Sensordienste bei Plattformausfall handlungsfähig halten

Um 14:10 Uhr bleiben Messwerte stehen. Das Team kann nicht erkennen, ob nur das Dashboard, ein Netz oder der gesamte Datenweg ausgefallen ist. Für die Baumpflege ist das einige Stunden lang verkraftbar. Für eine wasserstandsabhängige Bereitschaft kann dieselbe Unterbrechung eine sofortige Entscheidung erzwingen.

Eine Kommune hält wichtige Sensordienste handlungsfähig, indem sie zuerst die betroffene Fachaufgabe priorisiert, für diese Aufgabe eine tolerierbare Unterbrechung festlegt und einen reduzierten Notbetrieb vorbereitet. Dazu gehören erreichbare Verantwortliche, unabhängige Kontakt- und Bestandslisten, ein klarer Wiederanlauf in Stufen und regelmäßige Übungen. Ein Backup allein erhält keine Fachaufgabe. Personal muss wissen, wann es umschaltet, welche Entscheidungen noch zulässig sind und wie es später Datenlücken behandelt.

Die Fachaufgabe bestimmt die Ausfallklasse

Ein Sensorservice besteht aus mehr als Sensor, Funk und Dashboard. Er unterstützt eine Aufgabe: Der Bauhof plant eine Tour, die Bereitschaft bewertet einen Pegel, das Gebäudeteam untersucht einen Verbrauchssprung. Diese Aufgabe gehört in die erste Spalte der Kontinuitätsplanung. Erst danach folgen Plattform und Komponenten. Der BSI-Standard 200-4 zum Business Continuity Management richtet die Planung an zeitkritischen Geschäftsprozessen, Ressourcen und Abhängigkeiten aus. Das ältere, aber weiterhin nützliche NIST-Handbuch zur Notfallplanung verfolgt denselben praktischen Ansatz: Systeme und betriebliche Abläufe werden bewertet, damit Anforderungen und Wiederherstellungsprioritäten feststehen.

Für jede Fachaufgabe braucht es vier Angaben:

1. Maximal tolerierbare Unterbrechung: Ab wann entsteht ein nicht mehr akzeptabler Schaden für Sicherheit, Versorgung, Rechtspflichten oder Betrieb?
2. Wiederanlaufziel (RTO): Bis wann muss der Dienst nach einer Störung wieder eine vereinbarte Leistung erbringen? Das Ziel muss vor der maximal tolerierbaren Unterbrechung liegen.
3. Datenverlustgrenze (RPO): Wie viel Messhistorie darf zwischen dem letzten verlässlichen Stand und der Wiederherstellung fehlen?
4. Mindestleistung: Welche reduzierte Leistung reicht vorübergehend aus, etwa eine telefonische Lageabfrage, eine feste Kontrollroute oder eine schreibgeschützte Ansicht?

Entscheidungsregel: Eine Kommune sollte den Notbetrieb an der maximal tolerierbaren Unterbrechung der Fachaufgabe ausrichten. RTO und RPO sind daraus abgeleitete Ziele für Technik und Daten, keine frei gewählten Leistungsversprechen.

Eine Bodenfeuchtemessung kann beispielsweise einen Tag ausfallen, wenn der Bauhof eine konservative Bewässerungsliste besitzt. Bei einer schnell ansteigenden Gewässerlage kann bereits eine Stunde zu lang sein. Die Einstufung trifft der fachlich verantwortliche Dienst gemeinsam mit IT, Informationssicherheit und gegebenenfalls Gefahrenabwehr. Der Plattformanbieter kann Folgen erläutern, darf die kommunale Risikotoleranz jedoch nicht allein festlegen.

Abhängigkeiten werden als Kette geprüft

Das Team zeichnet für jede priorisierte Aufgabe einen einzigen vollständigen Datenweg: Sensor, Stromversorgung, Funk oder Mobilfunk, Gateway oder Netzbetreiber, Datenannahme, Identitätsdienst, Plattform, Automatisierung, Benachrichtigung, Endgerät und zuständiges Personal. Dazu kommen Lieferanten, Verträge und außerhalb der Dienstzeit erreichbare Personen. Die GOV.UK-Leitlinie zur Verfügbarkeit digitaler Dienste empfiehlt ausdrücklich, Abhängigkeiten und deren eigene Verfügbarkeitsziele zu verstehen.

