Zusammenfassung

  • Der öffentliche Notrufdienst von BT war am 25. Juni 2023 von 06:24 bis 16:56 Uhr britischer Zeit beeinträchtigt. In diesem Zeitraum von ungefähr zehneinhalb Stunden kam es zu einem landesweiten Totalausfall von rund einer Stunde. Ofcom zählte abschließend 13.943 erfolglose Versuche von 12.392 unterschiedlichen Anrufenden, etwa 23 Prozent aller Versuche während des Vorfalls.
  • Der Konfigurationsfehler war nur der Auslöser. Nach den Feststellungen von Ofcom führten ein fehlerhaft ausgeführtes erstes Failover und die erneute Inbetriebnahme des fehlerhaften Knotens zum Totalausfall. Die Disaster-Recovery-Plattform hatte zudem nur eine Warteschlange für 50 Anrufe, eine eingeschränkte Standortübermittlung und keinen Ersatzweg für Relay-Anrufe.
  • Ofcom stellte einen Verstoß gegen section 105A(1)(c) des Communications Act 2003 und Regulation 9 der Electronic Communications (Security Measures) Regulations 2022 fest. Nach einem Nachlass von 30 Prozent wegen Einigung und Anerkenntnis verhängte die Behörde endgültig eine Geldbuße von 17,5 Millionen Pfund. Diese Feststellung darf nicht auf weitere untersuchte, aber nicht weiterverfolgte Vorschriften ausgedehnt werden.
  • In den ausgewerteten öffentlichen Unterlagen wurde kein konkreter schwerer körperlicher Schaden bestätigt. Das beweist nicht, dass niemand geschädigt wurde. Ofcom beschrieb erhebliche Belastung und ein plausibles Risiko schwerwiegender Folgen. Entscheidend ist deshalb der Betriebsnachweis: Failover, Kapazität, Ortung, Barrierefreiheit und organisationsübergreifende Koordination müssen unter realistischen Bedingungen funktionieren.

Für Anrufende zählt nur, ob die Verbindung zustande kommt

Bei einem gewöhnlichen Telefongespräch ist eine Störung ärgerlich. Bei einem Notruf kann sie die Lage einer Person verschärfen, die bereits unter Zeitdruck steht. Anrufende können weder die Netzarchitektur prüfen noch entscheiden, welcher Ersatzweg genutzt wird. Aus ihrer Sicht gibt es nur zwei Zustände: Der Anruf erreicht eine zuständige Notrufstelle in verwertbarer Form – oder er tut es nicht.

BT bildete den Einstieg in die Bearbeitung britischer 999- und 112-Anrufe und leitete sie an die zuständigen Rettungs- und Sicherheitsbehörden weiter. Das bedeutet nicht, dass BT sämtliche nachgelagerten Leitstellen betrieb. Diese Grenze ist für eine faire Zuordnung der Verantwortung wichtig. Ebenso wichtig ist aber, dass ohne den ersten Übergabepunkt die Leistungsfähigkeit der nachgelagerten Stellen den betroffenen Anrufenden nicht helfen konnte.

Das Ausmaß war nicht geringfügig. Ofcom erfasste 13.943 erfolglose Anrufversuche von 12.392 unterschiedlichen Personen. Das entsprach ungefähr 23 Prozent der Versuche im gesamten Störungszeitraum. Mehrere Versuche können von derselben Person stammen, und nicht jeder Versuch steht zwingend für einen anderen Notfall. Trotzdem zeigen die Zahlen, dass Tausende Menschen auf einen Dienst trafen, der seine zentrale Aufgabe in diesem Moment nicht erfüllte.

Die Störung begann um 06:24 Uhr und endete um 16:56 Uhr britischer Zeit. Innerhalb dieser ungefähr zehneinhalb Stunden lag ein rund einstündiger landesweiter Totalausfall. Es wäre irreführend, den Vorfall auf diese eine Stunde zu reduzieren. Auch ein teilweise funktionierender Notrufdienst kann erhebliche Risiken erzeugen, wenn ein großer Anteil der Verbindungen scheitert oder wesentliche Funktionen auf dem Ersatzweg fehlen.

