Es gibt Sätze, die klingen erst Jahre später richtig absurd.
„Sie müssen das Problem lösen.“
An sich ist das kein ungewöhnlicher Satz. Ein Hoster meldet ein Problem, der Kunde kümmert sich darum, danach läuft alles wieder.
In meinem Fall hatte dieser Satz allerdings einen kleinen Schönheitsfehler: Ich sollte ein Problem lösen, das mir niemand konkret benennen konnte. Oder wollte.
Willkommen in der wunderbaren Welt des Webhostings um 2010.
Damals war ich Anfang zwanzig und betrieb mehrere Webseiten bei 1blu. Ich war kein professioneller Administrator, kein Sicherheitsexperte und ganz sicher niemand mit ausgefeilter Backup-Strategie, Notfallplan und farblich sortiertem Serverkonzept. Ich war ein Hobby-Webmaster. Einer von diesen Leuten, die WordPress installierten, Foren aufsetzten, privaten Projekten eine Startseite bastelten und dachten: So schwer kann dieses Internet ja nicht sein.
Auf meinem Webspace lagen ungefähr zehn Projekte. Private Homepages, Blogs, PHP-Foren, Seiten für Freunde und Bekannte. Darunter auch ein großes Forum mit rund 15.000 Mitgliedern. Das war für mich nicht einfach irgendein technisches Konstrukt. Das war eine Community, in die ich über Jahre Herzblut gesteckt hatte.
Dazu kamen ein paar Seiten, die ich für andere mitgehostet habe. Mal als Gefallen, mal gegen ein kleines Taschengeld. Diese typische Mischung aus „ich kenne mich da ein bisschen aus“ und „klar, ich mach dir das schon“.
Kurz gesagt: Auf diesem Webspace lag so ziemlich alles, was ich mir damals digital aufgebaut hatte.
Und dann wurde er gesperrt.
Nicht einmal. Immer wieder.
1blu teilte mir mit, dass über meinen Webspace Spam verschickt werde oder ein Skript missbraucht würde. Natürlich muss ein Hoster reagieren, wenn über seine Server Spam läuft. Das ist keine Frage. Niemand erwartet, dass ein Anbieter danebensteht und sagt: „Ach, die paar tausend Spam-Mails, das wächst sich schon raus.“
Das Problem war nicht, dass 1blu reagierte.
Das Problem war, wie 1blu reagierte.
Denn die Reaktion bestand nicht darin, mir einen konkreten Hinweis zu geben. Kein betroffener Pfad. Kein Dateiname. Keine betroffene Domain. Nicht einmal ein grober Hinweis wie: „Schauen Sie mal in dieses Verzeichnis, da scheint etwas nicht zu stimmen.“
Stattdessen wurde einfach der komplette Webspace gesperrt.
Alle Seiten offline. Das große Forum, die Blogs, die mitgehosteten Projekte. Alles.
Die Logik dahinter war faszinierend: 1blu wusste offenbar genau genug, dass auf meinem Webspace etwas schieflief, um alles abzuschalten. Aber nicht genau genug, um mir zu sagen, wo ich suchen sollte.
Oder anders gesagt: „Wir wissen, dass bei Ihnen eingebrochen wurde. Durch welches Fenster, sagen wir Ihnen aber nicht. Viel Erfolg beim Reparieren des Hauses.“
Ich fragte nach. Mehrfach. Ich wollte keine forensische Analyse, keine seitenlange Sicherheitsauswertung und auch keine persönliche Führung durch die Serverlogs. Mir hätte der Name der betroffenen Datei gereicht. Oder wenigstens die betroffene Homepage. Dann hätte ich diese Seite sofort abgeschaltet, gelöscht oder in eine digitale Quarantäne gesteckt.
Aber diese Information bekam ich nicht.
Stattdessen blieb der Vorwurf schwammig, die Konsequenz aber maximal konkret: Sperrung des gesamten Pakets.
