Wenn ein KI-Dienst ausfällt: So arbeitet das Team weiter

Ein KI-Ausfallplan muss beschreiben, wie die Arbeit ohne den Dienst weitergeht und wie offene Vorgänge später sicher zurückgeführt werden. Eine Statusseite des Anbieters beantwortet nur einen Teil dieser Aufgabe. Das Team muss wissen, welche Fälle warten dürfen, welche manuell bearbeitet werden und welche Aktionen bis zur Klärung gesperrt bleiben.

Dieser Leitfaden entwickelt einen Ersatzablauf für ein fiktives Serviceteam. Alle Mengen, Zeiten und Kapazitäten sind Beispielannahmen. Sie sind keine gemessenen Betriebsdaten und keine Verfügbarkeitszusage. Der Plan muss vor dem Einsatz mit den tatsächlichen Abläufen und zuständigen Personen geprüft werden.

Zuerst die Arbeitswirkung des Ausfalls beschreiben

"Die KI funktioniert nicht" ist für eine Betriebsentscheidung zu ungenau. Ist die Anmeldung gestört, bleibt eine Antwort aus oder scheitert nur ein Connector? Kann das Team die Quellen weiterhin direkt öffnen? Ist lediglich der Entwurf betroffen oder auch eine bereits gestartete Buchung? Diese Unterschiede bestimmen den Ersatzablauf.

Der NIST-Leitfaden zur Notfallplanung, SP 800-34 Revision 1, unterscheidet unter anderem die tolerierbare Unterbrechung, die angestrebte Wiederherstellungszeit und den tolerierbaren Datenverlust. Er stammt aus dem Kontext US-amerikanischer Bundesinformationssysteme. Die Begriffe helfen bei der Planung, sind aber keine automatisch geltenden Vorgaben für ein deutsches Büroteam.

Für deinen Prozess übersetzt du sie in konkrete Fragen: Wie lange darf die Bearbeitung stehen? Welche Daten müssen auch während der Störung verfügbar sein? Wie weit darf der wiederhergestellte Datenstand zurückliegen? Und wie lange dauert zusätzlich das Abarbeiten des Rückstands? Ein technisch wieder erreichbarer Dienst bedeutet noch keinen normalen Betrieb.

Der fiktive Normalbetrieb

Ein Team erhält pro Stunde 20 Serviceanfragen. Mit dem vorbereitenden KI-Schritt kann es im Beispiel 24 Anfragen pro Stunde vollständig bearbeiten. Die KI erzeugt Entwürfe; eine Person prüft und versendet. Ohne KI schafft derselbe eingeplante Personaleinsatz 12 Anfragen pro Stunde. Diese Werte sind reine Rechenannahmen für die Übung.

Bei einem Ausfall von zwei Stunden kommen 40 Anfragen hinzu. Manuell werden 24 erledigt. Der Rückstand wächst um 16 Anfragen. Nach Wiederherstellung verbleibt bei weiterhin 20 Eingängen pro Stunde und 24 Abschlüssen pro Stunde eine Netto-Abbauleistung von vier Fällen pro Stunde. Der Rückstand braucht unter diesen konstanten Annahmen weitere vier Stunden.

Die Rechnung zeigt, warum "zwei Stunden Ausfall" die betriebliche Belastung unterschätzt. Sie enthält noch keine schwierigen Sonderfälle, Pausen oder zusätzliche Prüfungen. Wenn die Eingangsrate auf 24 steigt, baut das Team mit derselben Kapazität überhaupt keinen Rückstand ab. Die Leitung muss dann Arbeit priorisieren, Kapazität verändern oder Fristen neu abstimmen.

Eine Aktivierungsregel festlegen

Der Ersatzablauf darf weder bei jeder kurzen Verzögerung noch erst nach Stunden improvisiert beginnen. Definiere beobachtbare Auslöser: etwa mehrere fehlgeschlagene Bearbeitungen, eine bestätigte Störung oder ein nicht mehr einhaltbarer Bearbeitungstermin. Konkrete Schwellen legt der Prozessverantwortliche fest. Im Beispiel aktiviert die Leitung den manuellen Ablauf nach bestätigter Störung und dokumentiert den Zeitpunkt.

Prüfe zuerst, ob der Fehler lokal oder allgemein ist. Ein abgelaufenes Konto verlangt eine andere Lösung als eine Dienststörung. Trotzdem muss das Team während der Diagnose wissen, was mit dringenden Fällen passiert. Die technische Ursachenanalyse und der fachliche Ersatzablauf können parallel laufen, ohne dass ungeprüfte Werkzeuge eingesetzt werden.

Die Ausweichregel lautet nicht "Nimm irgendeinen anderen Chatbot". Ein Ersatzdienst braucht bereits geprüfte Datenfreigaben, Zugänge und Arbeitsregeln. Fehlen sie, bleibt die manuelle Bearbeitung der definierte Weg. Zeitdruck erweitert keine Berechtigung zur Datenübertragung.

