Besitzen.Betreiben.Beweisen.

Die Filme laden erst, wenn Sie einen Film starten und im folgenden Fenster einwilligen. Vorher werden keine Daten an YouTube (youtube-nocookie.com) übertragen. Einzelheiten stehen in der Datenschutzerklärung.

• Kein Heer von Beratern.

  Fachmodelle entstehen in der Oberfläche, ohne Programmcode. Ihr Fachbereich legt Objekte, Beziehungen und Regeln selbst an und pflegt sie später auch selbst.

• Prüfen, bevor etwas passiert.

  Der Beweiser lehnt Einstufungsfehler ab, der Plan-Coach meldet, was im Krisenplan fehlt. Beides nach festen, nachvollziehbaren Regeln.

• Eine Änderung gilt überall.

  Aus den Daten entstehen Ansichten, Dokumente und Berichte. Wer das Modell ändert, ändert alles, was daraus folgt.

• Nachweisbar.

  Jede Änderung ist ein verkettetes Ereignis. Wer wann was geändert hat, lässt sich belegen.

• Lokal, ohne Cloud.

  Defconder läuft auf Ihrer Infrastruktur. Daten und Modelle verlassen Ihr Haus nicht.

• Eine Welt statt einer Karte.

  Terra ist eine begehbare 3D-Welt, in der Sie Wetter, Uhrzeit und Ausfälle einstellen und Folgen durchspielen.

Alle Filme zeigen erfundene Übungsdaten, im Vektorraum-Film Fachtexte unsere eigenen Texte. Die Stimmen sind synthetisch (Piper). Defconder befindet sich in Entwicklung, ist nicht zugelassen und rechtlich nicht geprüft. Stand 24.10.2026.

Defconder

Beispiel aus einer echten Datei: Kölner Innenstadt mit dem 3D-Gebäudemodell LoD2 und dem Luftbild des Landes Nordrhein-Westfalen (Geobasis NRW, Datenlizenz Deutschland Zero 2.0). Bei Gebäuden ohne Grundfläche im Modell, wie dem Dom, wird der Umriss vereinfacht aus der Hülle gebildet.

Defconder

Links echte Daten: Berlin auf dem Luftbild von Brandenburg (GeoBasis-DE/LGB, dl-de/by-2-0) mit den Drohnen-Geozonen der DFS (dipul, CC BY-ND 4.0, unverändert) als Wände. Die Höhen stehen wie in den Daten angegeben, das Gelände ist nicht eingerechnet. Rechts die Alarmkarte der Oberfläche mit zwei Testmeldungen über dem Flughafen und der Innenstadt, eingespielt über den Eingang für Cursor-on-Target.

• 0Bundesländer mit Luftbild-Dienst im Katalog, jeder mit einer echten Kachel geprüft
• 0Sektoren, nach denen Gebäude aus ihrer amtlichen Nutzung eingefärbt werden
• 0Gebäude einer echten LoD2-Kachel (56 MB CityGML), in rund vier Sekunden gelesen
• 0Gebäudefunktionen der amtlichen Schlüsselliste, aus der die Sektoren abgeleitet sind

• Gebäude mit echter Höhe

  CityGML und CityJSON der Landesvermessung werden im Server gelesen, in Weltkoordinaten umgerechnet und als 3D-Körper gezeichnet. Die Höhe stammt aus den Messwerten der Daten. Schrägansicht mit einem Klick, Drehen und Neigen mit der rechten Maustaste.

• Umfeld nach Sektor

  Aus der Gebäudefunktion der amtlichen Daten ordnet Defconder Gebäude sieben Sektoren zu: Gesundheit, Bildung und Betreuung, Versorgung und Entsorgung, Staat und Verwaltung, Sicherheit und Rettung, Verkehr sowie Kultur und Religion. Alle übrigen Gebäude treten grau zurück.

• Luftbilder aus allen 16 Ländern

  Baden-Württemberg, Bayern, Berlin, Brandenburg, Bremen, Hamburg, Hessen, Mecklenburg-Vorpommern, Niedersachsen, Nordrhein-Westfalen, Rheinland-Pfalz, Saarland, Sachsen, Sachsen-Anhalt, Schleswig-Holstein und Thüringen. Lizenz und Quellenangabe bleiben sichtbar. Für Hamburg zeigt der Katalog den jüngsten Jahrgang der Luftbild-Zeitreihe des Landesbetriebs Geoinformation und Vermessung.