Also tat ich, was man als überforderter Hobby-Webmaster in so einer Situation eben tut. Ich riet.
Ich spielte Updates ein. Ich aktualisierte WordPress-Installationen. Ich löschte Dateien, die mir irgendwie verdächtig vorkamen. Ich räumte blind auf und hoffte, zufällig das Richtige zu erwischen. Ein bisschen wie russisches Roulette mit Serverdateien.
Danach wurde der Webspace wieder freigeschaltet.
Nicht, weil 1blu mir gesagt hätte: „Genau, das war die betroffene Datei, jetzt ist alles sauber.“ Sondern weil ich meldete, dass ich das Problem behoben hätte. Und offenbar reichte das.
Das war eigentlich der absurdeste Teil dieser Schleife. Ich sollte ein Problem beheben, dessen Ursache ich nicht kannte. Danach erklärte ich, es sei behoben. Und dann wurde freigeschaltet, als hätte irgendjemand tatsächlich überprüfen können, ob das stimmte.
IT-Voodoo in Reinform.
Natürlich dauerte es nicht lange, bis das Problem wieder auftauchte. Dann wurde wieder gesperrt. Wieder nachgefragt. Wieder keine konkrete Information. Wieder blind herumgeraten. Wieder freigeschaltet.
Eine Endlosschleife aus Vorwurf, Sperrung und halbblindem Aktionismus.
Irgendwann kam dann noch eine Unterlassungserklärung ins Spiel. Nach meiner Erinnerung sollte ich juristisch versichern, dass ich keinen Spam mehr versende. Das war schon eine ganz eigene Art von Theater. Ich sollte also unterschreiben, dass ich mein finsteres Doppelleben als internationaler Spam-Baron einstelle.
Dabei verschickte ich keinen Spam. Ich hatte nie Spam verschickt. Wenn irgendein Skript kompromittiert war, wollte ich das wissen und beheben. Ich war kooperativ. Ich hatte selbst überhaupt kein Interesse daran, dass mein Webspace für irgendeinen Mist missbraucht wird. Aber dafür hätte ich eben wissen müssen, wo das Problem lag.
Und genau diese Information bekam ich nicht.
Der Vorwurf war also konkret genug, um meinen Webspace zu sperren. Konkret genug, um Druck aufzubauen. Konkret genug für juristische Drohgebärden. Aber offenbar nicht konkret genug, um mir einen Dateipfad zu nennen.
Irgendwann war dann endgültig Schluss mit diesem technischen Ratespiel.
Das Paket wurde dichtgemacht.
Kein FTP-Zugriff mehr. Kein Zugriff auf die Datenbanken. Kein Adminbereich. Keine Möglichkeit mehr, selbst irgendetwas zu sichern, zu prüfen oder umzuziehen. Parallel dazu stand die Kündigung im Raum.
Für 1blu war das vermutlich nur eine lästige Paketnummer weniger. Für mich bedeutete es: Jahre an Arbeit waren plötzlich hinter einer verschlossenen Tür, und der Schlüssel lag bei genau den Leuten, die mir nicht helfen wollten.
Ich rief beim Support an.
Mein Anliegen war eigentlich sehr einfach. Ich wollte gar nicht mehr Kunde bleiben. Ich wollte nicht diskutieren, ob diese Geschäftsbeziehung noch zu retten ist. Ich wollte keinen Rabatt, keine Entschuldigung und keine zweite Chance.
Ich wollte einfach nur meine Daten.
Danach hätte ich umziehen können. 1blu wäre mich los gewesen, ich hätte meine Projekte gerettet, und alle hätten wenigstens halbwegs sauber aus dieser Nummer herausgefunden.
Man könnte meinen, das wäre ein realistischer Vorschlag gewesen.
War es nicht.
Der Support verwies auf die Abuse-Abteilung. Die Abuse-Abteilung war nur per E-Mail erreichbar. Auf meine E-Mails kam keine brauchbare Reaktion. Also rief ich wieder beim Support an. Dort erklärte man mir mit beeindruckender Ruhe, man könne mir nicht helfen, ich müsse mich an die Abuse-Abteilung wenden.
