Nach dem Start muss sich jemand um die Anwendung, ihre Daten und die genutzten Dienste kümmern. Was dazugehört, hängt davon ab, worauf sich Menschen verlassen: Eine Website mit Inhalten und eine Anwendung, die Kundenbestellungen annimmt, brauchen unterschiedliche Prüfungen und Notfallpläne.
Bevor Sie eine Wartung vereinbaren, legen Sie fest, was Aufmerksamkeit braucht, wer wofür zuständig ist und welche Nachweise Sie bekommen. Hier sind die Fragen, die ich mit Ihnen durchgehen würde.
Trennen Sie Hosting, Wartung und Neuentwicklung
Hosting stellt die Infrastruktur bereit, auf der Ihre Software läuft. Je nach Dienst übernimmt es auch Teile der Sicherheit, Zertifikate oder Backups. Das heißt aber nicht, dass jemand prüft, ob Bestellabschluss, Anmeldung oder Benachrichtigungen noch funktionieren.
Wartung umfasst vereinbarte Arbeit, damit das bestehende Produkt weiterläuft. Neuentwicklung ändert, was es kann. Ein Betreuungsplan kann Zeit für beides enthalten, aber ein Redesign, ein neuer Zahlungsablauf oder eine größere Integration braucht einen eigenen Umfang. Halten Sie diese Grenze schriftlich fest, bevor die Arbeit beginnt.
Fragen Sie auch, welche Unterstützung nach der ersten Übergabe enthalten ist, wie lange und wofür. Wenn Sie wissen, wo diese Unterstützung endet, lässt sich die laufende Arbeit leichter planen.
Halten Sie Abhängigkeiten aktuell und prüfen Sie Updates
Anwendungen bauen auf Bibliotheken, Frameworks und externen Diensten auf, die sich mit der Zeit ändern. Sicherheitskorrekturen und Support-Fristen brauchen Aufmerksamkeit. Updates sollten für Ihre Anwendung bewertet und an den wichtigen Abläufen geprüft werden, bevor sie in die Produktion gehen.
Der Rhythmus hängt vom Risiko und vom Produkt ab. Eine relevante, dringende Sicherheitslücke sollte nicht auf den üblichen monatlichen Update-Termin warten. Vereinbaren Sie, wie solche Fälle gemeldet und behandelt werden, auch wenn die Arbeit über den Plan hinausgeht.
Wissen Sie, was gesichert wird und wie man es wiederherstellt
Der Code im Repository ist nur ein Teil der Wiederherstellung. Ihr Produkt hängt vielleicht auch von Kundendaten, hochgeladenen Dateien und der Konfiguration von Diensten ab. Fragen Sie, was gesichert wird, wie oft, wie lange Kopien aufbewahrt werden und wer sie wiederherstellen kann.
Richten Sie die Häufigkeit der Backups danach aus, wie viele Daten Sie verlieren könnten. Wenn das letzte erfolgreiche Backup um Mitternacht lief und die Datenbank um 17 Uhr ausfällt, fehlen nach der Wiederherstellung dieser Kopie die Änderungen des ganzen Tages. Ein Produkt, das Bestellungen annimmt, braucht dafür vielleicht einen anderen Ansatz als eine Website, deren Inhalte sich wöchentlich ändern.
Vereinbaren Sie außerdem, wie lange das Produkt während einer Wiederherstellung nicht verfügbar sein darf. Wie viele Daten Sie zurückholen können und wie lange das dauert, sind zwei verschiedene Fragen.
Eine Meldung über ein erfolgreiches Backup beweist nicht, dass sich die Anwendung wiederherstellen lässt. Testen Sie die Wiederherstellung in einer geeigneten, getrennten Umgebung und dokumentieren Sie die Schritte. Auch dieBackup-Empfehlungen des NCSC raten dazu, zu prüfen, ob die Backups die wichtigen Daten enthalten und ob Sie wissen, wie man sie wiederherstellt.
Überwachen Sie, worauf Ihre Kunden angewiesen sind
Eine Verfügbarkeitsprüfung sagt Ihnen, dass eine Seite antwortet. Sie zeigt aber womöglich nicht, dass E-Mails nicht ankommen, ein Hintergrundjob stehen geblieben ist oder ein Kunde einen Kauf nicht abschließen kann. Legen Sie fest, welche Prüfungen für das Produkt zählen und wohin Fehler gemeldet werden.
Verfügbarkeit der Anwendung und ihrer wichtigen Dienste.