• Sichtfeld und Wasserspiegel

  Aus einem hochgeladenen Höhenmodell rechnet Defconder, von wo ein Punkt einsehbar ist und welche Flächen ein angenommener Wasserspiegel bedeckt. Das sind Szenarien ohne Prognose und ohne Wassertiefe.

• Relief und Beschriftung

  Ein hochgeladenes Höhenmodell erscheint als echtes 3D-Relief. Karten aus Protomaps-Daten tragen Orts-, Straßen- und Gewässernamen, gesetzt mit eingebauten offenen Schriften (Noto Sans, SIL OFL). Das Relief ersetzt dabei die gewählte Karte, beides zugleich zeigt die Oberfläche noch nicht.

• Karten unter eigener Kontrolle

  Der eigene Server liefert Kacheln, Dateien und Schriften aus, jede Anfrage wird gegen die Freigabestufe des Nutzers geprüft. Eigene Karten laufen aus MBTiles, PMTiles, GeoPackage, GeoTIFF, CityGML und CityJSON ohne Internet. Nur die Geozonen der DFS und die Online-Luftbilder brauchen eine Verbindung, und die lässt sich serverseitig abschalten.

• Ortungsstörung aus der Luftlage

  Luftfahrzeuge melden in ADS-B, wie genau sie ihre Position kennen. Defconder zählt je Fläche von rund 1900 Quadratkilometern, wie viele mindestens 185 Meter Unsicherheit melden, gleitend über 15 Minuten, mit und ohne Filter für ältere Geräte. Das ist ein Hinweis auf gestörten Satellitenempfang und kein Beleg. Die Angaben liefert adsb.lol.

• Drohnen-Geozonen als Wände

  Die Zonen der Deutschen Flugsicherung (dipul) stehen mit ihrer Höhenangabe als durchscheinende Wände in der Karte, auf Klick auch als gefüllte Körper: Kontrollzonen, Flugbeschränkungsgebiete, Flughäfen, Flugplätze und temporäre Einschränkungen. Nennen die Daten keine Obergrenze, wie bei Flugplätzen, bleibt die Fläche flach. Die Zonen werden unverändert angezeigt und live abgerufen, dafür braucht der Server Internet.

• Alarm, wenn eine Spur in eine Zone fliegt

  Der Server prüft alle 15 Sekunden, ob eine Spur aus Sensoren, Remote ID oder anderen Eingängen in einer Zone liegt, mit Lage und, wo die Daten es zulassen, mit Höhe. Der Alarm steht als Ereignis im Protokoll und geht, wenn eingerichtet, an E-Mail und Webhook. Reine ADS-B-Spuren zählen nicht, sie fliegen planmäßig durch Kontrollzonen. Die Höhe wird mit 50 Metern Toleranz verglichen, weil Quellen Meereshöhe und Ellipsoidhöhe unterschiedlich melden.

Stand 07.10.2026. Grenzen: Das Relief läuft nur mit einem hochgeladenen Höhenmodell und ersetzt dann die Luftbild-Ebene, beides zugleich zeigt die Karte noch nicht. In Karten aus OpenStreetMap-Daten erscheinen nur Gebäude mit Höhenangabe als Körper, im geprüften Beispiel Florenz rund jedes zehnte. Die Sektorzuordnung ist eine Einordnung von Defconder nach der Gebäudefunktion und keine amtliche Einstufung als kritische Infrastruktur. Die Lesezeit wurde auf dem Entwicklungsrechner gemessen.

• 0Gebäudeteile aus amtlichen Landesdaten im Pilotgebiet Hannover Mitte, mit Dachformen
• 0automatische Prüfungen oder mehr für die Rechenkerne, den Plan und die Dokumente, darunter Vergleiche mit der Sonnentabelle des US Naval Observatory, der EU-Datenbank PVGIS und der exakten Lösung für den Dammbruch
• 0Wetterlagen als Vorlage, jeder Wert stufenlos einstellbar oder aus der echten Lage übernommen
• 0Datenebenen aus amtlichen Quellen: Strahlenmessnetz, Einwohner nach Zensus, Schutzgebiete, Wetterwarnungen
• 0Prüfregeln, mit denen der Plan-Coach einen Krisenplan nachvollziehbar und ohne KI kontrolliert
• 0Anfragen an Dritte im Test mit gesperrtem Internet, in beiden Darstellungen

Welt und Wetter

Die Szene folgt Datum, Uhrzeit und Wetter. Wer eine Übung plant, stellt die Lage ein. Wer es genau wissen will, übernimmt die Messung oder die Prognose der Station Hannover.