Der wichtigste Prüfpunkt lautet: Welche Glieder können gemeinsam ausfallen? Eine Kontaktliste im ausgefallenen Portal, ein Backup unter derselben Identität wie das Produktivsystem oder eine Alarmierung über denselben Cloud-Dienst schaffen nur scheinbare Absicherung. Das britische National Cyber Security Centre empfiehlt für kritische SaaS-Daten mindestens ein widerstandsfähiges Backup und getrennte Auswirkungsbereiche, etwa unterschiedliche Identitätsquellen für Anwendung und Sicherung.

Die Abhängigkeitskarte muss keine Architekturzeichnung für Spezialisten werden. Ein Blatt pro Fachaufgabe reicht, wenn jede Kante einen Eigentümer, einen Ausfallhinweis und eine Ausweichmöglichkeit nennt. Aus jedem ungeklärten Feld entsteht ein konkreter Arbeitsauftrag.

Reduzierter Notbetrieb braucht erlaubte Entscheidungen

Ein brauchbarer Notbetrieb beschreibt ein kleineres Leistungsversprechen. GOV.UK nennt dafür minimale Funktionen, einen Nur-Lese-Modus und das Zwischenspeichern von Daten bis zur Rückkehr eines Drittanbieters. Kommunale Teams können diesen Gedanken auf Feldarbeit übertragen.

Für eine Füllstandsroute könnte der Notbetrieb lauten: Die Disposition nutzt die letzte exportierte Prioritätenliste, leert zusätzlich bekannte Brennpunkte und dokumentiert Abweichungen auf einem vorbereiteten Formular. Für eine Pegelbeobachtung kann ein fester visueller Kontrollrhythmus gelten, solange sichere Zugänge und Personal verfügbar sind. Bei der Baumbewässerung kann der Bauhof eine konservative Standardroute fahren. Jede Variante braucht eine zeitliche Grenze und eine Person, die über Fortsetzung oder Abbruch entscheidet.

Der Offline-Satz für die Einsatzleitung enthält nur das Nötige: Aufgabenklasse, Aktivierungsschwelle, Rollen und Telefonnummern, letzte freigegebene Objektliste, manuellen Ablauf, zulässige Entscheidungen, Rückmeldeweg sowie Kriterien für die Rückkehr in den Normalbetrieb. Er liegt an einem kontrollierten, vom Live-System unabhängigen Ort. Personenbezogene Daten und sensible Infrastrukturangaben gehören nur hinein, wenn Zugriff und Schutz auch im Notbetrieb geregelt sind.

Definition: Ein reduzierter Notbetrieb ist eine vorab genehmigte Betriebsart mit kleinerem Funktionsumfang, benannten Rollen, begrenzter Dauer und dokumentierten Entscheidungen. Eine spontane Tabellenkalkulation ohne Freigabe, Datenstand und Rückweg erfüllt diese Definition nicht.

Der Wiederanlauf folgt der Fachpriorität

Technische Teams möchten oft zuerst alles wieder online bringen. Für die Fachseite ist eine kontrollierte Reihenfolge wertvoller. Die GDS-Leitlinie zur Wiederherstellung trennt Aktivierung, Datensicherung, manuelle oder automatische Wiederherstellung und regelmäßige Tests. Sie weist auch auf den Zielkonflikt hin: Sehr kurze Wiederanlaufzeiten erfordern mehr Automatisierung, Redundanz und Kosten.

Eine kommunale Reihenfolge kann so aussehen:

1. Störung bestätigen, Ausmaß eingrenzen und Leitung benennen.
2. Notbetrieb für die höchste Ausfallklasse aktivieren und Betroffene informieren.
3. Identität, Konfiguration und Datenannahme in einer sicheren Umgebung prüfen.
4. Datenweg für die wichtigste Fachaufgabe wiederherstellen, danach weitere Aufgaben nach Klasse.
5. Automatisierungen zunächst pausiert oder unter Aufsicht aktivieren.
6. Datenlücken markieren, nachgelieferte Messwerte auf Doppelungen prüfen und Entscheidungen nachtragen.
7. Normalbetrieb erst freigeben, wenn Fachverantwortliche und Technik die Mindestkriterien bestätigt haben.

