Uptime-SLAs, Die Etwas Wert Sind

Ein Uptime-SLA sieht aus wie ein Versprechen und verhält sich wie eine Rückerstattungsregel. Anbieter wissen das. Kunden häufig nicht, und sie unterschreiben ein Service Level Agreement in dem Glauben, Verfügbarkeit gekauft zu haben, während sie in Wirklichkeit einen kleinen Rabatt für den Fall gekauft haben, dass sie diese nicht bekommen.

Das ist nicht zwangsläufig ein schlechtes Geschäft. Es ist nur ein anderes Geschäft als jenes, das die meisten Menschen zu machen glauben, und der Unterschied zählt genau dann, wenn das System steht und jemand fragt, was der Vertrag eigentlich sagt.

Drei Neunen klingen nach beinahe perfekt und erlauben 43 Minuten Ausfall pro Monat. Vier Neunen erlauben vier. Wenn Ihr Geschäft einen Ausfall von 43 Minuten an einem Arbeitsnachmittag verkraftet, sind 99,9% völlig ausreichend und Sie sollten für mehr nicht bezahlen. Wenn nicht, hilft keine Zahl von Neunen, denn die Vereinbarung zahlt Ihnen eine Gutschrift, statt den Ausfall zu verhindern.

Was ein Uptime-SLA in Minuten verspricht

Die Prozentwerte pressen eine große Spanne in einen klein wirkenden Unterschied. Als Zeit geschrieben werden die Abstände sofort deutlich.

Daraus folgen zwei Dinge. Der Schritt von 99,9% auf 99,99% zehntelt die erlaubte Ausfallzeit und kostet in der Regel ein Vielfaches mehr, weil er eine Redundanz verlangt, die jeden einzelnen Ausfallpunkt beseitigt, den Deployment-Prozess eingeschlossen. Und alles ab fünf Neunen liegt unter der Zeit, die ein Mensch braucht, um eine Störung zu bemerken und darauf zu reagieren, lässt sich also nur von Systemen halten, die ohne menschliches Zutun umschalten.

Legen Sie die Zahl danach fest, was ein Ausfall Sie tatsächlich pro Stunde kostet, nicht danach, was beeindruckend klingt. Die meisten Geschäftssysteme sind mit 99,9% ehrlich gut bedient.

Service Credits sind keine Entschädigung

Das Rechtsmittel in nahezu jedem Uptime-SLA ist eine Gutschrift auf künftige Gebühren, meist ein Prozentsatz der Monatsrechnung und oft gedeckelt auf genau diesen Monatsbetrag. Das Compute-SLA von Google Cloud ist ein typisches Beispiel: nur Gutschriften, vom Kunden zu beantragen, gedeckelt.

Das heißt: Sie holen höchstens ungefähr das zurück, was Sie für den Zeitraum bezahlt haben, und das liegt bei den meisten Diensten weit unter dem, was ein Ausfall kostet. Eine Plattform für ein paar hundert Pfund im Monat kann keinen Tag entgangenen Handel ausgleichen, und kein Anbieter wird Bedingungen zustimmen, unter denen sie es könnte.

Gutschriften werden außerdem häufig nur auf Antrag gewährt, nicht automatisch. Sie müssen den Verstoß bemerken, ihn berechnen und den Anspruch innerhalb einer Frist einreichen, die manchmal nur dreißig Tage beträgt. Anbieter sind nicht verpflichtet, von sich aus mitzuteilen, dass sie ihr Ziel verfehlt haben, und die meisten tun es auch nicht.

Die praktische Schlussfolgerung lautet, die Gutschrift nicht länger als Schutz zu betrachten. Sie ist ein Signal dafür, wie ernst der Anbieter seine eigene Zahl nimmt. Was Sie wirklich schützt, ist die Architektur, zusammen mit der Wiederanlaufplanung aus unserem Leitfaden zur Notfallwiederherstellung.

Die Klauseln, die alles entscheiden

Was als Ausfall zählt. Nur vollständige Nichterreichbarkeit, oder auch verschlechterte Leistung? Ein Dienst, der nach dreißig Sekunden antwortet, ist unbrauchbar und nach den meisten Definitionen verfügbar. Nehmen Sie eine Latenzschwelle in die Definition auf, wenn Antwortzeit für Sie zählt.

Wie und von wem gemessen wird. Fast immer vom Anbieter, mit dessen eigenem Monitoring, aus dessen eigenem Netz. Das misst seine Infrastruktur, nicht Ihre Erfahrung. Vereinbaren Sie den Messpunkt und betreiben Sie trotzdem eigenes Monitoring, denn eine Zahl, die Sie nie selbst beobachtet haben, können Sie auch nicht bestreiten.

Ausschlüsse. Geplante Wartung ist meist vollständig ausgenommen, ein Anbieter kann also Stunden im Monat nicht verfügbar sein, ohne irgendetwas zu verletzen. Prüfen Sie, wie viel Vorlauf nötig ist und ob es eine Obergrenze gibt. Ebenfalls ausgenommen: alles, was Ihrer Konfiguration, einem Dritten oder höherer Gewalt zugerechnet wird, und diese Kategorien schlucken einiges.

Das Messfenster. Monatlich ist Standard und spielt Ihnen in die Hände. Eine jährliche Messung erlaubt dem Anbieter einen langen Ausfall bei gleichzeitig erfülltem Ziel, denn ein ganzer Tag Stillstand passt bei 99,9% noch in das Jahresbudget.

