Wenn ein Ablauf ausfällt: was passieren darf und was nicht
Ein ausgefallener Ablauf darf nichts verlieren und muss sich melden. Konkret heißt das: Eingehende Daten werden gespeichert, bevor verarbeitet wird; jeder Fehler erzeugt eine Meldung an einen Menschen; es gibt einen Weg, den Vorgang von Hand zu erledigen. Der gefährliche Fall ist nicht der Ausfall, sondern der stille Ausfall.
- Ein stiller Ausfall ist schlimmer als gar keine Automatisierung.
- Erst speichern, dann verarbeiten, sonst geht bei einem Fehler die Anfrage verloren.
- Jeder Fehler braucht einen Empfänger mit Namen, keine Sammeladresse.
- Wiederholungen mit wachsendem Abstand statt sofortiger Dauerversuche.
- Ein Ablauf sollte lieber anhalten als etwas Falsches tun.
- Der Weg von Hand muss beschrieben sein, bevor er gebraucht wird.
- Prüfen Sie einmal im Quartal, ob die Fehlermeldung überhaupt noch ankommt.
Die Frage kommt selten von selbst. Wer einen Ablauf bauen lässt, fragt nach Funktion und Preis, nicht nach dem Verhalten im Fehlerfall.
Dabei entscheidet genau das darüber, ob Automatisierung dem Betrieb hilft oder ihn irgendwann teuer überrascht. Ein Ablauf, der drei Wochen still steht, während alle davon ausgehen, dass er läuft, kostet mehr als er je gespart hat.
Warum ein Ablauf überhaupt ausfällt
Die Ursachen sind selten spektakulär:
Ein Zugang läuft ab. Zugangsschlüssel haben Laufzeiten, Passwörter werden geändert, eine Anmeldung wird zurückgezogen. Das ist die häufigste Ursache.
Ein angebundenes System ändert sich. Ein Feld heißt anders, eine Schnittstelle bekommt eine neue Fassung, ein Anbieter stellt einen Dienst ein.
Unerwartete Daten. Ein Formularfeld enthält etwas, womit niemand gerechnet hat. Ein Anhang ist zehnmal so groß wie üblich. Ein Datum steht in einem anderen Format.
Der Dienst ist kurz nicht erreichbar. Wartungsfenster, Netzstörung, Überlast. Meist Minuten, gelegentlich Stunden.
Der Server steht. Bei eigenem Betrieb: Aktualisierung schiefgelaufen, Speicher voll, Neustart ohne automatischen Start des Dienstes.
Alle fünf sind normal. Kein Ablauf läuft jahrelang unberührt, das ist keine Schwäche der Technik, sondern eine Eigenschaft vernetzter Systeme.
Die vier Regeln
Regel 1: Erst speichern, dann verarbeiten. Eine eingehende Anfrage wird als Erstes unverändert abgelegt, vor jeder Prüfung, jeder Umformung, jedem Versand. Wenn danach etwas scheitert, ist die Anfrage trotzdem da. Wer erst verarbeitet und dann speichert, verliert bei jedem Fehler den Vorgang.
Regel 2: Jeder Fehler meldet sich. An eine Adresse, die ein Mensch mit Namen liest. Die Meldung enthält: welcher Ablauf, wann, welcher Schritt, welche Fehlermeldung, und wo der betroffene Vorgang liegt. Fünf Zeilen genügen.
Regel 3: Im Zweifel anhalten. Ein Ablauf, der bei unklaren Daten rät, erzeugt Fehler, die niemand bemerkt. Ein Ablauf, der anhält und meldet, erzeugt fünf Minuten Arbeit. Die zweite Variante ist immer die bessere.
Regel 4: Es gibt einen Weg von Hand. Für jeden Ablauf muss beschrieben sein, wie der Vorgang ohne ihn erledigt wird. Nicht als Theorie, jemand im Betrieb sollte es einmal getan haben.
- Niemand erfährt davon
- Vorgänge gehen verloren
- Auffällig erst nach Wochen
- Vertrauen ist danach weg
- Ursache schwer rekonstruierbar
- Meldung innerhalb von Minuten
- Vorgänge liegen gesichert
- Behebung am selben Tag
- Vertrauen bleibt
- Fehlermeldung nennt die Stelle
Wiederholungen richtig setzen
Viele Fehler sind vorübergehend: Der Dienst war eine Minute nicht erreichbar, danach geht es wieder. Für diese Fälle lohnt eine automatische Wiederholung, aber mit Maß.
Wachsende Abstände. Nach einer Minute, dann nach fünf, dann nach zwanzig. Nicht zwanzigmal hintereinander sofort, das belastet den anderen Dienst und hilft nicht.
Eine Obergrenze. Nach drei bis fünf Versuchen wird abgebrochen und gemeldet. Ein Ablauf, der stundenlang erfolglos wiederholt, verdeckt das Problem.
Nur bei geeigneten Fehlern. Eine nicht erreichbare Verbindung darf wiederholt werden. Ein abgelehnter Zugang nicht, der wird beim zehnten Versuch auch nicht besser, und manche Dienste sperren nach zu vielen Fehlversuchen.
Niemals bei Aktionen, die etwas auslösen. Wenn unklar ist, ob eine Nachricht bereits versendet oder ein Datensatz bereits angelegt wurde, darf nicht blind wiederholt werden. Sonst bekommt ein Kunde dieselbe Bestätigung fünfmal. Solche Schritte brauchen eine Kennung, an der erkennbar ist, ob sie schon ausgeführt wurden.