Die öffentlichen Berichte bestätigten keinen konkreten schweren körperlichen Schaden. Das ist eine Grenze des bekannten Materials, keine Entwarnung. Die vollständigen Folgen für einzelne Anrufende sind öffentlich nicht nachvollziehbar. Ofcom sprach von erheblicher Belastung und einem plausiblen schweren Risiko. Eine sachliche Bewertung hält beides zusammen: Es gibt keinen belastbaren Beleg für einen bestimmten schweren körperlichen Schaden, aber ebenso wenig einen Beleg dafür, dass alle Betroffenen ohne Folgen blieben.

Der Notruf ist eine Dienstkette, kein einzelner Schalter

Ein Notruf wirkt von außen einfach. Jemand wählt drei Ziffern und erwartet Hilfe. Technisch und organisatorisch durchläuft der Anruf jedoch mehrere Stationen. BT musste ihn annehmen, für die Bearbeitung erforderliche Informationen erhalten oder bewahren und ihn an die passende Notruforganisation übergeben. Erst dort wurde das konkrete Ereignis weiterbearbeitet.

Diese Kette verteilt Verantwortung, hebt sie aber nicht auf. BT war für Verfügbarkeit und Widerstandsfähigkeit des eigenen Dienstanteils verantwortlich. Die Notruforganisationen verantworteten ihre Abläufe. Staatliche Stellen hatten Aufgaben bei der landesweiten Koordination und öffentlichen Kommunikation. Die Regierungsanalyse betrachtete den Vorfall deshalb als Problem des Gesamtsystems, ohne jeden Fehler pauschal einem einzigen Beteiligten zuzuschreiben.

Ein Ersatzsystem muss in dieser Kette mehr leisten, als bloß Sprachverkehr anzunehmen. Standortdaten können entscheidend sein, wenn eine Person ihren Aufenthaltsort nicht eindeutig nennen kann oder die Verbindung abbricht. Relay-Dienste ermöglichen Menschen mit Hör- oder Sprachbeeinträchtigungen den Zugang. Die Warteschlange entscheidet, wie das System bei einem sprunghaften Aufkommen reagiert. Fallen diese Funktionen im Wiederanlauf weg, ist nicht derselbe Dienst wiederhergestellt.

„Failover“ bezeichnet den Wechsel von einem nicht mehr vertrauenswürdigen Primärsystem auf einen getrennten Ersatzweg. „Disaster Recovery“ umfasst Technik und betriebliche Verfahren, mit denen ein Dienst nach einer schweren Störung aufrechterhalten oder wiederhergestellt werden soll. Beide Begriffe beschreiben eine Absicht, noch kein Ergebnis. Ein Wechsel kann falsch ausgeführt werden. Ein Ersatzsystem kann erreichbar sein und dennoch zu wenig Kapazität oder Funktion bieten.

Genau deshalb darf „Backup vorhanden“ nicht mit „Kontinuität nachgewiesen“ gleichgesetzt werden. In diesem Fall war die Recovery-Umgebung Teil der Wiederherstellung. Ihre Grenzen bestimmten aber, welche Leistung Anrufende tatsächlich erhielten. Eine Warteschlange von 50 Anrufen, eingeschränkte Ortungsdaten und fehlende Relay-Absicherung sind keine Nebendetails, sondern Eigenschaften des öffentlichen Dienstes im Störungsfall.

Aus einem Konfigurationsfehler wurde ein Kontinuitätsversagen

Am Anfang stand ein technischer beziehungsweise konfigurationsbezogener Fehler. BT beschrieb in seinem eigenen Bericht Software- und Cache-Verhalten aus Sicht des Betreibers. Für die regulatorischen Feststellungen ist hingegen die nicht vertrauliche Entscheidung von Ofcom maßgeblich. Beide Ebenen sollten nicht vermischt werden: BT liefert die Betreiberperspektive auf interne Abläufe; Ofcom hält die abschließende behördliche Bewertung fest.

Der Auslöser erklärt nicht die gesamte Dauer und Schwere des Ereignisses. Ofcom stellte fest, dass das erste Failover fehlerhaft ausgeführt wurde und anschließend der fehlerhafte Knoten wieder in Betrieb kam. Dadurch entstand der Totalausfall. Der Versuch, sich aus dem gestörten Zustand zu lösen, grenzte das Problem also nicht ein, sondern verschärfte es.