Defconder

Hannover Mitte, 21. Dezember, 9:30 Uhr. Die Schatten stammen aus dem berechneten Sonnenstand. Gebäude: 3D-Gebäudemodell LoD2 und Geländemodell DGM1 des LGLN (CC BY 4.0), Straßen, Wasser und Grün aus OpenStreetMap (ODbL). Alles wird vom eigenen Server ausgeliefert.

Defconder

Starkregen mit 35 Millimetern pro Stunde. Die Farben bleiben erhalten, der Regen fällt im Wind. Rechts stehen die Auswirkungen der Lage mit Stufe und Zahlen. Die Einstufung ist an die Warnkriterien des Deutschen Wetterdienstes angelehnt.

• Zwei Darstellungen, eine Szene

  Eine schnelle Karte für die Lageführung und eine 3D-Welt mit Dachformen und Schatten. Datum, Uhrzeit, Wetter, Kamera und Ebenen bleiben beim Wechsel erhalten. Beide laufen mit offenen Bibliotheken von Ihrem eigenen Server.

• Sonne und Jahreszeit

  Der Sonnenstand wird astronomisch gerechnet und gegen eine unabhängige Bibliothek und die Tabellen des US Naval Observatory geprüft: größte Abweichung 0,016 Grad. Himmelsfarbe, Dämmerung, Tageslänge und Belaubung folgen dem Datum.

• Wetter, das man einstellt

  Bewölkung, Niederschlag, Temperatur, Wind, Sichtweite, Schnee und Nässe lassen sich frei setzen oder aus Vorlagen wählen: von Starkregen und Gewitter bis Orkan und Schneechaos. Beaufort, gefühlte Temperatur, Sonnenstrahlung und Sichtweite folgen benannten Formeln und werden geprüft.

• Echte Lage vom Wetterdienst

  Ein Knopf übernimmt die aktuelle Messung der Station Hannover oder einen Zeitpunkt der Prognose des Deutschen Wetterdienstes: Bewölkung, Regen, Temperatur, Wind, Böen, Sicht, Schnee, Gewitter und Eisregen. Fehlende Messwerte werden benannt. Nur dieser Abruf braucht Internet.

• Was die Lage bewirkt

  Sturm, Starkregen, Schnee, Eis, Hitze, Kälte, Nebel, Gewitter und aufgeweichter Boden werden zu Auswirkungen mit Stufe, Zahlen und Text: Böen in Kilometern pro Stunde und Staudruck, Schneelast auf dem Dach, Glättegefahr, Wärmebelastung. Bei Starkregen wird der Boden sichtbar zu Matsch.

• Befahrbarkeit bei Hochwasser

  Zu jeder Wassertiefe nennt Terra, ob Straßen frei, eingeschränkt oder für Pkw und Einsatzfahrzeuge nicht mehr passierbar sind. Die Schwellen sind Erfahrungswerte und als solche gekennzeichnet.

Wasser, Feuer, Fahne, Sonne

Die Rechenkerne laufen im Browser oder auf dem eigenen Server. Jede Rechnung nennt ihre Annahmen und ihre Prüfung.

Defconder

Übungslage Starkregen mit 35 Millimetern pro Stunde, eine Stunde lang, gerechnet auf einem 6-Meter-Gitter. Gebäude sind Hindernisse, Versickerung und Kanalnetz sind Platzhalterannahmen und nicht kalibriert. Ein Übungsmodell, keine Vorhersage.

Defconder

Leine, Jahrhunderthochwasser (HQ100). Orange liegt die amtliche Hochwassergefahrenkarte des NLWKN darüber. Das Modell deckt 85 Prozent der amtlichen Fläche ab, die Flächen stimmen zu 59 Prozent überein, 34 Prozent der berechneten Fläche sind Überschätzung. Der Anfangswasserstand wurde an diesen Karten eingestellt: eine Kalibrierung, keine unabhängige Vorhersage.

• Sturzflut mit Gebäuden als Hindernis

  Ein Flachwassermodell rechnet, wohin das Wasser aus einer Regenlage läuft. Es bleibt in Ruhe, wo es ruhen muss, erhält die Wassermenge und trifft beim Dammbruch die bekannte exakte Lösung. Ergebnis: betroffene Gebäude, gesperrte Straßen, getroffene Sektoren.