Reaktion gegen Behebung. Viele Vereinbarungen verpflichten sich auf eine Reaktion innerhalb einer Frist und sagen zur Behebung nichts. Eine Reaktion binnen einer Stunde bei unbegrenzter Behebungsdauer ist eine verbreitete Form und deutlich schwächer, als sie sich liest.

Was Sie stattdessen verlangen sollten

Drängen Sie auf die Dinge, die Verhalten verändern, nicht auf die Schlagzeilenzahl.

Eine Obergrenze für geplante Wartung, mit Vorankündigung und einem Fenster außerhalb Ihrer Spitzenzeiten. Das beeinflusst die reale Verfügbarkeit oft stärker als der Prozentwert.

Transparenz zum Status, also eine öffentliche Statusseite und die Zusage, Störungen zügig zu veröffentlichen. Ein Anbieter, der eigene Ausfälle meldet, sagt Ihnen etwas darüber, wie er arbeitet.

Ein definierter Eskalationspfad mit Namen oder Rollen und mit Zeiten, damit ein Vorfall nicht damit beginnt, dass jemand erst herausfinden muss, wen er anrufen soll.

Störungsberichte nach größeren Ausfällen, die beschreiben, was passiert ist und was sich daraufhin geändert hat. Das ist das aufschlussreichste Dokument, das ein Anbieter Ihnen geben kann, und Zurückhaltung dabei ist selbst schon aufschlussreich.

Kündigungsrechte bei wiederholtem Versagen. Dauerhafte Unterleistung sollte Ihnen erlauben, ohne Strafe zu gehen. Dieses Recht ist mehr wert als jede Gutschrift, weil es das einzige Mittel ist, das dem Schaden angemessen ist.

Wenn Sie selbst ein SLA anbieten

Nennen Sie eine Zahl, die Sie in Ihrem schlechtesten Monat halten, nicht in einem durchschnittlichen, und messen Sie sie selbst, bevor Sie sich darauf festlegen. Anbieter, die sich auf einen nie überprüften Wert festlegen, entdecken die Lücke in aller Öffentlichkeit.

Definieren Sie geplante Wartung ehrlich und halten Sie das Fenster ein. Veröffentlichen Sie eine Statusseite. Schreiben Sie den Störungsbericht auch dann, wenn niemand danach fragt, denn die Kunden, die bleiben, sind jene, die Ihnen glauben, dass Sie verstanden haben, was geschehen ist.

Und kalkulieren Sie die Stufen nach dem, was sie in der Lieferung wirklich kosten. Vier Neunen sind keine Marketingentscheidung, sie sind redundante Infrastruktur, automatisches Umschalten und ein Deployment-Prozess, der das System nicht anhalten kann, und all das hat eine Rechnung im Schlepptau. Die operative Grundlage dafür beschreibt unser Leitfaden zur CI/CD-Pipeline, und dort fängt das meiste davon an.

Mecanik baut und betreibt Systeme unter Verfügbarkeitszusagen, als Teil unserer Server-Sicherheitsanalyse. Die Zusage, die sich zu geben lohnt, ist fast immer jene, die Sie auch in einer schlechten Woche halten.

Häufig gestellte Fragen

Wie viel Ausfallzeit erlaubt eine Verfügbarkeit von 99,9%? 8,76 Stunden im Jahr oder 43,2 Minuten im Monat. Der Schritt auf 99,99% senkt das auf 52,6 Minuten im Jahr und 4,32 Minuten im Monat, also auf ein Zehntel, und kostet in der Lieferung meist weit mehr als das Zehnfache, weil dafür jeder einzelne Ausfallpunkt verschwinden muss, den Deployment-Prozess eingeschlossen.

Sind Service Credits eine echte Entschädigung für Ausfälle? Nein. Gutschriften sind meist ein Prozentsatz der Monatsgebühr und auf die Monatsrechnung gedeckelt, Sie holen also höchstens ungefähr das zurück, was Sie bezahlt haben, und das liegt weit unter den üblichen Kosten eines Ausfalls. Sie sind zudem oft antragsgebunden mit kurzer Frist, und Anbieter melden von sich aus selten, dass sie ihr Ziel verfehlt haben.

Worauf sollte ich in einem Uptime-SLA achten? Was als Ausfall zählt und ob verschlechterte Leistung dazugehört, wer wo misst, was die Ausschlüsse abdecken, ob geplante Wartung gedeckelt und angekündigt ist, ob das Fenster monatlich oder jährlich läuft und ob die Zusage der Reaktion oder der Behebung gilt.

Warum ist das Messfenster so wichtig? Eine monatliche Messung begünstigt den Kunden. Eine jährliche erlaubt dem Anbieter einen einzigen langen Ausfall bei erfülltem Ziel, denn ein ganzer Tag Stillstand passt bei 99,9% in das Jahresbudget. Derselbe Fehler würde eine monatliche Vereinbarung glatt verletzen.

Was lohnt sich zu verhandeln statt einer höheren Zahl? Eine Obergrenze für geplante Wartung mit Ankündigung außerhalb der Spitzenzeiten, eine öffentliche Statusseite mit zügiger Meldung von Störungen, ein benannter Eskalationspfad mit Zeiten, schriftliche Störungsberichte nach größeren Ausfällen und Kündigungsrechte bei wiederholtem Versagen. Das Letzte ist das einzige Mittel, das dem Schaden angemessen ist.