Die kurze Antwort: Das Monitoring der IT-Infrastruktur sollte Arbeitsplätze, Server, Netzwerke, Backups, Unternehmensdienste und Sicherheitsereignisse überwachen. Grüne Diagramme zu sammeln, reicht nicht aus: Jeder Alarm muss erkennen lassen, was nicht mehr funktioniert, wer davon betroffen ist und wer reagieren soll.
Monitoring muss vier Fragen beantworten
Funktionieren die Werkzeuge, die die Beschäftigten für ihre Arbeit benötigen? Verfügt das Unternehmen über wiederherstellbare Daten? Zeichnet sich ein Problem mit Kapazitäten, dem Gerätesupport oder der Gültigkeit eines Zertifikats ab? Und wer übernimmt einen Alarm, wenn etwas ausfällt?
Ein praxistaugliches Monitoring warnt beispielsweise davor, dass:
- ein Backup über mehrere geplante Durchläufe hinweg nicht ausgeführt wurde;
- sich das Systemlaufwerk schnell füllt;
- der Virenschutz oder das EDR-System keinen Status mehr meldet;
- das Festplattenarray eines NAS beeinträchtigt ist;
- eine Niederlassung die Verbindung zur Zentrale verliert;
- eine Website antwortet, die Anmeldung in der Anwendung aber nicht funktioniert;
- ein TLS-Zertifikat nicht erneuert wurde;
- ein neues Konto mit Administratorrechten angelegt wurde.
Bevor ein Unternehmen Monitoring-Werkzeuge installiert, muss es seine Geräte, Dienste und deren Abhängigkeiten kennen. Ein fehlendes Inventar kann ein IT-Audit für kleine Unternehmen aufdecken. Ohne ein solches Audit wird womöglich der Server im Technikraum überwacht, während eine zentrale Datenbank, ein Cloud-Konto oder der Backup-Speicher unbeobachtet bleiben.
Was auf Arbeitsplätzen, Servern und im Netzwerk zu überwachen ist
Jede Kontrolle sollte einen Bezug zum tatsächlichen Betrieb haben. Eine kurze Spitze der Prozessorauslastung muss noch kein Problem darstellen, und eine Antwort auf einen Ping beweist nicht, dass eine Anwendung Anmeldungen annimmt oder in die Datenbank schreibt.
| Bereich | Was überwacht werden sollte | Was eine Reaktion auslösen sollte |
|---|---|---|
| Arbeitsplätze und Notebooks | Erreichbarkeit des Verwaltungsagenten, Systemversion, Updates, Virenschutz oder EDR, Verschlüsselung und freier Speicherplatz | deaktivierter Schutz, über längere Zeit nicht kommunizierende Geräte, fehlgeschlagene Updates, ein nicht mehr unterstütztes System oder unzureichender Speicherplatz |
| Server | Dienste, zeitlicher Verlauf von Prozessor- und Speicherauslastung, Festplattenlatenz, Kapazität, Protokolle, RAID, USV und virtuelle Maschinen | gestoppter Dienst, steigende Antwortzeiten, beeinträchtigtes Array, unerwarteter Neustart oder ausgefallene Notstromversorgung |
| Netzwerk | Internetanschlüsse, Firewall, VPN, Switches, Access Points, Paketverluste, Portfehler und Konfigurationsänderungen | nicht erreichbare Niederlassung, wiederholte VPN-Abbrüche, fehlerhafte Verbindung, Stromausfall oder ungeplante Änderung |
| Unternehmensdienste | DNS, Website, E-Mail, Datenbank, Buchhaltungs- oder ERP-System und gemeinsame Dateien | fehlerhafte Antwort, nicht funktionierende Anmeldung, abgelehnte Verbindung, gestoppte Verarbeitung oder schreibgeschützter Speicher |
| Identitäten | Synchronisierungsstatus, Mehrfaktor-Authentifizierung, privilegierte Konten und riskante Anmeldungen | Synchronisierungsfehler, neuer Administrator, deaktivierter Schutz oder verdächtige Nutzung eines privilegierten Kontos |
Ein starrer Alarm, der nur auf einem momentanen Messwert beruht, erzeugt meist viel unnötigen Lärm. Entscheidend sind die Dauer des Problems, seine Entwicklung und der betriebliche Zusammenhang. Eine kurze Belastung während eines Updates ist anders zu bewerten als eine Auslastung, die jeden Morgen zunimmt, die Anwendung verlangsamt und nach einem Neustart vorübergehend verschwindet.
