TECHNISCHES MEMORANDUM                                        TM-26-001

BETREFF:      Was neun Minuten Ausfall im nationalen Maßstab kosten
DATUM:        2026-07-07


ZUSAMMENFASSUNG. Am 9. Juli 2021 war das Backend, das Deutschlands
digitale Impfzertifikate ausstellte, neun Minuten lang nicht
erreichbar. Kosten: rund 30.000 nicht ausgestellte Zertifikate. Die
Redundanz war geplant; die Fehlerfälle nicht.

1. HINTERGRUND. Am Tag davor fiel in einem unserer Server ein
Netzteil aus - nicht leise, es ist explodiert. Die VM auf dieser
Maschine lag nicht auf dem SAN, es gab also nichts, worauf
umgeschaltet werden konnte: der erste Ausfall. Die Stromspitze
hatte außerdem einen der Switches beschädigt. Der Austausch war
für den nächsten Tag angesetzt.

2. FESTSTELLUNGEN.

   2.1 Beim Austausch am nächsten Tag übernahm der Zwilling des
   Switches nicht - die Redundanz, die den Verkehr hätte tragen
   sollen.

   2.2 Das Backend war neun Minuten nicht erreichbar.

   2.3 In diesen neun Minuten wurden rund 30.000 Zertifikate nicht
   ausgestellt - Menschen, die in Apotheken und Impfzentren standen
   und warteten. Bis zu diesem Tag hatte das System mehr als
   60 Millionen ausgestellt.

   2.4 Reisen war während der Pandemie in vielen Fällen nur mit
   aktuellem Test- oder Impfzertifikat möglich. Jedes deutsche
   Zertifikat lief über dieses Backend - einen anderen Weg gab
   es nicht.

3. ANNAHMEN. Wenn nur 1 % dieser 30.000 kurz vor einer
Auslandsreise standen - ein Flug, eine Grenzkontrolle - sind das
300 Menschen. Bei moderaten 400–1.000 EUR pro Ticket haben neun
Minuten rund 120.000–300.000 EUR an fremden Reiseplänen aufs Spiel
gesetzt.

4. SCHLUSSFOLGERUNGEN. „Wie viel Redundanz ist genug?“ ist keine
Architekturfrage. Es ist Arithmetik: Was kostet eine Minute Ausfall
nach dem eigenen Wertmaßstab - Zertifikate, Bestellungen, Patienten,
Flugtickets? Jemand muss diese Rechnung machen, bevor die Hardware
sie macht.

5. MASSNAHMEN. Auf unserer Seite gab es nichts zu reparieren. Ein
explodierendes Netzteil ist Pech. Eine VM ohne SAN-Kopie und ein
Zwilling, der nicht übernimmt, sind es nicht. Beides lag in der
Infrastruktur unter unserer Software; was blieb, war die
Lieferantenbeziehung: Wir haben unseren Rechenzentrumsbetreiber um
bessere Sorgfalt bei den erbrachten Leistungen gebeten. Manche
Vorfälle enden in einer Architekturänderung. Dieser endete in einem
harten Gespräch - und in diesem Memo.