• Flusshochwasser der Leine, gegen die amtliche Karte geprüft

  Drei Läufe für häufiges Hochwasser, Jahrhunderthochwasser und Extremhochwasser. Die amtlichen Hochwassergefahrenkarten lassen sich darüberlegen, die Übereinstimmung steht mit im Bedienfeld. Beim häufigen Hochwasser stimmen die Flächen nur zu 27 Prozent überein, das steht ebenso da.

• Brand und Schadstofffahne

  Zündort oder Quellort anklicken: Das Feuer breitet sich nach Wind, Hang und Brennstoff aus, die Fahne nach Wind und Stabilität der Luft. Beides rechnet direkt im Browser, in Sekundenbruchteilen. Die Parameter sind als Platzhalter gekennzeichnet.

• Dach für Dach: Solarpotenzial

  Aus Neigung, Ausrichtung und Verschattung durch Nachbargebäude und Gelände rechnet Terra die Einstrahlung jeder Dachfläche. Das Verfahren liegt bei zwölf Neigungen und Ausrichtungen im Mittel 1,2 Prozent neben der EU-Datenbank PVGIS, im ungünstigsten Fall 5,9 Prozent.

Versorgung und Ausfall

Was passiert, wenn ein Umspannwerk ausfällt, das Gas wegbleibt oder die Tankstellen leer sind? Terra rechnet es als Übungslage durch, vom ersten Ausfall bis zur Folge im Plan. Echte Betreiberdaten lassen sich als Datei andocken, weitere Formate sind in Arbeit.

Defconder

Übungsausfall eines Umspannwerks bei Frost, nach 52 Stunden. Die Zuordnung der 1.527 kritischen Gebäude folgt der Entfernung, die Notstromzeiten je Sektor sind einstellbare Annahmen. Violett: Gesundheitseinrichtungen, deren Notstrom ohne Kraftstoffnachschub erschöpft ist. Das Netz stammt aus OpenStreetMap und ist unvollständig.

• Ausfall und Kaskade

  Umspannwerk, Trafostation, Gasstation, Tanklager oder Tankstelle ausfallen lassen, mit Beginn und Ende. Terra rechnet Stunde für Stunde: Notstrom je Sektor, Heizung, Wasserdruck nach Pufferzeit, Mobilfunk, Signalanlagen, Auskühlgefahr bei Frost. Alle Annahmen sind einstellbar.

• Kraftstoff und Tankstellen

  Tankstellen ohne Strom pumpen nicht. Ohne Lieferung sind sie nach Vorrat und Krisenfaktor (Hamsterkäufe) leer. Notstrom hält länger, wenn Kraftstoff nachgeliefert wird, und kürzer, wenn nicht: Strom, Gas und Kraftstoff hängen im Modell zusammen.

• Übungsnetz aus offenen Daten

  55 Knoten aus OpenStreetMap (Umspannwerke, Trafostationen, Tankstellen, Gasspeicher) und 1.527 kritische Gebäude als Verbraucher. Was fehlt, setzt man als Übungsknoten, gekennzeichnet als Übung. Es ist ein Folgenmodell, kein Lastfluss- oder Hydraulikmodell.

• Echte Betreiberdaten andocken

  Dateiimport für GeoJSON und CSV, jeder Import mit Name, Lizenz und Herkunft, jederzeit wieder entfernbar, Übung und Echtdaten getrennt. In Arbeit: CIM/CGMES (IEC 61970), INSPIRE-Versorgungsnetze (GML), OGC WFS und API Features, Marktstammdatenregister als CSV und betreiberspezifische Adapter.

• Von der Folge in den Plan

  Gespeicherte Ausfälle laufen als Schritt in Szenarien. Aus dem Ausfall legt Terra Maßnahmen als Entwurf an: Notstrom für Krankenhäuser, Kraftstoff, Wärmestuben, Wasser, Verkehr ohne Ampeln, Funk. In der Folgenanalyse steht die Überbrückung durch Notversorgung, und der Plan-Coach meldet, wenn sie kürzer ist als der Wiederanlauf.

Luftbild und Datenebenen

Terra zeigt auf Wunsch statt der Karte das echte Luftbild mit 20 Zentimetern je Bildpunkt und legt amtliche Ebenen darüber. Jede Ebene nennt Quelle, Lizenzangabe und Abrufdatum im Programm.