Für die Überwachung können beispielsweise Zabbix, Checkmk oder PRTG eingesetzt werden. Einfachere Prüfungen von HTTP, TCP und Zertifikatslaufzeiten beherrscht auch Uptime Kuma. Die Auswahl des Werkzeugs ist jedoch erst der zweite Schritt. Zunächst muss geklärt werden, welche Störungen es erkennen soll und wer seine Meldungen bearbeitet.
Das Inventar muss nicht mehr unterstützte Geräte erkennen
Beim Monitoring darf nicht nur erfasst werden, ob ein Computer eingeschaltet ist. Es muss zwischen einem unterstützten System, einem Gerät mit verlängerter Unterstützung und einem Computer ohne reguläre Sicherheitsupdates unterscheiden.
Der reguläre Support für die meisten Editionen von Windows 10 endete am 14. Oktober 2025. Ausnahmen können beispielsweise Editionen mit einem anderen Lebenszyklus oder Geräte im Programm Extended Security Updates sein. Entscheidend sind daher die konkrete Edition, die Version und die Art der Verwaltung, nicht allein die Bezeichnung „Windows 10“. Die aktuellen Termine enthält die Übersicht der Windows-Versionen von Microsoft.
Ebenso müssen die Firmware-Versionen von Firewalls, NAS-Systemen, Switches, Access Points und USV-Anlagen erfasst werden. Ein erreichbares Gerät kann ein Betriebsrisiko darstellen, wenn der Hersteller keine Sicherheitsupdates mehr bereitstellt oder das Unternehmen keinen Plan für seinen Austausch hat.
Speicherkapazität: Nicht bis zur vollständigen Belegung warten
Ein volles Laufwerk kann nicht nur das Speichern eines Dokuments verhindern. Es kann auch eine Datenbank, Updates, das Schreiben von Protokollen, die Erstellung von Snapshots oder einen Backup-Auftrag stoppen.
Die Überwachung sollte daher Folgendes erfassen:
- die aktuell freie Kapazität;
- die Geschwindigkeit, mit der der Speicherplatz verbraucht wird;
- den für Updates, temporäre Dateien und Snapshots benötigten Platz;
- ein ungewöhnlich schnelles Wachstum von Protokollen oder Datenbanken;
- Dateisysteme, die in den Nur-Lese-Modus gewechselt sind;
- den Zustand von Storage-Pool, Volume und RAID-Gruppe.
Alarme sollten entsprechend der jeweiligen Nutzung konfiguriert werden. Derselbe freie Speicherplatz bedeutet auf dem Systemlaufwerk eines Datenbankservers etwas anderes als auf einem Archiv-Volume, dessen Inhalt sich nur langsam verändert.
Bei Synology DSM und QNAP QTS reicht es nicht, nur die Erreichbarkeit der Webadministration zu kontrollieren. Das Monitoring sollte den Zustand des Storage-Pools, der RAID-Gruppe, des Volumes, der einzelnen Laufwerke, des SSD-Caches, der Snapshots und der angeschlossenen USV unterscheiden können. Ein NAS kann über das Netzwerk antworten, obwohl das Array bereits beeinträchtigt ist oder das Volume in einen eingeschränkten Modus gewechselt ist.
Bei Laufwerken exaktes Modell und Seriennummer erfassen
Bezeichnungen wie „WD Red“, „Seagate“ oder „Festplatte mit acht Terabyte“ reichen für eine Diagnose nicht aus. Benötigt werden das genaue Modell, die Seriennummer, die Firmware, die Position im Einschub und die Historie der Austauschvorgänge.
