Die Deutsche Bahn stand still.

Bundesweit.

Nicht wegen Schnee.

Nicht wegen Sturm.

Nicht wegen Herbstlaub, Sommerhitze, Weichenromantik oder einem Bagger, der mal wieder Infrastruktur frühstückt.

Sondern wegen einer Störung im digitalen Zugfunk.

GSM-R.

Also dem System, über das Zugpersonal und Betriebszentralen sicher miteinander kommunizieren. Wenn das nicht zuverlässig funktioniert, fährt aus Sicherheitsgründen nichts. Die Bahn hielt am späten Dienstagabend bundesweit alle Züge an Bahnhöfen zurück; betroffen waren Fernverkehr, Regionalverkehr und teils S-Bahnen.

Ein ganzes Land auf Pause.

Weil Funk sagt: nö.

WTF.

Natürlich ist klar: Sicherheit geht vor.

Wenn der Zugfunk gestört ist, sollen Züge nicht einfach blind durch die Gegend rollen, während irgendwo jemand hofft, dass schon nichts passiert.

Das ist nicht der Punkt.

Der Punkt ist:

Wie kann ein zentrales System so ausfallen, dass bundesweit der Bahnverkehr angehalten werden muss?

Wie fragil darf kritische Infrastruktur eigentlich sein, bevor jemand im Konferenzraum leise fragt, ob das vielleicht ein bisschen peinlich ist?

Die Bahn teilte gegen 22:30 Uhr mit, dass wegen einer bundesweiten Störung des digitalen Bahnfunks GSM-R vorläufig alle Züge an Bahnhöfen zurückgehalten würden. Gegen 00:50 Uhr meldete sie, die Störung sei behoben und der Verkehr laufe schrittweise wieder an; zuvor kündigte sie Taxi- und Hotelgutscheine sowie Aufenthaltszüge an, wo möglich.

Schön.

Zwei Stunden Stillstand.

Danach langsam wieder hochfahren.

Wie ein Router.

Nur mit Menschen, Terminen, Anschlüssen, Nachtschlaf, verpassten Zügen und sehr viel Kofferfrust.

Und natürlich kommt dann diese technische Beruhigungsformel:

„Unsere IT-Experten haben pausenlos gearbeitet.“

Glaube ich sofort.

Die Leute, die nachts Systeme retten, sind selten das Problem.

Das Problem ist meistens weiter oben.

Dort, wo Architektur entschieden wird.

Redundanz.

Notfallkonzepte.

Betriebsprozesse.

Abhängigkeiten.

Budget.

Prioritäten.

Also genau die Dinge, die man jahrelang teuer ignorieren kann, bis sie plötzlich um 22:30 Uhr die Reisenden auf Bahnsteigen festnageln.

Die Ursache wurde laut Bahn in der Nacht identifiziert und behoben; Details nannte der Konzern zunächst nicht. Sicherheitsbehörden gingen nicht von Sabotage aus; mehrere Berichte nennen als Vermutung ein fehlerhaftes Update beziehungsweise eine technische Ursache im IT-Umfeld.

Ein fehlerhaftes Update.

Vielleicht.

Eine Komponente.

Vielleicht.

Irgendetwas im System wurde angefasst, getauscht, aktualisiert oder beleidigt — und plötzlich steht Deutschland.

Kann man machen.

Sollte man bei kritischer Infrastruktur vielleicht nicht so bauen, dass „Komponente gewechselt“ klingt wie:

Herzlichen Glückwunsch, der Bahnverkehr wurde bundesweit deaktiviert.

Das ist der Kern.

Nicht, dass Technik ausfällt.

Technik fällt aus.

Immer.

Festplatten sterben.

Software spinnt.

Updates sind manchmal Überraschungseier mit Produktionswirkung.

Komponenten haben Launen.

Menschen machen Fehler.

Das passiert.

Aber gute Infrastruktur rechnet damit.

Gute Infrastruktur fragt vorher:

Was passiert, wenn diese Komponente ausfällt?

Was passiert, wenn dieses Update schiefgeht?

Was passiert, wenn der zentrale Dienst kurz die Grätsche macht?

