Single Point of Failure. Was uns das Bankwesen immer wieder lehrt, und das Hauptbuch, das weiterlief.

Zwei Adressen, eine Woche

Am Dienstag, dem 3. November, suspendierte die Zentralbank von Paraguay die Ueno Bank. Die App funktionierte auf 2,9 Millionen Handys nicht mehr. Ich berichtete über die darauffolgenden Ereignisse : ein rasanter Anstieg des USDT-Kurses, eine Prämie, die sich im Vergleich zu den Schlagzeilen als unbedeutend erwies, und eine Einlagensicherung, die innerhalb von 48 Stunden griff und 97 Prozent der Einleger vollständig absichert. Ein funktionierendes System, das innerhalb von etwa einer Woche reagiert.

Am Freitag, dem 6. November, gegen 13:30 Uhr Ortszeit, fiel im westlichen Hub des Shinkin Joint Centers in Westjapan ein Kommunikationsgerät aus. Dieser Hub betreibt das Kernsystem der meisten japanischen Shinkin-Banken, den regionalen Kreditgenossenschaften, die von Kleinunternehmen und Rentnern genutzt werden. 128 dieser Banken waren gleichzeitig offline. Betroffen waren 3.430 Filialen, alle von ihnen betriebenen Geldautomaten sowie einige, die sie mit Supermärkten teilen, Online-Banking und Apps. Lastschriften wurden vorübergehend ausgesetzt. Der Betrieb wurde kurz nach 19:00 Uhr wiederhergestellt. Es handelte sich um einen Hardwaredefekt, nicht um einen Angriff, und es entstanden keine Kosten. Die Störung dauerte fünfeinhalb Stunden.

Zwei verschiedene Länder, zwei verschiedene Ursachen, eines zahlungsfähig, das andere nicht. Die Schlagzeilen sprachen in beiden Fällen von einer Krise. Doch beides war keine. In der Sprache, die ich fünfzehn Jahre lang benutzte, bevor ich dieses Unternehmen gründete, war es im Grunde dasselbe.

Was ein Single Point of Failure ist

Im Systemdesign bezeichnet man als Single Point of Failure eine Komponente ohne Redundanz. Fällt diese Komponente aus, fallen alle davon abhängigen Systeme aus, unabhängig von deren Funktionsfähigkeit. Klassische Beispiele hierfür sind ein einzelner Datenbankserver, ein einzelner Netzwerk-Switch oder ein Zertifikat, das um Mitternacht abläuft. Selbst tausend gut konfigurierte Dienste können durch einen einzigen Fehler in einem Serverraum lahmgelegt werden.

Ingenieure verbringen ihre gesamte Karriere damit, solche Fehler zu beheben. Man fügt einen zweiten Server, eine zweite Region, eine zweite Route hinzu. Man geht davon aus, dass jede Komponente ausfallen kann, und entwickelt das System so, dass kein einziger Fehler für den Benutzer sichtbar ist. Das ist die gesamte Disziplin. Sie ist teuer und mühsam, aber genau deshalb funktioniert Ihr Telefon.

Im Bankwesen herrscht Disziplin innerhalb der einzelnen Institute, aber kaum zwischen ihnen. Jede Bank ist intern weitgehend redundant aufgestellt. Der Kunde hingegen hat nur eine Bank, eine App, eine Karte, ein Zahlungssystem – und wenn das, wovon diese Systeme abhängen, ausfällt, steht er vor dem Nichts. Japans Shinkin-Banken konsolidierten 2010 und 2011 ihre Kernsysteme in zwei Hubs, um Kosten zu sparen. Vernünftig. Das bedeutete aber auch, dass bei einem Ausfall eines Geräts im westlichen Hub 128 Banken mit in den Ruin getrieben wurden. Genau das bringt die Konsolidierung: Effizienz – bis zu dem Tag, an dem sie alles auf einmal kostet.

Paraguay ist der andere Fall. Ueno war die digitale Bank. Dort landeten die Gehälter, dort verwaltete der Staat 850 Millionen Dollar, dort befanden sich fast die Hälfte aller Konten des Landes. Kein technischer Fehler. Eine Insolvenz. Doch aus Kundensicht sehen beide Fälle identisch aus. Die App öffnet sich nicht. Die Karte funktioniert nicht. Das Geld ist da, aber man kann nicht darauf zugreifen.

