Wie ich einer KI beigebracht habe, meine Infrastruktur zu betreiben

Kurzfazit: Rund 90 Container und VMs, betrieben von einer Person — möglich durch ein dreischichtiges System: Skills als Wissenstransfer an die KI, ein Gedächtnis, das Incidents in dauerhafte Regeln verwandelt, und harte Leitplanken für alles Destruktive. Plus die Panne von heute, die zeigt, wo so ein System selbst bricht: veraltete Doku wird zur aktiven Fehlerquelle.

Praxisserie „Agentic Ops", Folge 3. Transparenz: Alle Folgen basieren auf realen Vorfällen aus meiner eigenen Infrastruktur; Details, die Rückschlüsse auf interne Systeme erlauben, sind verallgemeinert.

Rund 90 Container und VMs, zwei Proxmox-Nodes, eigenes DNS, eigener Mail-Stack, ein gutes Dutzend Projekte — betrieben von einer Person. Das geht nicht, weil ich schneller tippe als andere. Es geht, weil der eigentliche Betrieb inzwischen von KI-Agenten erledigt wird, und zwar nicht von einem „schlauen Chatbot mit SSH-Zugang", sondern von einem System, das über zwei Jahre gewachsen ist und aus drei Schichten besteht.

Schicht 1: Skills — Wissenstransfer wie an einen neuen Admin

Der Kern sind gut zwei Dutzend „Skills": Markdown-Dokumente, die der Agent zu Beginn einer Aufgabe lädt, geschrieben wie ein Handover vom Senior an den Junior. Jede Skill hat dieselbe Struktur, und die ist wichtiger als jedes Tooling:

• Systemlandschaft — was existiert, wo liegen Zugänge, welche Pfade gelten.
• Workflows — Standardaufgaben mit exakten Befehlen, nicht mit Prosa.
• Pitfalls MIT Begründung — nicht „mach X nie", sondern „mach X nie, WEIL uns am [Datum] Folgendes passiert ist". Der Grund ist der Teil, der den Agenten davon abhält, die Regel in einer unvorhergesehenen Situation falsch zu verallgemeinern.
• Definition of Done — was verifiziert sein muss, bevor „fertig" gemeldet werden darf.
• Eskalation — welche Entscheidungen ausdrücklich NICHT der Agent trifft: alles mit großem Blast-Radius, alles Destruktive, alles mit Geld.

Der Effekt: Ein frischer Agent ohne jedes Vorwissen macht am ersten „Arbeitstag" keinen der Fehler mehr, die mich früher Stunden gekostet haben. Die Firewall-Falle, die einmal clusterweit den Egress gekillt hat? Steht in der Skill, mit Datum und Recovery-Befehl. Der Reverse-Proxy, den man nie neu starten darf, sondern nur reloaden? Steht drin, mit dem Grund.

Schicht 2: Gedächtnis — Incidents werden zu Kapital

Daneben pflegt der Agent selbst ein Gedächtnis: kleine Merkdateien, eine pro Fakt — „dieses Tool halluziniert bei PDF-Zusammenfassungen, nimm den anderen Weg", „diese API sperrt nach fünf Fehlversuchen für fünf Minuten, und Retries resetten den Timer nicht". Dazu ein menschenlesbares Changelog in meinem Wissens-Vault: Jede nicht-triviale Arbeit wird dokumentiert, jede bewusste Entscheidung landet in einem Decision-Log.

Das klingt nach Bürokratie. Es ist das Gegenteil: Jeder Incident macht das System dauerhaft besser, weil die Lektion nicht in meinem Kopf verdunstet, sondern in die Skill des betroffenen Gebiets eingearbeitet wird. Der Cryptominer aus Folge 2 hat eine komplette Deploy-Checkliste hinterlassen, die heute jedes Go-Live blockiert, bis sie erfüllt ist. Die verwaiste Datenbank aus Folge 1 hat einen wöchentlichen Verwaisungs-Scan hinterlassen. Fehler sind hier keine Schande, sie sind Rohstoff.

Schicht 3: Leitplanken — was die KI ausdrücklich nicht darf

Die unbequeme Wahrheit über KI-Agenten mit Infrastruktur-Zugang: Die Frage ist nicht, ob sie Fehler machen, sondern wie teuer der schlimmste anzunehmende Fehler ist. Deshalb sind die harten Grenzen nicht verhandelbar und stehen in jeder relevanten Skill:

• Nichts Destruktives ohne explizite Freigabe — Löschen, öffentlich schalten, Geld bewegen: immer Mensch.
• Vor riskanten Eingriffen: Backup nachweisen, nicht behaupten.
• „Fertig" heißt verifiziert — der Agent muss zeigen, dass es läuft, nicht versichern.
• Und: ausgewiesenes Autonomie-Budget. Ein, zwei selbstständige Arbeitswellen pro Session, dann Rückmeldung.

