Zusammenfassung

  • Der landesweite Ausfall dauerte am 24. Juni 2019 von 15:34 bis 18:52 Uhr, unterbrach Festnetz- und Mobilfunktelefonie und machte 112 unerreichbar; dokumentiert sind erhebliche Folgen für Kommunikation und Akutversorgung, nicht jedoch eine verifizierte Zahl von Verletzten, Todesfällen, einzelnen gescheiterten Notrufen oder finanziellen Schäden.
  • KPN führte den Ausfall auf einen unentdeckten Softwarefehler der Anruf-Routingplattform zurück, der so viele Fehlermeldungen erzeugte, dass alle vier redundanten Systeme nahezu gleichzeitig vollliefen; obwohl sie auf zwei Standorte verteilt waren und nominell genügend Kapazität hatten, bildeten sie gegenüber diesem Verhalten keine unabhängigen operativen Fehlerdomänen.
  • Die Aufsicht beanstandete den Umgang mit unerwarteten Softwarekonfigurationsrisiken, die Robustheit von Änderungen und die Prozessdisziplin, stellte zugleich aber fest, dass KPN die einschlägige gesetzliche Kontinuitätspflicht erfüllt hatte; Rechenschaft verlangt deshalb überprüfbare Betriebsbelege und klare Evidenzgrenzen statt unbelegter Schuldzuweisung oder pauschaler Wirksamkeitsversprechen.

Ein nationaler Dienstausfall, nicht nur ein internes Alarmsignal

Am Montag, dem 24. Juni 2019, fiel die öffentliche Telefonie von KPN von 15:34 bis 18:52 Uhr landesweit aus. Betroffen waren Festnetz- und Mobilfunkgespräche sowie die Notrufnummer 112. Damit war nicht lediglich eine einzelne Plattform beeinträchtigt oder eine interne Kapazitätsschwelle überschritten. Für Menschen und Organisationen verschwand die praktische Leistung, die das Netz erbringen sollte: eine Verbindung vom Anrufer zum erreichbaren Endpunkt.

Der Ausfall traf eine besondere Kontinuitätsfunktion. Nationale Telefonie verbindet Haushalte, Unternehmen, Behörden und Einrichtungen der Versorgung. Bei 112 kommt hinzu, dass der Kommunikationspfad Teil einer zeitkritischen öffentlichen Schutzkette ist. Das Aufsichtsmaterial beschreibt Störungen der Kommunikation und der Akutversorgung; öffentliche Stellen und Versorgungseinrichtungen mussten auf alternative Wege ausweichen. Diese Folgen machen den Vorfall zu einer Frage der Netzinfrastruktur und nicht bloß zu einer Episode schlechter Kundenerfahrung.

Die Schwere des Dienstverlusts erlaubt dennoch keine erfundene Schadensbilanz. Die vier öffentlichen Quellen liefern keine belastbare Gesamtzahl erfolgloser Anrufe, betroffener Personen, Verletzungen oder Todesfälle. Sie ordnen kein einzelnes Notfallergebnis kausal dem Ausfall zu und beziffern keinen abschließenden finanziellen Verlust. Es ist zulässig, die Gefahr einer nicht erreichbaren Notrufnummer zu erklären. Es wäre unzulässig, aus dieser Gefahr einen eingetretenen individuellen Schaden zu machen, den das Material nicht nachweist.

Auch die veröffentlichte Endzeit beantwortet nicht jede technische Frage der Wiederherstellung. Ein Betreiber kann zunächst Ressourcen freigeben, eine Plattform isolieren, Last neu verteilen und interne Zustände stabilisieren, bevor ein Endkunde zuverlässig telefonieren kann. Umgekehrt können erste Gespräche wieder gelingen, während noch nicht jede interne Komponente normal arbeitet. Der Quellenstand nennt das Zeitfenster des nationalen Ausfalls, legt aber keine vollständige sekundengenaue Abfolge aller Wiederherstellungsschritte offen.

Für die Rechenschaft ist diese Trennung entscheidend. Eine technische Meldung wie „System verfügbar“ ist nicht gleichbedeutend mit einem erfolgreichen 112-Anruf. Der maßgebliche Betriebsbeleg liegt am Ende des Dienstpfads. Erst wenn die Verbindung unter realistischen Bedingungen zustande kommt, ist die Kontinuitätsleistung aus Sicht der Öffentlichkeit wiederhergestellt.

