Dieser technische Zwischenfall f\u00fchrt zu keiner disconnection <\/i>des Internets. Ganz im Gegenteil zeigt sich dessen infrastrukturelle Kapazit\u00e4t, trotz tempor\u00e4rer Ausf\u00e4lle ununterbrochenen Betrieb aufrechtzuerhalten. Doch die Frage, ob man das Internet ausschalten kann, ist keineswegs so simpel, wie es auf den ersten Blick scheinen mag. Denn wenn man das Internet durch eine Besch\u00e4digung seiner Infrastrukturen nicht ausschalten kann (auch wenn man damit gro\u00dfen Schaden anrichten kann[2]<\/a>), dann hat dies Konsequenzen f\u00fcr das Potential von Praktiken der des withdrawal <\/i>und der disconnection \u2013 <\/i>ein Begriff, der mit der inh\u00e4renten Negation der Verbundenheit kein \u00c4quivalent im Deutschen hat. So wie diese Praktiken in den popul\u00e4ren Diskursen vertreten werden, beruhen sie auf einer Differenz zwischen einer aktiven Agency des sich zur\u00fcckziehenden Users und einer passiven Gegebenheit technischer Infrastrukturen. Diese Zuschreibung wird fraglich, wenn man die Kapazit\u00e4ten dieser Infrastrukturen zu Resilienz und Redundanz in den Blick nimmt und damit ihre Un-Abschaltbarkeit (dis-disconnectivity<\/i>). Mit dieser Verabschiedung der zugrundeliegenden Differenz ver\u00e4ndert sich insbesondere das ethische Potential der Diskurse der disconnection<\/i>: Wenn disconnection <\/i>oder withdrawal <\/i>zwar aktive menschliche Praktiken sind, die aber keinen Umgang mit einer allein instrumentell verstandenen Infrastruktur bedeuten, sondern diese selbst in die M\u00f6glichkeitsbedingungen von disconnection\u00a0<\/i>interveniert, dann verlieren die Praktiken der disconnection <\/i>und des withdrawal<\/i> ihr emanzipatorisches Potential. Dieses st\u00fctzt sich \u2013 zumindest in den popul\u00e4ren Positionen \u2013 auf einen maschinenst\u00fcrmerischen Anspruch, der nur solange eingel\u00f6st werden kann, wie es m\u00f6glich ist, die Maschinen zu st\u00fcrmen. Auf individueller Ebene mag withdrawal <\/i>m\u00f6glich sein, doch als politische Praxis m\u00fcsste sie die Unabschaltbarkeit des Internets ber\u00fccksichtigen. Gibt es keinen technischen Modus der disconnection<\/i>, dann bleiben die individuellen Praktiken der disconnection <\/i>blind f\u00fcr die Infrastrukturen, die jene Konnektivit\u00e4t bedingen, von der man sich verabschieden m\u00f6chte. Entsprechend gilt es nun, jene Infrastrukturen des Internets zu analysieren, die seinen ununterbrochenen Betrieb aufrechterhalten.<\/p>\n <\/p>\n Gegr\u00fcndet 1995, entsteht der DE-CIX als ein gemeinsames Projekt dreier fr\u00fcher deutscher Internet Service Provider (ISPs) und ist heute ein international agierendes Unternehmen, das dreizehn Internet Exchange Points<\/i> (IXP) weltweit unterh\u00e4lt.[3]<\/a> DE-CIX betreibt jedoch, wie viele andere IXPs auch, keine eigenen Rechen- oder Datenzentren, sondern nimmt f\u00fcr die distribuierte Switch-Infrastruktur die Dienste anderer Unternehmen in Anspruch. Eine Verkettung von Ausf\u00e4llen beim Rechenzentrums-Dienstleister Interxion, der Teile der \u00fcber 21 Standorte in Frankfurt verteilten Routing-Server von DE-CIX betreut, sorgt am 9. April 2018 daf\u00fcr, dass der Switch DE-CIX 6\/Interxion FRA 5 in Frankfurt-Fechenheim l\u00e4ngere Zeit nicht verf\u00fcgbar ist. Dieser bedeutende Knoten dient vor allem dem Peering, d.h. dem Verschalten von Netzwerken zum Datenaustausch \u2013 also dem, was den technischen Kern des Internetwork<\/i> Internet ausmacht: das Verbinden von isolierten Netzwerken untereinander. Zu den angeschlossenen Kunden von Interxion geh\u00f6ren neben DE-CIX vor allem Gesch\u00e4ftskunden, jedoch sind auch all jene Internet Service Provider betroffen, welche die Dienste von DE-CIX nutzen \u2013 im Fall dieses Teilausfalls rund 40 % der 850 DE-CIX-Kunden, zu denen auch gro\u00dfe Unternehmen mit Firmennetzwerken z\u00e4hlen.[4]<\/a> Der DE-CIX wird nicht direkt von Endnutzern angesteuert; vielmehr kaufen deren Provider bei DE-CIX Bandbreite und leiten dann ihren Traffic aus den eigenen Netzen \u00fcber diesen Knoten in die Netze anderer Provider und Dienste (peering<\/i>). Deshalb sind auch nicht alle Internet-User gleicherma\u00dfen und direkt vom Ausfall betroffen, sondern vornehmlich Kunden von Providern, in deren Auftrag DE-CIX genau dieses Rechenzentrum in Anspruch nimmt.<\/p>\n Der DE-CIX ist, so wird bereits deutlich, weniger ein zentraler Ort, an dem sich, gleichsam als Zentrum innerhalb des Netzwerks, der Knoten befindet, sondern ein \u00fcber mehrere Standorte und Anbieter verteiltes Netz aus Netzwerkknoten. Diese Redundanz wird zum entscheidenden Faktor. Es f\u00e4llt strenggenommen nicht \u201ader DE-CIX\u2018 aus, sondern ein Knoten des Knotens. Ein IXP stellt innerhalb des Netzwerks einen sogenannten single point of failure <\/i>dar, dessen Totalausfall ernstzunehmende Folgen f\u00fcr das gesamte Netz haben k\u00f6nnte.[5]<\/a> Deshalb ist ein IXP kein Punkt, sondern selbst ein Netz. IXPs sind \u00fcber mehrere Standorte, manchmal sogar mehrere L\u00e4nder verteilt. Die anderen Standorte von DE-CIX sind aufgrund dieser r\u00e4umlichen Verteilung w\u00e4hrend des Ausfalls weiterhin erreichbar. Da vermutlich jeder mitteleurop\u00e4ische Internet-User die Dienste von DE-CIX t\u00e4glich zur \u00dcbertragung von Tausenden von Datenpaketen nutzt, f\u00e4llt der Ausfall jedoch sofort ins Gewicht.\u00a0<\/span><\/p>\n Neben dem direkten Ausfall durch Unerreichbarkeit der von Interxion geleisteten Dienste stehen die indirekten Auswirkungen beeintr\u00e4chtigter Konnektivit\u00e4t. Da nach dem Ausfall der nunmehr fehlgeleitete Traffic \u00fcber benachbarte Knoten umgeleitet werden muss, wof\u00fcr wiederum eine Anpassung der sogenannten Routing-Tables n\u00f6tig ist, die jedem Router zur Ansteuerung des n\u00e4chsten Knotens zur Verf\u00fcgung stehen, kommt es f\u00fcr kurze Zeit zu gro\u00dffl\u00e4chigen Verstopfungen und nicht erreichbaren Websites, abbrechenden Streams und unterbrochenen Downloads. Nach wenigen Minuten stellt sich jedoch bereits weitestgehend Normalbetrieb ein. Das mitteleurop\u00e4ische Internet verkraftet also den Ausfall des gr\u00f6\u00dften Knotens und reguliert sich selbst durch automatische Umverteilung auf alternative Knoten.