Defconder

Digitales Orthophoto des LGLN (Aufnahme März 2025) mit der Einwohnerzahl je 100-Meter-Zelle nach dem Zensus 2022. Die Ebenen sind beim Datenbau abgelegt und laufen im Betrieb ohne Internet.

• Echtes Luftbild unter der 3D-Welt

  Das Luftbild liegt auf dem Gelände, die Gebäude stehen durchscheinend darüber. In beiden Darstellungen schaltbar. Das Bild zeigt den Aufnahmezeitpunkt, nicht die eingestellte Jahreszeit, und das steht im Bedienfeld.

• Strahlenmessnetz

  Ortsdosisleistung der Messstellen des Bundesamts für Strahlenschutz, bundesweit 1.676 Stellen mit Stundenwert, Farbskala nach Wert, Einzelwerte auf Klick.

• Einwohner nach Zensus

  Einwohnerzahl je 100-Meter-Gitterzelle zum Stichtag 15. Mai 2022. Veränderte oder unterdrückte kleine Werte sind in den Originaldaten so gekennzeichnet und werden nicht ergänzt.

• Schutzgebiete und Wetterwarnungen

  Naturschutz-, FFH-, Vogelschutz- und Landschaftsschutzgebiete des Bundesamts für Naturschutz sowie die Wetterwarnungen des Deutschen Wetterdienstes für Gemeinden, als Schnappschuss zum Abrufzeitpunkt.

Krisenplan auf der Karte

Aus der Lage wird ein Plan: Maßnahmen mit Nummer, Typ, Verantwortlichem und Stellvertretung stehen als Marker, Zonen, Linien und Pfeile auf dem Luftbild. Das Dokument dazu entsteht auf Knopfdruck.

Defconder

Beispielplan für eine Übung: Hochwasser der Leine in der Innenstadt. Die Zone ist der Gefährdungsbereich, der Pfeil der Fluchtweg zur Sammelstelle, Sammelstelle und Bereitstellungsraum stehen als taktische Zeichen. Im Bedienfeld prüft der Plan-Coach nach 29 festen Regeln. Der Plan nennt keine echten Personen oder Rufnummern.

Defconder

Das Dokument zum Lesen entsteht aus dem Planstand: Steckbrief, Lagekarte, Maßnahmen nach Phasen, Zeitleiste, Rollen, Ressourcen, Kommunikationsmatrix, Folgenanalyse, Meldepflichten, Prüfung durch den Plan-Coach und der Nachweis aus der Prüfkette. Als Seite zum Lesen im eigenen Netz, als Word-Datei und als Daten.

• Steckbrief, Auslöser, Eskalation

  Zweck, Geltungsbereich, Auslösekriterium, verantwortliche und stellvertretende Stelle, bis zu sechs Eskalationsstufen und ein Prüfintervall. Überfällige Prüfungen meldet der Plan-Coach.

• Maßnahmen mit Typ, Ort und Voraussetzung

  Dreizehn Maßnahmentypen mit Farbe, Phase, Beginn, Dauer, Mittel, Erfolgskriterium, Voraussetzungen, Wirkzeit, Eskalation und Kartenbezug als Punkt, Zone, Linie oder Pfeil. Sammelstelle, Bereitstellungsraum, Betreuungsstelle und Informationspunkt erscheinen als taktische Zeichen nach der BBK-Empfehlung 2024. Sofortmaßnahmen sind gekennzeichnet. Freigegeben wird erst, wenn alle Pflichtangaben stehen.

• Rollen, Ressourcen, Kommunikation, Folgen, Meldungen

  Wer vertritt wen und wie ist die Person erreichbar. Welche Ressource gibt es in welcher Menge, und wo wird sie doppelt gebraucht. Wer informiert wen auf welchem Weg bis wann. Welche Prozesse fallen aus, wie lange ist das tolerierbar. An wen ist bis wann zu melden.

