15 Oktober 2026

Redundanz bedeutet, für eine Aufgabe zusätzliche Elemente oder Ressourcen vorzuhalten, die über den im Normalfall erforderlichen Umfang hinausgehen. Sie können eine Funktion bei Ausfall oder Einschränkung anderer Elemente übernehmen. In der Produktion betrifft dies beispielsweise Anlagen, Versorgungen, IT-Systeme, Qualifikationen oder Bezugsquellen.

Wozu dient Redundanz?

Eine kritische Funktion soll auch dann verfügbar bleiben oder wieder verfügbar werden, wenn ein einzelnes Element ausfällt. Dazu wird eine geeignete Ersatzmöglichkeit vorgesehen. Das BSI beschreibt als einfachen Fall ein zusätzliches System, das die Funktion des ersten bei dessen Ausfall übernimmt, und weist zugleich auf die damit verbundene zusätzliche Kapazität hin.

Redundanz ist damit eine mögliche Maßnahme zur Verbesserung der Resilienz. Sie ist jedoch nicht mit Resilienz gleichzusetzen. Ein Unternehmen braucht außerdem Informationen, Entscheidungen und vorbereitete Abläufe, um die zusätzliche Ressource rechtzeitig und wirksam einzusetzen.

Wo kann Redundanz in der Produktion vorkommen?

Bereich	Beispiel	Entscheidende Voraussetzung
Fertigung	Zweite geeignete Bearbeitungsmöglichkeit	Prozess ist freigegeben und Kapazität verfügbar
Versorgung	Zusätzliche Versorgungseinheit	Benötigte Leistung kann übernommen werden
Informationstechnik	Alternatives System für eine kritische Anwendung	Daten und Umschaltung sind beherrscht
Personal	Mehrere für eine Aufgabe qualifizierte Personen	Kenntnisse und tatsächliche Verfügbarkeit bestehen
Beschaffung	Weitere qualifizierte Bezugsquelle	Lieferumfang und Aktivierungszeit passen

Eine zusätzliche Ressource ist nur dann eine wirksame Reserve, wenn sie die benötigte Aufgabe übernehmen kann. Zwei Maschinen mit unterschiedlichen Fähigkeiten sind nicht automatisch redundant. Ebenso ist eine zweite Person ohne aktuelle Qualifikation kein vollständiger Ersatz für eine selten ausgeführte Spezialaufgabe.

Aktive Nutzung und Bereitschaft

Zusätzliche Ressourcen können bereits im Normalbetrieb mitarbeiten oder als Bereitschaft vorgehalten werden. Bei gemeinsam genutzter Kapazität ist zu prüfen, ob die verbleibenden Elemente nach einem Ausfall noch ausreichen. Bei einer Bereitschaftslösung ist entscheidend, wie schnell und zuverlässig die Übernahme gelingt.

Begriffe wie warme oder kalte Reserve werden je nach Fachgebiet unterschiedlich konkretisiert. Für die betriebliche Planung ist deshalb die tatsächliche Eigenschaft wichtiger als das Etikett: Ist die Ressource eingeschaltet, vorbereitet, mit Daten versorgt oder erst nach Umbau nutzbar? Welche Schritte und Zeiten sind bis zur erforderlichen Leistung notwendig?

N+1 und vollständige Doppelung verstehen

Bei einer N+1-Struktur werden zu den für die Aufgabe benötigten N Einheiten eine zusätzliche Einheit vorgesehen. Das kann den Ausfall einer Einheit abdecken, sofern Leistung, Verbindung und Übernahme unter den betrachteten Bedingungen ausreichen. Eine vollständige Doppelung der benötigten Struktur wird häufig als 2N bezeichnet. Auch sie ist nur innerhalb der tatsächlich getrennten und funktionsfähigen Systemgrenzen wirksam.

Diese Bezeichnungen ersetzen keine Prüfung des Gesamtsystems. Eine zusätzliche Pumpe hilft beispielsweise nicht gegen einen Ausfall einer gemeinsamen notwendigen Versorgung, wenn beide Pumpen davon abhängig sind. Ebenso kann ein gemeinsamer Steuerungs- oder Übergabepunkt die Wirkung mehrerer parallel vorhandener Elemente begrenzen.

