Vom Dokumentenordner zum durchsuchbaren Familienarchiv.

Was ist Paperless-ngx überhaupt?

Paperless-ngx ist ein frei verfügbares Dokumentenmanagementsystem. Es verwandelt physische und digitale Dokumente in ein durchsuchbares Online-Archiv. Unser System läuft selbst gehostet auf der eigenen Infrastruktur. Dokumente und Suchindex bleiben damit unter eigener Kontrolle.

Der wichtigste Baustein heisst OCR, ausgeschrieben «Optical Character Recognition». Vereinfacht gesagt: Paperless betrachtet einen Scan nicht nur als Bild. Es versucht, Buchstaben und Wörter darin zu erkennen. Dadurch lässt sich später nach einem Firmennamen, einer Vertragsnummer oder einem Begriff suchen, auch wenn dieser nie im Dateinamen stand.

Wie es vorher war

Der Ausgangspunkt war kein kaputtes System. Das Archiv enthielt rund 140 Dokumente, fast alle waren bereits per OCR erfasst und jedes besass eine eindeutige Archivnummer. Die Suche funktionierte.

Unübersichtlich war die Ordnung. Dieselbe Information tauchte teilweise gleichzeitig als Dokumenttyp, Tag und Speicherpfad auf. Das ist ungefähr so, als würde man einen Garantieschein in einen Ordner «Garantie» legen, zusätzlich «Garantie» auf das Blatt schreiben und danach noch eine Schublade «Garantie» dafür beschriften. Es funktioniert, macht spätere Änderungen aber unnötig mühsam.

• Neue Dateien hatten keinen einheitlichen Eingang zur Qualitätskontrolle.
• Der tägliche Zugriff erfolgte über eine technische Adresse ohne HTTPS.
• Alltagskonten besassen zu weitreichende Administratorrechte.
• Automatische Zuordnungen hätten auf einer noch uneinheitlichen Grundlage gelernt.
• Frühere Backups waren für die geplanten Änderungen nicht frisch genug.

Erst sichern, dann umbauen

Bevor wir Kategorien oder Zugänge veränderten, wurde der Istzustand vollständig und nur lesend aufgenommen. Danach entstand eine frische Wiederherstellungsbasis:

1. Dokumentenbestand und laufende Hintergrundaufgaben prüfen.
2. Mit dem eingebauten Sanity Check die logische Konsistenz kontrollieren.
3. Die Datenbank in zwei geeigneten Formaten sichern.
4. Zusätzlich einen portablen Paperless-Dokumentexport erzeugen.
5. Formate, Dateianzahl und Lesbarkeit der Sicherungen direkt prüfen.

Ein Backup ist erst dann ein Backup, wenn man nachweisen kann, dass tatsächlich etwas Brauchbares darin steckt. «Der Befehl lief ohne rote Meldung durch» ist dafür etwas dünn.

Eine Ordnung mit klaren Aufgaben

Die neue Struktur trennt vier Fragen, die früher teilweise vermischt waren:

In der ersten Ausbauphase entstanden fünf neue Dokumenttypen, 13 Korrespondenten, neun Themen- und Status-Tags, drei Zusatzfelder, vier persönliche Arbeitsansichten und ein Eingangs-Workflow. Diese Elemente wurden zunächst nur bereitgestellt. Bestehende Dokumente wurden nicht automatisch umsortiert und es wurde nichts gelöscht.

Die Inbox: der wichtigste neue Ablauf

Die Inbox ist keine weitere Ablage. Sie ist eine Warteschlange für neue Dokumente.

1. Eine Datei oder ein Scan kommt an.
2. Paperless speichert die Datei und erkennt den Text.
3. Der Status «Inbox» wird automatisch gesetzt.
4. Ein Mensch prüft die Angaben.
5. Der Inbox-Status wird entfernt.
6. Das Dokument gehört zum freigegebenen Archiv.

Der Workflow reagiert unabhängig davon, ob ein Dokument per Browser, Importordner, Programmierschnittstelle oder später einmal per Mail eintrifft. Er macht absichtlich nur eine Sache: Er setzt den Inbox-Status. Das System erfindet nicht sofort Typ, Absender und Thema.