• Plan-Coach ohne KI

  Neunundzwanzig feste Regeln prüfen Vollständigkeit, Stellvertretung, Doppelbelegung von Personen, zeitliche Voraussetzungen und Zirkelbezüge, Meldefristen, Wiederanlauf gegen tolerierbare Ausfallzeit und Notstrom-Überbrückung, Überbuchung von Ressourcen, Warnweg bei Räumung, Ortsbezug, Freigabe und Prüffrist, dazu Stab mit Gruppen und Sachgebieten, Stabsleitung mit zwei Vertretungen, Sofortmaßnahmen, Meldestellen mit Leitfragen, Ausweichkanäle ohne IT, Notstrom gegen den Richtwert von 72 Stunden, Deeskalation, Wirkzeit gegen Vorwarnzeit, Übungen und Erkenntnisse. Jeder Befund nennt die Stelle und springt dorthin.

• Entwurf aus der Lage

  Aus einem berechneten Hochwasserlauf legt Terra Maßnahmen als Entwurf an: Lage bewerten, warnen, Straßen sperren, Gebäude räumen und je betroffenem Sektor eine Maßnahme. Verantwortliche, Mittel und Erfolgskriterium bleiben für Menschen offen, der Entwurf ist nicht freigebbar, bevor sie stehen.

• Dokument, Word, Daten, Lesen-Link

  Seite zum Lesen und Drucken, Word-Datei, Daten als JSON, Lagekarte als Bild. Der Lesen-Link zeigt im eigenen Netz den aktuellen Planstand ohne Bearbeitung.

• Szenen und Szenarien

  Szenen halten Ansicht und Lage fest. Szenarien spielen eine zeitliche Abfolge ab: Regen setzt ein, Pegel steigt, Sperrung wird ausgelöst, Maßnahme beginnt. Pläne, Szenen und Szenarien lassen sich anlegen, lesen, ändern und löschen.

• Jede Änderung in der Kette

  Alle Pläne und ihre Teile sind ereignisbasiert. Jedes Ereignis trägt den Hash des vorherigen. Eine nachträgliche Veränderung bricht die Kette und wird mit der Nummer des ersten betroffenen Ereignisses gemeldet. Der Stand der Kette steht im Plandokument.

Alle Funktionen, Standards und das Muster zum Herunterladen stehen im Abschnitt Krisenplan weiter unten.

Sensordaten und Weltexport

Terra rechnet aus Zeit, Wetter und Szene ein Bild von oben und liefert es als Datensatz: für das Training und den Test von Software, für Übungen mit Drohnen- und Satellitenbildern und für Spiel- und Simulations-Engines.

Defconder

Ausschnitt am Opernplatz, Sommernachmittag. Luftbild, berechnetes Farbbild, Klassen und Wärmebild aus derselben Szene. Im Wärmebild liegen Dächer und besonnter Asphalt hoch, Grün und Schatten niedrig. Die Temperatur kommt aus einer Energiebilanz, nicht aus einer Messung.

• Berechnetes Wärmebild

  Je Bildpunkt eine Energiebilanz aus absorbierter Sonne, Himmelsgegenstrahlung, Wind und Verdunstung, mit thermischer Trägheit der Materialien und Schattenwurf der Nachbargebäude. Sensorunschärfe und Rauschen sind einstellbar, der Startwert ist fest.

• Datensatz mit Georeferenz

  Ein ZIP mit Farbbild, Luftbild, Oberflächenhöhe, Höhe über Grund, Klassen, Schatten und zwei Wärmebildern in 16 Bit (Zentikelvin), dazu Weltdateien, Klassenliste, Annahmen und Quellen. Alle Kanäle haben dieselbe Größe und dasselbe Raster.

• Weltexport für Engines

  Das Pilotgebiet als 3D Tiles und glTF mit Dachformen, in drei Färbungen, dazu Gelände, Oberfläche, Klassen und Luftbild als Raster mit Georeferenz. Für Cesium for Unreal, Cesium for Unity, Blender, Godot und QGIS, mit Anleitung im Paket.

Stand 15.10.2026, Pilotgebiet Hannover Mitte. Grenzen: Die Modelle sind vereinfacht und besonders bei Kanalnetz, Bodenart und Brennstoff nicht kalibriert. Das Versorgungsnetz ist ein Übungsmodell aus offenen Daten ohne Leitungstopologie, OpenStreetMap erfasst Trafostationen und Gasstationen nur unvollständig, echte Betreiberdaten brauchen eine Vereinbarung mit dem Betreiber. Das Flusshochwasser der Leine ist an den amtlichen Hochwassergefahrenkarten eingestellt, bei häufigem Hochwasser stimmen die Flächen nur zu 27 Prozent überein. Das Wärmebild blickt senkrecht von oben, nutzt Materialwerte aus der Literatur und ist nicht an Messungen kalibriert. Die Daten des Deutschen Wetterdienstes sind die der Station Hannover, nicht gebietsgenau, und brauchen beim Abruf Internet. Das Luftbild zeigt den Aufnahmezeitpunkt März 2025. Eine Vorhersage ist Terra nicht. Die Nutzungsbedingungen der Landesdaten, Luftbilder und Hochwasserkarten für die Weitergabe an Kunden werden noch geklärt. Es gibt noch keinen Sicherheitstest durch Dritte.