KPNs veröffentlichter Mechanismus setzt eine klare, aber begrenzte Kausalkette

KPN erklärte den Vorfall mit einem unentdeckten Softwarefehler in der Plattform, die Telefonanrufe routete. Dieser Fehler erzeugte eine große Menge an Fehlermeldungen. Die Meldungen füllten nach Darstellung des Unternehmens die vier redundanten Systeme, bis sie keine Anrufe mehr weiterleiten konnten und nahezu gleichzeitig ausfielen. Die öffentliche Rekonstruktion von NOS stützt diesen auf hoher Ebene beschriebenen Mechanismus und verbindet ihn mit weiteren Überwachungs- und Prozessproblemen.

Diese Erklärung muss als Betreiberangabe erkennbar bleiben. Sie ist konkreter als die bloße Feststellung „Softwareproblem“, ersetzt aber weder die vollständigen internen Protokolle noch den vollständigen Bericht der beteiligten Spezialisten. Die Quellen veröffentlichen nicht den exakten Defekt im Quellcode, die genaue Sequenz jeder Fehlermeldung oder den vollständigen Zustand jedes Prozesses. Ein Artikel kann deshalb den belegten Mechanismus darstellen, darf aber nicht behaupten, eine unabhängige forensische Rekonstruktion aller Ursachen zu besitzen.

Der bekannte Kern reicht aus, um den Kontrollpunkt zu benennen. Unter erwarteten Bedingungen besaßen die Systeme nach KPNs Angaben ausreichend Kapazität. Das unerwartete Softwareverhalten veränderte jedoch, wofür diese Ressourcen gebraucht wurden. Fehlermeldungen verbrauchten den Spielraum, der sonst zur Verarbeitung und Weiterleitung von Anrufen verfügbar war. Nominale Verkehrskapazität schützt nicht automatisch vor internem Zustandswachstum, das zugleich Diagnose und Gegenmaßnahmen erschweren kann.

Aus dem Wort „Softwarefehler“ folgt keine Lieferantenhaftung. Das Material nennt weder einen verantwortlichen Hersteller noch ein Produkt, ein Gerätemodell oder eine konkrete Version. Es identifiziert auch keine Person, die den Fehler geschaffen, übersehen oder falsch behandelt habe. Eine Zuweisung an einen Anbieter oder einen einzelnen Beschäftigten würde eine Lücke mit Vermutung füllen. Das belastbare Thema sind die Kontrollen, die einen unbekannten Softwarezustand erkennen, begrenzen und von einem geschützten Dienstpfad fernhalten sollen.

Ebenso wenig gibt es einen Beleg für eine böswillige Ursache. Der veröffentlichte Vorgang ist ein technischer und betrieblicher Ausfall. Eine Angriffs- oder Sabotageerzählung würde den Gegenstand verändern und die Aufmerksamkeit von den tatsächlich dokumentierten Anforderungen abziehen: robuste Änderungen, brauchbare Überwachung, unabhängige Fehlerdomänen und rechtzeitige Eingriffsrechte.

Vier Plattformen an zwei Orten waren gegenüber dem gemeinsamen Verhalten nicht unabhängig

KPN betrieb vier redundante Routingsysteme an zwei Standorten. Jedes System verfügte nach der Unternehmensdarstellung über genügend Kapazität für den erwarteten Betrieb. Diese Architekturmerkmale gehören zum Befund und dürfen nicht rückwirkend verschwinden. Der Vorfall beweist weder, dass es nur ein System gab, noch dass alle Plattformen am selben Ort standen oder nominell unterdimensioniert waren.

Er zeigt eine andere Grenze: Komponentenanzahl und Standortvielfalt sind nicht dasselbe wie unabhängige operative Fehlerdomänen. Vier Systeme können einen einzelnen Hardwaredefekt abfangen. Zwei Standorte können Schutz gegen bestimmte lokale Strom-, Zugangs- oder Gebäudestörungen bieten. Wenn jedoch dasselbe Softwareverhalten, dieselbe Meldungslogik oder dieselbe Lastbewegung alle Plattformen erreicht, kann ein gemeinsamer Zustand die physischen Grenzen überbrücken.