<\/p>\n Potentiale der Disconnection<\/p>\n Im Folgenden m\u00f6chte ich diesen Zwischenfall zum Anlass nehmen, um nach dem Ausfall-Potential des Internets zu fragen, also nach den Strategien und Technologien, die einen Totalausfall kritischer Infrastrukturen verhindern sollen.[6]<\/a> Diese Frage geht \u00fcber die technischen Kapazit\u00e4ten hinaus. Sie gewinnt ihre Brisanz vor dem Hintergrund einer anderen, selbstbestimmten Unterbrechung: der Trennung, der disconnection <\/i>oder des withdrawal<\/i>. Mit dem Anspruch auf ein Recht auf disconnection<\/i>, wie es von Autoren wie Jaron Lanier oder Byung-Chul Han vertreten wird, sind unterschiedliche Weisen des Ausstiegs gemeint: von der Nicht-Nutzung bestimmter Dienste (vornehmlich Social Media) bis hin zu kompletter digitaler Abstinenz. \u201eQuitting is the only way, for now, to learn what can replace our grand mistake.\u201c[7]<\/a> Solche Positionen propagieren den individuellen Abschied von digitalen Medien und vom Internet, aus unterschiedlichen Gr\u00fcnden, bleiben aber, wie Pepita Hesselberth ausgef\u00fchrt hat, an widerspr\u00fcchliche Annahmen dar\u00fcber gebunden, was es hei\u00dft, aus einem Netzwerk auszusteigen.[8]<\/a> Doch ist das Internet eine Infrastruktur, die man abschaffen, zerst\u00f6ren oder aufl\u00f6sen kann? Kann man das Internet hintergehen, und zwar nicht auf individueller Ebene, sondern auf soziotechnischer Ebene als kollektives Ph\u00e4nomen? Kann man es abschalten?<\/p>\n Als Praktik meint disconnection <\/i>einen freiwilligen Zustand der Unverbundenheit, in dem User nicht mehr Teil des Netzes ist. Disconnection <\/i>hei\u00dft nicht nur, keinen Anschluss mehr zu haben, sondern das Netz zu verlassen und \u2013 im Sinne des withdrawal<\/i> \u2013 ein Au\u00dfen im Innen zu erzeugen. Und das wiederum bedeutet, nicht Teil der Topographie und nicht adressierbar zu sein. Wer nicht Teil des Netzes ist, wer also keine Adresse hat, existiert in der Ontologie des Netzwerks nicht. Was nicht adressierbar ist, das ist nicht nur nicht Teil des Netzes, sondern hat f\u00fcr dieses keinen Status der Existenz.\u00a0<\/span><\/p>\n Die Intuition dieses Essays lautet, dass individuelle und technische disconnection<\/i> nicht voneinander getrennt werden sollten: Individueller Entzug, ob als Abmelden von Facebook oder als Ausschalten des Routers f\u00fchrt zwar zu dem, was Urs St\u00e4heli Entnetzung genannt hat, aber nicht zur disconnection <\/i>von digitalen Infrastrukturen.[9]<\/a> Was nicht ausfallen kann, von dem kann man sich nicht verabschieden und das kann man auch nicht ausschalten. Wenn man das Internet nicht ausschalten kann, dann bleibt disconnection <\/i>ex negativo an den Betrieb gebunden. Als vermeintlich emanzipatorischer Akt ignoriert der Ausstieg die Tatsache, dass man das Internet als Netzwerk nicht abschalten kann, sondern dass vielmehr ausdifferenzierte Verfahren existieren, um eben dies zu verhindern. Damit stellt sich die Frage nach dem Dispositiv, das Konnektivit\u00e4t, reibungsfreien Betrieb und st\u00e4ndige Verf\u00fcgbarkeit als infrastrukturelle Bedingung sicherstellt.\u00a0<\/span><\/p>\n Strategien der Redundanz und der Resilienz machen das Internet als komplexes, dynamisches System mit einer extremen Dichte an Komponenten zu einem Netzwerk, das technisch betrachtet nicht als Netzwerk, das Netze miteinander verschaltet, ausfallen kann. Sie k\u00f6nnen als Sicherheitstechnologien f\u00fcr Kritische Infrastrukturen verstanden werden, die man, Andreas Folkers Studie zur Biopolitik vitaler Systeme folgend, als Bestandteil eines Sicherheitsdispositivs der Resilienz deuten kann.[10]<\/a> Die technische Resilienz des Internets, die durch Redundanz f\u00fcr seinen ununterbrochenen Betrieb sorgt, kann vor diesem Hintergrund als biopolitische Ma\u00dfnahme (im Sinne Michel Foucaults) begriffen werden, mit der komplexe Infrastruktursysteme Kapazit\u00e4ten der Adaption an unsichere Umgebungen herausbilden. Die gegen den Ausfall gerichteten Strategien, von denen hier nur ein kleiner Ausschnitt betrachtet werden kann, machen deutlich, dass man es sich mit der simplen Variante des Ausstiegs im Sinne Laniers oder Hans zu einfach macht. Vielmehr ist die Verhinderung des Ausfalls Teil eines Sicherheitsdispositivs, das auch die Optionen der disconnection<\/i> oder des withdrawal <\/i>bestimmt. Um \u00fcber disconnection <\/i>nachzudenken, sollte also zuerst in groben Z\u00fcgen dieses Sicherheitsdispositiv herausgearbeitet werden, damit die Bedingungen von disconnection <\/i>sichtbar werden. Erst dann w\u00e4re anhand der politischen wie technischen Konsequenzen eine theoretische Grundlage geschaffen, auf der \u00fcber individuelle disconnection<\/i> als politische wie technische Praxis oder \u00fcber ihre Unm\u00f6glichkeit nachgedacht werden kann, die nicht auf einer Gegen\u00fcberstellung aktiven Handelns und passiver Technologie beruht. Disconnection <\/i>ist nie ein souver\u00e4ner Akt der Trennung, sondern stets bedingt von den technischen Infrastrukturen und Dispositiven, die Trennung auf spezifische Weise erm\u00f6glichen oder verhindern.<\/p>\n Der Ausfall<\/p>\n Ein von der Frankfurter Allgemeinen Zeitung zitiertes Schreiben von Interxion an die Kunden kl\u00e4rt kurz nach dem Zwischenfall \u00fcber die Verkettung ungl\u00fccklicher Umst\u00e4nde am 9. April 2018 auf: Zun\u00e4chst f\u00e4llt ein Transformator, der den Strom des lokalen Versorgers Mainova in das Netz des Rechenzentrums einspeist, durch \u00dcberhitzung aus. Die drei Dieselgeneratoren, die f\u00fcr solche Situationen wie in allen gr\u00f6\u00dferen Rechen- und Datenzentren bereitstehen und durch ihre Anzahl Redundanz erm\u00f6glichen sollen, laufen zwar wie im Notfallplan festgelegt an, doch durch einen weiteren Ausfall versiegt der Zufluss von Kraftstoff zu den Generatoren, obwohl ausreichend Diesel zur Verf\u00fcgung steht. Das Sicherungssystem habe irrt\u00fcmlicherweise ein Leck angezeigt und aufgrund einer leeren Stickstoff-Flasche den Kraftstoffzufluss gekappt.