Bestehende Abläufe prüfen
Wir sehen uns Ihre laufenden Abläufe an: Was passiert bei einem Fehler, und würde es jemand merken? Dreißig Minuten per Google Meet, kostenlos.
Analysegespräch buchenEine Seite je Ablauf, ausgedruckt im Ordner. Digital gespeicherte Notfallpläne sind genau dann nicht erreichbar, wenn man sie braucht.
Der Test, den kaum jemand macht
Fehlermeldungen haben eine unangenehme Eigenschaft: Sie funktionieren so lange, bis sie es nicht mehr tun, und dann fällt es niemandem auf, weil das Ausbleiben einer Meldung wie Normalbetrieb aussieht.
Typische Gründe: Die Empfängeradresse gehört zu jemandem, der nicht mehr im Betrieb ist. Der Absender landet inzwischen im Spam-Ordner. Der Benachrichtigungsdienst wurde umgestellt.
Deshalb gehört einmal im Quartal ein Test dazu, und er dauert fünf Minuten: Fehler absichtlich auslösen, etwa einen Zugang kurz falsch setzen, und prüfen, ob die Meldung ankommt. Danach zurückstellen.
Dasselbe gilt für die Frage, ob jemand die Meldung auch liest. Eine Adresse, die technisch funktioniert, aber von niemandem geöffnet wird, ist kein Melder.
Wie stark darf ein Betrieb sich abhängig machen?
Eine Frage, die sich nach dem dritten oder vierten Ablauf stellt und die vorher niemand beantwortet.
Automatisierung entfaltet ihren Nutzen dadurch, dass niemand mehr an den Vorgang denken muss. Genau das erzeugt aber eine Abhängigkeit: Was nicht mehr im Kopf ist, kann auch nicht mehr von Hand gemacht werden, wenn niemand mehr weiß, wie es ging.
Eine brauchbare Einteilung nach Kritikalität:
Unkritisch. Fällt der Ablauf drei Tage aus, entsteht kein Schaden, es sammelt sich nur etwas an. Beispiel: Dokumente ablegen, Zusammenfassungen erzeugen. Hier genügt die Fehlermeldung.
Wichtig. Ein Ausfall kostet Geschäft, aber nichts geht verloren. Beispiel: Anfragen verteilen, Angebote nachfassen. Hier braucht es zusätzlich den beschriebenen Weg von Hand und eine benannte Vertretung.
Kritisch. Ein Ausfall wirkt sofort nach außen. Beispiel: Terminbestätigungen an Kunden, Übergaben an einen Notdienst. Hier gehört zusätzlich eine Überwachung dazu, die anschlägt, wenn zu lange nichts passiert ist, und ein zweiter Weg, der ohne den Ablauf funktioniert.
Die praktische Konsequenz: Ordnen Sie jeden Ablauf einer der drei Stufen zu, bevor er in Betrieb geht. Die Zuordnung entscheidet, wie viel Aufwand in Absicherung fließt, und sie verhindert die beiden häufigen Fehler: alles gleich stark abzusichern, was teuer ist, oder gar nichts, was riskant ist.
Und eine Regel, die sich bewährt hat: Kritische Abläufe sollten nie der erste Ablauf eines Betriebs sein. Fangen Sie mit etwas Unkritischem an, sammeln Sie Erfahrung mit Meldungen und Störungen, und gehen Sie erst dann an die Vorgänge, bei denen ein Ausfall wehtut.
Häufige Fragen
Wie schnell merken wir einen Ausfall?
Bei einem Ablauf mit Fehlermeldung: sofort. Bei einem Ablauf, der still steht, weil sein Auslöser nicht mehr feuert, gar nicht, dafür braucht es zusätzlich eine Überwachung, die meldet, wenn zu lange nichts passiert ist.
Was ist ein Totmannschalter in diesem Zusammenhang?
Eine Überwachung, die anschlägt, wenn ein Ablauf sich nicht regelmäßig meldet. Sinnvoll bei allem, was verlässlich laufen muss, etwa der nächtlichen Datenübertragung.
Sollten Kunden etwas vom Ausfall merken?
Möglichst nicht. Deshalb ist die Eingangsbestätigung ein Schritt, der nach dem Speichern kommt und im Zweifel nachgeholt wird. Was Kunden nie erleben sollten, ist eine doppelte Bestätigung.
Wie viele Fehler sind normal?
Bei einem eingespielten Ablauf einige wenige pro Monat, meist durch unerwartete Daten. Wenn täglich Meldungen kommen, ist entweder der Ablauf zu streng oder eine Ursache unbearbeitet, beides gehört behoben, sonst werden Meldungen ignoriert.
Was, wenn der Dienstleister nicht erreichbar ist?
Deshalb der Weg von Hand. Er ist keine Notlösung für den Extremfall, sondern der Normalzustand für ein paar Tage, und er muss funktionieren, ohne dass jemand von außen hilft.
Der nächste Schritt
Prüfen Sie bei jedem laufenden Ablauf zwei Dinge: Wohin geht die Fehlermeldung, und wann ist sie zuletzt angekommen? Wenn Sie eine der beiden Fragen nicht beantworten können, ist das Ihre nächste Aufgabe.
Weiterführend: n8n für Betriebe, Automatisierung auf eigenem Server und Übergabe statt Abhängigkeit. Unser Vorgehen steht unter KI & Automatisierung. Oder anrufen unter 07903 943946.