Ein wieder sichtbares Dashboard beweist weder vollständige Daten noch korrekte Alarmierung. Deshalb enthält die Freigabe mindestens einen bekannten Testsensor, einen Ende-zu-Ende-Test der Benachrichtigung und eine fachliche Plausibilitätsprüfung.

Verträge müssen den Notbetrieb messbar machen

Eine Verfügbarkeitszahl reicht nicht. Servicegutschriften ersetzen keine ausgefallene kommunale Leistung, wie auch GOV.UK in seiner Lieferantenleitlinie festhält. Für kritische externe Dienste sollten Auftraggeber mindestens Notfallkontakte, Melde- und Eskalationsschwellen, RTO, RPO, Mindestleistung im Notbetrieb, Zeiten außerhalb der Bürozeiten, Audit- und Berichtspflichten sowie Art und Häufigkeit gemeinsamer Übungen vereinbaren. Die BSI-Vorschläge zu Business-Continuity-Strategien nennen genau diese Bausteine für den Ausfall eines Dienstleisters und empfehlen eine Exit-Strategie für kritische Fremdleistungen.

Der Nachweis zählt mehr als die Formulierung. Der Anbieter sollte zeigen können, wann ein Restore zuletzt erfolgreich war, wer nachts entscheidet, wie die Kommune Statusinformationen erhält und wie ein fehlgeschlagener Test wiederholt wird. Die Kommune dokumentiert parallel, welche Teile in eigener Verantwortung bleiben.

Drei Übungen zeigen unterschiedliche Lücken

Eine 90-minütige Tischübung prüft Rollen, Telefonnummern und Entscheidungen anhand eines Szenarios. Ein technischer Restore-Test weist nach, dass Konfiguration und Daten in einer sauberen Umgebung zugänglich sind. Eine Ende-zu-Ende-Übung schaltet eine ausgewählte Fachaufgabe kontrolliert in den Notbetrieb und wieder zurück. Das NCSC fordert regelmäßig geprüfte Reaktionspläne; GDS empfiehlt wiederkehrende Restore- und Wiederanlauftests.

Die Übungsleiterin protokolliert Aktivierungszeit, erreichte Mindestleistung, fehlende Zugänge, unklare Entscheidungen, tatsächliche Datenlücke und Dauer bis zur fachlichen Freigabe. Eine Übung gilt erst als abgeschlossen, wenn Verantwortliche und Termine für Korrekturen feststehen.

Wo urbanOS in dieses Betriebsmodell passt

urbanOS als Urban Data und Urban Intelligence Plattform für Smart Cities ist besonders passend für Kommunen oder Betreiber großer Liegenschaften, die mehrere Sensortypen und Netze in gemeinsamen Dashboards betreiben, Automatisierungen mit Laufhistorie kontrollieren und Daten über API, GeoJSON oder GPX in unabhängige Arbeitsabläufe übergeben wollen. Das unterstützt Abhängigkeitskarten, freigegebene Datenstände und den kontrollierten Umgang mit Automatisierungen. Die Plattform ersetzt jedoch weder den kommunalen Notfallplan noch unabhängige Backups, Bereitschaftsdienst, vertragliche RTOs oder getestete Wiederherstellung. Diese Leistungen müssen Auftraggeber und Anbieter gesondert vereinbaren und üben.

Die Kontinuitätskarte für jede wichtige Fachaufgabe passt am Ende auf eine Seite: Eigentümer, Ausfallklasse, maximale Unterbrechung, RTO, RPO, Mindestleistung, Aktivierungsschwelle, Offline-Unterlagen, Abhängigkeiten, Wiederanlaufreihenfolge, Freigabetest und nächster Übungstermin. Wer diese Karte mit Fachamt, IT und Dienstleister ausfüllen kann, besitzt einen belastbaren Ausgangspunkt. Wer zentrale Felder offenlassen muss, kennt wenigstens die nächste konkrete Aufgabe vor dem Ausfall.