Damit verschiebt sich die entscheidende Frage von der einzelnen Softwarekomponente auf die betrieblichen Kontrollen. Wie wurde der Fehler erkannt? Welche Kriterien mussten vor dem Wechsel erfüllt sein? Wer durfte entscheiden? Welche Schritte verhinderten, dass der fehlerhafte Zustand auf dem Wiederherstellungsweg erneut aktiv wurde? Und wie wurde geprüft, ob das Zielsystem die Last und die notwendigen Funktionen tatsächlich tragen konnte?

Ofcom beurteilte unter anderem die Dokumentation, die Entscheidungskriterien, die Abläufe, den Trainingskontext und die Leistungsfähigkeit der Disaster-Recovery-Plattform für ein vorhersehbares Risiko. Die regulatorische Kritik erschöpfte sich daher nicht in der Aussage, eine Software habe versagt. Sie betraf die Angemessenheit der Maßnahmen, die einen kritischen Kommunikationsdienst durch einen solchen Fehler hindurch schützen sollten.

Ein Defekt ist ein Zustand in einem technischen System. Ein Kontinuitätsversagen liegt vor, wenn technische und menschliche Kontrollen den erforderlichen Dienst während dieses Zustands nicht aufrechterhalten. Diese Unterscheidung ist nützlicher als die Suche nach einer dramatischen Einzelursache. Sie zeigt zugleich, weshalb das Beheben des ursprünglichen Fehlers allein keinen Nachweis für die Beherrschung des nächsten, andersartigen Fehlers liefert.

Die öffentlich zugänglichen Unterlagen nennen nicht jeden internen Logeintrag, jede Architekturkomponente oder jede individuelle Entscheidung. Teile der Regulierungsentscheidung sind geschwärzt. Daraus folgt, dass weder einzelne Beschäftigte noch ein nicht genannter Anbieter verantwortlich gemacht werden dürfen. Institutionelle Rechenschaft lässt sich dennoch prüfen: Waren Verfahren ausführbar, Signale verständlich, Zuständigkeiten klar und Recovery-Funktionen belastbar?

Ein Failover ist eine Handlung unter Druck

Auf einem Architekturdiagramm ist Redundanz leicht zu zeichnen: links das Primärsystem, rechts die Wiederherstellungsplattform, dazwischen ein Pfeil. Der Pfeil beantwortet, wohin der Verkehr gehen soll. Er beantwortet nicht, wann der Wechsel ausgelöst wird, wie der fehlerhafte Zustand isoliert bleibt oder woran das Team erkennt, dass der Ersatzweg stabil arbeitet.

Der Vorfall vom 25. Juni machte genau diese fehlenden Dimensionen sichtbar. Das erste Failover wurde falsch ausgeführt; der fehlerhafte Knoten wurde wieder zugeschaltet. Ein belastbarer Übergang benötigt klare Einstiegskriterien, eindeutig verteilte Entscheidungsbefugnis, unter Stress ausführbare Schritte und technische Prüfungen, die eine Rückkehr des fehlerhaften Zustands verhindern.

Dokumentation ist notwendig, aber ihre Existenz beweist noch keine Nutzbarkeit. Eine Anleitung kann vollständig wirken und im Ereignisfall trotzdem ein mehrdeutiges Signal, einen Entscheidungspunkt oder eine Abhängigkeit übersehen. Übungen prüfen nicht nur die Technik, sondern auch Wissen, Zugriffsrechte, Kommunikation und die Fähigkeit, aus unvollständigen Informationen eine sichere Entscheidung zu treffen.

Für einen Notrufdienst muss ein geübtes Failover daher die gesamte Leistungskette umfassen. Der Verkehr muss tatsächlich wechseln. Der defekte Zustand muss isoliert bleiben. Die Kapazität muss der glaubwürdigen Spitzenlast genügen. Ortungsdaten müssen verwendbar bleiben. Relay-Anrufe brauchen einen funktionierenden Weg. Und die beteiligten Teams müssen den Zustand stabilisieren oder kontrolliert zurückführen können.

Ein stiller Test mit wenigen Musteranrufen kann zeigen, dass ein Zielsystem grundsätzlich erreichbar ist. Er sagt wenig darüber aus, wie Warteschlangen bei wiederholten Versuchen wachsen, wie rasch Alarme zu einer richtigen Diagnose führen oder wie Leitstellen auf fehlende Standortinformationen reagieren. Das Testszenario muss deshalb den öffentlichen Zweck abbilden, nicht nur die Existenz der Hardware.