[11]<\/a> Der Schaden ist zu dieser Zeit, als die Anlage mit Notstrom aus den zur kurzzeitigen \u00dcberbr\u00fcckung gedachten Batterien weiterarbeitet, noch nicht behoben. Es steht kein Strom mehr zur Verf\u00fcgung und der Knoten f\u00e4llt von 19:43 bis 23:28 aus. Am fr\u00fchen Morgen folgt ein weiterer Ausfall von etwa zwei Stunden. Zum Zeitpunkt dieses zweiten Ausfalls hat DE-CIX den Traffic bereits manuell umgeleitet.[12]<\/a> Erst gegen vier Uhr morgens am 10. April sind alle Services wieder uneingeschr\u00e4nkt nutzbar.\u00a0<\/span>[13]<\/a><\/p>\n Die Folgen bleiben zwar f\u00fcr private Internetuser tempor\u00e4r \u2013 einige Internetseiten sind zeitweise nicht oder nur nach mehrmaligen Versuchen und das hei\u00dft Umleitungen erreichbar \u2013, doch f\u00fcr die Gesch\u00e4ftskunden von DE-CIX weitaus einschneidender, weil ihre Dienste nicht funktionieren. Der Internetservice RIPE Atlas, eine offene Plattform mit unterschiedlichen Tools zur Messung aktueller Konnektivit\u00e4t, stellt nur wenige Tage nach dem Ausfall unter dem Titel \u201eDoes the Internet Route around Damage?\u201c ein Analyseprotokoll des \u00fcber DE-CIX laufenden Traffics zur Verf\u00fcgung. Anhand der traceroutes<\/i> \u2013 ein Befehl, der die von einem Datenpaket durchlaufenen Knoten anzeigt \u2013, wird einerseits die Gr\u00f6\u00dfe des Ausfalls, andererseits aber auch die Geschwindigkeit der Wiederherstellung des Normalbetriebs deutlich \u2013 abz\u00fcglich von etwa zehn Prozent der Verbindungen, die auch einen Tag sp\u00e4ter nicht wieder \u00fcber DE-CIX laufen. J\u00e4hrlich treten etwa zehn bis f\u00fcnfzehn \u00e4hnliche Ausf\u00e4lle auf, die meist jedoch wesentlich schneller behoben sind und kleinere Knoten betreffen.[14]<\/a> Ein Beispiel daf\u00fcr ist der Ausfall des Amsterdam Exchange Point am 13. Mai 2015 f\u00fcr sieben Minuten. Aufgrund seiner Gr\u00f6\u00dfe und Dauer ist der Ausfall des Frankfurter Knotens daher ein exemplarischer Fall, weil er die Reaktionen des Netzwerks im Krisenfall vorf\u00fchrt.\u00a0<\/span><\/p>\n Emile Aben, Does The Internet Route Around Damage in 2018?<\/a>, 11. April 2018.<\/p><\/div>\n Die von RIPE vorgestellte Analyse ist zugleich ein Zeugnis f\u00fcr das Nicht-Wissen \u00fcber die selbstorganisierenden Prozesse des Internets als dynamischem System.[15]<\/a> Eben weil das Internet kein Zentrum hat, wei\u00df niemand, wie es im Schadensfall konkret reagieren wird. Aus dem gleichen Grund kann auch keine Karte des Internets erstellt werden. Zwar k\u00f6nnen Kapazit\u00e4ten zur Sicherung bereitgehalten und Reserven aufgebaut werden. Es ist aber nicht m\u00f6glich, vorherzusagen, welche konkreten Auswirkungen ein Ausfall hat. Diese k\u00f6nnen nur nachtr\u00e4glich rekonstruiert werden. Die Komplexit\u00e4t und Vielschichtigkeit der technischen Komponenten sowie der Grad an Vernetzung und Interdependenz verhindern Vorhersagen und Simulationen.<\/p>\n Redundanz, die Architektur des Internets und die Industrien der Konnektivit\u00e4t<\/p>\n In einem Interview erkl\u00e4rt Mareike Jacobshagen, Marketing-Managerin von Interxion, den Zwischenfall mit einem <\/i>\u201eVersagen der redundanten Systeme\u201c.[16]<\/a> Auf der lokalen Ebene des Rechenzentrums geschieht genau das, was nicht geschehen darf: Die Redundanzschleifen, die daraus ausgerichtet sind, im Fall eines Ausfalls Schritt f\u00fcr Schritt einzuspringen, fallen selbst aus. F\u00fcr IT-Dienstleister ist Redundanz auf verschiedenen Ebenen essentiell: es werden nicht nur redundante Energieversorgungssysteme etabliert, auch die Zertifizierung von Datensicherheit gegen\u00fcber b\u00f6swilligen Angriffen sowie technischem Versagen gilt, wie sich beim Blick auf die einschl\u00e4gigen Homepages zeigt, als zentrales Verkaufsargument. Daten werden redundant auf verschiedenen Datentr\u00e4gern (mitunter von unterschiedlichen Herstellern) und an verschiedenen Standorten gespiegelt und umfangreiche Ma\u00dfnahmen zum Schutz vor Angriffen in die Wege geleitet. Entsprechende Standards und Zertifikate erm\u00f6glichen, so das Versprechen, Vergleichbarkeit und eine nachvollziehbare Datensicherheit.<\/p>\n Redundanz bedeutet die st\u00e4ndige Verf\u00fcgbarkeit funktional identischer Ressourcen innerhalb eines technischen Systems, die bei einem St\u00f6rungsfall die Aufgaben der ausgefallenen Komponenten \u00fcbernehmen k\u00f6nnen, im Normalfall aber nicht genutzt werden.[17]<\/a> F\u00fcr die Energieversorgung von Rechen- und Datenzentren wird gem\u00e4\u00df internationaler Standards sogenannte kalte Standby-Redundanz eingesetzt. Parallel zum System der Stromversorgung aus dem regionalen Netz verf\u00fcgt jedes gr\u00f6\u00dfere Rechenzentrum \u00fcber Dieselgeneratoren, die im Notfall einspringen. Es sind stets mehrere Generatoren, \u00fcblicherweise drei, vorhanden, um sich auch gegen den Ausfall eines Generators abzusichern. Auf die Qualit\u00e4t des Diesels wird meist hoher Wert gelegt und der Kraftstoff regelm\u00e4\u00dfig ausgetauscht. Aufgrund des enormen Energieverbrauchs eines Rechenzentrums kann nur f\u00fcr einige Stunden Notbetrieb Kraftstoff vorr\u00e4tig gehalten werden. Die Kosten f\u00fcr die Redundanz machen entsprechend einen wichtigen Punkt der Preiskalkulation aus.<\/p>\n Es reicht dabei nicht, schlicht eine Stromquelle als Ersatz bereitzuhalten, weil bereits Unterbrechungen von wenigen Millisekunden die Elektronik zerst\u00f6ren k\u00f6nnen. Deshalb sind aufw\u00e4ndige Systeme der unterbrechungsfreien Stromversorgung (uninterruptible power supply<\/i>) n\u00f6tig, um m\u00f6gliche Schwankungen im Stromnetz auszugleichen. Die entsprechenden Systeme, die selbst enorme Mengen an Energie ben\u00f6tigen, koppeln das Rechenzentrum bei Bedarf vom allgemeinen Stromnetz ab, was beispielsweise bei Spannungsschwankungen oder Frequenz\u00e4nderungen wichtig ist. Dar\u00fcber hinaus beinhaltet unterbrechungsfreie Stromversorgung gem\u00e4\u00df der EU-Norm EN 62040 die genannten Notstromkomponenten, die zumindest kurzzeitig eine autarke Stromversorgung sicherstellen. Im Falle eines Stromausfalls greift zun\u00e4chst ein Batteriespeicher ein, der das Netz so lange am Laufen h\u00e4lt, bis die sogenannte Netzersatzanlage, d.h. der Notstrom, aktiviert ist, was im Fall von hochfahrenden Dieselgeneratoren einige Minuten dauern kann und genau synchronisiert werden muss.