Wo bricht so ein System? Der Fehler von heute

Damit das hier kein Werbeprospekt wird, die Panne von heute — sie ist lehrreicher als jeder Erfolg.

Ich hatte den Agenten um eine schonungslose Analyse meines Gesamt-Setups gebeten. Er lieferte — unter anderem die Empfehlung, endlich eine bekannte Netzwerk-Architektur-Schuld anzugehen. Klang fundiert, stand so in der Betriebs-Doku.

Das Problem: Die Schuld war seit einer Woche beglichen. Der Umbau war längst live, und ein anderer Absatz derselben Skill erwähnte ihn sogar — nur der Pitfall-Absatz war nicht nachgezogen worden. Der Agent hat die Doku zitiert, statt das Live-System zu prüfen, obwohl er Zugang hatte. Ich habe es in der Antwort sofort gesehen, er hat es verifiziert, korrigiert und die Skill-Korrektur eingeplant.

Zwei Lektionen daraus, die für jedes Doku-für-KI-System gelten:

Erstens: Doku-Drift ist die neue Bug-Klasse. Wenn Agenten aus deiner Dokumentation handeln, wird veraltete Doku vom Schönheitsfehler zur aktiven Fehlerquelle. Skills brauchen dieselbe Pflege-Disziplin wie Code — ändert sich die Infrastruktur, ist das Skill-Update Teil der Änderung, nicht optionales Aufräumen.

Zweitens: Verifikation schlägt Dokumentation. Die Regel, die seitdem schärfer gilt: Behauptungen über den Ist-Zustand werden vor Abgabe gegen das Live-System geprüft, wenn Zugang besteht. Die Doku sagt, wo man suchen soll — was dort ist, sagt das System.

Lohnt sich der Aufbau?

Der Aufbau war kein Wochenendprojekt: Skills destillieren sich aus echten Sessions, das Gedächtnis wächst mit jedem Vorfall, die Leitplanken stammen aus echten Beinahe-Unfällen. Aber die Rechnung ist eindeutig: Heute liefen an einem einzigen Abend eine forensische Untersuchung, eine Container-Stilllegung nach Checkliste, der Bau eines neuen Monitoring-Bausteins und der Abbau eines doppelten Logging-Stacks — meine aktive Zeit dabei: Entscheidungen treffen und einmal „das ist doch schon gelöst???" einwerfen.

Genau das ist die Arbeitsteilung, auf die es hinausläuft: Die KI macht die Arbeit, der Mensch bleibt die Instanz für Entscheidungen und gesundes Misstrauen. Beides braucht ein System, in dem es wohnen kann.

Häufige Fragen

Was unterscheidet eine Skill von normaler Dokumentation?

Die Zielgruppe und die Struktur. Normale Doku beschreibt Systeme für Menschen, die nachschlagen. Eine Skill instruiert einen Agenten, der handelt: exakte Befehle statt Prosa, Verbote mit Begründung und Incident-Datum, eine Definition of Done und eine explizite Liste der Entscheidungen, die beim Menschen bleiben. Der Unterschied zeigt sich im Ergebnis — ein Agent mit Skill macht dokumentierte Fehler nicht noch einmal.

Braucht man dafür ein bestimmtes KI-Tool?

Nein. Das Muster — Wissens-Dokumente pro Fachgebiet, ein wachsendes Gedächtnis, harte Leitplanken — funktioniert mit jedem Agenten-System, das Dateien lesen und Werkzeuge ausführen kann. Entscheidend ist die Disziplin, Lektionen einzuarbeiten, nicht das Produkt.

Wie verhindert man, dass die KI gefährliche Befehle ausführt?

Durch Schichten: Erstens explizite Eskalationsregeln in jeder Skill (was der Agent nie allein entscheidet). Zweitens Freigabe-Pflicht für destruktive und nach außen sichtbare Aktionen. Drittens Verifikations-Pflichten — Backup nachweisen vor dem Eingriff, Funktionsnachweis nach dem Eingriff. Und viertens ein begrenztes Autonomie-Budget pro Session, damit sich Fehler nicht unbeaufsichtigt aufschaukeln.

In eigener Sache

Die anderen Folgen der Serie: Folge 1 — Fünf Monitoring-Systeme, und keins hat gemerkt, dass die Datenbank leer ist · Folge 2 — Der Cryptominer, der zweimal kam.

Die Vorlagen aus dieser Serie — Gast-Standard, Go-Live-Checkliste, Verwaisungs-Scan, Incident-Memory-Struktur — gibt es jetzt als Selfhost-Standards Pack (ab 79 €). Abonniere die KI-Rundschau, wenn du Updates zuerst erfahren willst. Und wenn du KI-Agenten in deinem Unternehmen produktiv einsetzen willst: ai.solavia.at.