Das Bankregister

Ich möchte den Banken hier gegenüber fair sein, denn es geht nicht darum, dass sie schlecht geführt werden. Es geht vielmehr darum, dass die Aufzeichnungen länger sind, als die meisten Menschen sich erinnern, und dass jeder einzelne Eintrag für diejenigen, die einen alternativen Weg hatten, überlebbar, für diejenigen ohne solchen Weg aber teuer war.

Lesen Sie die dritte Spalte. Ein Kabinett. Ein Update. Eine Migration. Eine Eisenbahnlinie. Eine Bank. Jede einzelne ein Abhängigkeitsgebiet, jede mit Millionen von Menschen auf der anderen Seite, die kein Mitspracherecht bei deren Bau hatten.

Und die vierte Spalte ist die entscheidende. 33 Tage – so lautet die Zahl des britischen Finanzausschusses für neun Banken über einen Zeitraum von zwei Jahren. Das ist nicht nur ein schlechtes Jahr bei einer einzelnen Bank. Es ist der normale Betriebszustand eines ausgereiften, gut regulierten Bankensystems, gemessen vom eigenen Parlament.

Die Aufzeichnungen des Ledger, ehrlich gesagt

Nun zur anderen Seite, und ich werde Ihnen die vollständige Zahl nennen, nicht nur die schmeichelhafte.

Das Tron-Netzwerk erzeugt seit dem Start seines Mainnets im Jahr 2018 etwa alle drei Sekunden einen Block. In dieser Zeit gab es nur einen einzigen Stillstand. Vom 1. November 2020, 22:14 UTC, bis zum 2. November 2020, etwa 01:40 UTC, nutzte ein Angreifer während eines routinemäßigen Upgrades eine Sicherheitslücke aus, wodurch die Blockproduktion für etwa drei Stunden unterbrochen wurde. Es gingen keine Gelder verloren, es wurden keine Änderungen zurückgesetzt, und die Blockchain wurde an der Stelle fortgesetzt, an der sie unterbrochen worden war. Seitdem gibt es alle sechs Stunden eine planmäßige sechssekündige Pause, während der die Blockproduzenten-Rotation aktualisiert wird. Eine fehlerhaft konfigurierte Überwachung meldet diese Pause manchmal fälschlicherweise als Ausfall. Es handelt sich jedoch nicht um einen Ausfall. Sie können die Blockzeiten live auf unserer Statusseite verfolgen.

Der USDT-Kontrakt dieser Blockchain ist seit April 2019 aktiv. Soweit aus den öffentlichen Aufzeichnungen hervorgeht, wurde er nie pausiert. Er verarbeitete Transaktionen während des Zusammenbruchs von FTX, des Binance-Hacks vor zwei Wochen, aller oben genannten Bankausfälle und auch diese Woche in Paraguay, wo er am Mittwochnachmittag der einzige Dollar im Land war, der gehandelt wurde.

Also: ein dreistündiger Stillstand in etwa acht Jahren, gegenüber 33 Tagen in zwei Jahren bei neun Banken. Ich glaube nicht, dass dieser Vergleich noch einer Erklärung bedarf. Vielmehr muss ich ihn mit Vorsicht interpretieren, denn die Kette repräsentiert nicht das gesamte System, und die einzelnen Teile weisen eine schlechtere Bilanz auf.

Die verbleibenden einzelnen Punkte

Wenn ich hier aufhören würde, wäre es genau die Version dieser Argumentation, die Menschen schadet. Ein funktionierendes Hauptbuch bedeutet nicht automatisch, dass man an sein Geld kommt. Zwischen Ihnen und diesem Hauptbuch befindet sich ein Sicherheitsnetz, und jede Ebene davon stellt einen potenziellen Schwachpunkt dar, den ich schon oft habe versagen sehen.