Redundanz sollte deshalb immer gegen eine benannte Fehlerklasse geprüft werden. Die Aussage „N+3“ oder „vierfach vorhanden“ erklärt, wie viele Komponenten bereitstehen. Sie erklärt nicht, ob ein Fehler in Software, Konfiguration, Telemetrie oder Betriebsprozess auf diese Komponenten korreliert wirkt. Die operative Frage lautet: Bleibt ein Pfad anders genug, um den Dienst weiterzuführen, während der auslösende Zustand in den anderen Pfaden aktiv ist?

Ein zeitlich gestaffeltes Volllaufen kann wie eine Reihe unabhängiger Ausfälle erscheinen. Tatsächlich kann es die Ausbreitung eines gemeinsamen Problems sein. Wird Verkehr von einer belasteten Plattform auf eine zweite verschoben, ohne deren Zustand und nutzbare Reserve zuverlässig zu kennen, nimmt sie nicht nur legitime Anrufe auf. Sie kann auch dieselbe fehlerhafte Bedingung oder zusätzliche Last übernehmen. Ein automatischer Failover-Befehl kann technisch erfolgreich sein und dennoch die gemeinsame Erschöpfung beschleunigen.

Darum muss die Abnahme von Redundanz mehr leisten als das Abschalten eines ansonsten gesunden Geräts. Ein anspruchsvoller Test hält das relevante fehlerhafte Verhalten aktiv, schützt einen tatsächlich abweichenden Pfad, misst dessen Ressourcen unabhängig und prüft reale Anrufabschlüsse. Nur so lässt sich zeigen, dass der Ersatzpfad nicht bloß vorhanden, sondern im entscheidenden Szenario verwendbar ist.

Diese Lesart ist keine Absage an Redundanz. Sie macht den Begriff präziser. Plattformen, Standorte und Kapazität sind notwendige Entwurfsgrößen. Kontinuität ist das beobachtete Ergebnis. Am 24. Juni 2019 stand trotz der installierten Redundanz kein funktionsfähiger Pfad für die nationale Telefonie und 112 zur Verfügung. Damit wurde der Unterschied zwischen architektonischer Vervielfachung und operativer Unabhängigkeit zum zentralen Rechenschaftstest.

Die öffentliche Rekonstruktion zeigt Brüche zwischen Messung, Benachrichtigung und Diagnose

NOS beschrieb auf Grundlage der Untersuchungsrekonstruktion mehrere Elemente: eine Überwachungslücke, eine veraltete Benachrichtigungsadresse, einen Fehler in Lastzählern, eine nacheinander zunehmende Überlastung der vier Systeme und einen verzögerten Diagnoseweg. Diese Angaben sind der öffentlichen Berichterstattung und dem zugrunde liegenden Untersuchungsstand zuzuordnen. Sie geben dem Artikel keinen Zugriff auf KPNs vollständige interne Telemetrie.

Ein Alarm hat nur dann betriebliche Bedeutung, wenn die gesamte Kette funktioniert. Das erzeugende System muss den relevanten Zustand erkennen. Die Nachricht muss an eine aktuelle Adresse gehen. Eine zuständige Person oder Funktion muss sie empfangen und bestätigen. Schließlich muss aus der Information innerhalb eines brauchbaren Zeitfensters eine Entscheidung entstehen. Eine Meldung an ein altes Ziel kann technisch korrekt versandt sein und operativ dennoch niemanden erreichen.

Lastmessung hat eine ähnliche Wahrheitsanforderung. Ein Zähler kann einen plausiblen Wert anzeigen und trotzdem den nutzbaren Spielraum falsch abbilden. Wenn Fehlermeldungen Ressourcen beanspruchen, muss die Beobachtung unterscheiden, welche Kapazität nominell installiert und welche tatsächlich für die Anrufweiterleitung verfügbar ist. Widerspricht ein interner Wert einem externen Anruftest, sollte der Widerspruch das Vertrauen in die Messung senken, nicht den Diensttest entwerten.

Zudem genügt die Betrachtung einzelner Plattformen nicht. Wenn Fehlermeldungsrate, Ressourcennutzung oder Weiterleitungsfehler auf mehreren Systemen ähnlich steigen, ist die Korrelation selbst ein Warnsignal. Ein Schwellenwert je Gerät kann den Zusammenhang übersehen, bis jedes Gerät einzeln kritisch geworden ist. Eine systemweite Sicht muss deshalb Geschwindigkeit, Gleichlauf und Übertragungswege des Zustands erfassen.