Den manuellen Ablauf vorbereiten

Lege eine offline oder unabhängig vom KI-Dienst erreichbare Arbeitsanweisung bereit. Sie enthält die benötigten Quellen, eine kurze Antwortvorlage und die Regeln für offene Zusagen. Die Vertretung muss sie ohne Unterstützung der ausgefallenen KI verstehen. Ein Ausfallplan, der nur über denselben Assistenten erreichbar ist, hat eine offensichtliche Abhängigkeit.

Jeder Fall erhält eine Kennung, einen Status und einen Verantwortlichen. Nutze möglichst das bestehende Vorgangssystem. Eine zusätzliche Notfallliste braucht eine dokumentierte Rückführung, sonst entstehen zwei konkurrierende Arbeitsstände. Wenn das Vorgangssystem ebenfalls ausfällt, muss der Plan eine freigegebene Ersatzablage mit späterem Abgleich enthalten.

Wiederholungen begrenzen

Eine fehlgeschlagene Anfrage sofort mehrfach zu wiederholen ist keine allgemeine Reparatur. AWS beschreibt beim Retry-with-backoff-Muster sowohl verzögerte Wiederholungen als auch die Bedeutung idempotenter Operationen. Wiederholungen können bei vorübergehenden Fehlern helfen, aber ohne Kontrolle Last erhöhen oder Zustände mehrfach verändern.

Für den Fachbereich ist die wichtigste Frage: Hat der vorherige Versuch bereits einen Effekt ausgelöst? Bei einem reinen Entwurf ist ein zweiter Versuch meist anders zu bewerten als bei einer Bestellung oder einem Versand. Ein Timeout beweist nicht, dass die Aktion im Zielsystem unterblieben ist.

Lege deshalb eine Zustandsprüfung vor die Wiederholung. Suche den Vorgang über seine eindeutige Kennung im Zielsystem. Ist der Effekt bestätigt, wird nicht erneut ausgeführt. Ist er sicher ausgeblieben, kann die erlaubte Wiederholung erfolgen. Bleibt der Zustand unklar, geht der Fall an die zuständige Person. Der Ablauf muss diese dritte Möglichkeit ausdrücklich unterstützen.

Kommunikation während der Störung

Das Team braucht eine knappe Betriebsinformation: Was ist betroffen, seit wann gilt der Ersatzablauf und wer entscheidet über die Rückkehr? Eine genaue Ursache gehört nur hinein, wenn sie bestätigt ist. "Anbieter meldet Störung" und "Wir beobachten fehlgeschlagene Anfragen" sind verschiedene Faktenstände.

Für Kundenkommunikation gelten die vorhandenen Freigaben. Eine interne Vermutung über den Anbieter darf nicht ungeprüft nach aussen gelangen. Wenn zugesagte Fristen betroffen sind, muss die zuständige Rolle eine belastbare Information vorbereiten. Die KI ist während des Ausfalls ohnehin kein verlässlicher Ort für diese Entscheidung.

Dokumentiere auch, wann die nächste Lagebewertung erfolgt. Das ist kein Versprechen, dass der Dienst bis dahin wieder funktioniert. Es ist ein eigener Kontrolltermin. Die Person, die ihn übernimmt, prüft die technische Lage und den Rückstand gemeinsam. Nur eine dieser Grössen zu betrachten führt leicht zu einer zu frühen Rückkehr in den Normalmodus.

Kontrolliert wieder anlaufen

Nach einer Entwarnung des Anbieters startet das Team mit einem begrenzten Testfall. Quellenabruf, Entwurf und Prüfung müssen funktionieren. Erst danach wird der reguläre Zufluss wieder aktiviert. Automatische Warteschlangen dürfen nicht ungeprüft sämtliche alten Vorgänge erneut ausführen.

Gleiche die manuell erledigten Fälle mit der technischen Warteschlange ab. Ein während des Ausfalls versendeter Fall muss dort als erledigt erkennbar sein. Andernfalls entsteht beim Wiederanlauf ein zweiter Versand. Halte fest, welche Vorgänge übersprungen, fortgesetzt oder neu geprüft werden.

Eine ältere Freigabe kann inzwischen überholt sein. Prüfe bei zeitabhängigen Angaben die aktuelle Quelle erneut. Ein vor der Störung bestätigter Bestand oder Liefertermin ist nicht automatisch nach mehreren Stunden weiterhin gültig. Die Freigaberegeln für KI-Workflows müssen solche Änderungen abfangen.

Eine Ausfallübung mit Lösungsschlüssel

Die Übung nutzt fünf künstliche Vorgänge. Zwei sind reine Entwürfe ohne Aussenwirkung. Ein dritter wurde manuell versendet. Beim vierten ist der Versandstatus unklar. Der fünfte enthält eine inzwischen geänderte Quelle. Das Team erhält die Aufgabe, den Wiederanlauf ohne Dubletten und ohne veraltete Zusage durchzuführen.