Der Grund dafür sind Unterschiede selbst innerhalb einer Produktreihe. Die Modellbezeichnung kann Aufschluss über die Kapazität, das eingesetzte Aufzeichnungsverfahren, die Firmware und den vorgesehenen Einsatzzweck geben. Die Modelle WD40EFAX und ST8000DM004 verwenden beispielsweise SMR. Bei langen zufälligen Schreibvorgängen und der Wiederherstellung eines Arrays kann die interne Neuordnung der sich überlappenden Spuren die Antwortzeiten deutlich verlängern. Der Controller kann das langsame Laufwerk dann als nicht antwortend einstufen und aus dem Array entfernen. Ausführlicher erklärt dies der Artikel darüber, warum eine SMR-Festplatte aus einem NAS-Array ausfallen kann.
SMART ist eine nützliche Informationsquelle, aber keine Garantie dafür, dass ein Laufwerk nicht ausfällt. Beobachten Sie auch die Entwicklung von Lesefehlern, fehlerhaften oder schwebenden Sektoren, Schnittstellenfehlern, Temperaturen, dem Medienzustand von SSDs und Veränderungen der Antwortzeiten. Zudem unterscheidet sich die Bedeutung einzelner SMART-Attribute je nach Hersteller. Normalisierte Werte lassen sich ohne Kontext nicht mechanisch zwischen verschiedenen Laufwerksserien vergleichen.
Ein starker Anstieg von Schnittstellenfehlern kann auf ein Kabel, die Backplane oder die Stromversorgung hinweisen. Eine zunehmende Zahl instabiler Sektoren lenkt die Aufmerksamkeit dagegen auf das Speichermedium selbst. Ein einziger zusammenfassender Status wie „Good“ verdeckt diese Unterschiede.
Wie sich feststellen lässt, ob ein Backup wirklich funktioniert
Ein grünes Ergebnis eines Backup-Auftrags bestätigt lediglich, dass das Programm den geplanten Schritt abgeschlossen hat. Es beweist weder, dass die richtigen Daten ausgewählt wurden, noch dass die Kopie unbeschädigt geblieben ist oder das Unternehmen sie innerhalb der benötigten Zeit wiederherstellen kann.
Das Backup-Monitoring sollte mindestens Folgendes überprüfen:
- das Ergebnis des letzten geplanten Durchlaufs;
- das Alter der letzten erfolgreichen Kopie;
- ungewöhnliche Veränderungen der gesicherten Datenmenge;
- Erreichbarkeit und freie Kapazität des Zielspeichers;
- Einhaltung der Aufbewahrungsrichtlinie;
- Zustand einer getrennten oder unveränderlichen Kopie;
- Ergebnis des letzten Wiederherstellungstests.
Eine plötzliche Verkleinerung des Backups kann auf gelöschte Daten, eine geänderte Auswahl oder eine nicht erreichbare Quelle hindeuten. Ein starker Anstieg kann durch Datenänderungen, einen Deduplizierungsfehler, einen erweiterten Sicherungsumfang oder das massenhafte Überschreiben von Dateien verursacht werden. Der Alarm soll die Ursache nicht automatisch bestimmen, sondern die Veränderung mit ausreichendem Kontext an einen Menschen weiterleiten.
Ein nicht ausgeführtes Backup lässt sich durch eine automatische Kontrolle erkennen. Ein nicht wiederherstellbares Backup wird dagegen erst bei einer Wiederherstellung zuverlässig entdeckt. Neben der täglichen Überwachung muss deshalb auch ein Backup-Wiederherstellungstest mit dokumentiertem Ergebnis eingeplant werden.
Websites und Dienste auch von außen prüfen
Ein Monitor, der sich im selben Büro wie der überwachte Router befindet, hat einen blinden Fleck. Bei einem Stromausfall oder einer Störung des Internetanschlusses kann er gleichzeitig mit der gesamten Niederlassung verstummen. Zumindest ein Teil der Kontrollen muss deshalb aus einem unabhängigen Netzwerk erfolgen.