Mit wachsender Erschöpfung schrumpft die Eingriffszeit. Ressourcen, die für Fehlermeldungen oder Zustandsverarbeitung aufgebraucht werden, können auch für Diagnose, Managementzugang oder Gegenbefehle fehlen. Beobachtung ist daher nicht nur ein Instrument zur späteren Erklärung. Sie bewahrt die Gelegenheit, einen sauberen Pfad zu schützen, bevor der gemeinsame Zustand ihn erreicht.

Die rekonstruierte Verzögerung erlaubt keine persönliche Schuldzuweisung. Die öffentlichen Quellen zeigen nicht, welche Person zu welchem Zeitpunkt welche Anzeige sah, welche Entscheidungsbefugnis sie hatte oder welche nicht veröffentlichten Informationen verfügbar waren. Der vertretbare Schluss betrifft das Kontrollsystem: Die Kombination aus Messung, Benachrichtigung und Prozess lieferte nicht rechtzeitig einen belastbaren Hebel, um unabhängige Kontinuität zu erhalten.

Failover ist erst nach dem Dienstnachweis erfolgreich

Aus dem Vorfall lässt sich eine Nachweiskette ableiten, ohne zu behaupten, sie beschreibe KPNs heutige Architektur. Am Anfang stehen plattformspezifische Daten: Fehlermeldungswachstum, belegte Ressourcen, nutzbare Reserve und Fähigkeit zur Anrufweiterleitung. Danach folgt der Vergleich über Systeme und Standorte. Dann braucht es einen Eingriff mit klarer Autorität. Am Ende steht ein Festnetz-, Mobilfunk- oder 112-Test von einem realistischen Ausgangspunkt bis zum Ziel.

Jede Stufe kann grün erscheinen, während die nächste bereits scheitert. Eine Plattform kann laufen, aber keine Anrufe weiterleiten. Reserve kann auf dem Papier existieren, aber für abnorme Nachrichten gebunden sein. Ein Alarm kann versandt werden, ohne einen aktuellen Empfänger zu erreichen. Ein Failover kann die Last verschieben, obwohl der Zielpfad dieselbe Fehlerbedingung trägt. Deshalb ist die Ausführung eines Befehls kein Ergebnisnachweis.

Ein Stoppsignal sollte vor der vollständigen Erschöpfung liegen. Beispiele wären schnell zunehmende Fehlermeldungen zusammen mit sinkender Anrufabschlussrate, unplausible Abweichungen zwischen Lastzähler und externem Test oder derselbe Zustand in zwei vermeintlich unabhängigen Systemen. Die Quellen belegen nicht, welche konkreten Schwellen 2019 eingerichtet waren. Sie zeigen, warum ein Betreiber solche Grenzen für gemeinsames Verhalten und nicht nur für den Totalausfall einer Komponente benötigt.

Isolation unterscheidet sich von blindem Umschalten. Bevor mehr Verkehr auf einen verbleibenden Pfad gelangt, muss dessen Unabhängigkeit, Messqualität und End-to-End-Funktion plausibel sein. Andernfalls kann eine schnelle Umschaltung das letzte saubere System füllen. Unter Umständen ist ein begrenzter, geschützter Pfad für Notrufe wertvoller als ein breit angelegter Failover, der alle Dienste verspricht und schließlich keinen erhält.

Auch öffentliche Kommunikation braucht einen dienstbezogenen Auslöser. Wenn externe 112-Tests scheitern, sollten Behörden und Öffentlichkeit handlungsfähige Alternativen erhalten, ohne auf eine vollständig erklärte technische Ursache zu warten. Die Kommunikation muss jedoch zwischen Erkennung, Eindämmung, erster Rückkehr und stabiler Wiederherstellung unterscheiden. Ein internes Fortschrittssignal darf nicht als vollständige Dienstzusage formuliert werden.

Die Aufsicht hielt Kontrollmängel und erfüllte Kontinuitätspflicht gleichzeitig fest

Der parlamentarische Bericht über die Untersuchung enthält zwei Befundarten, die gemeinsam gelesen werden müssen. Die Aufsicht sah unzureichende Aufmerksamkeit für unerwartete Schwachstellen aus Softwarekonfigurationen, eine unzureichende Robustheit im Umfeld von Änderungen und Schwächen in der Prozessdisziplin. Diese Punkte betreffen genau die Fähigkeit, ein unerwartetes gemeinsames Verhalten zu erkennen und zu begrenzen.

