Was geht kaputt, wenn die Zeit abweicht?
Zuerst die Anmeldung. Das Verfahren, mit dem sich Geräte in einer Windows-Domäne ausweisen, arbeitet mit Zeitstempeln und lässt standardmäßig fünf Minuten Abweichung zu. Darüber wird der Ausweis abgelehnt – und die Meldung spricht von falschen Zugangsdaten oder einem nicht erreichbaren Server, nicht von der Uhr. Das ist der Grund, warum dieser Fehler oft stundenlang an der falschen Stelle gesucht wird.
Dann die Protokolle. Wenn drei Systeme unterschiedlich gehen, lässt sich nach einem Vorfall nicht mehr rekonstruieren, was in welcher Reihenfolge passiert ist. Genau das ist aber die Frage, die nach einem Angriff zuerst gestellt wird – und ohne gemeinsame Zeit ist sie nicht zu beantworten.
Und die Zertifikate: Ihre Gültigkeit wird gegen die lokale Uhr geprüft. Geht sie falsch, meldet der Browser bei jeder Seite eine Warnung, obwohl alle Zertifikate in Ordnung sind. Das ist der harmlos aussehende Fall, der Mitarbeitende daran gewöhnt, Warnungen wegzuklicken.
Im Betrieb: Wenn mehrere Geräte gleichzeitig Zertifikatswarnungen zeigen oder sich nicht mehr anmelden lassen, gehört die Uhrzeit zu den ersten drei Dingen, die man prüft – nicht zu den letzten.
Wie ist die Zeit im Netz richtig aufgebaut?
Als Kette mit genau einer Wurzel. Ein Gerät im Haus holt die Zeit von außen, alle anderen holen sie von diesem Gerät. In einer Windows-Domäne ist das der Domänencontroller mit der Rolle des Zeitgebers; alle Mitgliedsserver und Arbeitsplätze beziehen ihre Zeit von ihm, ohne dass jemand etwas einstellen muss.
Der Fehler, der dabei am häufigsten gemacht wird: Einzelne Geräte werden zusätzlich auf eine eigene Quelle im Internet gestellt – gut gemeint und schädlich, weil damit zwei Zeiten im Haus unterwegs sind. In virtuellen Umgebungen kommt eine dritte dazu, wenn die Gastsysteme ihre Zeit zusätzlich vom Wirt beziehen.
Für die Quelle nach außen gibt es in Deutschland eine naheliegende Wahl: Die Physikalisch-Technische Bundesanstalt betreibt öffentlich erreichbare Zeitserver, die die gesetzliche Zeit führen. Daneben stehen die Serververbünde der Zeitprojekte, die mehrere Rechner unter einem Namen bündeln.
- Eine Quelle nach außen, ein Gerät im Haus, das sie verteilt.
- Alle anderen Geräte beziehen ihre Zeit von diesem einen – nicht selbst aus dem Internet.
- In virtuellen Umgebungen den Zeitabgleich über den Wirt für Domänenmitglieder abschalten.
- Der Anschluss für den Abgleich muss durch die Firewall dürfen, sonst holt sich niemand etwas.
Welche Rolle spielt die Zeit bei Aufbewahrungspflichten?
Die GoBD verlangen, dass aufzeichnungspflichtige Geschäftsvorfälle zeitgerecht erfasst und nachvollziehbar sind – dazu gehört ein Zeitstempel, auf den man sich verlassen kann. Ein Warenwirtschaftssystem, dessen Server zwanzig Minuten nachgeht, erzeugt Belege mit falschen Zeiten, und das fällt bei einer Prüfung als Erstes auf.
Bei Kassensystemen ist die Anforderung noch enger: Die Kassensicherungsverordnung verlangt eine technische Sicherheitseinrichtung, die jeden Vorgang mit einem Zeitstempel versieht. Eine abweichende Systemzeit führt dort zu Aufzeichnungen, deren Reihenfolge nicht stimmt.
Das ist keine Formalie. Die Zeitangabe ist das, woran sich ein Prüfer entlanghangelt, wenn er die Vollständigkeit einer Aufzeichnung beurteilt – und eine Abweichung, die sich über Monate zieht, lässt sich nachträglich nicht bereinigen.
Häufige Anschlussfragen
Wie prüfe ich, ob die Zeit im Haus stimmt?
Mit einer Abfrage auf jedem Server und einigen Arbeitsplätzen: Welche Quelle wird verwendet, wann war der letzte erfolgreiche Abgleich und wie groß ist die Abweichung? Ein Unterschied von wenigen Sekunden ist normal, Minuten sind ein Befund. Wichtig ist, nicht nur die Anzeige zu vergleichen, sondern die Quelle – zwei Geräte können dieselbe Zeit zeigen und trotzdem verschieden abgeglichen sein.
Reicht es nicht, wenn jedes Gerät seine Zeit aus dem Internet holt?
Zu Hause ja. Im Firmennetz nein: Unterschiedliche Quellen liefern minimal unterschiedliche Zeiten, und Geräte ohne Internetzugang bekommen gar nichts. Die Kette mit einer Wurzel sorgt dafür, dass im Haus alle dieselbe Zeit haben – das ist wichtiger, als dass sie auf die Millisekunde mit der Weltzeit übereinstimmt.
Was ist mit der Sommerzeit?
Die Umstellung macht das Betriebssystem selbst, solange die Zeitzone richtig eingestellt ist. Probleme gibt es fast nur bei Geräten mit fest eingestellter Zeit – Zeiterfassung, Kameras, Steuerungen – die zweimal im Jahr eine Stunde daneben liegen. Das fällt dann bei der Auswertung auf, ein halbes Jahr später.
Wie genau muss es sein?
Für den normalen Betrieb reichen wenige Sekunden Abweichung. Wo Aufzeichnungen rechtlich zählen, sollte es deutlich enger sein – und wo Protokolle mehrerer Systeme zusammengeführt werden, ebenfalls. Der Aufwand dafür ist gering: Eine saubere Kette liefert diese Genauigkeit von selbst.
Dazu passt