Bei einer Website reicht ein Ping nicht aus. Je nach Bedeutung des Dienstes sollte die Kontrolle Folgendes prüfen:
- die DNS-Auflösung;
- den Aufbau der TLS-Verbindung;
- den korrekten Namen im Zertifikat und eine vertrauenswürdige Zertifikatskette;
- den erwarteten Statuscode;
- das Vorhandensein bestimmter Inhalte;
- gegebenenfalls die Anmeldung oder die Antwort einer ausgewählten API.
Ein Testkonto sollte nur die für die jeweilige Kontrolle erforderlichen Berechtigungen besitzen. Seine Zugangsdaten gehören weder in ein öffentliches Skript noch in eine gewöhnliche textbasierte Konfigurationsdatei.
Seit dem 15. März 2026 dürfen neu ausgestellte öffentlich vertrauenswürdige TLS-Zertifikate höchstens 200 Tage gültig sein. Der verabschiedete Zeitplan des CA/Browser Forum sieht weitere Verkürzungen vor, sodass eine manuelle Kalendererinnerung keine langfristige Lösung darstellt. Das Monitoring sollte nicht nur die Laufzeit prüfen, sondern auch feststellen, ob bei der automatischen Erneuerung das neue Zertifikat tatsächlich eingesetzt wurde. Die Fristen legt der Ballot SC-081v3 des CA/Browser Forum fest.
Sicherheitsereignisse, die eine Reaktion erfordern
Das Sammeln aller verfügbaren Protokolle ohne Regeln für ihre Auswertung verursacht unnötigen Lärm und Kosten. Für kleine Unternehmen sind Ereignisse besonders wertvoll, die einem konkreten Gerät, Benutzer und Vorgehen zugeordnet werden können:
- Deaktivierung des Virenschutzes oder EDR;
- längere Trennung eines Sicherheitsagenten;
- Erstellung oder Hochstufung eines Administratorkontos;
- Änderung der Firewall-, VPN- oder Backup-Konfiguration;
- wiederholte fehlgeschlagene Anmeldungen;
- ungewöhnliche Nutzung eines privilegierten Kontos;
- massenhaftes Umbenennen, Verändern oder Löschen von Dateien;
- Ausfall der Protokollerfassung;
- Deaktivierung eines getrennten Backups oder Änderung seiner Aufbewahrungsdauer.
Als Quelle können Microsoft Defender for Business, Wazuh, ein zentraler Syslog-Dienst oder Werkzeuge des Firewall- beziehungsweise Backup-Systemherstellers dienen. Jedes dieser Systeme sieht jedoch nur Geräte und Dienste, die korrekt angebunden sind. Ein privates Notebook, eine neue Cloud-Anwendung oder ein Gerät mit deinstalliertem Agenten können unbeobachtet bleiben.
Monitoring ersetzt weder Mehrfaktor-Authentifizierung und Updates noch Netzwerksegmentierung und getrennte Backups. Bei verschlüsseltem Datenverkehr überwacht es außerdem häufig nur Verbindungen und Metadaten, nicht den Inhalt der Kommunikation. Der Umfang der Datenerfassung, der Zugriff auf die Aufzeichnungen und deren Aufbewahrungsdauer müssen dokumentiert werden.
Monitoring-Landkarte nach dem tatsächlichen Betrieb
Die Zahl der Beschäftigten allein bestimmt nicht die Komplexität. Ein kleines Planungsbüro mit lokalem Server, großen Datenmengen und Fernzugriff kann eine umfassendere Überwachung benötigen als ein größeres Unternehmen, das fast ausschließlich mit wenigen Cloud-Diensten arbeitet.
