Zusammenfassung

  • Doppelte Strom- und Transportwege belegen keine Kontinuität, wenn kritische Systeme am Ende derselben Zeitautorität, Antennenumgebung oder Verteilungsstrecke vertrauen.
  • Beschafft werden sollten ein dienstspezifisches Fehlerbudget, unabhängige Referenzen, gemessener Holdover, authentifizierte Verteilung, laufender Vergleich und eine geübte Wiederherstellungsentscheidung.

Der Ausfall ohne Dunkelheit

Um 02:17 Uhr tragen Generatoren das Gebäude, zwei Carrier-Wege sind erreichbar und Server melden sich gesund. Doch die Zeitreferenz ist nicht mehr vertrauenswürdig. Sie kann GNSS verloren, Störungen angenommen, einer falschen Upstream-Uhr gefolgt oder Holdover begonnen haben, ohne dem Diensteigner die reale Drift zu zeigen.

Nichts muss sofort ausgehen. Ein Mobilfunknetz kann sein Phasenbudget verlassen. Eine Strommessung kann die Steuerung irreführen. Zertifikate, Token-Laufzeiten und verteilte Sperren reagieren anders als erwartet. Protokolle zweier Standorte können denselben Vorfall in widersprüchlicher Reihenfolge abbilden. Verloren geht nicht nur die „richtige Uhrzeit“, sondern eine gemeinsame Grundlage für Koordination und Beweis.

Die britische PNT-Übersicht, zuletzt im Februar 2026 aktualisiert, verortet Positionierung, Navigation und Zeit unter Telekommunikation, Rechnern, Notdiensten und Finanzwesen. Das National Risk Register 2025 behandelt den Verlust dieser Dienste. Das beschreibt systemische Abhängigkeit, nicht die Schwäche eines bestimmten Betreibers.

Vier Eigenschaften statt eines grünen Symbols

Genauigkeit misst die Nähe zur geforderten Referenz. Verfügbarkeit fragt, ob der Dienst vorhanden ist. Integrität erkennt ein plausibles, aber falsches Signal. Unabhängigkeit prüft, ob nominell getrennte Quellen nicht doch Konstellation, Antenne, Glasfaser, Strom, Software oder Betriebsautorität teilen.

Authentifizierung löst nur einen Teil. Der authentifizierte NTP-Dienst des NIST sichert die Herkunft einer Antwort kryptografisch. Eine echte Antwort kann trotzdem verspätet sein, einen gemeinsamen Fehlerweg nehmen oder für Funk, Energie und Finanzanwendungen zu ungenau sein. Ein guter Oszillator kann lokal stabil bleiben, ohne durch einen unabhängigen Vergleich seine Drift zu erkennen.

Der Käufer braucht deshalb eine Architektur, keinen Produktnamen. Das PNT-Programm des NIST verlangt, abhängige Anlagen zu identifizieren, Störung oder Manipulation zu erkennen und Risiken zu behandeln. Technical Note 2187 beschreibt GPS-unabhängige UTC-Verteilung und verwendet plus/minus eine Mikrosekunde als Referenzannahme. Der Wert ist nicht universell; er zeigt, warum die Grenze aus der Dienstfolge abgeleitet werden muss.

Holdover ist verderblicher Vorrat

Ohne externe Referenz verbraucht eine Uhr endliche Oszillatorstabilität. Temperatur, Alterung, Vibration, Wartung und Kalibrierung bestimmen das Fehlerwachstum. „Wir haben eine Atomuhr“ ist so unvollständig wie „wir haben einen Generator“. Entscheidend sind zertifizierter Startzustand, Anwendungsgrenze, schlechteste Umgebung, Alarm und Eingriffszeit.

Die ITU zeigt das mit G.8272.1 und G.8272.2. Unter den Standardbedingungen kann eine ePRTC nach GNSS-Verlust bis zu 40 Tage innerhalb von 100 Nanosekunden zu UTC bleiben. cnPRTC lässt verteilte Uhren kooperieren und kontinuierlich vergleichen. Das ist keine 40-Tage-Garantie für jede Anlage, sondern ein Beleg für spezifizierte Leistung, Vergleich und Netzarchitektur.

Nationale Investition erweitert das Angebot

Das Vereinigte Königreich kündigte im November 2025 155 Millionen Pfund für PNT-Resilienz an. Das National Timing Centre des NPL und seine Resilient Enhanced Time Scale Infrastructure sollen terrestrische, rückführbare und geografisch verteilte Zeit stärken.

Das kann die Abhängigkeit von einem Satellitenkanal verringern, ersetzt aber keine lokale Verantwortung. Zwischen nationalem Labor und Anwendung liegen Empfänger, Fasern, Switches, Uhren, Software, Zugangsdaten, Verträge und Menschen. Auch eine hervorragende Quelle kann über eine gemeinsame schwache Kette geliefert werden.

Die Fehlerform der Uhr gehört in den Vertrag

Die Abnahme beginnt mit Folgen: Welche Funktion scheitert bei 100 Nanosekunden, einer Mikrosekunde, einer Millisekunde oder einer Sekunde? Wie lange bleibt jede Uhr innerhalb der Grenze? Welche unabhängige Messung beweist das? Welcher Alarm erreicht den Verantwortlichen vor Verbrauch des Budgets?

Das Betriebsbuch muss Referenzen, physische Wege, Vertrauensinstanzen und Holdover-Geräte nennen; Vergleichsresiduen statt nur „synchron“ anzeigen; Unsicherheit in Logs bewahren; und benennen, wer eine verdächtige Quelle isolieren darf. Auch der Wiedereintritt braucht Regeln. Ein Zeitsprung kann Anwendungen schädigen. Sanfte Korrektur, Quarantäne, Ereignisabgleich und Wiederherstellung der Rückführbarkeit gehören zur Erholung.

Redundanz zählt Geräte. Resilienz beweist, dass das System falsche Zeit erkennt, im Dienstlimit bleibt und vertrauenswürdige Ordnung wiedererlangt, ohne dass ein verborgener Eigentümer die Wahrheit standardmäßig festlegt.

Primärquellen