Redundanz ist ein Input. Kontinuität ist ein beobachtetes Ergebnis. Zwischen beiden liegen geübte Übergänge, messbare Kapazität, erhaltene Funktionen und Entscheidungen, die in der Geschwindigkeit eines realen Vorfalls funktionieren.

Der Wiederherstellungsweg war erreichbar, aber eingeschränkt

Nach dem Totalausfall wurde die Disaster-Recovery-Plattform Teil des Rückwegs zum Dienst. Ofcom dokumentierte drei besonders relevante Einschränkungen: eine Warteschlange für lediglich 50 Anrufe, eine beeinträchtigte Übermittlung von Standortinformationen und keinen Ersatzweg für Relay-Anrufe.

Eine Warteschlange ist kein abstrakter Leistungswert. Sie puffert Anrufe, wenn mehr Nachfrage eintrifft, als unmittelbar bearbeitet werden kann. Bei einem landesweiten Dienst bietet eine Grenze von 50 nur einen geringen Spielraum. Zudem erzeugt ein Ausfall zusätzliche Nachfrage: Menschen wissen nicht, ob ihr erster Versuch ankam, und wählen erneut. Ein glaubwürdiger Kapazitätstest muss dieses durch die Störung selbst erzeugte Verhalten einbeziehen.

In der zweiten Phase verzeichnete Ofcom 5.663 fehlgeschlagene Anrufe und eine Fehlerquote von rund 92 Prozent. Diese Zahl gilt nur für diese Phase, nicht für den gesamten Zeitraum. Sie zeigt jedoch, wie wenig die bloße Erreichbarkeit eines Recovery-Wegs über seine tatsächliche Leistungsfähigkeit aussagt. Ein Dienst kann technisch eingeschaltet und operativ weiterhin unzureichend sein.

Auch Standortdaten sind keine Komfortfunktion. Wenn jemand keine genaue Adresse nennen kann, können sie die Weiterbearbeitung unterstützen. Eine Einschränkung erhöht die Last für Anrufende und Leitstellen gerade dann, wenn Zeit und Aufmerksamkeit knapp sind. Die Quellen erlauben keine Zuordnung eines konkreten individuellen Ergebnisses zu dieser Einschränkung, belegen aber, dass der Ersatzweg nicht alle normalen Funktionen gleichwertig bot.

Dass Relay-Anrufe keinen Backup-Pfad hatten, verweist auf dieselbe Frage aus Sicht der Barrierefreiheit. Ein Notrufdienst ist nicht vollständig resilient, wenn seine Wiederherstellung nur für Menschen funktioniert, die einen gewöhnlichen Sprachanruf nutzen können. Für Personen, die auf Relay-Unterstützung angewiesen sind, ist diese Funktion kein Zusatz, sondern der Zugang zum Kerndienst.

Die Einschränkungen verstärkten sich gegenseitig. Eine kleine Warteschlange kann bei einem Ansturm zu weiteren Fehlern führen. Weniger Informationen erschweren die Bearbeitung erfolgreicher Verbindungen. Ein fehlender barrierefreier Weg schließt bestimmte Nutzergruppen aus. Eine Kontinuitätsbewertung muss daher die Kombination prüfen und darf die einzelnen Eigenschaften nicht getrennt als kleine Restprobleme behandeln.

Vier Zahlen beantworten vier verschiedene Fragen

Der Vorfall wird mit mehreren auffälligen Zahlen beschrieben. Ohne Definition wirken sie widersprüchlich. Mit ihrem jeweiligen Umfang ergeben sie ein konsistentes Bild.

Ofcom legte als abschließendes Maß 13.943 erfolglose Versuche von 12.392 unterschiedlichen Anrufenden fest. Die Zahl der Versuche ist höher, weil manche Personen mehrmals anriefen. Etwa 23 Prozent der Versuche im Störungszeitraum waren erfolglos. Diese Werte sind für die endgültige regulatorische Quantifizierung maßgeblich.

