99,9 Prozent wovon?
Eine Verfügbarkeitszahl ohne Definition ist eine Meinung. Was als Ausfall zählt, ob ein HTTP 200 überhaupt etwas beweist und wie Wartungsfenster in die Rechnung eingehen, entscheidet über die Zahl mehr als die Technik dahinter.
Kaum eine Zusage wird so bereitwillig gegeben wie die Verfügbarkeit. 99,9 Prozent stehen in Angeboten, Verträgen und auf Statusseiten. Die interessante Frage stellt selten jemand: 99,9 Prozent wovon, gemessen wie, und wer hat festgelegt, was als Ausfall zählt?
Zwei Zustände sind zu wenig
Erreichbar oder nicht erreichbar bildet den Betrieb nicht ab. Eine Anwendung, die noch antwortet, aber acht Sekunden braucht, ist für die Nutzer ausgefallen und läuft in der Statistik als verfügbar mit. Umgekehrt ist ein einzelner fehlgeschlagener Request kein Ausfall: Wer beim ersten Timeout alarmiert, züchtet Alarmmüdigkeit, und die kostet später den Vorfall, der echt war. Es braucht also einen eigenen Zustand für langsam und eine Schwelle aufeinanderfolgender Fehlversuche, und beides gehört zur Definition dazu.
Was 99,9 Prozent in Stunden bedeutet
Für die Übersetzung von Prozent in Zeit gibt es eine Einteilung vom BSI: sechs Verfügbarkeitsklassen von VK 0 bis VK 5.
| Klasse | Bezeichnung | Mindestverfügbarkeit | Ausfall pro Monat | Ausfall pro Jahr |
|---|---|---|---|---|
| VK 0 | Ohne zugesicherte Verfügbarkeit | – | – | – |
| VK 1 | Normale Verfügbarkeit | 99,0 % | unter 8 h | unter 88 h |
| VK 2 | Erhöhte Verfügbarkeit | 99,9 % | unter 44 min | unter 9 h |
| VK 3 | Hochverfügbarkeit | 99,99 % | unter 5 min | unter 53 min |
| VK 4 | Höchstverfügbar | 99,999 % | unter 26 s | unter 6 min |
| VK 5 | Verfügbarkeit auch bei höherer Gewalt (Disaster-Tolerant) | – | – | – |
Damit ist die Zahl aus der Überschrift eingeordnet. 99,9 Prozent sind VK 2, also erhöhte und nicht hohe Verfügbarkeit, und erlauben knapp neun Stunden Ausfall im Jahr. Wer Hochverfügbarkeit meint, meint VK 3 und damit 53 Minuten. Bemerkenswert ist auch, dass VK 0 eine eigene Klasse ist: ohne zugesicherte Verfügbarkeit. Dort liegen die meisten Systeme faktisch, nur steht es selten irgendwo.
Zwei Einschränkungen gehören dazu. Die Zeiten gelten für 7 x 24 Stunden Betrieb, bei anderen Servicezeiten bedeutet dieselbe Prozentzahl eine völlig andere Stundenzahl. Und das HV-Kompendium ist zurückgezogen; den Grundlagenband veröffentlicht das BSI weiterhin zu Informationszwecken, weil die Inhalte grundlegend und zutreffend sind. Die Einteilung ist bewährte Praxis, keine Vorgabe, und die Übergänge sind fließend.
HTTP 200 ist kein Gesundheitsnachweis
Eine Fehlerseite antwortet auch mit 200. Eine Anmeldemaske, hinter der die Datenbank weg ist, ebenfalls. Wer nur den Statuscode prüft, misst den Webserver, nicht die Anwendung. Aussagekräftig wird es erst mit einem erwarteten Schlüsselwort, einem verbotenen für Fehlerseiten oder einem Wert an bestimmter Stelle der JSON-Antwort. Und was gar nicht antwortet, sieht ohnehin kein Monitor: Ein nächtlicher Job, der nicht läuft, erzeugt keinen fehlgeschlagenen Request, sondern nichts. Dafür braucht es die Gegenrichtung, bei der sich der Job meldet und das Ausbleiben der Meldung der Ausfall ist.
Der Streitpunkt sind die Wartungsfenster
Die Fußnote der BSI-Tabelle führt zum unangenehmsten Punkt: Zählt geplante Downtime gegen die Zusage? Steht das nicht im Vertrag, wird darüber gestritten, sobald es teuer wird. Sauber ist es nur, wenn die Messung Wartungszeiten getrennt zählt.
Ein Monitoring ist selbst ein Werkzeug
Der Teil, der gern übersehen wird: Wer beliebige Adressen abfragen darf, kann damit das interne Netz absuchen. Ein Monitoring mit freier URL-Eingabe ist ein Portscanner mit Berechtigung. Deshalb gehört vor jede Prüfung ein Abgleich des Ziels gegen private und reservierte Adressbereiche.
Wie isidaten misst
Vier Prüfarten, HTTP, TCP, Ping und Heartbeat. Vier Zustände mit eigener Langsam-Schwelle und konfigurierbarer Fehlversuchszahl. Inhaltlich erwartetes und verbotenes Schlüsselwort sowie JSON-Pfad mit Sollwert. Antwortzeiten getrennt nach DNS, Verbindung, erstem Byte und Gesamtzeit, weil langsam keine Diagnose ist. Dazu Zertifikatslaufzeiten, Ausfallzeiten mit Ursache und Wartungskennzeichen, eine Tagesstatistik, die Wartungsprüfungen separat zählt, und der SSRF-Abgleich vor jeder Prüfung. Ausfall, Wiederherstellung und ablaufendes Zertifikat lösen Regelketten aus, sodass daraus eine Maßnahme mit Verantwortlichem wird statt einer Mail.
Und was davon nach außen geht
Eine Statusseite, die nur grün zeigt, ist Marketing. Glaubwürdig wird sie durch den Verlauf. Störungsmeldungen laufen deshalb durch die Kette Untersuchung, identifiziert, Beobachtung, behoben, mit Zeitstempel je Schritt, lassen sich an die gemessene Ausfallzeit hängen statt frei zu formulieren und im Trust Center veröffentlichen. Dass das Veröffentlichen ein eigenes Recht ist, ist Absicht: Wer eine Störung bearbeitet, entscheidet damit nicht automatisch, was nach außen geht.
Mehr auf der Modulseite. Warum die Zusage selbst in den Vertrag gehört, mit Servicezeiten und Eskalation, stand hier vor Kurzem.
Fragen zu dieser Neuerung?
Sprechen Sie mit uns – wir zeigen Ihnen die Funktion gern in einer Demo.