Die erwartete Lösung: Die zwei Entwürfe können nach erneuter Quellenprüfung fortgesetzt werden. Der manuell versendete Vorgang wird aus der Ausführungswarteschlange genommen, ohne seinen Nachweis zu löschen. Der unklare Vorgang bleibt gesperrt, bis das Zielsystem geprüft ist. Der Fall mit geänderter Quelle erhält einen neuen Entwurf und gegebenenfalls eine neue Freigabe.

Die Übung ist nicht bestanden, wenn alle fünf Fälle lediglich den Status "erledigt" erhalten. Es muss sichtbar sein, welche Aktion tatsächlich erfolgt ist und warum ein Fall gesperrt bleibt. Ein korrekt erkannter unklarer Zustand ist ein Prüferfolg, auch wenn die Bearbeitung noch nicht abgeschlossen ist.

Rückstände nach Dringlichkeit und Alter sortieren

Beim Wiederanlauf ist die älteste Anfrage nicht automatisch die wichtigste. Eine später eingegangene fristgebundene Aufgabe kann Vorrang haben. Die Sortierung braucht deshalb eine fachliche Regel, die Dringlichkeit, zugesagte Termine und Bearbeitungszustand berücksichtigt. Die KI darf Priorität nicht allein aus emotionaler Sprache einer Nachricht ableiten.

Im fiktiven Team werden während der Störung zwei Klassen geführt: zeitkritische Fälle mit dokumentierter Frist und gewöhnliche Fälle ohne unmittelbare Frist. Innerhalb einer Klasse wird die Reihenfolge nachvollziehbar gehalten. Ein manueller Eingriff in die Priorität erhält eine Begründung. So bleibt erkennbar, warum ein Vorgang früher bearbeitet wurde.

Miss den Rückstand als Bestand und nicht nur als Zahl neuer Eingänge. Wenn zehn Fälle pro Stunde eingehen und acht abgeschlossen werden, wächst die Warteschlange auch bei scheinbar stabiler Eingangszahl. Die Leitung braucht deshalb Anfangsbestand, Eingänge, Abschlüsse und Endbestand gemeinsam. Die Daten müssen denselben Zeitraum und dieselbe Falldefinition verwenden.

Abhängigkeiten des Ersatzablaufs selbst prüfen

Ein manueller Ersatzablauf kann an denselben Systemen hängen wie die KI. Wenn die Quellen nur über den ausgefallenen Connector erreichbar sind, reicht eine Textvorlage nicht. Prüfe deshalb vor der Übung, ob die benötigten Dokumente und das Vorgangssystem unabhängig verfügbar sind. Eine sichere lokale Kopie braucht einen bekannten Aktualitätsstand und einen freigegebenen Ablageort.

Auch die Kommunikation kann betroffen sein. Wenn das Team seine Ausfallmeldung ausschliesslich im gestörten Werkzeug erwartet, erreicht sie niemanden. Der Plan benennt deshalb einen vorhandenen, zulässigen Ersatzkanal. Diese Entscheidung gehört in die Vorbereitung; sie wird nicht während der Störung durch das zufällig erreichbare private Konto ersetzt.

Die Übung muss mindestens eine dieser Abhängigkeiten enthalten. Beispielsweise ist der KI-Dienst wieder erreichbar, aber der Dokumentenconnector liefert weiterhin keine Quellen. Das Team darf dann nicht allein aufgrund einer erfolgreichen Testantwort in den Normalbetrieb wechseln. Der vollständige Arbeitsweg muss die Abnahme bestehen.

Nach der Übung werden konkrete Änderungen festgehalten: eine fehlende Telefonnummer im Kontaktplan, eine nicht erreichbare Anleitung oder eine unklare Zuständigkeit. Jede Änderung erhält einen Verantwortlichen und eine erneute Prüfung. Ein allgemeiner Vermerk "Notfallplan verbessern" löst keinen der gefundenen Fehler. Der nächste Durchlauf muss genau den zuvor fehlgeschlagenen Schritt erneut enthalten.

Was der Betriebsnachweis enthalten muss

Halte Ausfallbeginn, Aktivierung des Ersatzablaufs, beobachtete Auswirkungen und Rückkehrentscheidung fest. Ergänze die Anzahl eingegangener, manuell erledigter und offener Vorgänge. Die Bilanz muss stimmen: Anfangsbestand plus Eingänge minus Abschlüsse ergibt den Endbestand. Abweichungen müssen erklärt werden, etwa durch dokumentierte Zusammenlegung von Dubletten.

Prüfe nach der Übung, ob die Arbeitsanweisung auffindbar war und ob eine Vertretung sie anwenden konnte. Der Kollegentest hilft bei dieser Abnahme. Die Betriebsübergabe nach dem KI-Pilot ordnet den Ausfallplan den dauerhaften Verantwortlichkeiten zu.

Quellenstand: 22.10.2026. NIST liefert Planungsbegriffe, AWS ein technisches Wiederholungsmuster. Kapazitätsrechnung, Fallgruppen und Ausfallübung sind eigene fiktive Beispiele. Der Plan ist erst für deinen Betrieb freigegeben, wenn Zuständigkeiten, Zugänge und tatsächliche Wiederanläufe geprüft sind.