Die britische Regierungsanalyse nennt 9.641 unterschiedliche Anrufende im Zusammenhang mit erforderlichen Rückrufen. Das ist eine für die Rückrufaktion abgegrenzte Gruppe. Sie ersetzt nicht die spätere Ofcom-Zahl aller Personen mit erfolglosen Versuchen. Operative Kriterien können eine Rückrufgruppe enger definieren als das vollständige Störungsmaß.

BT hatte zuvor vorläufig 11.470 unterschiedliche Personen mit erfolglosen Anrufen gemeldet. Diese Betreiberzahl entstand früher als die abschließende behördliche Auswertung. Im Verlauf einer Untersuchung werden Zeitfenster, Mehrfachversuche, Datensätze und Definitionen abgeglichen. „Vorläufig“ ist deshalb ein wesentlicher Bestandteil der Einordnung.

Hinzu kommen die 5.663 Fehler bei rund 92 Prozent Fehlerquote in Phase zwei. Das ist ein phasenbezogener Wert. Er beschreibt die Schwere eines bestimmten Betriebszustands, nicht die Gesamtzahl über zehneinhalb Stunden.

Für jede Zahl sollten vier Fragen gestellt werden: Werden Versuche oder Personen gezählt? Geht es um den gesamten Vorfall oder eine Phase? Handelt es sich um eine Rückrufgruppe oder eine Ausfallgruppe? Ist es eine vorläufige Betreiberangabe oder das abschließende Regulierungsmaß? Bleiben diese Bezeichnungen erhalten, entsteht kein scheinbarer Zahlenkonflikt.

Die Trennung ist auch betriebswirtschaftlich relevant. Versuche bilden Last und Wiederholungsverhalten ab. Unterschiedliche Anrufende zeigen die Reichweite. Eine phasenspezifische Fehlerquote bewertet einen bestimmten Systemzustand. Die Rückrufzahl beschreibt eine nachgelagerte Verpflichtung. Kein Einzelwert beantwortet alle Fragen.

Die endgültige Feststellung von Ofcom

Ofcom schloss die Untersuchung mit einer endgültigen Entscheidung ab. Die Behörde stellte fest, dass BT gegen section 105A(1)(c) des Communications Act 2003 und Regulation 9 der Electronic Communications (Security Measures) Regulations 2022 verstoßen hatte. Sie verhängte eine Geldbuße von 17,5 Millionen Pfund, nachdem wegen Einigung und Anerkenntnis ein Abschlag von 30 Prozent angewandt worden war.

Die Formulierung ist wichtig. Es handelte sich nicht um einen Vorschlag. Zugleich ist nur das als Rechtsverstoß zu bezeichnen, was Ofcom tatsächlich festgestellt hat. Die Untersuchung berührte einen breiteren rechtlichen und technischen Rahmen, doch die Behörde verfolgte nicht zu jeder geprüften Vorschrift eine Feststellung. Eine Ausweitung würde den Bericht ungenauer machen.

Die Geldbuße ist ein sichtbares Ergebnis der Rechenschaft. Der größere Wert der Entscheidung liegt in der Verbindung zwischen gesetzlicher Pflicht und betrieblicher Realität. Ofcom beurteilte vorhersehbare Risiken, den Failover-Prozess und die Grenzen der Recovery-Plattform. Ein Plan auf dem Papier genügte nicht, wenn die tatsächliche Anordnung den kritischen Dienst nicht schützte.

Der Nachlass von 30 Prozent beruhte auf Einigung und Anerkenntnis. Eine mathematische Rückrechnung auf einen hypothetischen Ausgangsbetrag ist für die öffentliche Lehre nicht erforderlich. Belastbar ist die Aussage, dass Ofcom nach diesem Abschlag endgültig 17,5 Millionen Pfund festsetzte.

Eine Geldbuße stellt keinen fehlgeschlagenen Notruf wieder her. Eine Behörde betreibt auch nicht das Netz. Ihre Rolle ist, die Feststellung verbindlich zu dokumentieren, relevante Kontrollmängel zu benennen und Folgen für den regulierten Betreiber zu schaffen. Ob der nächste Vorfall anders verläuft, entscheidet sich weiterhin in Technik, Abläufen, Ausbildung und Übungen.