<\/p>\n Redundanz betrifft aber nicht nur Datensicherung und Energieversorgung auf lokaler Ebene, sondern ist von Beginn an Bestandteil der Architektur des Internets, wie sie 1964 von Paul Baran unter dem Titel On Distributed Communications Networks<\/i> f\u00fcr die RAND-Corporation formuliert wird.[18]<\/a> Baran besch\u00e4ftigt sich damit, wie ein Kommunikationsnetzwerk einen Angriff \u2013 einen Atomangriff \u2013 \u00fcberleben kann und welche Formen der Konnektivit\u00e4t, d.h. welche Architektur von Knoten und Verbindungen f\u00fcr die Gestaltung des Netzwerks angesichts dieser bedrohendsten aller Bedrohungen sinnvoll sind, um handlungsf\u00e4hig zu bleiben. Handlungsf\u00e4hig bedeutet, das Kommando zum Gegenschlag geben und d.h. \u00fcber technische Infrastrukturen kommunizieren zu k\u00f6nnen.\u00a0<\/span><\/p>\n Baran, Paul: \u00bbOn distributed communications networks\u00ab. In: IEEE\u00a0Transactions CS-12\/1 (1964), S. 1-9, hier: S. 1.<\/p><\/div>\n Baran unterscheidet drei Netzwerktypen, die auf einer zur Ikone des Internetzeitalters aufgestiegenen Abbildung zu sehen sind: zentralisierte, dezentralisierte und distribuierte Netze. Als Alternative zu zentralisierten und dezentralisierten Netzen, die aufgrund ihrer Konzentration auf herausgehobene Knoten, an denen alle Kan\u00e4le zusammenlaufen, besonders gef\u00e4hrdet sind, schl\u00e4gt Baran eine Topologie distribuierter Netze vor. Als ihr wesentliches Merkmal benennt er die Redundanz ihrer Verbindungen. Ein zentralisiertes Netz w\u00e4re durch einen einfachen Schlag auf den zentralen Knoten ausschaltbar, w\u00e4hrend ein distribuiertes Netz mit m\u00f6glichst vielen gleichberechtigten Knoten und ebenso vielen oder mehr Verbindungen ohne Hierarchie kaum zu eliminieren sei. Die L\u00f6sung der distribuierten Netze besteht in der Ausdehnung und Multiplizierung der potentiellen Ziele eines Angriffs auf die Kommunikationsinfrastruktur. Wird nur ein Knoten ausgeschaltet, gibt es weiterhin gen\u00fcgend Verbindungen zwischen allen anderen Knoten.\u00a0<\/span><\/p>\n Baran, Paul: \u00bbOn distributed communications networks\u00ab. In: IEEE\u00a0Transactions CS-12\/1 (1964), S. 1-9, hier: S. 2.<\/p><\/div>\n Die von Baran vorgeschlagene Architektur der Redundanz h\u00e4ngt eng mit dem von ihm entwickelten Verfahren des packet switching <\/i>zusammen. Alle \u00fcbertragenen Daten werden diesem Modell zufolge in kleine, standardisierte Pakete gestaffelt, die jeweils unterschiedliche Pfade von Knoten zu Knoten nehmen. An jedem Knoten werden die Pakete verschiedener Absender in der Reihenfolge ihrer Ankunft verarbeitet und ihre weiterf\u00fchrenden Routen anhand des sogenannten Headers, einem Paketschein analog, abh\u00e4ngig von der Auslastung des Netzes festgelegt. Niemand muss planen oder wissen, welchen Weg ein Paket nehmen wird. Weil an den Knoten Traffic ungeachtet seiner Herkunft, der verwendeten Hardware und seiner Inhalte, aber ausschlie\u00dflich in der formalisierten Weise, die das Protokoll vorgibt, weitergeleitet wird, k\u00f6nnen User bzw. die Anbieter von Diensten sicher sein, dass Daten so am Ziel ankommen, wie sie verschickt werden, selbst wenn Pakete auf dem Weg verschwinden oder Knoten ausfallen.\u00a0<\/span><\/p>\n Das Ziel einer sicheren \u00dcbertragung kann aus Barans Sicht anders als das einer schnellen Kommunikation nur dann erreicht und das Netzwerk stabilisiert werden, wenn die Anzahl der Knoten optimal auf die Anzahl der Verbindungen abgestimmt wird. Dazu wird erstens ein digitales Codierungsverfahren verwendet, das durch Redundanz gegen Angriffe gesch\u00fctzt ist und automatisiert werden kann, sowie zweitens eine Kommunikationsinfrastruktur entworfen, die \u00fcber mehr Verbindungen verf\u00fcgt als f\u00fcr den normalen Betrieb notwendig sind. Es geht in einem solchen Netz nicht darum, jeden Knoten von jedem anderen Knoten aus in einer Direktverbindung erreichen zu k\u00f6nnen, sondern um die Stabilit\u00e4t jeder tempor\u00e4ren Verbindung. Vernetzung bedeutet Mitte des 20. Jahrhunderts, nicht mehr jeden Empfangsort direkt mit jedem anderen verbinden zu m\u00fcssen. Nach Barans Berechnung reicht eine Konnektivit\u00e4t von lediglich drei von jedem Knoten abgehenden Verbindungen f\u00fcr ein stabiles Netz, das redundant genug ist, um beim Verlust von einzelnen Knoten ohne Einschr\u00e4nkung zu funktionieren. Seit dem ma\u00dfgeblichen Paper \u201eA Protocol for Packet Network Intercommunication\u201c von Vinton Cerf und Robert Kahn, das 1973 die Grundlagen des \u00dcbertragungsprotokolls TCP formuliert, wird Konnektivit\u00e4t wird nicht als direkte Verbindung zwischen Knoten gedacht, sondern als Potential des Netzwerks, in dem jede Verbindung redundant ist.[19]<\/a> Redundanz ist damit ein systemischer Bestandteil der Netzwerkarchitektur.\u00a0<\/span><\/p>\n Nach dem Modell des Textes von Cerf und Kahn operieren Knoten als Black Boxes, einfach und fehlerresistent, aber unbeteiligt an dem, was durch sie hindurchgeht, auf der Grundlage variabler Hardware und vollst\u00e4ndig automatisiert. Da die Aufnahme- und Verarbeitungskapazit\u00e4ten jedes Knotens technisch begrenzt sind, droht bei zu hoher Auslastung trotz aufw\u00e4ndiger Synchronisationsverfahren die Verlangsamung der \u00dcbertragung oder der Verlust von Paketen. An den Knoten werden die Pakete, dem urspr\u00fcnglichen Protokoll zufolge, in automatisierten Verfahren schnellstm\u00f6glich in der Reihenfolge ihres Ankommens verarbeitet (Best-Effort-Principle<\/i>). Wenn mehr Pakete ankommen als Zwischenspeicher oder Bearbeitungszeit zur Verf\u00fcgung steht, werden sie nicht angenommen, gehen verloren oder werden gel\u00f6scht. \u201eIf all available buffers are used up, succeeding arrivals can be discarded since unacknowledged packets will be retransmitted.