Redundanz bedeutet: Jede kritische Komponente ist so mehrfach vorhanden, dass der Ausfall einer Einheit den Betrieb nicht unterbricht. Das klingt nach einer Frage der Stückzahl, ist aber eine Frage der Kette. Ein Rechenzentrum mit zwei Netzersatzanlagen, deren Strom über einen einzigen Verteiler läuft, ist an genau dieser Stelle so verwundbar wie eines ohne jede Reserve.
N, N+1, 2N: die Sprache der Redundanz
Betreiber beschreiben ihre Auslegung meist mit einer kurzen Formel. N steht für die Kapazität, die zum Betrieb gerade ausreicht. N+1 bedeutet eine zusätzliche Einheit als Reserve, etwa ein viertes Klimagerät, wo drei die Last tragen. 2N bedeutet zwei vollständig getrennte Versorgungswege, von denen jeder für sich die gesamte Last übernehmen kann.
Der Unterschied ist erheblich. N+1 schützt vor dem Ausfall eines Geräts, aber nicht zwingend vor einem Fehler in der gemeinsamen Verteilung. 2N schützt auch davor, erfordert aber doppelte Infrastruktur bis zum Server, der dafür zwei Netzteile an zwei getrennten Stromkreisen braucht. Die europäische Normenreihe DIN EN 50600 ordnet solche Auslegungen in vier Verfügbarkeitsklassen; ab Klasse 3 muss sich die Infrastruktur ohne Betriebsunterbrechung warten lassen. Fragen Sie deshalb nicht nur, ob redundant ausgelegt ist, sondern nach welchem Schema und bis zu welchem Punkt.
Die vier Ebenen im Einzelnen
- Strom: Die unterbrechungsfreie Stromversorgung überbrückt Sekunden bis Minuten, bis die Netzersatzanlage angelaufen ist; diese trägt dann über Stunden oder Tage, solange Kraftstoff nachgeliefert wird. Idealerweise kommt der Strom über zwei getrennte Einspeisungen ins Gebäude.
- Kühlung: Serverräume ohne Kühlung erreichen kritische Temperaturen in Minuten, nicht in Stunden. Die Kühlung muss deshalb ebenfalls redundant sein und nach einem Stromausfall selbsttätig und zügig wieder anlaufen.
- Netzanbindung: mehrere Anbieter über getrennte Wege ins Gebäude, nicht zwei Verträge über dasselbe Kabel im selben Schacht.
- Hardware: doppelte Netzteile, gespiegelte Speicher, Serververbund statt Einzelmaschine – und Switches sowie Firewalls, die ebenfalls paarweise ausgelegt sind.
Von der technischen Auslegung zu unterscheiden ist die vertragliche Zusage. Ein Betreiber kann eine weitgehend redundante Infrastruktur betreiben und im Vertrag dennoch nur eine zurückhaltende Verfügbarkeit zusichern – oder umgekehrt. Aussagekräftig ist erst beides zusammen: die Auslegung als Beleg für die Fähigkeit, die vertragliche Zusage als Maßstab, an dem sich der Betreiber messen lassen muss. Achten Sie außerdem darauf, ob sich die Zusage auf die Stromversorgung am Schrank, auf die Netzanbindung oder auf beides bezieht.
Die Suche nach dem einzelnen Fehlerpunkt
Die eigentliche Prüfarbeit besteht darin, Stellen zu finden, an denen trotz aller Doppelungen nur ein Element existiert. Fachleute sprechen vom Single Point of Failure. Die typischen Kandidaten sind unscheinbar: ein gemeinsamer Umschalter zwischen Netz und Notstrom, eine Steuerung, die beide Klimaanlagen regelt, ein einziger Kraftstofftank oder eine Glasfasertrasse, die zwei Anbieter gemeinsam nutzen.
Dieselbe Frage stellt sich für die eigenen Systeme. Eine typische Situation im Mittelstand: Die Server stehen in einem hochverfügbaren Rechenzentrum, die zentrale Anwendung läuft aber auf einer einzigen virtuellen Maschine, und die Firewall am Firmenstandort ist nur einmal vorhanden. Die Redundanz des Gebäudes nützt dann wenig, weil der Engpass eine Ebene höher liegt. Eine vollständige Betrachtung verfolgt deshalb den Weg vom Stromnetz bis zum Arbeitsplatz des Anwenders.
Getestet oder nur vorhanden?
Der entscheidende Unterschied liegt im Test. Eine Netzersatzanlage, die seit Jahren nicht unter Last gelaufen ist, ist ein Versprechen und keine Absicherung. Professionelle Betreiber führen regelmäßige Lasttests durch, schalten dabei tatsächlich auf Notstrom um und dokumentieren das Ergebnis. Die Antwort auf die Frage nach diesen Tests sagt mehr über die Betriebsqualität aus als jede Beschreibung der verbauten Technik.
Hinzu kommt der Faktor Mensch. Ein großer Teil der Ausfälle entsteht nicht durch defekte Technik, sondern durch Arbeiten am laufenden System – ein falsch gezogenes Kabel, eine Konfigurationsänderung ohne Rückweg. Klare Änderungsprozesse, das Vier-Augen-Prinzip bei kritischen Eingriffen und dokumentierte Rückwege gehören deshalb genauso zur Redundanz wie das zweite Netzteil. Dazu zählt auch personelle Redundanz: Wissen, über das nur eine einzige Person verfügt, ist ebenfalls ein einzelner Fehlerpunkt.
Für das Gespräch mit einem Betreiber oder dem eigenen IT-Dienstleister eignen sich die folgenden Fragen. Sie lassen sich ohne technische Vorkenntnisse stellen, verlangen aber konkrete Antworten.
- Nach welchem Schema sind Strom und Kühlung ausgelegt, und bis zu welchem Punkt reicht die Trennung der Versorgungswege?
- Wann lief die Netzersatzanlage zuletzt unter realer Last, und liegt darüber ein Protokoll vor?
- Über wie viele Anbieter und über welche getrennten Trassen ist der Standort angebunden?
- Wie werden Änderungen an der Infrastruktur geplant, freigegeben und angekündigt?
- Wie viel Kraftstoff ist vorrätig, und wie ist die Nachlieferung bei einem längeren Stromausfall geregelt?
Unsere Einordnung: Redundanz ist keine Eigenschaft, die man einmal kauft, sondern ein Zustand, der gepflegt und nachgewiesen werden muss. Für die Beurteilung zählt nicht die Zahl der Geräte, sondern ob die Kette vom Stromnetz bis zur Anwendung an keiner Stelle von einem einzelnen Element abhängt – und ob das zuletzt tatsächlich erprobt wurde.
Verwandte Themen: Wer hier weiterdenkt, liest bei USV, Netzanbindung und ISO 27001 weiter.