Rechenschaft an den Kontrollgrenzen

Nach einem Zwischenfall beginnt häufig die Suche nach der einen schuldigen Person oder Komponente. Die öffentlichen Belege tragen hier eine andere, praktischere Analyse: An welcher Kontrollgrenze hätte ein vorhersehbares Problem eingedämmt werden müssen?

Die erste Grenze betrifft Konfiguration und Änderungen. Die zweite betrifft Erkennung und Diagnose. Die dritte ist die Entscheidung für das Failover und dessen Ausführung. Die vierte ist die Isolation des fehlerhaften Zustands. Die fünfte umfasst Kapazität und funktionale Gleichwertigkeit der Wiederherstellung. Die sechste liegt an den Schnittstellen zwischen BT, Notruforganisationen und staatlicher Koordination.

Jede Grenze lässt sich in Nachweise übersetzen. Welches Signal erkannte den Ausfall? Wie schnell wurde es richtig verstanden? Welche schriftlichen Kriterien erlaubten den Wechsel? Konnte das Team handeln, ohne sich auf Erinnerung zu verlassen? Welche Prüfung verhinderte die Rückkehr einer ungesunden Komponente? Welche Last hatte der Ersatzweg in einer Übung getragen? Wer informierte die Empfängerorganisationen über Einschränkungen?

Solche Fragen sind dauerhafter als die Benennung eines einzelnen Fehlers. Komponenten werden ersetzt, Anbieter wechseln und Teams verändern sich. Eine gute Kontrolle definiert Ergebnis, Verantwortung und Evidenz so, dass sie diesen Wechsel übersteht. Eine schwache Kontrolle bleibt auch dann schwach, wenn der konkrete Defekt behoben ist.

Ein nationaler Dienst braucht gemeinsame Lageführung

Die Nachanalyse der britischen Regierung erweiterte den Blick über die BT-Plattform hinaus. Die Notrufkette verbindet Organisationen, die weder einen gemeinsamen Leitstand noch eine einheitliche Befehlskette haben. Während einer Störung benötigen sie dennoch ein gemeinsames Bild: Welcher Teil fällt aus? Welche Wege funktionieren? Welche Informationen fehlen? Was soll die Öffentlichkeit tun?

Koordination ist technisch und kommunikativ. Technische Teams brauchen zeitnahe Zustandsdaten. Notruforganisationen müssen wissen, mit welchem Volumen und welchen Funktionsverlusten sie rechnen. Staatliche Stellen müssen eine landesweite Reaktion abstimmen. Öffentliche Hinweise müssen helfen, ohne zusätzliche Verwirrung oder unnötige Last zu erzeugen.

Die Rückrufaktion zeigt, dass die Verantwortung nicht mit der Rückkehr neuer Verbindungen endet. Ein erfolgloser Versuch kann ein unerledigtes Hilfeersuchen sein. Die Regierungszahl von 9.641 für die Rückrufgruppe ist nicht mit Ofcoms abschließenden 12.392 unterschiedlichen Anrufenden gleichzusetzen. Dennoch macht sie eine zweite Kontinuitätsaufgabe sichtbar: Frühere Fehler müssen erkannt, rechtmäßig abgeglichen und operativ nachbearbeitet werden.

Dafür müssen Protokolle die Identifizierung betroffener Anrufender im zulässigen Rahmen ermöglichen. Zuständigkeiten für Rückrufe müssen geklärt sein. Empfängerorganisationen brauchen genug Information für eine Priorisierung. Sonst kann das System den Eingang für neue Anrufe öffnen, während Menschen aus der vorherigen Ausfallphase weiterhin vor der Tür stehen.

Übungen sollten deshalb Organisationsgrenzen überschreiten. Ein technischer Umschalttest bei BT kann den Wechselpfad bestätigen, aber Benachrichtigung, eingeschränkte Ortung, Relay-Zugang, öffentliche Kommunikation und Abgleich fehlgeschlagener Versuche auslassen. Diese Punkte sind keine Begleitkommunikation, sondern Bestandteil des Dienstes während einer Störung.

Abhilfemaßnahmen brauchen fortlaufende Belege

Ofcom, die britische Regierung und BT berichteten über Maßnahmen nach dem Vorfall. Dazu gehörten verbesserte Alarme, klarere und getestete Failover-Regelungen, mehr Automatisierung, größere Warteschlangenkapazität, verbesserte Standortverarbeitung, Relay-Unterstützung und stärkere organisationsübergreifende Koordination.