Vor der Freigabe werden Dokumentdatum, Titel, Typ, Korrespondent, Themen, Fristen und die Plausibilität des erkannten Texts geprüft. Vier Arbeitsansichten helfen dabei: Inbox, fehlender Dokumenttyp, fehlender Korrespondent und Fristen. Sobald ein Problem behoben ist, verschwindet das Dokument aus der entsprechenden Liste.

Der Test mit einem echten Dokument

Ein Workflow gilt nicht als fertig, nur weil die Einstellungen gut aussehen. Deshalb wurde genau ein Testdokument über den realen Importweg eingespielt.

Paperless verarbeitete die Datei erfolgreich, setzte ausschliesslich den Inbox-Status und zeigte sie in der passenden Arbeitsansicht. Es wurden keine Metadaten vorgegeben, keine Löschfunktion aufgerufen und keine anderen Dokumente verändert. Damit war der gesamte Weg vom Import bis zur sichtbaren Inbox praktisch bestätigt.

HTTPS, aber nur im Hausnetz

Vor dem Umbau wurde Paperless über eine technische HTTP-Adresse aufgerufen. Das war im privaten Netz zwar erreichbar, aber weder freundlich noch die saubere Endlösung.

Heute öffnen wir Paperless über einen festen Namen und eine verschlüsselte HTTPS-Verbindung. Der Name wird nur im Hausnetz aufgelöst. Es gibt keinen öffentlichen DNS-Eintrag und keinen direkten Internetzugang zum Archiv.

Dazwischen arbeitet der Reverse Proxy des NAS. Für Laien ist er am einfachsten als Empfangsschalter zu verstehen:

1. Der Browser verbindet sich verschlüsselt mit dem Empfangsschalter.
2. Der Empfangsschalter prüft den Namen und präsentiert das passende Zertifikat.
3. Er reicht die Anfrage intern an Paperless weiter.
4. Der eigentliche Paperless-Dienst ist nur noch lokal am NAS erreichbar.

Der erste Umstellungsversuch scheiterte an der falschen DSM-Schnittstelle für die Zertifikatszuweisung. Der Ablauf stoppte vor der Containeränderung und baute DNS- sowie Proxyeinträge vollständig zurück. Nach der Ursachenprüfung wurde die korrekte Schnittstelle verwendet. Der zweite Lauf bestand DNS-, Zertifikats-, HTTPS-, Container- und Dokumentenprüfung ohne Datenverlust.

Benutzerstruktur: arbeiten ohne Generalschlüssel

Im ursprünglichen Zustand gab es zu viele Konten mit vollständigen Administratorrechten. Für den Alltag ist das unnötig. Wer ein Dokument sortiert, muss weder Benutzer verwalten noch Workflows, Speicherwege oder die Anwendungskonfiguration verändern können.

Die Tageskonten dürfen Dokumente ansehen, hinzufügen und bearbeiten. Sie dürfen keine Dokumente löschen, keine Benutzer verwalten und keine zentralen Workflows, Kategorien, Speicherpfade oder Systemeinstellungen verändern.

Arbeitsansichten gehören in Paperless jeweils ihrem Benutzer. Deshalb wurden Inbox, fehlender Dokumenttyp, fehlender Korrespondent und Fristen für alle drei Tageskonten mit denselben Regeln bereitgestellt. Der Zugriff der menschlichen Konten wurde anschliessend mit dem echten Login geprüft, nicht nur theoretisch anhand einer Rechte-Tabelle.

So läuft eine neue Rechnung heute durch das System

1. Die PDF-Datei wird hochgeladen oder in den Importordner gelegt.
2. Paperless speichert das Original und erkennt den Text.
3. Der Eingangs-Workflow setzt automatisch den Status «Inbox».
4. Die Rechnung erscheint in der persönlichen Inbox-Ansicht.
5. Ein Mensch prüft Datum und Titel, setzt den Typ und wählt den Aussteller.
6. Bei Bedarf kommen Themen, Referenznummer oder Frist dazu.
7. Nach der Kontrolle wird der Inbox-Status entfernt.
8. Später lässt sich das Dokument über Inhalt und Metadaten wiederfinden.

Das klingt weniger spektakulär als «vollautomatische KI-Ablage». Dafür bleibt nachvollziehbar, warum ein Dokument dort liegt, wo es liegt.

Warum die grosse Automatik noch wartet

Paperless kann anhand von Textmustern und gelernten Beispielen automatisch klassifizieren. Wir haben diese Funktionen bewusst noch nicht auf den Altbestand losgelassen.