\u201d[20]<\/a> Dies stellt insofern kein Problem dar, weil der Verlust von Paketen in diesem Modell bereits einkalkuliert ist: \u201eNo transmission can be 100 percent reliable.\u201c[21]<\/a> Die Redundanz der \u00dcbertragung gilt seit Baran als h\u00f6chstes Ziel jedes Netzwerkmodells und wird auch von Cerf und Kahn fortgef\u00fchrt: nicht nur bei der Zerst\u00f6rung von Knoten, sondern auch beim Verlust einzelner Pakete soll das Netzwerk weiterhin operationsf\u00e4hig sein. Automatisch werden daher Ersatzlieferungen vom vorhergehenden Knoten angefordert, wenn etwas fehlt. Der empfangende Knoten sendet eine Best\u00e4tigung f\u00fcr das Paket an den vorherigen Knoten und die digitale Kopie auf dem Ausgangsknoten wird gel\u00f6scht. Kommt keine Empfangsbest\u00e4tigung, wird das Paket erneut auf einer anderen Route versandt.\u00a0<\/span><\/p>\n Die Gef\u00e4hrdungslage liegt heute nicht mehr in feindlichen Atomschl\u00e4gen, sondern in der Interdependenz komplexer Systeme, in denen sich St\u00f6rungen unterschiedlichen Ursprungs rasch ausweiten und durch globale Vernetzung zu Kettenreaktionen der Ansteckung f\u00fchren k\u00f6nnen. Der Frankfurter Ausfall, eine Woche sp\u00e4ter in einem Twitter-Statement von Interxion als Serviceunterbrechung bezeichnet, ist also nicht nur ein einfacher technischer Schaden, sondern als Ausfall aller redundanten Systeme, als Versagen der Redundanz selbst, ein Worst-Case-Szenario f\u00fcr eine Industrie, die konstante Konnektivit\u00e4t bei gr\u00f6\u00dftm\u00f6glicher Redundanz sicherstellen m\u00f6chte, beeintr\u00e4chtigt aber \u2013 wie beschrieben \u2013 die Operationen des Internets nur marginal. Der Betrieb ist nach wenigen Minuten wieder regul\u00e4r und es gibt keinen Datenverlust, weil allein die Stromversorgung betroffen ist. Deutlich wird jedoch, dass das Internet wie jede Sicherheitstechnologie den Ausfall einkalkuliert und dessen Wahrscheinlichkeit im Sinne dessen, was Paul Virilio den \u201eintegralen Unfall\u201c[22]<\/a> genannt hat, nie ausschalten kann.<\/p>\n Zertifikate der Resilienz<\/p>\n Das Internet ist gem\u00e4\u00df der vorgestellten Modelle keineswegs auf fehlerfreien Betrieb ausgerichtet. Es unterliegt vielmehr einem fehlertoleranten Design, das St\u00f6rungen nicht ausschlie\u00dfen soll, sondern als unvermeidbaren Effekt der technischen Komplexit\u00e4t durch redundante Kapazit\u00e4ten selbstt\u00e4tig abfedert. Entsprechend lautet eine Schlussfolgerung aus dem bereits zitierten Aufsatz \u00fcber die H\u00e4ufigkeit des Ausfalls von IXPs: \u201eOur analysis shows that redundant peering strategies may increase the resilience to outages.\u201d[23]<\/a> In diesem Sinne hat die Redundanz, die bei Baran noch zur L\u00f6sung der Herausforderungen des Kalten Kriegs gedacht war, mit dem Aufstieg des Internets zum globalen Medium ihre Funktion gewandelt. Es geht nicht um die vollst\u00e4ndige Vermeidung jeden Risikos \u2013 weder in der heutigen Gestalt skalenfreier Netze, die nicht distribuiert, sondern dezentral sind, noch in der Redundanz von Paketen im packet switching<\/i>. Stattdessen liegt die Resilienz des Internets in seinen Kapazit\u00e4ten zur Anpassung an kontinuierliche Instabilit\u00e4t und zur R\u00fcckkehr in einen funktionierenden Zustand nach St\u00f6rungen. Es gibt keinen Normalzustand unterbrechungsfreier Operation, weil diese immer von St\u00f6rungen begleitet ist. Charakteristisch ist daher ein Modus permanenter Adaption, der das Internet als System der Resilienz ausweist.\u00a0<\/span><\/p>\n Der Begriff der Resilienz, der Anfang der 1970er Jahre vom kanadischen \u00d6kologen Crawford S. Holling in seinem Aufsatz \u201eResilience and Stability of Ecological Systems\u201c als generelle Eigenschaft komplexer Systeme beschrieben wird, artikuliert ein neues Verst\u00e4ndnis dessen, was stabile Zust\u00e4nde konstituiert.[24]<\/a> Das Modell der Resilienz erlaubt, die Reaktionen eines Systems auf Stress und Ver\u00e4nderungen als eine operationale Strategie des Risikomanagements zu beschreiben. Resilienz bezeichnet die Menge an Perturbation, die ein System absorbieren kann, bis es einen anderen tempor\u00e4r stabilen Zustand ausbildet.[25]<\/a> Nach einer St\u00f6rung findet ein resilientes System nicht einfach in ein stabiles Gleichgewicht zur\u00fcck, sondern erreicht einen neuen Zustand durch die Setzung neuer Normen und adaptierter Schwellenwerte der Stabilit\u00e4t. Ein solches System kennt keinen einzelnen, optimalen Zustand, sondern nur Multistabilit\u00e4t \u2013 es kann sich, in anderen Worten, flexibel an jegliche St\u00f6rungen und Ver\u00e4nderungen seines Au\u00dfen anpassen, weil es keinen festen Zustand hat.\u00a0<\/span><\/p>\n Insofern Resilienz als die F\u00e4higkeit eines Systems zur Absorption von Ver\u00e4nderungen bei fluktuierenden Au\u00dfenbedingungen weit \u00fcber die \u00d6kologie hinaus zum Ziel des individuellen Verhaltens, der Anpassungsf\u00e4higkeit sozialer oder \u00f6konomischer Institutionen sowie zur Grundlage smarter Technologien wird, bildet sie die Grundlage einer neuen Form von Biopolitik. Diese ist auf zuk\u00fcnftige Ereignisse in dynamischen, unvorhersagbaren Umgebungen ausgerichtet, setzt bei Holling als adaptive environmental management <\/i>die Absorption von Schwankungen methodisch ein und dehnt diese Kapazit\u00e4ten gegenw\u00e4rtig angesichts von Risikofaktoren wie Terrorismus oder dem Klimawandel auf planetarischen Ma\u00dfstab aus. Durch Resilienztraining soll das Unerwartbare erwartbar gemacht werden \u2013 durch die Vorbereitung darauf, dass Unerwartetes eintreten wird, kann Holling zufolge der Umgang damit erlernt werden: \u201eThe unexpected can be expected.\u201c[26]<\/a> An die Stelle stabiler Zust\u00e4nde des Gleichgewichts treten das Training eines Systems in permanentem Ausgleich, der Aufbau von Ressourcen f\u00fcr den Notfall und die Herausbildung adaptiver Kapazit\u00e4ten durch die Ausweitung bzw. Verengung von Grenzwerten, an denen ein System seine tempor\u00e4re Stabilit\u00e4t aufgibt. Eben diese Ma\u00dfnahmen, die nicht mehr an der R\u00fcckkehr in die stabilen Zust\u00e4nde der Vergangenheit, sondern an der flexiblen Anpassung an zuk\u00fcnftige Schwankungen orientiert sind, werden von den Sicherheitsma\u00dfnahmen von Rechenzentren Schritt f\u00fcr Schritt umgesetzt.