Praxisbeispiel: Reserveleistung statt bloßer Anlagenzahl

Ein fiktiver Prozess benötigt eine Leistung von 80 Einheiten pro Stunde. Zwei gleich geeignete Anlagen können jeweils 50 Einheiten pro Stunde leisten. Zusammen reichen sie für den Normalbedarf aus. Fällt eine aus, verbleiben jedoch nur 50 Einheiten pro Stunde. Die zweite Anlage ist in dieser Konfiguration keine vollständige Absicherung der benötigten 80 Einheiten.

Mit drei solchen Anlagen könnten bei Ausfall einer Anlage rechnerisch 100 Einheiten pro Stunde verbleiben. Unter der Annahme gleicher Eignung und tatsächlich verfügbarer Leistung wäre damit der Bedarf weiterhin deckbar. Die Struktur entspricht für diesen Leistungsbedarf zwei benötigten Einheiten plus einer zusätzlichen Einheit.

Die Rechnung allein ist noch kein Verfügbarkeitsnachweis. Materialzuführung, Personal, Werkzeuge und nachgelagerte Prozesse müssen die Leistung ebenfalls ermöglichen. Außerdem ist zu prüfen, ob ein Ausfall mehrere Anlagen gleichzeitig betrifft. Das Beispiel verdeutlicht, dass Redundanz auf eine definierte Funktion und Leistung bezogen werden muss.

Gemeinsame Ausfallursachen berücksichtigen

Eine zentrale Frage lautet, welche Ursache die vorgesehenen Alternativen gleichzeitig beeinträchtigen könnte. Dazu können eine gemeinsame Energieversorgung, ein gemeinsamer Raum, identische fehlerhafte Daten oder ein gemeinsam genutzter Vorlieferant gehören. Räumliche Trennung allein beseitigt nicht jede solche Abhängigkeit.

Auch bei einer Dual-Sourcing-Lösung können beide direkten Lieferanten denselben kritischen Rohstofflieferanten nutzen. Die Lieferkettenresilienz verbessert sich dann möglicherweise gegen den Ausfall eines direkten Partners, aber nicht gegen jede Störung der gemeinsamen Vorstufe.

Unterschiedliche technische Lösungen können bestimmte gemeinsame Fehler reduzieren, erzeugen jedoch zusätzlichen Aufwand für Integration, Ersatzteile und Qualifikation. Ob solche Vielfalt sinnvoll ist, hängt vom betrachteten Ausfallszenario ab. Eine bloße Verdoppelung oder eine bloße Unterschiedlichkeit ist für sich genommen kein allgemeiner Wirksamkeitsnachweis.

Redundanz planen und testen

Funktion definieren: erforderliche Leistung und zulässige Unterbrechung festlegen.
Ausfallszenarien bestimmen: Einzelereignisse und relevante gemeinsame Ursachen untersuchen.
Ersatzfähigkeit prüfen: Eignung, Kapazität und Verfügbarkeit der Alternative nachweisen.
Übernahme organisieren: Erkennung, Entscheidung und notwendige Schritte beschreiben.
Prüfung vorbereiten: Übernahme und Rückkehr unter geeigneten Bedingungen erproben.
Bereitschaft erhalten: Wartung, Qualifikation und Datenpflege sicherstellen.
Änderungen bewerten: neue Lasten oder Umbauten auf ihre Wirkung überprüfen.

Ein Test sollte zur betrieblichen Situation passen und kontrolliert geplant werden. Ziel ist, die benötigte Funktion nachzuweisen, ohne unkontrollierte Folgen zu erzeugen. Ein erfolgreiches Ergebnis gilt für die geprüften Bedingungen. Nach wesentlichen Änderungen kann eine erneute Bewertung erforderlich sein.

Redundanz ist kein Ersatz für Datensicherung oder Sicherheitsnachweise

Bei IT-Systemen kann eine laufende Spiegelung einen technischen Ausfall abfangen, aber auch fehlerhafte Änderungen auf das zweite System übertragen. Datensicherung verfolgt zusätzlich das Ziel, einen geeigneten früheren Datenstand wiederherstellen zu können. Das BSI betont im Zusammenhang mit Ransomware die Bedeutung getrennter Sicherungen und praktisch geprüfter Wiederherstellung.