Oder schriftlich.
Per Brief.
Per Fax.
Vielleicht auch per Brieftaube oder Rauchzeichen. Hauptsache nicht über den echten Menschen, den ich gerade am Telefon hatte.
Ich hatte ein akutes Problem und bekam einen Prozess. Ich wollte meine Daten und bekam Zuständigkeiten. Ich fragte nach einer praktischen Lösung und wurde von einer Abteilung zur nächsten geschoben.
Diese Gespräche haben mich damals wahnsinnig gemacht. Nicht nur, weil ich keine Hilfe bekam, sondern weil der Ton teilweise herablassend und süffisant war. Ich war Anfang zwanzig, überfordert, wütend und hilflos. Und am anderen Ende saßen Menschen, die sich offenbar hinter Abläufen verstecken konnten, während für mich gerade jahrelange Arbeit auf dem Spiel stand.
Teilweise wurde einfach aufgelegt, wenn das Gespräch zu anstrengend wurde.
Kundenservice direkt aus der Hölle.
Weil ich damals dachte, mir würde das später ohne Beweise ohnehin niemand glauben, nahm ich einige Telefonate auf und lud sie bei YouTube hoch. Ob das klug war, ist eine andere Frage. Es zeigt aber ganz gut, wie verzweifelt ich in diesem Moment war. Ich wollte den Ablauf sichtbar machen, weil ich das Gefühl hatte, sonst komplett machtlos zu sein.
Die Mitschnitte verschwanden relativ schnell wieder. Warum genau, weiß ich nicht. Für mein damaliges Gefühl passte es aber nahtlos in die Erfahrung: Sobald ich versuchte, sichtbar zu machen, was da ablief, war auch dieser Versuch wieder weg.
Nach endlosem Hin und Her gab es schließlich doch noch ein beispielloses Zeichen der Großzügigkeit.
Ich bekam Zugriff auf meine Daten.
Für eine Stunde.
Nicht für einen Tag. Nicht für ein Wochenende. Nicht für einen halbwegs realistischen Zeitraum, um mehrere Webseiten, Datenbanken, Bilder, Texte und Projekte zu sichern.
Eine Stunde.
60 Minuten.
Eine Stunde ist keine Datensicherung. Eine Stunde ist ein digitales Fluchtauto mit laufendem Motor, während hinter dir schon die Sirenen näherkommen.
Ich saß vor dem Rechner und musste im Sekundentakt Entscheidungen treffen. Was sichere ich zuerst? Was ist unersetzlich? Was kann ich später vielleicht wieder aufbauen? Was ist für immer weg, wenn ich jetzt falsch priorisiere?
Das große Forum mit den 15.000 Mitgliedern musste zuerst gerettet werden. Also Datenbank exportieren, hoffen, herunterladen. Dann die wichtigsten Dateien. Dann noch irgendetwas. Irgendwelche Reste. Alles unter Zeitdruck, alles mit dem Wissen, dass die Uhr läuft.
Ich wusste schon währenddessen, dass ich es nicht schaffen würde.
Am Ende konnte ich die Foren-Datenbank sichern und ein paar Teile vom Webspace retten. Aber vieles ging verloren. Datenbanken, Bilder, Texte, Kundenseiten, Erinnerungen. Dinge, die ich heute nicht einmal mehr vollständig benennen kann, weil sie einfach weg waren.
Das war der eigentliche Schaden.
Nicht, dass es ein Sicherheitsproblem gab. Sicherheitsprobleme passieren. Gerade damals, gerade bei Hobbyprojekten, gerade bei einem jungen Menschen, der sich vieles selbst beigebracht hatte. Natürlich hätte ich bessere Backups haben müssen. Das ist mein Teil der Verantwortung, und den sehe ich heute klarer als damals.
Ich war zu sorglos. Ich dachte, es wird schon gutgehen. Ich hatte keine saubere Backup-Strategie. Das war naiv.