Fehler in kritischen Abläufen wie Anmeldung, Bestellabschluss oder Buchung.
Fehlgeschlagene Hintergrundjobs, Benachrichtigungen und Integrationen von Drittanbietern.
Domainverlängerung, Zertifikatsstatus, Speichergrenzen und Nutzung der Dienste.
Jede Warnung braucht einen Empfänger und eine vereinbarte Reaktion. Legen Sie fest, zu welchen Zeiten jemand reagiert, wie ein dringendes Problem gemeldet wird und wer einspringt, wenn diese Person nicht erreichbar ist. Ein Monatsplan bedeutet keine Bereitschaft rund um die Uhr; die muss ausdrücklich vereinbart werden.
Fragen Sie, was eine Reaktionszusage bedeutet. Ein Problem bestätigen, mit der Untersuchung beginnen und den Dienst wiederherstellen sind getrennte Schritte. Aus der Formulierung sollte hervorgehen, welcher Schritt zugesagt ist und was danach passiert.
Prüfen Sie Leistung und Zugänge, während sich das Produkt verändert
Daten wachsen, neue Funktionen kommen hinzu und echte Nutzer verhalten sich anders als Testkonten. Sehen Sie sich langsame Seiten und teure Vorgänge an, wenn es Hinweise auf ein Problem gibt. Gehen Sie von den Auswirkungen für die Nutzer aus und suchen Sie dann die Ursache, statt aus Gewohnheit die Infrastruktur aufzurüsten.
Überprüfen Sie Kontozugänge, wenn Personen dazukommen oder gehen. Halten Sie Inhaberschaft und Verlängerungsdaten aktuell und dokumentieren Sie, wo die wichtigen Dienste liegen. Ein Produkt sollte nicht von einem vergessenen Konto abhängen, das niemand im Team wiederherstellen kann.
Verlangen Sie einen Wartungsplan, den Sie verstehen
Bevor Sie laufende Arbeit vereinbaren, stellen Sie diese Fragen:
Welche Anwendung, Dienste und Umgebungen sind abgedeckt?
Welche Prüfungen und Routinearbeiten finden tatsächlich statt?
Wer ist für Backups, Wiederherstellungstests, Verlängerungen und die Rechnungen der Dienste zuständig?
Zu welchen Zeiten wird reagiert, und wie melde ich ein dringendes Problem?
Wie wird Zeit für Korrekturen oder Verbesserungen genutzt, und wofür braucht es ein eigenes Angebot?
Welche Aufzeichnung über erledigte Arbeit und verbleibende Risiken bekomme ich?
Was passiert mit Zugängen und Dokumentation, wenn wir die Zusammenarbeit beenden?
Bitten Sie um einen schriftlichen Bericht über erledigte Arbeit und offene Punkte. Ein Wartungsbericht könnte zum Beispiel so aussehen:
Erledigt: Abhängigkeiten der Anwendung aktualisiert und Anmeldung, Passwort-Zurücksetzen und den wichtigsten Buchungsablauf vor dem Release in Staging geprüft.
Wiederherstellungstest: Das neueste Datenbank-Backup in eine getrennte Umgebung eingespielt und eine Stichprobe der Datensätze geprüft. Hochgeladene Dateien waren in diesem Test noch nicht enthalten.
Entscheidung nötig: Der Speicherverbrauch steigt. Die Optionen und ihre voraussichtlichen Auswirkungen sind zur Prüfung aufgelistet, bevor etwas geändert wird.
Das zeigt, wie detailliert ein Bericht sein sollte, und ist keine Zusage für einen bestimmten Monatsrhythmus. Ihr Plan sollte festhalten, welche Prüfungen für Ihr Produkt gelten und wie oft sie stattfinden.
Beginnen Sie mit dem Produkt, das Sie haben
Für einen ersten Blick auf eine öffentliche Website können Sie meinenWebsite-Check oder dasWebsite-Audit nutzen. Beide zeigen Punkte, die eine genauere Untersuchung wert sind. Privaten Anwendungscode können sie nicht einsehen, und sie können nicht belegen, dass Ihre Backups und Kundenabläufe funktionieren.
Wenn Sie laufende Unterstützung möchten,erzählen Sie mir von Ihrem Produkt, den genutzten Diensten und dem, was abgedeckt sein soll. Wir können einen Betreuungsplan auf diese Bedürfnisse zuschneiden oder zuerst eine bestimmte Reihe von Verbesserungen abgrenzen.