• 0feste Prüfregeln, mit denen der Plan-Coach den Krisenplan nachvollziehbar und ohne KI kontrolliert
• 0Maßnahmentypen mit Beginn, Dauer, Mitteln, Erfolgskriterium und Kartenbezug
• 0öffentliche Quellen, an denen sich die Gliederung orientiert, ohne Anspruch auf Konformität
• 0Stunden Notbetrieb ohne Kraftstoffnachlieferung als Richtwert, je Liegenschaft berechnet
• 0Seiten umfasst das Muster auf Deutsch, die englische Fassung 19, alle Angaben fiktiv

Was ein Krisenplan in Terra enthält

Jeder Baustein ist ein eigenes Datenobjekt, das sich anlegen, lesen, ändern und löschen lässt. Maßnahmen werden erst freigegeben, wenn alle Pflichtangaben stehen.

Defconder

Rollen mit Stabsgruppe, Sachgebiet und mehreren Stellvertretungen. Auf der Karte erscheinen Bereitstellungsraum und Sammelstelle als taktische Zeichen mit der Nummer der Maßnahme.

• Steckbrief, Auslöser, Eskalation

  Zweck, Geltungsbereich, Auslösekriterium, bis zu sechs Eskalationsstufen, Vorwarnzeit und Prüfintervall. Dokumenteigenschaften wie Klassifikation, Zuständigkeit, Ablageort und Freigabe stehen im Dokument.

• Stab und Sachgebiete

  Rollen mit Stabsgruppe (Leitung, Kernteam, Erweiterung, Assistenz, Bewältigungsteam, Fachberatung, Verbindung), Sachgebiet S1 bis S6 nach der Führungsorganisation der DV 100 und mehreren Stellvertretungen für die Stabsleitung.

• Meldestellen und Leitfragen

  Wer Ereignismeldungen entgegennimmt, wie er außerhalb der Dienstzeit erreichbar ist und welche Ja/Nein-Fragen zur Ersteinschätzung gehören. Wird eine Frage mit Ja beantwortet, wird die Stabsleitung alarmiert.

• Sofortmaßnahmen

  Maßnahmen ohne Aufschub sind gekennzeichnet und stehen als Checkliste mit Spalte Erledigt im Dokument. Es gilt der Grundsatz Schutz von Leib und Leben vor dem Schutz von Sachwerten.

• Maßnahmen mit Kartenbezug

  Dreizehn Maßnahmentypen mit Beginn, Dauer, Mitteln, Erfolgskriterium, Voraussetzungen und Wirkzeit. Ort als Punkt, Fläche, Linie oder Pfeil. Für Sammelstelle, Bereitstellungsraum, Betreuungsstelle und Informationspunkt zeigt die Karte taktische Zeichen.

• Kommunikation mit Ausweichkanal

  Wer informiert wen, auf welchem Weg und bis wann. Der Plan-Coach meldet Empfänger, die nur über Kanäle erreichbar sind, die vom Netz oder von der IT abhängen.

• Notstrom je Liegenschaft

  Erhebungsbogen mit Nennleistung, Kraftstoff, Tankinhalt, Verbrauch, mobiler Einspeisung und gesicherter Lieferung. Terra rechnet die Betriebsdauer aus und prüft sie gegen den Richtwert von 72 Stunden. Import als CSV.

• Folgenanalyse und Meldepflichten

  Kritische Prozesse mit tolerierbarer Ausfallzeit, Wiederanlauf und Überbrückung durch Notversorgung. Meldepflichten mit Empfänger, Frist und Rechtsgrundlage, Rechtsgrundlagen als freie Liste.

• Deeskalation, Übungen, Erkenntnisse

  Kriterium und Ablauf der Deeskalation, dokumentierte Übungen auch aus abgespielten Szenarien und Erkenntnisse mit Priorität, Verantwortlichem und Zieldatum.