Die bisherige Sammlung ist ungleich verteilt und enthält historische Bezeichnungen. Eine Automatik würde diese Unordnung sehr effizient nachbauen. Zuerst entsteht deshalb eine vollständige Quell-zu-Ziel-Liste für den aktiven Bestand. Patrick prüft jede geplante Umbenennung und Zuordnung. Erst auf einer bereinigten Grundlage werden präzise Regeln oder automatisches Matching getestet, zunächst an wenigen Dokumenten und ohne bestehende Angaben zu überschreiben.

Dokumentenarchiv und Secret Manager bleiben getrennt

Scans mit Wiederherstellungscodes und reine Aktivierungsschlüssel gehören langfristig nicht ins normale Dokumentenarchiv. Dafür ist ein Passwort- und Secret Manager zuständig.

• Paperless bewahrt Kaufbelege, Lizenzzertifikate, Rechnungen, Verträge und andere Nachweise auf.
• Der Secret Manager bewahrt Passwörter, Wiederherstellungscodes und noch verwendbare Schlüssel auf.

Die sensible Migration wird separat vorbereitet, Ziel für Ziel geprüft und erst danach mit einem eigenen Löschentscheid abgeschlossen. Ein Tag «sensibel» wäre kein Zugriffsschutz und löst das Problem nicht.

Was bereits fertig ist

• vollständiges Inventar des Ausgangszustands
• geprüfte Datenbank- und Dokumentensicherungen
• klareres Zielmodell für Typen, Korrespondenten, Tags und Zusatzfelder
• vier Arbeitsansichten und ein einheitlicher Inbox-Workflow
• erfolgreicher Testimport über den echten Verarbeitungsweg
• verschlüsselter HTTPS-Zugang ausschliesslich im Hausnetz
• begrenzte Tageskonten für Patrick, Ursina und Rootkeeper
• getrenntes Administratorkonto für Wartung und Notfälle
• dokumentierte Rückwege und technische Erfolgsnachweise

Was bewusst noch offen ist

• vollständige Quell-zu-Ziel-Liste für die verbleibenden aktiven Dokumente
• schrittweise Bereinigung der historischen Zuordnungen
• zusätzliche Kontohärtung mit MFA
• kontrollierte Migration sensibler Wiederherstellungsinformationen
• automatische Klassifikation und Retagging auf bereinigter Basis
• Vereinfachung der alten Speicherpfade
• vollständiger Restore-Test in einer leeren Installation
• optional später konservativer Mailimport und Fristmeldungen

Offen bedeutet hier nicht vergessen. Es bedeutet: noch nicht mit einer abgeschlossenen und geprüften Funktion verwechseln.

Begriffe ohne Fachchinesisch

• OCR: erkennt Text in Scans und Bildern.
• Metadaten: Zusatzinformationen wie Typ, Aussteller, Datum oder Tag.
• Inbox: Warteschlange für neue, noch nicht fertig geprüfte Dokumente.
• Workflow: festgelegte automatische Reaktion auf ein Ereignis.
• Saved View: gespeicherte, dynamische Arbeitsliste.
• HTTPS: verschlüsselte Verbindung zwischen Browser und Dienst.
• Reverse Proxy: vorgeschalteter Empfangsschalter für sichere Webzugriffe.
• Least Privilege: jedes Konto erhält nur die Rechte, die es wirklich braucht.
• Export: portable Kopie von Dokumenten und zugehörigen Informationen.
• Rollback: kontrollierte Rückkehr zum vorherigen Zustand.

Was wir daraus gelernt haben

Ein funktionierendes Archiv ist noch kein wartbares Archiv. Die grösste Verbesserung war nicht ein einzelner Schalter, sondern die Reihenfolge: verstehen, sichern, Struktur vorbereiten, einen echten Eingang bauen, praktisch testen, Zugang und Rollen härten und erst danach den Altbestand bereinigen.

Paperless nimmt uns das Suchen ab. Die Verantwortung dafür, was ein Dokument bedeutet und wer was verändern darf, bleibt trotzdem bei Menschen.

Weitere Informationen zum Projekt selbst gibt es in der offiziellen Paperless-ngx-Dokumentation.

← Zurück zu Haus & Technik