Ebenso belegt eine doppelte technische Ausführung allein keine ausreichende funktionale Sicherheit. Für sicherheitsbezogene Anwendungen sind die jeweiligen Anforderungen an die gesamte Funktion und deren Nachweis maßgeblich. Der hier beschriebene allgemeine Redundanzbegriff ersetzt keine anwendungsspezifische Auslegung.

Kosten und Grenzen

Zusätzliche Ressourcen verursachen Investitions-, Betriebs- und Betreuungsaufwand. Sie können außerdem neue Schnittstellen schaffen. Die Bewertung sollte deshalb den vermiedenen Auswirkungen und dem tatsächlich abgesicherten Leistungsumfang gegenübergestellt werden. Ein pauschales Ziel, möglichst alles doppelt vorzuhalten, ist weder wirtschaftlich noch automatisch wirksam.

Besonders wichtig ist die regelmäßige Pflege einer selten genutzten Reserve. Veraltete Programme, fehlende Werkzeuge oder abgelaufene Kenntnisse können ihre Nutzung verhindern. Redundanz ist somit eine dauerhaft zu erhaltende Fähigkeit und nicht nur ein einmal beschafftes zusätzliches Objekt.

Häufige Fragen zur Redundanz

Sind zwei Maschinen automatisch redundant?

Nein. Beide müssen die benötigte Aufgabe übernehmen können, und die verbleibende Kapazität muss für die definierte Leistung ausreichen. Zusätzlich sind gemeinsame Abhängigkeiten zu prüfen. Zwei Anlagen können für den Normalbetrieb gemeinsam erforderlich sein, ohne dass eine allein den Ausfall der anderen vollständig ausgleichen kann.

Was bedeutet N+1?

N bezeichnet die Anzahl von Einheiten, die für die Aufgabe benötigt wird. Bei N+1 ist eine weitere Einheit vorgesehen. Die Struktur kann einen Einzelausfall abdecken, wenn Eignung, Kapazität und Übernahme funktionieren. Die Bezeichnung allein sagt jedoch nichts über gemeinsame Ausfallursachen oder andere begrenzende Systemteile aus.

Ist Redundanz dasselbe wie ein Backup?

Nein. Technische Redundanz kann eine Funktion bei einem Ausfall weiter bereitstellen. Ein Datenbackup ermöglicht dagegen die Wiederherstellung eines gespeicherten Datenstands. Eine Spiegelung kann Fehler oder schädliche Änderungen mit übertragen. Für IT-Anwendungen müssen deshalb Verfügbarkeit und Wiederherstellbarkeit zusammen, aber mit unterschiedlichen Maßnahmen betrachtet werden.

Wie schnell muss eine Reserve übernehmen?

Die erforderliche Zeit ergibt sich aus der tolerierbaren Unterbrechung des betrachteten Prozesses. Manche Aufgaben benötigen eine sehr schnelle Übernahme, andere können eine vorbereitete Umstellung verkraften. Entscheidend ist, diese Grenze festzulegen und die tatsächliche Aktivierungszeit nachzuweisen. Eine vorhandene Reserve mit zu langer Anlaufzeit erfüllt die Anforderung nicht.

Warum müssen Reserven regelmäßig geprüft werden?

Selten genutzte Ressourcen können unbemerkt ihre Einsatzfähigkeit verlieren. Ursachen sind beispielsweise fehlende Wartung, veraltete Unterlagen oder nicht mehr verfügbare Qualifikationen. Eine geeignete Prüfung zeigt, ob die Übernahme unter den vorgesehenen Bedingungen noch möglich ist. Nach wesentlichen Änderungen sollte auch die ursprüngliche Auslegung erneut betrachtet werden.

Quellen und weiterführende Informationen

BSI: Redundanz, Modularität, Skalierbarkeit – technische Grundbegriffe im Kontext der Verfügbarkeit.
BSI: Data backup concept and centralised data storage – getrennte Datensicherung und geprüfte Wiederherstellung.

Stand: Oktober 2026. Das Kapazitätsbeispiel ist fiktiv und kein sicherheitstechnischer Nachweis.