Was passiert, wenn nachts nicht nur ein Standort, sondern ein ganzes Land dranhängt?

Und wenn die Antwort lautet:

Dann halten wir bundesweit alle Züge an.

Dann ist das keine Antwort.

Dann ist das ein Hilferuf mit Fahrplan.

GSM-R ist kein kleiner Komfortdienst.

Das ist nicht die App, die mal wieder „Verbindung nicht möglich“ sagt, während man auf Gleis 7 steht und innerlich altert.

GSM-R ist bahnbetriebliche Kommunikation.

Kritisch.

Sicherheitsrelevant.

Basisbetrieb.

Die DB beschreibt GSM-R selbst als digitales Mobilfunknetz für den Eisenbahnbetrieb, das analoge Funksysteme ersetzt hat und für Sprach- und Datenkommunikation im Bahnbetrieb genutzt wird.

Also genau nicht:

„Ach, wenn das kurz weg ist, dann fahren wir halt analog weiter und pfeifen zweimal.“

Nein.

Wenn das weg ist, wird es ernst.

Und deshalb muss so ein System verdammt robust sein.

Nicht hübsch.

Nicht modern in der Broschüre.

Robust.

Resilient.

Redundant.

Mit Fallback.

Mit getrennten Ebenen.

Mit sauber getesteten Updates.

Mit Rollback.

Mit Monitoring.

Mit Notfallbetrieb, der nicht klingt wie „wir stabilisieren mal mit einem Notfallsystem und hoffen, dass gleich wieder was geht“.

Bahn-Chefin Evelyn Palla sagte später, man habe die Lage mit einem Notfallsystem stabilisieren können; gegen 0:30 Uhr fuhren erste Züge wieder an.

Notfallsystem.

Gut, dass es eins gibt.

Schlecht, dass man offenbar trotzdem erst mal bundesweit stillstand.

Das ist wie ein Airbag, der nach dem Unfall per Formular beantragt werden muss.

Und ja, ich weiß: Eisenbahn ist komplex.

Sehr komplex.

Signaltechnik.

Betriebszentralen.

Zugfunk.

Fahrdienstleiter.

Trassen.

Sicherheitsregeln.

Notfallprozesse.

Kein Spielzeug.

Kein Hobbykeller.

Kein „mach mal kurz Mesh-WLAN neu“.

Aber genau deshalb erwarte ich nicht weniger, sondern mehr.

Mehr Planung.

Mehr Resilienz.

Mehr Demut vor Single Points of Failure.

Mehr „Was passiert, wenn X stirbt?“

Weniger „wird schon“.

Deutschland liebt offenbar Systeme, die erstaunlich lange funktionieren, bis sie dann spektakulär zeigen, dass unter der schönen Oberfläche ein einziger kritischer Faden hängt.

Ein Kabel legt Gerichte lahm.

Ein Stellwerk stoppt eine Region.

Ein Zugfunksystem bremst ein Land aus.

Und jedes Mal stehen alle davor und sagen:

Das ist aber ungewöhnlich.

Nein.

Das ist Architektur.

Das ist Infrastruktur auf Kante.

Das ist jahrelanges Sparen, Verschieben, Patchen, Modernisieren im laufenden Betrieb und Beten, dass der alte Kram noch ein bisschen hält, während der neue Kram auch schon wieder komplex genug ist, um nachts Schlagzeilen zu produzieren.

Natürlich ist die Bahn nicht allein schuld an allem.

Politik hat über Jahrzehnte mitgewirkt.

Kaputtsparen.

Gewinnlogik.

Prestigeprojekte.

Zu wenig Investition.

Zu viel Flickwerk.

Zu viele Verantwortlichkeiten.

Zu wenig langfristige Infrastrukturpolitik.

Alles bekannt.

Alles schon tausendmal gesagt.

Aber es hilft den Leuten auf dem Bahnsteig nicht, wenn man ihnen erklärt, dass die Ursache historisch gewachsen ist.

Die wollen nach Hause.

Und zwar nicht irgendwann nach einer Root-Cause-Analyse.

