Die freihändige Vergabe kam am 29. Juli 2026 auf simap an, und ich spüre sie wie eine Verlangsamung: still, prozedural, tragend. SBB vergab an Siemens bis zu CHF 280 Millionen – eine Direktvergabe, ohne Ausschreibung – um Iltis, das System, mit dem die Leitstellen jeden Zug über mein Netz überwachen und steuern, bis 2045 am Leben zu erhalten. Iltis läuft schon über dreissig Jahre. SBBs Newsroom formulierte es deutlich in «SBB erneuert Bahnleittechnik»: der Ersatz, ein neues digitales Betriebsleitsystem, geht 2027 in die Ausschreibung, kommt ab den 2030ern, und Iltis wird erst in den frühen 2040ern vollständig ausgetauscht.

Lies die Uhr. Eine Steuerschicht mit rund fünfzigjahriger Lebensdauer, ersetzt durch eine Beschaffung, die über fünfzehn Jahre dauert von Ankündigung bis Austausch – länger als die meisten Software-Firmen bestehen. Die Strukturen, über die ich die Last trage, ticken anders: das Landwasser-Viadukt hält seine Bögen seit 1902; der Gotthard-Basistunnel öffnete 2016 für eine Designlebensdauer von über einem Jahrhundert. Das Viadukt wird die Ablösung dieses Ablösungssystems überleben.

←HEUTE: CHF 280m und eine Direktvergabe halten ein 30-jähriges Iltis bis 2045 am Leben – die Steuerschicht, nicht das Viadukt, ist der fragile Teil. →3012: Die Landwasser-Bögen tragen noch den Takt; das zwölfte System zur Zugsteuerung ist gekommen und gegangen. Drehpunkt: Die Struktur überlebt jede Steuerschicht, also liegt die Redundanz, die zählt, nicht im Stahl – sie liegt darin, wer die Daten noch zertifizieren kann.

Der Punkt ist nicht das Alter. Ein gut erhaltenes dreissigjähriges System ist kein Skandal; ich laufe auf vielen davon. Der Punkt ist die Redundanz, die stillschweigend verschwunden ist. Eine Direktvergabe ist, wie ein Netz aussieht ohne zweiten Pfad – ein Lieferant, der das noch zertifiziert, weshalb es billiger ist, es zu bezahlen als es abzuschalten. PAZ hat Single-Vendor-Lock-in schon verfolgt, im Substrate-Stück zu Google und Anthropic: wenn deine Abhängigkeit einem Regulator in deinem Namen Nein sagen kann, braucht «Wettbewerb» eine Fussnote. Bahnleittechnik erreicht diesen Zustand schneller als die meisten, weil die echte Anlage nicht der Code ist – sie ist die Zertifizierungskette.

Hier ist die Achse. In ERTMS/ETCS – dem offenen Interoperabilitätsstandard, den die Bahn genau darum wählte, damit kein einzelner Lieferant den Safety Case besitzt – wird das Verhalten des ganzen verteilten Systems (Streckeneinrichtung, Fahrzeug, Funkblockzentrale) durch DATEN parametrisiert, die aus den UNISIG Subsets stammen. Ein neues Paper, arXiv:2607.26111 (28. Juli 2026), macht die scharfe Aussage: Fehler in diesen DATEN, nicht im Code, sind das, was sich ausbreitet. Die Pipeline validiert die Daten mit der B-Sprache und maschinengeprüften Invarianten, dann fragt sie, ob ein LLM helfen kann, ohne den CENELEC-EN-50128/EN-50716-Zertifizierungsargument zu brechen – und antwortet nur, wenn der Beweis, nicht die Dokumentation, ist was der Zertifizierer akzeptiert. In ETCS ist die Datenstruktur der Safety Case.

Jetzt die Linie zu deinem Bauplatz. Die gleiche Form kommt unter deinen Hüllen an: eine 60-Jahr-Fassade auf einen 12-Jahr-Steuerstack spezifiziert – BMS, BACnet, die Brandmeldanlage, Fassadenaktuatoren, der digitale Zwilling – normalerweise ein Lieferant, keine formale Spezifikation der Daten, die es parametrisieren, kein Neuzertifizierungspfad wenn das Produkt aus dem Verkehr gezogen wird. Die Bahn antwortete mit verbindlichen offenen Subsets und überprüfbarer Validierung. Die AEC hat kein UNISIG, kein EN 50716, keine Invarianten-Pipeline.

Atelier: Das Büro mit einem KI-gestützten BMS diese Woche stellt sich der Zertifizierungsfrage, die die Bahn gerade um CHF 280 Millionen aufgeschoben hat: wenn dein Steuerungsanbieter das Produkt in Jahr zwölf einstellt, was revalidiert die Daten, auf denen dein Gebäude läuft? Das für Montag – öffne die O&M-Spec deines aktuellen Live-Projekts und ergänze eine Klausel: das Steuersystem-Datenschema muss in einem offenen, dokumentierten Format bereitgestellt werden mit einem dokumentierten Validierungsregelwerk, nicht als proprietäre Binärdatei, die nur der Anbieter lesen kann.

Hack: Prüfe eine Streckendatentabelle wie ETCS – überprüfe die Invarianten, bevor du der Zeile vertraust. Dies durchläuft eine ETCS-artige Tabelle mit (Verknüpfungsdistanz, Neigung, Statische Geschwindigkeit) und schlägt bei der Zeile fehl, die die 140-km/h-Geschwindigkeitshülle verletzt; in der Bahnleittechnik ist diese fehlgeschlagene Überprüfung das Sicherheitsargument, abgefangen bevor ein Balise dem Zug je die falsche Nummer mitteilt.

rows = [(0, 25, 120), (500, 25, 120), (1200, 20, 160)]  # letzte Zeile verletzt die Geschwindigkeitshülle
prev = -1
for dist, grad, speed in rows:
    assert dist > prev and speed <= 140, f"ungültige Zeile: {dist} m @ {speed} km/h"
    prev = dist

Also tu das Unspektakuläre auf Jahrhundertskala: verlange Redundanz auf Papier. Bevor du den nächsten Steuerungsvertrag unterschreibst – Bahn oder Gebäude – notiere, wer die Daten in Jahr sechzig zertifizieren kann und in welchem offenen Format. Bau den Ausweichweg, bevor du ihn brauchst; ich habe den Verkehr für die Abschnitte getragen, die es nicht taten.

Quellen & Weiterführende Lektüre

• Primär: SBB Newsroom — SBB erneuert Bahnleittechnik
• Vertiefend: arXiv:2607.26111 — Validating ETCS Data with the B Mathematical Language