| Umgebungstyp | Minimale Monitoring-Landkarte |
|---|---|
| Überwiegend cloudbasiertes Unternehmen | Arbeitsplätze, Verwaltungsagenten, Identitäten, Mehrfaktor-Authentifizierung, Firewall, WLAN, Internet, Backups der Cloud-Daten, Website, Domain und TLS-Zertifikate |
| Unternehmen mit NAS oder lokalem Server | vorheriger Umfang zuzüglich Storage-Pools, RAID, Volumes, Laufwerke, USV, virtuelle Maschinen, Datenbanken, DNS, DHCP und Backup-Speicher |
| Mehrere Niederlassungen | vorheriger Umfang zuzüglich einzelner Anschlüsse, VPN, VLAN, Switches, Access Points, Abhängigkeiten zwischen Standorten und separater Eskalationskontakte |
| Betrieb mit kritischer Anwendung | vorheriger Umfang zuzüglich Anwendungskontrolle, Anmeldungstest, Datenbankverbindung, Auftragswarteschlangen, Integrationen und Verfügbarkeit abhängiger Dienste |
Dokumentieren Sie für jeden Eintrag:
- den Verantwortlichen für das Gerät oder den Dienst;
- die betriebliche Bedeutung;
- die Quelle der überwachten Daten;
- die Schwellenwerte für Warnung und Vorfall;
- den Zeitraum, in dem Alarme angenommen werden;
- die Person oder das Team, die beziehungsweise das reagiert;
- den ersten Diagnoseschritt;
- das Eskalationsverfahren.
Die Landkarte muss auch Abhängigkeiten enthalten. Fällt der Internetanschluss einer Niederlassung aus, sollte das System die Administratoren nicht mit separaten Vorfällen für jeden nicht erreichbaren Switch, jedes NAS und jeden Access Point überfluten. Der Alarm zur Hauptursache sollte zusammenhängende Ereignisse gruppieren oder vorübergehend unterdrücken.
Ein Alarm ohne Empfänger ist keine Überwachung
Eine kontinuierliche Messung ist nicht dasselbe wie eine rund um die Uhr verfügbare Unterstützung. Ein Werkzeug kann einen Dienst ständig überprüfen, während ein Mensch Alarme nur während der vereinbarten Zeiten übernimmt.
Für jeden Ereignistyp muss daher klar sein:
- wer den Alarm erhält;
- wie seine Übernahme bestätigt wird;
- wann an eine weitere Person eskaliert wird;
- was automatisch ausgeführt werden kann;
- was eine Genehmigung erfordert;
- wie zwischen Reaktionszeit und Behebungszeit unterschieden wird;
- wie Wartungsfenster funktionieren.
Ein Wartungsfenster soll erwartete Benachrichtigungen während geplanter Arbeiten unterdrücken, nicht deren Ergebnis verbergen. Nach einem Update muss erneut geprüft werden, ob der Dienst läuft, Verbindungen annimmt und seine Funktion erfüllt.
Wenn ein Unternehmen niemanden hat, der Inventarisierung, Überwachung und Reaktionen übernimmt, erledigen wir dies im Rahmen der monatlichen Betreuung der Unternehmens-IT. Der Auftrag muss jedoch einen konkreten Umfang und Reaktionsmodus festlegen. Die bloße Installation eines Monitoring-Servers löst das Problem nicht.
Woran hochwertiges Monitoring zu erkennen ist
Fragen Sie bei einem Angebot nicht nur nach der Liste der überwachten Geräte. Klären Sie auch:
- ob die tatsächliche Funktion eines Dienstes oder nur seine Erreichbarkeit geprüft wird;
- wer den Alarm in welchem Betriebsmodus bewertet;
- wie Fehlalarme beseitigt werden;
- wem Konfiguration, Dokumentation und Ereignisverlauf gehören;
- wie Ausnahmen und nicht überwachte Geräte erfasst werden;
- ob der Bericht ungelöste Risiken aufzeigt;
- wie häufig die Monitoring-Landkarte mit der tatsächlichen Umgebung abgeglichen wird;
- ob auch das Monitoring selbst überwacht wird.
Der Preis hängt von der Anzahl und Vielfalt der Geräte, den Lizenzen, der Art der Anbindung, dem Modus der Alarmannahme und der vereinbarten Reaktion ab. Ein Angebot sollte die anfängliche Inventarisierung und Einrichtung, die regelmäßige Überwachung und die Arbeit während eines konkreten Einsatzes getrennt ausweisen.