Aber die Naivität eines jungen Kunden ist kein Freifahrtschein für einen Hoster, sich im Ernstfall wie ein Türsteher vor den eigenen Daten zu verhalten.
Denn 1blu verlangte von mir, ein Problem zu lösen, das man mir nicht konkret benannte. Gleichzeitig wurde mir der Zugang zu genau den Daten erschwert oder entzogen, die ich zur Lösung und später zur Rettung gebraucht hätte.
Und genau darin lag für mich der Irrsinn.
Wenn 1blu wusste, dass ein Skript auf meinem Webspace Spam verschickte, dann musste diese Information ja irgendwoher kommen. Aus Logs, Statistiken, internen Sicherheitssystemen oder was auch immer. Irgendwo musste auffallen, dass etwas massenhaft Mails verschickt.
Dann stellt sich die Frage: Warum konnte man mir nicht sagen, welche Datei, welches Skript oder wenigstens welche Homepage betroffen war?
Und wenn man es selbst nicht wusste, stellt sich die andere Frage: Wie sollte ich es dann wissen?
1blu war als Hoster viel näher an der technischen Infrastruktur als ich. Dort liefen die Server. Dort mussten die Auffälligkeiten sichtbar werden. Dort gab es zumindest theoretisch die Möglichkeit, genauer einzugrenzen, was passierte.
Aber statt gezielt eine Datei, ein Skript oder eine betroffene Seite stillzulegen, wurde immer wieder mein kompletter Webspace dichtgemacht. Alles. Auch Projekte, die mit dem Problem möglicherweise überhaupt nichts zu tun hatten.
Das war hart, aber vor allem war es unlogisch.
Ich hätte jede betroffene Seite sofort abgeschaltet. Ich hätte Dateien gelöscht. Ich hätte Projekte getrennt. Ich hätte alles getan, um den Missbrauch zu stoppen. Aber ich bekam nicht die Information, die ich dafür gebraucht hätte.
Am Ende blieb nur dieses absurde Machtverhältnis: Der Anbieter kontrollierte den Zugang, verweigerte konkrete Hilfe, verlangte aber gleichzeitig von mir die Lösung.
Als wäre ich als Hobby-Webmaster tiefer in die Serverinfrastruktur eingeweiht als der Hoster selbst.
Diese Erfahrung hat sich bei mir eingebrannt. Nicht nur wegen der verlorenen Daten, sondern wegen dieses Gefühls völliger Abhängigkeit. Man merkt in so einem Moment, dass ein Webhoster nicht einfach nur Speicherplatz verwaltet. Er verwaltet Zugang. Und wer den Zugang kontrolliert, kontrolliert im Ernstfall, ob man überhaupt noch handlungsfähig ist.
Ich würde nach dieser Erfahrung nie wieder auch nur ein einziges Byte bei 1blu hosten. Nicht mal eine statische HTML-Seite mit einem Katzenbild.
Und ich kann jedem nur raten, genau hinzuschauen, wem man seine Daten anvertraut.
Denn Backups sind wichtig. Das habe ich damals auf die harte Tour gelernt. Aber mindestens genauso wichtig ist ein Dienstleister, der im Ernstfall nicht nur Prozesse abspult, sondern tatsächlich kooperiert.
Ein Anbieter, der konkrete Probleme nur vage benennt, den Zugang sperrt, Hilfe verweigert und am Ende eine Stunde Datenzugriff wie ein Almosen verteilt, ist aus meiner Sicht kein verlässlicher Partner. Er ist ein Risiko.
Manchmal zeigt sich dieses Risiko nicht in einem großen Knall.
Manchmal zeigt es sich im Ticken einer Uhr.
In 60 Minuten, in denen man vor dem Monitor sitzt, Dateien herunterlädt, Entscheidungen trifft, die man gar nicht treffen kann, und dabei zusieht, wie Jahre an Arbeit im digitalen Nirvana verschwinden.