERWACHT SICH SELBST
Und die Grenze gehört dazu: Fallen die überwachte Umgebung und die außenstehende Kontrolle gleichzeitig aus, meldet niemand mehr. Das ist bewusst so entschieden – für diesen Fall gilt der Katastrophenplan, nicht die Alarmierung. Wer behauptet, seine Überwachung habe keine solche Grenze, hat sie nur nicht gesucht.

Was das für Ihren Betrieb bedeutet

  • Sie erfahren von einer Lücke innerhalb eines Tages – nicht am Tag der Wiederherstellung.
  • Sie müssen nicht nachfragen. Wird eine Frist überschritten, entsteht eine Meldung und ein Ticket – und damit eine nachvollziehbare Spur, wann was ausgeblieben und wann es behoben war.
  • Sie bekommen wenige Meldungen, dafür gelesene. Was sich von selbst behebt, weckt niemanden.
  • Auch der Auftrag, der noch nie geliefert hat, fällt auf – weil das Soll aus der Vereinbarung kommt und nicht aus dem laufenden Betrieb.

Ein System darf nie in einen Zustand geraten, in dem Schweigen sowohl „alles in Ordnung“ als auch „ich bin tot“ bedeuten kann. Jede Stille hat eine Frist – und wenn sie abläuft, meldet sich jemand anderes.

Alarmkette: Server im Rack, Monitor mit Glocke, Smartphone mit Benachrichtigung, Techniker mit dem Handy in der Hand
Die Kette endet bei einem Menschen: Server → Überwachung → Handy → jemand, der die Meldung tatsächlich sieht und handelt.

Häufige Fragen zur Backup-Überwachung

Was ist ein Totmannschalter bei der Backup-Überwachung?

Die Umkehrung der üblichen Logik: Nicht der Fehler löst den Alarm aus, sondern das Ausbleiben der Erfolgsmeldung. Jede Sicherung muss sich innerhalb einer festgelegten Frist melden – bleibt die Meldung aus, gilt das als Störung.

Warum reicht eine Fehler-E-Mail vom Backup nicht?

Eine Fehlermeldung setzt voraus, dass das Backup-System noch läuft und senden kann. Ein deaktivierter Auftrag, ein abgeschalteter Server, ein volles Postfach oder ein gestörter Mailversand erzeugen keinen Fehler – nur Stille. Genau die bleibt ohne Totmannschalter unbemerkt.

Wie schnell fällt eine ausgebliebene Sicherung auf?

Das hängt vom Sicherungsintervall ab. Bei täglicher Sicherung meldet sich die Überwachung am Folgetag zur festgelegten Kontrollzeit – statt Wochen später beim nächsten Ernstfall.

Braucht man dafür eine eigene Software?

Nein. Ein bestehendes Monitoring wie checkmk oder ein einfacher Dienst, der Meldungen erwartet, genügt. Entscheidend ist, dass ein Mensch die Meldung tatsächlich sieht – abgestuft von E-Mail über Messenger bis zum Anruf.

Wissen Sie, wann Ihre Sicherung zuletzt gelaufen ist?
Wir sehen uns an, was heute tatsächlich gesichert wird, was nicht – und wie lange eine Wiederherstellung dauern würde. Kostenlos und unverbindlich.

Backup-Bestandsaufnahme anfordern

Lieber telefonisch? +43 7662 57 4740

Zum Weiterlesen: 3-2-1-1-0 – die Backup-Regel, die Ihren Betrieb rettet · Backup & Wiederherstellung