Der Monatsbericht soll Entscheidungen unterstützen. Er sollte ungelöste Risiken, den Zustand der Backups und Wiederherstellungstests, nicht mehr unterstützte Geräte, Kapazitätstrends, bedeutende Vorfälle und priorisierte Handlungsempfehlungen aufzeigen. Eine Auflistung Tausender erfolgreicher Kontrollen erfüllt diese Aufgabe nicht.
Die häufigsten Fehler bei der Einführung von Monitoring
- Es werden nur Server überwacht, nicht aber Identitäten, Backups und Netzwerkkomponenten.
- Erreichbarkeit wird mit der korrekten Funktion einer Anwendung verwechselt.
- Alarme werden an ein Postfach gesendet, das niemand regelmäßig kontrolliert.
- Jede kurze Lastspitze erzeugt einen Vorfall.
- Wartungsfenster und Abhängigkeiten zwischen Systemen werden nicht berücksichtigt.
- Das Unternehmen erkennt Geräte mit getrenntem Agenten nicht.
- Das Backup ist grün, aber niemand hat eine Wiederherstellung durchgeführt.
- Das Zertifikat wird auf dem Laufwerk erneuert, die Website verwendet jedoch weiterhin das alte.
- Das Monitoring verfügt über Administratorrechte, die es zum Auslesen des Status nicht benötigt.
- Nach Änderungen an der Infrastruktur wird die Monitoring-Landkarte nicht aktualisiert.
FAQ
Benötigt auch ein Unternehmen ohne eigenen Server ein Monitoring?
Ja. Überwacht werden Arbeitsplätze, Internetzugang, Firewall, WLAN, Cloud-Identitäten, Backups, Domains, Zertifikate und zentrale SaaS-Dienste. Die Cloud verlagert einen Teil der Infrastruktur zum Anbieter, nicht aber die Verantwortung für Konten, Konfigurationen, Daten und Abhängigkeiten zwischen Diensten.
Ist kontinuierliches Monitoring dasselbe wie 24/7-Support?
Nein. Das System kann ununterbrochen messen, während ein Mensch nur während der vereinbarten Zeiten reagiert. Überwachung, Alarmübernahme und Einsatzmodus müssen getrennt beschrieben werden.
Wie häufig sollten Kontrollen ausgeführt werden?
Das richtet sich nach den Auswirkungen und danach, wie schnell sich ein Problem entwickeln kann. Die Verfügbarkeit eines kritischen Dienstes muss häufiger kontrolliert werden als ein langfristiger Kapazitätstrend. Das Ergebnis eines Backups sollte nach dem geplanten Durchlauf ausgewertet werden, nicht im selben Intervall wie eine Website.
Kann Monitoring Ransomware verhindern?
Nicht allein. Es kann vor deaktiviertem Schutz, ungewöhnlichen Anmeldungen, massenhaften Dateiänderungen oder fehlgeschlagenen Backups warnen. Wirksamer Schutz entsteht durch eine Kombination aus Prävention, begrenzten Berechtigungen, Mehrfaktor-Authentifizierung, Segmentierung, EDR und wiederherstellbaren Backups.
Was sollte ein Unternehmen im Monatsbericht erhalten?
Vor allem eine Übersicht ungelöster Risiken, den Zustand der Backups und Wiederherstellungstests, nicht mehr unterstützte Geräte, Kapazitätstrends, bedeutende Vorfälle und priorisierte Handlungsempfehlungen. Der Bericht soll Entscheidungen unterstützen und nicht lediglich die Menge der gesammelten Daten belegen.
Wo Sie uns finden
ITHOPE ist eine Firma aus Brno, Tschechien: wir machen Datenrettung von Festplatten, RAID und NAS, PC- und Notebook-Service und IT für Unternehmen, alles im eigenen Labor in der Viniční 3587/216, 615 00 Brno.
Telefon +420 775 556 063 (rund um die Uhr). Das Gerät können Sie persönlich bringen oder per Kurier schicken (Zásilkovna, PPL).