Im selben Bericht steht, dass KPN die einschlägige gesetzliche Kontinuitätspflicht erfüllt hatte. Der positive Befund darf nicht ausgelassen werden, um eine schärfere Anklage zu erzeugen. Umgekehrt macht er die festgestellten betrieblichen Verbesserungsbedarfe nicht bedeutungslos. Eine Aufsicht kann die Einhaltung einer gesetzlichen Pflicht bejahen und dennoch aus einem konkreten Ereignis zusätzliche Anforderungen an Kontrollen ableiten.

Damit ist eine Behauptung des gesetzlichen Verstoßes nicht gedeckt. Die Quellen belegen für diesen Vorfall weder ein Bußgeld noch eine festgestellte Haftung oder böswilliges Handeln. Rechenschaft bedeutet hier nicht, einen negativen Rechtsbefund zu erfinden. Sie bedeutet, die Beziehung zwischen Architekturversprechen, Prozesskontrollen, beobachtetem Netzzustand und tatsächlicher Dienstleistung sichtbar zu machen.

Rechtliche Pflichterfüllung und interne technische Assurance beantworten unterschiedliche Fragen. Der regulatorische Befund bewertet den Sachverhalt nach dem anwendbaren Rahmen. Eine operative Prüfung fragt zusätzlich, welche aktuellen Belege ein Unternehmen benötigt, bevor es sich auf vierfache Redundanz für einen kritischen Dienst verlässt. Ein positiver regulatorischer Befund schließt einen anspruchsvolleren internen Betriebsstandard nicht aus.

Gerade diese Trennung macht die Analyse fair. Sie wahrt die Aussage der Aufsicht und bleibt dennoch bei der dokumentierten Tatsache, dass 112 und nationale Telefonie ausfielen. Weder positive noch negative Elemente werden benutzt, um das jeweils andere zu verdrängen.

Anerkannte Empfehlungen sind noch kein aktueller Wirksamkeitsbeleg

KPN akzeptierte nach eigener Darstellung die Ergebnisse und Empfehlungen der Untersuchung und erläuterte öffentlich den Mechanismus der Routingplattform sowie die Reaktion des Unternehmens. Der parlamentarische Bericht hält fest, dass Ursachenuntersuchung und Abhilfemaßnahmen verfolgt wurden. Das belegt eine institutionelle Reaktion auf den Vorfall.

Es belegt nicht automatisch, dass jede Maßnahme abgeschlossen, unabhängig geprüft oder heute wirksam ist. Eine geänderte Richtlinie kann Absicht dokumentieren. Ein neuer Alarm kann eingerichtet sein. Eine Plattform kann anders konfiguriert werden. Die entscheidende Assurance entsteht erst, wenn ein relevanter Test zeigt, dass der gemeinsame Fehlerpfad begrenzt wird und ein nutzbarer Dienstpfad erhalten bleibt.

Jede Maßnahme braucht deshalb einen passenden Ergebnisbeleg. Eine neue Messung sollte abnormes Nachrichtenwachstum unter Last erkennen. Eine aktualisierte Kontaktkette sollte Zustellung und Bestätigung nachweisen. Eine Trennung der Systeme sollte in einem gemeinsamen Software-Szenario bestehen. Eine robustere Änderungskontrolle sollte einen Eingriff stoppen, wenn die laufende Lage von der genehmigten Erwartung abweicht. Eine Wiederherstellungsprobe sollte erfolgreiche Anrufe zeigen, nicht nur zurückgesetzte Prozesse.

Die vier Quellen enthalten keinen vollständigen aktuellen Test dieser Art. Daraus folgt weder, dass KPN keine wirksamen Verbesserungen vorgenommen hat, noch dass sie wirkungslos sind. Es folgt nur, dass dieses Material keine gegenwärtige Gesamtbewertung trägt. Eine verantwortliche Analyse erkennt die berichtete Abhilfe an und hält die Frage ihrer heutigen und gegenfaktischen Wirksamkeit offen.

Die Evidenzgrenze ist Teil des Befunds

Der öffentliche Datensatz stützt einen engen, aber aussagekräftigen Kern. Es gab einen nationalen Ausfall mit einem bekannten Zeitfenster und klaren Dienstfolgen. KPN schrieb ihn einem unentdeckten Fehler in der Anruf-Routingplattform und einer großen Menge an Fehlermeldungen zu. Alle vier redundanten Systeme liefen voll. Die Rekonstruktion benennt Überwachungs-, Benachrichtigungs-, Zähler- und Diagnoseprobleme. Die Aufsicht stellte sowohl Kontrollschwächen als auch die Erfüllung der gesetzlichen Kontinuitätspflicht fest.