[27]<\/a> Sie sind stets auf das Potential eines zuk\u00fcnftig eintretenden Zwischenfalls gerichtet, der sich nicht vermeiden, sondern nur durch Adaption in das System integrieren l\u00e4sst.<\/p>\n Sterbenz, James P.\/Hutchison, David\/\u00c7etinkaya, Egemen K.\/Jabbar, Abdul\/Rohrer, Justin P.\/Sch\u00f6ller, Marcus\/Smith, Paul: \u00bbResilience and Survivability in Communication Networks. Strategies, Principles, and Survey of Disciplines\u00ab, in: Computer Networks 54 (2010), S. 1245\u20131265, hier: S. 1253.<\/p><\/div>\n Unter dem Titel Resilinet<\/i> hat eine Gruppe von Informatikern einen entsprechenden Strategievorschlag f\u00fcr ein \u201earchitectural framework for resilience and survivability in communication networks\u201c[28]<\/a> gemacht, der sich strukturell in den Zertifizierungsratgebern von Regierungsinstitutionen wiederfindet. Diese Strategie ist in einer Grafik zusammengefasst, deren Formel D2<\/sup>R2<\/sup>+DR lautet. Den passiven Kern, also das Ziel dieser Strategie, bildet defend<\/i>. Die erste aktive Phase der Resilienz besteht im Fall einer wie auch immer geratenen St\u00f6rung in den vier sofort einzuleitenden Schritten detect<\/i>, remediate<\/i>, recover<\/i> und defend<\/i>. Die zweite aktive, nunmehr retrospektive und auf die Evolution des Systems ausgelegte Phase besteht aus diagnose <\/i>und refine<\/i>.[29]<\/a> Mit Hilfe dieses Schemas soll ein Knoten resilient gemacht und sein Ausfall verhindert werden.\u00a0<\/span><\/p>\n Dieses Vorgehen folgt Hollings Annahme, dass Vorhersage, Antizipation oder gar Steuerung zuk\u00fcnftiger Zust\u00e4nde eines Systems unm\u00f6glich sind, weil k\u00fcnftige Kontingenzen und ihre Komplexit\u00e4t praktisch wie logisch unvorhersagbar sind.[30]<\/a> Die einzige M\u00f6glichkeit besteht darin, ein System auf die unweigerlich kommenden Disruptionen vorzubereiten und seine F\u00e4higkeit zur Resilienz zu st\u00e4rken. Das Ziel ist der Aufbau von Kapazit\u00e4ten zur Stressabsorption. Das Risiko zuk\u00fcnftiger Ver\u00e4nderungen oder Katastrophen kann nicht minimiert, sondern nur durch die Optimierung der Adaptionsleistung, durch mehr Flexibilit\u00e4t und Belastbarkeit gemeistert werden. \u201eA management approach based on resilience [\u2026] would emphasize the need to keep options open, the need to view events in a regional rather than a local context, and the need to emphasize heterogeneity. Flowing from this would be not the presumption of sufficient knowledge, but the recognition of our ignorance; not the assumption that future events are expected, but that they will be unexpected.\u201d\u00a0<\/span>[31]<\/a><\/p>\n Diese Zeilen von 1973 deuten die Bedeutung des Modells der Resilienz f\u00fcr gegenw\u00e4rtige Politiken des Risikomanagements bereits an. Mit der Betonung von Flexibilit\u00e4t, Mobilit\u00e4t und Fluidit\u00e4t sowie dem Imperativ der Adaption stellt der \u00f6kologische Begriff der Resilienz Modelle und Metaphern bereit, die auch auf digitale Infrastrukturen sowie Gesellschaften als Ganzes \u00fcbertragen werden k\u00f6nnen. Wenn es keine singul\u00e4ren Zust\u00e4nde der Stabilit\u00e4t gibt, sind permanente Anpassung und dauerhafte Flexibilit\u00e4t angesichts globaler Unsicherheit Anleitungen zu effektiver Adaption, sei es auf institutioneller, auf individueller oder auf technischer Ebene. Der Begriff Resilienz ist mithin zur \u201e\u00fcbergreifenden Chiffre f\u00fcr einen Umgang mit Risiken, Gef\u00e4hrdungslagen und unkalkulierbaren Ereignissen\u201c[32]<\/a> aufgestiegen. Resilienz kann entsprechend als zeitgen\u00f6ssische Strategie der Regierung des Lebendigen in planetarischem Ma\u00dfstab und mithin als Instrument der Gouvernementalit\u00e4t im Sinne Foucaults verstanden werden.[33]<\/a> Das Internet setzt diese Prinzipien in seiner Architektur um.<\/p>\n Unter dem Namen business continuity management<\/i> laufende Ma\u00dfnahmen des Krisenmanagements sind gerade f\u00fcr Bestandteile Kritischer Infrastruktur, die per definitionem andauerndem Risiko ausgesetzt ist und deren St\u00f6rung gravierende Folgen f\u00fcr die Bev\u00f6lkerung h\u00e4tte, essentiell geworden.[34]<\/a> In Bezug auf digitale Netzwerke wird unterschieden in fault tolerance <\/i>technischen Fehlern gegen\u00fcber, disruption tolerance <\/i>Verbindungsfehlern gegen\u00fcber und traffic tolerance <\/i>gewollten oder ungewollten \u00dcberlastungen der Kapazit\u00e4t gegen\u00fcber.[35]<\/a> Die Ma\u00dfnahmen des Risikomanagements sollen helfen, sogenannte single points of failure <\/i>zu vermeiden, also Komponenten, deren Ausfall das gesamte System beeintr\u00e4chtigen w\u00fcrde. Eine Reihe von Standards legen Verfahrensweisen f\u00fcr den Ernstfall fest, die sicherstellen, dass im Notfall rasch angemessene Entscheidungen getroffen werden k\u00f6nnen. Die international g\u00fcltige Norm ISO 27001 spezifiziert unter dem Titel Information Technology \u2013 Security Techniques \u2013 Information Security Management Systems \u2013 Requirements<\/i> die Voraussetzung f\u00fcr die Einrichtung und Operation von Informationssicherheits-Managementsystemen. Neben den Anforderungen und Zielsetzungen von Informationssicherheit sowie der Kostenkalkulation enth\u00e4lt die Norm Angaben zum Prozessrahmen f\u00fcr das Sicherheitsmanagement. In Deutschland stellt das Bundesamt f\u00fcr Sicherheit in der Informationstechnik Zertifikate \u00fcber ISO 27001 aus, die jedes gr\u00f6\u00dfere Rechenzentrum, so auch die betroffenen Anbieter in Frankfurt, vorweisen kann.