Fail-closed
Fail-closed bedeutet, dass ein System im Zweifel ablehnt: Fehlt eine Information oder schlägt eine Prüfung fehl, wird die Handlung nicht ausgeführt.
Für Agenten ist das die einzig vertretbare Voreinstellung. Ein Prüfpunkt, der bei einem Fehler durchlässt, erteilt im Störfall eine Blankovollmacht. Auch das Prüfmodell folgt dem Prinzip: Was nicht geprüft werden konnte, gilt nie als belegt.
Beispiel
Eine Entscheidstelle kann die Statusliste eines Mandats nicht abrufen. Nach dem Prinzip fail-closed lehnt sie die Zahlung ab, statt sie mangels Gegenbeweis zu erlauben.
Abgrenzung
Fail-open lässt im Zweifel durch, fail-closed hält im Zweifel an. Für Zahlungen und rechtsverbindliche Handlungen ist fail-closed die vorsichtige Wahl; für reine Information kann fail-open vertretbar sein. Entscheidend ist, dass die Regel bewusst gewählt und für jeden Prüfschritt dokumentiert ist.
In der Praxis
- Legen Sie für jeden Prüfschritt fest, was bei fehlender Information geschieht. Unklare Fälle sollten nie stillschweigend als erlaubt gelten.
- Unterscheiden Sie zwischen technischem Ausfall und negativem Ergebnis, und protokollieren Sie beides getrennt. So erkennen Sie, ob ein System gestört ist oder ein Agent etwas Unerlaubtes versucht hat.
- Testen Sie das Verhalten im Fehlerfall regelmässig, etwa mit einer absichtlich nicht erreichbaren Statusliste, und prüfen Sie, dass die Handlung wirklich abgelehnt wird.
Bezug zu KYA
KYA wendet das Prinzip auf das Urteil an: Was nicht belegt ist, gilt nicht als gültig. Fehlt ein wesentlicher Nachweis, lautet das Urteil «unbestimmt», nie «gültig».
Begriff aus dem Ablauf, kein eigener Prüfschritt. Zur Methode
Häufige Fragen
Was bedeutet fail-closed?
Im Fehlerfall oder bei fehlender Information wird eine Handlung verweigert statt erlaubt.
Warum ist fail-closed bei Agenten wichtig?
Weil ein Agent sonst bei jeder Störung, etwa einer nicht erreichbaren Statusliste, ungeprüft handeln könnte.
Wie setzt KYA fail-closed um?
Fehlt ein Kernnachweis, etwa die Widerrufsprüfung, wird das Urteil nicht «gültig», sondern «unbestimmt», mit Begründung im Prüfschein.
Ist fail-closed immer die richtige Wahl?
Für Handlungen mit Folgen, etwa Zahlungen oder Verträge, ja. Für reine Leseanfragen kann eine weniger strenge Regel vertretbar sein, wenn sie bewusst festgelegt ist.
Wie unterscheidet KYA zwischen ungültig und unbestimmt?
Ungültig heisst, ein Nachweis ist widerlegt, etwa durch eine falsche Signatur. Unbestimmt heisst, nichts ist widerlegt, aber nicht alles Wesentliche ist belegt.
Macht fail-closed Systeme unzuverlässig?
Es macht Störungen sichtbar statt gefährlich. Eine abgelehnte Handlung lässt sich wiederholen, sobald die Störung behoben ist; eine fälschlich erlaubte Zahlung lässt sich oft nicht mehr zurückholen. Gute Überwachung hält solche Ablehnungen selten.