Nicht veröffentlicht sind die vollständigen internen Logs, der vollständige Spezialistenbericht, der exakte Quellcodefehler und die vollständige kausale Sequenz auf Logebene. Die Quellen weisen keinem Individuum die Verantwortung für Änderung, Überwachung, Diagnose oder Eskalation zu. Sie nennen keinen verantwortlichen Lieferanten, kein Produkt und kein Gerätemodell.

Ebenso fehlt ein verifizierter Zusammenhang zu einer bestimmten Verletzung, einem Todesfall, einem einzelnen Notfallergebnis oder einer bezifferten finanziellen Einbuße. Eine böswillige Ursache ist nicht belegt. Die heutige oder gegenfaktische Wirksamkeit aller gemeldeten Verbesserungen ist nicht unabhängig festgestellt.

Diese Abwesenheiten beweisen nicht, dass KPN, Behörden oder andere Stellen keine weiteren privaten Informationen besitzen. Sie setzen die Grenze dessen, was öffentlich behauptet werden kann. „Nicht in diesen Quellen“ ist kein Synonym für „existiert nicht“. Präzise Rechenschaft kennzeichnet Unwissen, statt es in Gewissheit umzuwandeln.

Die Grenze schützt auch die Qualität der Schlussfolgerung. Ohne erfundene Schuldzuweisung bleibt sichtbar, dass ein gemeinsamer operativer Zustand vier installierte Pfade praktisch gleichzeitig entwertete. Ohne überzogene Schadenszahlen bleibt der dokumentierte Verlust von Telefonie und 112 ernst genug. Ohne eine falsche Rechtsbehauptung kann die technische Assurance-Frage klarer gestellt werden.

Kontinuität wird im laufenden Netz bewiesen

Architekturpläne, Kapazitätsmodelle, Änderungsprotokolle und Untersuchungsberichte sind wichtige Aufzeichnungen. Sie zeigen, was vorgesehen, installiert, genehmigt und später verstanden wurde. Keines dieser Dokumente leitet selbst einen Anruf weiter. Ihr Wert für Kontinuität hängt davon ab, ob sich der laufende Dienst unter Störung so verhält, wie die Unterlagen es vorhersagen.

Ein belastbarer Nachweis verbindet vier Ebenen. Auf Komponentenebene muss er zeigen, wie Fehlermeldungen, Ressourcen und Weiterleitungsfähigkeit jedes Systems aussehen. Auf Unabhängigkeitsebene muss er zeigen, ob die Verschlechterung eines Systems die anderen vorhersagt. Auf Handlungsebene muss ein verlässliches Signal eine Funktion mit Stop-, Isolations- und Eskalationsrecht erreichen. Auf Dienstebene muss der Anruf tatsächlich abgeschlossen werden.

Der Vorfall macht deutlich, warum kein einzelner Ersatzindikator genügt. Ein eingeschaltetes Gerät kann funktionslos sein. Nominelle Kapazität kann intern gebunden werden. Eine Alarmfunktion kann an einer veralteten Adresse enden. Ein Failover kann dieselbe schädliche Bedingung verbreiten. Der Nachweis muss deshalb die gesamte Kette abdecken und ihr schwächstes Glied sichtbar machen.

Eine realitätsgebundene Rechenschaft verlangt weder die öffentliche Nennung einer Person noch eine symbolische Verurteilung. Sie fragt, was die Infrastruktur tat, welche Messung vor dem letzten Volllaufen verfügbar war, wer einen gemeinsamen Fehler stoppen konnte und welches Ergebnis die Wiederherstellung bewies. Sie bewahrt die positiven und negativen Aufsichtsfeststellungen und trennt bekannte Tatsachen von offenen Fragen.

KPNs Ausfall von 2019 ist damit kein Beweis, dass Redundanz nutzlos wäre. Er legt die Beweislast fest. Vier Systeme, zwei Standorte und genügend nominelle Kapazität sind Voraussetzungen. Unabhängige Kontinuität ist die nachgewiesene Fähigkeit, mindestens einen Pfad nutzbar, sichtbar und steuerbar zu halten, während der Zustand aktiv ist, gegen den die Redundanz schützen soll.

Quellen