\u00a0<\/span><\/p>\n Konnektivit\u00e4t und Trennung<\/p>\n Resilienz stellt die Kontinuit\u00e4t der Konnektivit\u00e4t auf infrastruktureller Ebene her \u2013 das Netzwerk operiert auch bei St\u00f6rungen und Ausf\u00e4llen. Redundanz ist der Mechanismus, der auf unterschiedlichen Ebenen Konnektivit\u00e4t in Vernetzung \u00fcberf\u00fchrt und so ihre Kontinuit\u00e4t durch das Vorhalten von Reserven gew\u00e4hrleistet. Ein an diesen beiden Prinzipien ausgerichtetes Netzwerk ist vor Ausf\u00e4llen gesch\u00fctzt. Wie der Frankfurter Zwischenfall zeigt, sind Fehler, technische Probleme und Komponentenversagen zwar unvorhersagbar und m\u00fcssen als Versagen von Redundanz einkalkuliert werden, bleiben aber weitestgehend folgenlos. Der laufende Betrieb wird durch das Versagen des gr\u00f6\u00dften Knotens der Welt f\u00fcr kurze Zeit lokal beeintr\u00e4chtigt, jedoch nicht nachhaltig gest\u00f6rt.<\/p>\n Es scheint, als w\u00e4re die Frage, ob man das Internet abschalten kann, damit beantwortet: Nein, man kann es nicht abschalten, au\u00dfer im Fall einer globalen Katastrophe. Wie bereits angedeutet, impliziert diese zun\u00e4chst simple Frage einen weiteren Horizont. Wenn das Internet nicht ausfallen kann, dann ver\u00e4ndern sich die Rahmenbedingungen dessen, was disconnection<\/i> oder auch withdrawal <\/i>genannt wird. Digitale Enthaltsamkeit mag auf der individuellen Ebene von Entnetzungspraktiken m\u00f6glich sein, doch bleibt sie an das in groben Z\u00fcgen beschriebene Sicherheitsdispositiv der Resilienz gebunden. Will man \u2013 mit welchem Ziel auch immer \u2013 \u00fcber die gesellschaftliche Abh\u00e4ngigkeit von digitalen Infrastrukturen nachdenken, dann ist es ratsam, diese infrastrukturelle Dimension zu adressieren. Andernfalls bleibt die Debatte auf die voluntaristische Ebene individuellen R\u00fcckzugs beschr\u00e4nkt und vernachl\u00e4ssigt dessen M\u00f6glichkeitsbedingungen.<\/p>\n Entsprechend stellt sich die Frage, ob es \u00fcber die tempor\u00e4re Entnetzung hinaus, die immer schon von den Resilienzkapazit\u00e4ten des redundanten Systems eingehegt wird, Modi der Unterbrechung gibt, die \u00fcber \u201adigitale Enthaltsamkeit\u2018 hinausgehen. Was kann disconnection<\/i> hei\u00dfen, wenn die obersten Pr\u00e4missen der Systemarchitektur Resilienz und Redundanz lauten? Der Frankfurter Ausfall unterbricht nur f\u00fcr kurze Zeit einige Verbindungen, zeigt aber vor allem, wie wenig im Ernstfall ausf\u00e4llt. Um alternative M\u00f6glichkeiten der Unterbrechung zu er\u00f6ffnen, w\u00e4re es n\u00f6tig, nicht am schlichten Akt des individuellen Abschaltens anzusetzen, sondern eben diese Verfahren der Resilienz und der Redundanz in den Mittelpunkt zu stellen. Sie stellen den Betrieb des Netzwerks sicher und k\u00f6nnen damit zwar die individuellen Praktiken seiner (Nicht-)Nutzung nur indirekt beeinflussen, bilden aber das Dispositiv, das Konnektivit\u00e4t gew\u00e4hrleistet. Vor diesem Hintergrund ist der M\u00f6glichkeitsraum von disconnection\u00a0<\/i>stets an die Infrastrukturen, Industrien und \u00d6konomien der Konnektivit\u00e4t gebunden, aus denen man ebenso wenig aussteigen wie man das Internet abschalten kann. Eine Politik der disconnection <\/i>m\u00fcsste diese Abh\u00e4ngigkeit ernstnehmen und sich selbst als Element kritischer Infrastrukturen begreifen. Macht besteht in digitalen Kulturen nicht nur darin, Verbindungen herzustellen, sondern sie auch trennen zu k\u00f6nnen.<\/p>\n <\/p>\n Anmerkungen<\/p>\n [1]<\/a> Derzeit gibt es weltweit rund 350 IXPs, vgl. Philipp Richter\/Georgios Smaragdakis\/Anja Feldmann\/Nikolaos Chatzis\/Jan Boettger\/Walter Willinger: \u00bbPeering at Peerings\u00ab, in: IMC ’14. Proceedings of the 2014 ACM Internet Measurement Conference November 5-7, 2014, Vancouver, BC, Canada, S. 31\u201344. Zur ihrer Funktionsweise vgl. Nikolaos Chatzis\/Georgios Smaragdakis\/Anja Feldmann\/Walter Willinger: \u00bbThere is more to IXPs than meets the eye\u00ab, in: ACM Computer Communication Review 43 (2013), S. 19\u201328.<\/p>\n [2]<\/a> Das gr\u00f6\u00dfte St\u00f6rungspotential liegt im Ausfall von Domain Name System-Servern (DNS), die einer URL mit einer IP-Adresse abgleichen, also daf\u00fcr verantwortlich sind, dass die URL, die im Browser eingegeben wird, im Netzwerk mit der IP-Adresse des adressierten Servers identifiziert wird. Durch die Regulierung von DNS-Servern k\u00f6nnen Webseiten wie etwa in China manuell gesperrt werden. Auch die Ausnutzung von Schwachstellen in Protokollen kann enorme Auswirkungen haben. Vgl. https:\/\/www.golem.de\/news\/internet-infrastruktur-fehlerhafte-router-stoppen-bgp-experiment-1902-139186.html, letzter Zugriff am 2. M\u00e4rz 2019.<\/p>\n [3]<\/a> Gegr\u00fcndet von EUNet aus Dortmund, Xlink aus Karlsruhe und MAZ aus Hamburg, ist DE-CIX heute eine hundertprozentige Tochter des Vereins eco \u2013 Verband der Internetwirtschaft.<\/p>\n [4]<\/a> Vgl. zur Liste der Kunden https:\/\/www.peeringdb.com\/ix\/31, letzter Zugriff am 2. M\u00e4rz 2019.<\/p>\n [5]<\/a> Zu einer Klassifizierung unterschiedlicher Fehlertypen in Datencentern vgl. Yang Liu\/Jogesh K. Muppala\/Malathi Veeraraghavan\/Dong Lin\/Mounir Hamdi: Data Center Networks. Topologies, Architectures and Fault-Tolerance Characteristics, New York: Springer 2013, S. 51.<\/p>\n [6]<\/a> Vgl. James P. Sterbenz\/David Hutchison\/Egemen K. \u00c7etinkaya\/Abdul Jabbar\/Justin P. Rohrer\/Marcus Sch\u00f6ller\/Paul Smith: \u00bbResilience and Survivability in Communication Networks. Strategies, Principles, and Survey of Disciplines\u00ab, in: Computer Networks 54 (2010), S. 1245\u20131265. F\u00fcr eine Kategorisierung von Risiken f\u00fcr die Infrastruktur des Internets vgl. European Union Agency for Network and Information Security: Threat Landscape and Good Practice Guide for Internet Infrastructure 2015.<\/p>\n [7]<\/a> Jaron Lanier: Ten Arguments for Deleting your Social Media Accounts right now, New York: Holt 2018, S. 7 sowie Byung-Chul Han: Im Schwarm. Ansichten des Digitalen, Berlin: Matthes &\u00a0Seitz 2013 Vgl. auch Tero Karppi: Disconnect. Facebook’s affective bonds, Minneapolis: University of Minnesota Press 2018 sowie Siva Vaidhyanathan: Anti-Social Media. How Facebook Disconnects Us and Undermines Democracy, Oxford: Oxford University Press 2018.<\/p>\n [8]<\/a> Vgl. Pepita Hesselberth: \u00bbDiscourses on disconnectivity and the right to disconnect\u00ab, in: New Media & Society 1 (2017), S. 1\u201317.