Diese Maßnahmen passen zu den beobachteten Fehlerarten. Ein besserer Alarm kann den Weg zur Diagnose verkürzen. Klare Kriterien können Unsicherheit bei der Umschaltung mindern. Automatisierung kann fehleranfällige manuelle Schritte reduzieren, sofern sie selbst kontrolliert und beobachtbar bleibt. Zusätzliche Kapazität kann Spitzen aufnehmen. Ortung und Relay-Unterstützung können die Wiederherstellung dem Primärdienst annähern.

„Kann“ ist dabei das entscheidende Wort. Ein eingebauter Alarm beweist nicht, dass das richtige Team ihn versteht. Ein überarbeitetes Verfahren beweist nicht, dass es unter Druck funktioniert. Eine größere Warteschlange beweist nicht, dass sie ein glaubwürdiges Krisenszenario trägt. Ein automatisierter Wechsel beweist nicht, dass jeder fehlerhafte Zustand zuverlässig isoliert wird.

Gesucht werden daher Betriebsbelege. Für Alarme wären das etwa Erkennungszeiten und Diagnosequalität in Übungen. Für Failover wären es Ende-zu-Ende-Tests, gemessene Übergangszeiten, Isolationsprüfungen und getrennte Kriterien für Wiederherstellung und Rückkehr zum Normalbetrieb. Für Kapazität wären es Lasttests oberhalb eines definierten Szenarios. Für Standort und Barrierefreiheit wären es erfolgreiche Testanrufe über den Recovery-Weg.

Diese Belege altern. Neue Software, geänderte Routen, andere Abhängigkeiten, wechselnde Rollen oder neue Konfigurationen können einen früheren Test entwerten. Der richtige Status lautet nicht einfach „getestet“, sondern: auf dieser Konfiguration, mit dieser Last, zu diesem Datum und mit diesen beobachteten Grenzen getestet.

Keine der vier hier verwendeten Quellen bietet 2026 eine aktuelle unabhängige Prüfung sämtlicher Abhilfemaßnahmen. Es wäre daher falsch zu behaupten, das Risiko sei dauerhaft gelöst. Die engere, belegbare Aussage lautet: Die berichteten Maßnahmen adressieren die identifizierten Fehlerarten; ihre fortdauernde Wirksamkeit muss durch aktuelle Betriebsbelege gezeigt werden.

Was die öffentlichen Quellen offenlassen

Die Unterlagen sind detailliert, aber nicht vollständig. Teile der Ofcom-Entscheidung sind geschwärzt. Vollständige interne Protokolle, die gesamte Architektur, die Identität eines Anbieters und individuelle Entscheidungsverläufe sind nicht öffentlich. Auch die Ergebnisse für alle betroffenen Anrufenden sind nicht vollständig bekannt.

Diese Lücken begrenzen die Zuschreibung. Sie verhindern eine faire Behauptung, eine bestimmte Person oder ein externer Anbieter habe den Vorfall verursacht. Sie verhindern eine universelle Aussage über Schäden. Und sie erlauben keine unabhängige Bestätigung des heutigen Zustands jeder Abhilfemaßnahme.

Sie heben die bekannten Feststellungen aber nicht auf. Ofcom dokumentiert die Rechtsverstöße, die Geldbuße und die Bewertung der Kontrollen. Die Regierungsanalyse beschreibt die organisationsübergreifende Reaktion. BT gibt die Betreiberperspektive auf Softwareverhalten, Zeitablauf und unmittelbare Maßnahmen wieder. Abweichende Zahlen sind jeweils mit Definition und Zeitpunkt zu verwenden.

Präzise Zuschreibung stärkt die Rechenschaft. „Ofcom stellte fest“ gehört zur rechtlichen Bewertung und zu den endgültigen Wirkungszahlen. „BT erklärte“ gehört zur internen Betreiberdarstellung. „Die Regierungsanalyse berichtete“ gehört zur Rückrufgruppe und zu den Lehren für das Gesamtsystem. Analyse darf daraus Schlüsse ziehen, aber keine Vermutung in eine Quellenfeststellung verwandeln.