• Die Börse. Am 29. Oktober verlor Binance 6,3 Milliarden US-Dollar in seinen Hot Wallets und setzte Auszahlungen für etwa 48 Stunden aus. Binance sicherte alle Nutzer ab. Viele andere Börsen konnten das nicht. Während dieser zwei Tage war ein Binance-Guthaben genauso leicht zugänglich wie ein Ueno-Guthaben, und die zugrundeliegende Blockchain produzierte durchgehend neue Blöcke. Ich habe darüber auch berichtet.
• Der Emittent. USDT ist ein Anspruch auf Tether, und Tether kann Adressen einfrieren. Seit 2020 hat Tether dies 9.172 Mal bei Tron getan, fast ausschließlich wegen gestohlener Gelder und auf behördliche Anfragen. Etwa jede zehnte Sperrung wird wieder freigegeben. Die vollständigen Daten finden Sie hier. Für einen normalen Inhaber ist das Risiko gering. Es stellt dennoch einen potenziellen Fehlerpunkt dar, und wer etwas anderes behauptet, verkauft seine USDT-Anteile.
• Die Bank des Emittenten. Im März 2023 verfügte Circle über USDC-Reserven im Wert von 3,3 Milliarden US-Dollar bei der Silicon Valley Bank, als das Unternehmen in Konkurs ging. USDC wurde ein Wochenende lang bei 87 Cent gehandelt. Der einzige Schwachpunkt eines Stablecoins kann eine Bank sein. Die Ironie ist vollkommen.
• Die Zugriffsschicht. Ihre Wallet-App kommuniziert über einen RPC-Provider mit der Blockchain. TronGrid, der am häufigsten verwendete Provider, hatte bereits Ausfälle. Wenn TronGrid nicht verfügbar ist, zeigt Ihre Wallet einen sich drehenden Ladekreis an, während die zugrunde liegende Blockchain einwandfrei funktioniert. Das Ledger selbst war intakt. Ihr Zugriff darauf jedoch nicht.
• Sie. Der Verlust der Seed-Phrase führt zu einem dauerhaften Ausfall ohne Einlagensicherung. Die Bank wird Ihr Passwort zurücksetzen. Niemand wird Ihren Schlüssel zurücksetzen.

Beachten Sie, was auf dieser Liste steht und was nicht. Die Blockchain fehlt. Alles andere ist enthalten. Das ist die ehrliche Struktur des Systems: ein äußerst zuverlässiges Hauptbuch, umhüllt von Schichten, die in etwa so zuverlässig sind wie Bankdienstleistungen, manche davon sogar weniger.

Sicherstellung des Zugangs

Die Frage ist also nicht Bank oder Restaurantkette. Es geht vielmehr darum, wie viel schiefgehen muss, bis man das Abendessen nicht mehr bezahlen kann. In Paraguay war die Antwort diese Woche für die meisten Menschen eins. Das Ziel ist, drei oder vier Fehler zu machen.

Behalte die Bank. Behalte den Schlüssel.

Ich leite ein Unternehmen, dessen Kernprodukt darin besteht, die Nutzung der Kette kostengünstiger zu gestalten. Daher sollten Sie alles, was ich dazu schreibe, unter diesem Gesichtspunkt lesen. Hier ist die Version, die ich einem Freund erzählen würde.

Paraguays Einlagensicherung funktionierte. Japans Banken waren bis zum Abendessen wieder funktionsfähig. In den meisten Ländern läuft die Bank in der Regel problemlos, und der Ausfall beschränkt sich auf ein paar Stunden Unannehmlichkeiten und die Rückerstattung der Gebühren. Nichts in diesem Artikel behauptet etwas anderes, und ein Stablecoin verfügt nicht über einen Garantiefonds.

Doch jeder dieser Ausfälle war auf den Ausfall einer einzigen Abhängigkeit zurückzuführen, und diejenigen, die diese ohne Kosten überstanden, hatten einen alternativen Weg, der diese Abhängigkeit nicht teilte. Das USDT-basierte Ledger war dieser alternative Weg, der sich durch jeden Eintrag in der Tabelle zieht, mit nur einem einzigen Ausfall in acht Jahren. Es ist kein Ersatz für die Bank. Es ist das System, das den Betrieb aufrechterhält, während die Bank repariert wird – eine andere und im Ernstfall wichtigere Aufgabe.

In der Softwareentwicklung diskutieren wir nicht darüber, ob das primäre System ausfällt. Wir gehen davon aus, dass es ausfällt, und stellen sicher, dass der Failover reibungslos funktioniert. Genau darum geht es hier: Ein reibungsloser Failover für Ihr Geld. Richten Sie ihn an einem ruhigen Tag ein.

Ping. Immer noch da.

Quellen: Nippon.com und BigGo Finance zum Shinkin-Ausfall am 6. November 2026 · Bloomberg Línea zur Ueno-Garantie · Which? zu Ausfalldaten aus Großbritannien (Treasury Committee und FCA) · Bloomberg zum Zengin-Ausfall 2023 ·The Register zu Mizuho 2021 · Crypto Briefing zum Tron-Handelsstopp im November 2020 · Luganodes via KuCoin zur sechsstündigen Rotationslücke · Wikipedia zum CrowdStrike-Ausfall · Wikipedia zur USDC-Entkopplung im März 2023.