Besonders schön ist die Formulierung, dass der Verkehr am Morgen wieder „weitgehend reibungslos“ angelaufen sei. Die DB meldete gegen 6:30 Uhr, nach rascher Problembehebung in der Nacht könne es noch vereinzelt zu Einschränkungen kommen; Reisende sollten ihre Verbindung prüfen.

„Bitte prüfen Sie Ihre Verbindung.“

Ein Satz, der bei der Bahn inzwischen eher wie eine Lebenshaltung klingt.

Prüfen Sie Ihre Verbindung.

Prüfen Sie Ihre Erwartungen.

Prüfen Sie Ihre Geduld.

Prüfen Sie, ob Sie morgen vielleicht einfach zu Hause bleiben.

Ich kann dieses Land manchmal nicht mehr.

Wir reden über Verkehrswende.

Über mehr Menschen auf die Schiene.

Über weniger Autos.

Über Klimaziele.

Über moderne Mobilität.

Über Deutschlandtakt.

Über Digitalisierung.

Und dann steht bundesweit die Bahn, weil der Zugfunk ausfällt.

Das ist kein kleiner Betriebszwischenfall.

Das ist ein Symbol.

Ein sehr teures.

Ein sehr deutsches.

Denn wer Menschen vom Auto in die Bahn bringen will, muss Vertrauen liefern.

Nicht nur Tickets.

Vertrauen.

Dass man ankommt.

Dass Systeme halten.

Dass Störungen lokal bleiben.

Dass Notfälle nicht gleich das ganze Netz in die Knie zwingen.

Dass „kritische Infrastruktur“ nicht nur ein Begriff aus Sonntagsreden ist.

Wenn ein System zentral genug ist, um bundesweit den Betrieb anzuhalten, dann muss es so behandelt werden wie kritische Infrastruktur.

Nicht wie ein Updatefenster mit Optimismus.

Nicht wie „wir tauschen mal eine Komponente“.

Nicht wie „wird schon, haben wir getestet“.

Getestet wo?

Im Labor?

Im Teilnetz?

In der Theorie?

Auf einem Whiteboard?

Oder im echten Leben, wo danach Hamburg, München, Berlin, Köln, Hannover und halb Deutschland am Bahnsteig stehen?

Natürlich werden jetzt Untersuchungen kommen.

Natürlich wird man die Ursache analysieren.

Natürlich wird es heißen, man nehme den Vorfall sehr ernst.

Das ist die Standardsprache nach jedem Infrastrukturversagen.

„Sehr ernst nehmen“ ist in Deutschland die Vorstufe zu „wir prüfen“.

Und „wir prüfen“ ist oft die Endstation.

Gleis unbekannt.

Dabei wäre die einfache Frage:

Wie verhindern wir, dass ein einzelner Fehler bundesweit so durchschlägt?

Nicht im Pressesatz.

Technisch.

Organisatorisch.

Finanziell.

Mit echten Konsequenzen.

Mehr Redundanz kostet Geld.

Bessere Tests kosten Geld.

Parallelbetrieb kostet Geld.

Notfallübungen kosten Geld.

Altsysteme sauber ablösen kostet Geld.

Kompetenz kostet Geld.

Aber Stillstand kostet auch Geld.

Und Nerven.

Und Vertrauen.

Und genau dieses Vertrauen ist bei der Bahn ohnehin kein prall gefülltes Konto mehr.

Eher Dispo.

Mit Mahnung.

Am Ende bleibt:

Ein digitales Funksystem fällt aus.

Die Bahn hält bundesweit Züge zurück.

Nach zwei Stunden läuft es wieder an.

Die Ursache wird nicht detailliert genannt.

Reisende sollen Verbindungen prüfen.

Deutschland nickt müde.

Und irgendwo sagt jemand:

Zum Glück war es nur kurz.

Nein.

Zum Glück ist nichts Schlimmeres passiert.

Kurz ist nicht gut, wenn kurz reicht, um ein ganzes Land anzuhalten.

Das ist kein Betriebsunfall.

Das ist ein Warnschild.

Mit Verspätung.