Welche Nachweise Führungsgremien heute verlangen sollten

Vorstände und öffentliche Stellen müssen das System nicht selbst bedienen. Sie müssen jedoch Fragen stellen, die reale Kontinuität von Papierkontinuität unterscheiden.

Erstens: Wann lief der vollständige Dienst zuletzt unter repräsentativer Last über den Recovery-Weg? Gefordert sind Datum, Umfang, Last, Dauer, erhaltene Funktionen und erkannte Fehler – nicht nur die Aussage, dass Tests stattfinden.

Zweitens: Welche Funktionen unterscheiden sich zwischen Primär- und Ersatzumgebung? Warteschlange, Ortung und Relay-Unterstützung waren 2023 wesentlich. Eine aktuelle Zusicherung muss erklären, ob Lücken geschlossen sind, wie das geprüft wurde und welche Restgrenzen bestehen.

Drittens: Welche Bedingungen lösen das Failover aus, wer entscheidet und wie wird die fehlerhafte Komponente isoliert? Automatisierte und manuelle Schritte sollten getrennt sichtbar sein. Ebenso braucht es andere Kriterien für den Übergang in den Recovery-Zustand als für die spätere Rückkehr.

Viertens: Wie schnell werden Fehler erkannt, diagnostiziert, entschieden und stabil behoben? Diese Zeitintervalle zeigen, ob Monitoring und Verfahren zusammenwirken. Ein schneller Wechsel ist nicht automatisch gut, wenn er Isolationsprüfungen umgeht.

Fünftens: Bildet der Lasttest wiederholte Versuche ab? Menschen wählen nach einem fehlgeschlagenen Notruf erneut. Die Prüfung muss deshalb glaubwürdige Spitzen und die durch den Fehler selbst erzeugte Zusatzlast einbeziehen.

Sechstens: Wann fand die letzte gemeinsame Übung mit Notruforganisationen und staatlicher Koordination statt? Benachrichtigungen, öffentliche Kommunikation, eingeschränkte Ortung, Relay-Zugang, Rückrufe und Rückkehr zum Normalbetrieb gehören in den Testumfang.

Siebtens: Welche Änderungen seit dem letzten Test könnten dessen Ergebnis ungültig machen? Ein Test ist Evidenz für ein bestimmtes System zu einem bestimmten Zeitpunkt. Konfigurationsdrift trennt sonst unbemerkt die geprüfte von der laufenden Umgebung.

Schließlich: Welche Restfehler können den Dienst weiterhin unterbrechen, wie rasch werden sie erkannt und welcher unabhängige Schutzweg bleibt Anrufenden? Ehrliche Restunsicherheit ist wertvoller als ein pauschales Versprechen vollständiger Resilienz.

Kontinuität ist ein Ergebnis, kein Bestandsposten

Der Ausfall war nicht allein deshalb bedeutsam, weil eine Primärplattform versagte. Entscheidend war, dass die umgebenden Kontrollen den nationalen Notrufdienst nicht durch diesen Fehler hindurch trugen. Das falsch ausgeführte erste Failover, die erneute Inbetriebnahme des fehlerhaften Knotens und die begrenzte Recovery-Plattform machten aus einem Konfigurationsproblem eine lang andauernde Störung eines öffentlichen Kerndienstes.

Ofcom gab diesem Versagen eine endgültige rechtliche Folge: die Feststellungen zu section 105A(1)(c) und Regulation 9 sowie eine Geldbuße von 17,5 Millionen Pfund nach dem Abschlag von 30 Prozent. Die Größenordnung bilden ungefähr zehneinhalb Stunden Beeinträchtigung, rund eine Stunde Totalausfall, 13.943 erfolglose Versuche und 12.392 unterschiedliche Anrufende ab.

Der wichtigere Test liegt in der Zukunft. Eine Ersatzplattform, ein Verfahren und ein Prüfbericht sind nur dann nützlich, wenn sie während einer Störung einen funktionierenden Dienst hervorbringen. Bei Notrufkommunikation bedeutet das: Verbindungen kommen zustande, Last wird aufgenommen, Standortinformationen bleiben nutzbar, Relay-Nutzende behalten Zugang, fehlerhafte Zustände bleiben isoliert und die beteiligten Organisationen koordinieren ihre Reaktion. An diesen beobachtbaren Ergebnissen ist Kontinuität zu messen.

Quellen