Nach zuerst nur stückweisen und zögerlichen Erklärungen zum bundesweiten Ausfall des Zugverkehrs hat die Deutsche Bahn nun einige technische Details zu den Ursachen vorgelegt. Ebenso soll es für künftige Wartungsarbeiten neue Regeln geben, denn: laut Bahn „planmäßige Instandhaltungsarbeiten“ hatten zum Stillstand aller Züge geführt. Von einem fehlgeschlagenen Softwareupdate hatten in der fraglichen Nacht bereits dpa und SWR berichtet, die Bahn hat das nun bestätigt.

In einem am Freitag veröffentlichten Blogbeitrag beschreibt die Deutsche Bahn, dass der Austausch eines Netzwerk-Switches ursächlich die Probleme verursacht hat. Dabei habe es dann, so wörtlich, einen „singulären Softwarefehler“ gegeben, aber keine Fehlermeldung. Das resultierte in einem Ausfall des Mobilfunksystems GSM-R, ohne das Züge nicht fahren dürfen. Für GSM-R gibt es laut Bahn zwar ein redundantes System – das wurde aber nicht automatisch aktiviert. Es scheint, als wäre diese Umschaltung von einer Fehlermeldung abhängig gewesen, diese blieb aber wie beschrieben aus.

Erst Cyberattacke ausschließen, dann umschalten

Für einen solchen Fall, schreibt die Bahn, ist zunächst ein Cyberangriff auszuschließen. Das erscheint sinnvoll, denn in solchen Fällen könnte man seinen eigenen Systemen nicht mehr trauen. Durch übereilte Gegenmaßnahmen an der falschen Stelle können dann die Probleme nur größer werden. Nach 90 Minuten haben dann Mitarbeiter der Bahn manuell die „Rückfallebene“ aktiviert, die Züge konnten wieder fahren.

Das deckt sich mit Beobachtungen von heise online und zahlreichen Berichten von Reisenden: Schon gegen 0:30 Uhr bewegten sich einige Züge wieder. Die ersten Meldungen von im Bahnverkehr beschäftigten Personen über den Ausfall von GSM-R und damit des gesamten Zugverkehrs gab es gegen 22:20 Uhr. Zum zuerst befürchteten Verkehrschaos am Mittwochmorgen kam es nicht. Bei längeren Ausfällen von zentralen Bahnsystemen ist das zwangsläufig der Fall, weil Personal und Züge sich nicht da befinden, wo sie sein sollten.

Um solche Ausfälle zu vermeiden, hat die Bahn drei Maßnahmen ergriffen: Vorerst soll es keinen Austausch von Komponenten mehr geben, mit dem Hersteller des Switches soll der Fehler behoben werden. Und wohl am wichtigsten, und von Beobachtern häufig gefordert: Instandhaltungsarbeiten sollen nur noch von 0 Uhr nachts bis 4 Uhr morgens durchgeführt werden. Dann fahren auf deutschen Schienen fast nur Güterzüge, die ohne große Folgeprobleme auch auf freier Strecke anhalten können.

GSM-R bleibt noch zehn Jahre

Der Chef der Schienen, der Vorstandsvorsitzende der DB InfraGO, Philipp Nagl, beschreibt in dem Blogeintrag zudem, dass man derzeit für GSM-R die „Rückfallebene über den öffentlichen Mobilfunk“ neu aufstellen würde. An der Sanierung von GSM-R arbeitet die Bahn laut Nagl schon länger, es soll unter anderem resilienter werden. Noch mindestens zehn Jahre soll das auf 2G basierende System der Bahn noch gebraucht werden, erst dann soll nur noch der Zugfunk-Standard FRMCS (Future Railway Mobile Communication System) genutzt werden. Aber, so die Bahn: FRMCS sei durch die Europäische Union noch nicht spezifiziert, daher könnten Komponenten dafür auch weder bestellt noch verbaut werden.

(nie)