<\/p>\n [9]<\/a> Urs St\u00e4heli hat in \u00e4hnlicher Perspektive die Praktiken der Entnetzung dargestellt, in denen \u201edurch permanentes Vernetzen Vernetzung selbst zu einem Problem wird\u201c (Urs St\u00e4heli: \u00bbEntnetzt euch! Praktiken und \u00c4sthetiken der Anschlusslosigkeit1\u00ab, in: Mittelweg 36 (2013), S. 3\u201328, hier S. 10). Er betont, dass Entnetzung sich nicht allein auf ontologischer Ebene beschreiben l\u00e4sst. In diesem Sinn kann seine soziologische Perspektive auf Bereiche der Entnetzung innerhalb von Netzwerken komplement\u00e4r zur hier vorgeschlagenen Perspektive auf disconnection au\u00dferhalb des Netzwerks verstanden werden.<\/p>\n [10]<\/a> Vgl. Andreas Folkers: Das Sicherheitsdispositiv der Resilienz. Katastrophische Risiken und die Biopolitik vitaler Systeme, Frankfurt\/Main: Campus 2018.<\/p>\n [11]<\/a> Vgl. http:\/\/www.faz.net\/aktuell\/wirtschaft\/diginomics\/fehlerkette-bei-interxion-grund-fuer-de-cix-panne-15545001.html, letzter Zugriff am 2. M\u00e4rz 2019.<\/p>\n [12]<\/a> http:\/\/www.faz.net\/aktuell\/rhein-main\/frankfurter-rechenzentrum-schockiert-und-betroffen-von-stromausfall-15537500.html, letzter Zugriff am 2. M\u00e4rz 2019.<\/p>\n [13]<\/a> https:\/\/twitter.com\/DECIX\/status\/983496548888825856, letzter Zugriff am 2. M\u00e4rz 2019. Die Angaben \u00fcber die Ausfallzeiten unterscheiden sich, weil einige Dienste schon fr\u00fcher betroffen waren. Die hier genannten Zeiten betreffen die Nicht-Erreichbarkeit des DE-CIX, vgl. https:\/\/labs.ripe.net\/Members\/emileaben\/does-the-internet-route-around-damage-in-2018, letzter Zugriff am 2. M\u00e4rz 2019.<\/p>\n [14]<\/a> Vgl. Giotsas, Vasileios\/Dietzel, Christoph\/Smaragdakis, Georgios et al.: \u00bbDetecting Peering Infrastructure Outages in the Wild\u00ab, in: Proceedings of SIGCOMM \u201917, 21.-25. August 2017, Los Angeles.<\/p>\n [15]<\/a> Vgl. zur Unm\u00f6glichkeit der Kontrolle auch Committee on the Internet Under Crisis Conditions: Internet under Crisis Conditions. Learning from\u00a0September 11, Washington, D.C: National Academies Press 2003, S. 4.<\/p>\n [16]<\/a> https:\/\/www.golem.de\/news\/interxion-de-cix-rechenzentrumsbetreiber-bekennt-doppelten-ausfall-1804-133792.html, letzter Zugriff am 2. M\u00e4rz 2019.<\/p>\n [17]<\/a> Eine fr\u00fche mathematische Theorie der Redundanz technische Systeme haben E.F. Moore und Claude Shannon am Beispiel von Relaisschaltkreisen bereits 1956 vorgestellt: E.F Moore\/Claude Shannon: \u00bbReliable Circuits using Less Reliable Relays\u00ab, in: Journal of the Franklin Institute 262 (1956), S. 191\u2013208.<\/p>\n [18]<\/a> Vgl. Paul Baran: \u00bbOn distributed communications networks\u00ab, in: IEEE\u00a0Transactions CS-12 (1964), S. 1\u20139 Der Einfluss von Barans Ansatz auf die Entwicklung des ARPANET ist umstritten.<\/p>\n [19]<\/a> Vinton Cerf\/Robert Kahn: \u00bbA Protocol for Packet Network Intercommunication\u00ab, in: IEEE Transations on Communications 22 (1974), S. 637\u2013648.<\/p>\n [20]<\/a> ebd., S. 645.<\/p>\n [21]<\/a> ebd., S. 644.<\/p>\n [22]<\/a> Vgl. Paul Virilio: \u00bbDer integrale Unfall\u00ab, in: Christian Kassung (Hg.), Die Unordnung der Dinge. Eine Wissens- und Mediengeschichte des Unfalls, Bielefeld: Transcript 2007, S. 7\u20138.<\/p>\n [23]<\/a> V. Giotsas\/C. Dietzel\/G. Smaragdakis et al., Detecting Peering Infrastructure, S. 13.<\/p>\n [24]<\/a> Crawford S. Holling: \u00bbResilience and Stability of Ecological\u00a0Systems\u00ab, in: Annual Review of Ecology and Systematics 4 (1973), S. 1\u201323. Zur Geschichte des Begriffs au\u00dferhalb der \u00d6kologie vgl. Sabine H\u00f6hler: \u00bbResilienz: Mensch \u2013 Umwelt \u2013 System. Eine Geschichte der Stressbew\u00e4ltigung von der Erholung zur Selbstoptimierung\u00ab, in: Zeithistorische Forschungen 11 (2014), S. 425\u2013443 sowie D. E. Alexander: \u00bbResilience and Disaster Risk Reduction. An Etymological Journey\u00ab, in: Natural Hazards and Earth System Sciences 13 (2013), S. 2707\u20132716.<\/p>\n [25]<\/a> Fridolin Brand\/Kurt Jax: \u00bbFocusing the Meaning(s) of Resilience. Resilience as a Descriptive Concept and a Boundary Object\u00ab, in: Ecology and Society 23 (2007), S. 1\u201316, hier S. 2.<\/p>\n [26]<\/a> Crawford S. Holling: Adaptive Environmental Assessment and Management, New York: Wiley 1978, S. 30.<\/p>\n [27]<\/a> Vgl. dazu den von der European Network and Information Security Agency angefertigten Bericht Good Practices in Resilient Internet Interconnection<\/a>, letzter Zugriff am 2. M\u00e4rz 2019.<\/p>\n [28]<\/a> J. P. Sterbenz et.al.: \u00bbResilience and Survivability\u00ab, S. 1245.<\/p>\n [29]<\/a> James P. G. Sterbenz\/Egemen K. \u00c7etinkaya\/Mahmood A. Hameed\/Abdul Jabbar\/Shi Qian\/Justin P. Rohrer: \u00bbEvaluation of Network Resilience Survivability, and Disruption Tolerance. Analysis, Topology Generation, Simulation, and Experimentation\u00ab, in: Telecommunication Systems 33 (2011), S. 41, hier S. 1253.<\/p>\n [30]<\/a> Vgl. Jeremy Walker\/Melinda Cooper: \u00bbGenealogies of Resilience\u00ab, in: Security Dialogue 42 (2011), S. 143\u2013160.<\/p>\n [31]<\/a> C. S. Holling, S. 21.<\/p>\n [32]<\/a> Ulrich Br\u00f6ckling: Gute Hirten f\u00fchren sanft. \u00dcber Menschenregierungsk\u00fcnste, Berlin: Suhrkamp 2017, S. 114.<\/p>\n [33]<\/a> Vgl. zum Unterschied einer Biopolitik der Bev\u00f6lkerung in Foucaults Sinn und einer Biopolitik der Resilienz A. Folkers, Das Sicherheitdispositiv der Resilienz sowie Chris Zebrowski: \u00bbThe Nature of Resilience\u00ab, in: Resilience 1 (2013), S. 159\u2013173.<\/p>\n [34]<\/a> Vgl. A. Folkers, Das Sicherheitsdispositiv der Resilienz, S. 353ff.<\/p>\n![\"\"](\"http:\/\/blogs.uni-siegen.de\/pop-zeitschrift\/files\/2019\/03\/abb1_tweet.jpg\")
<\/p>\n![\"\"](\"http:\/\/blogs.uni-siegen.de\/pop-zeitschrift\/files\/2019\/03\/abb2_ripe.png\")
![\"\"](\"http:\/\/blogs.uni-siegen.de\/pop-zeitschrift\/files\/2019\/03\/abb3_baran.jpg\")
![\"\"](\"http:\/\/blogs.uni-siegen.de\/pop-zeitschrift\/files\/2019\/03\/abb4_baran-933x1024.jpg\")
![\"\"](\"http:\/\/blogs.uni-siegen.de\/pop-zeitschrift\/files\/2019\/03\/abb5_resilinet.jpg\")