• Einsatztagebuch und Abschlussbericht

  Meldungen, Entscheidungen und Aufträge mit Zeit, Vermutungen als solche gekennzeichnet. Der Abschlussbericht stellt geplante und tatsächliche Zeiten je Maßnahme gegenüber und führt die Erkenntnisse auf.

Das Dokument: Rote Seite, Schaubild des Stabes, Lagekarte

Aus dem Planstand erzeugt Terra auf Knopfdruck ein Dokument zum Lesen und Drucken, eine Word-Datei, die Daten als JSON und eine gestaltete Muster-Fassung als PDF.

Das Dokument beginnt mit einer Roten Seite für den Ernstfall: Auslösekriterium, Eskalationsstufen, Stabsleitung mit Vertretungen, Meldestellen, Meldefristen, Sofortmaßnahmen und Notruf. Es folgen Dokumentenlenkung mit Änderungshistorie und Freigabe, Begriffe, Eskalation und Alarmierung, Sofortmaßnahmen, Führungsorganisation mit Schaubild, Lagekarte, Maßnahmen nach Phasen, Zeitleiste, Notstromversorgung, Ressourcen, Kommunikationsmatrix, Folgenanalyse, Meldepflichten, Deeskalation, Prüfergebnis und der Nachweis aus der Prüfkette.

Defconder

Das Dokument zum Lesen entsteht aus dem Planstand, die gestaltete Muster-Fassung mit Roter Seite als PDF.

Nach einem Einsatz oder einer Übung vergleicht der Abschlussbericht, was geplant war, mit dem, was das Einsatztagebuch festhält: Beginn und Dauer je Maßnahme, Abweichung in Minuten, Entscheidungen und Erkenntnisse mit Verantwortlichem und Zieldatum.

Defconder

Abschlussbericht: Soll und Ist je Maßnahme aus dem Einsatztagebuch einer Übung (Beispieldaten).

Notstrom und Kraftstoff: Erhebung, Berechnung, Import

Was passiert, wenn ein Umspannwerk ausfällt, das Gas wegbleibt oder die Tankstellen leer sind? Terra rechnet es als Übungslage durch, vom ersten Ausfall bis zur Folge im Plan. Echte Betreiberdaten lassen sich als Datei andocken, weitere Formate sind in Arbeit.

Der Erhebungsbogen hält je Liegenschaft fest, ob ein stationäres Aggregat vorhanden ist, wie viel Kraftstoff im Tank ist und wie viel das Aggregat je Stunde verbraucht, ob eine externe Einspeisung vorbereitet ist und wer bei Stromausfall den Kraftstoff liefert. Terra teilt Tankinhalt durch Verbrauch und warnt, wenn die Betriebsdauer unter 72 Stunden liegt und die Lieferung nicht gesichert ist. Das Bundesamt für Bevölkerungsschutz und Katastrophenhilfe empfiehlt Notbetrieb über mindestens 72 Stunden ohne Kraftstoffnachlieferung.

Bestehende Erhebungen lassen sich als CSV importieren. Gleiche Liegenschaften werden aktualisiert, bei einem Fehler wird nichts importiert. Eingriffe in die Energieversorgung sind Sache der Netzbetreiber, Terra plant die eigene Handlungsfähigkeit und nicht den Netzbetrieb.

Defconder

Notstrom je Liegenschaft mit berechneter Betriebsdauer und Import des Erhebungsbogens als CSV.

Notstrom und Versorgungsausfall in Terra

Defconder

Anwendung Krisenstab Klinik im Übungsszenario Klinikum Beispielstadt: Stromausfall im Stadtteil und Massenanfall von Verletzten. Alle Namen und Daten sind erfunden.

Defconder

Notstromaggregat im Übungsszenario: Aus Füllstand, Reserve und Last entsteht die Restlaufzeit, der Puffer bis zur Lieferung steht daneben. Schwellen und Lieferzeit sind Platzhalter. Alle Daten sind erfunden.

Defconder

Der Strom der Aufnahme-, Verlegungs- und Entlassungsmeldungen. Jede HL7-Nachricht liegt unverändert im Strom, ihr Prüfwert steht im Hauptprotokoll, und die Kennzeichnung zeigt, welche zum Datensatz der Lage wurde.

• 0Objekttypen im Fachpaket, dazu 8 Beziehungstypen und 7 Aktionen mit Regeln
• 0automatisierte Prüfungen zu Fachpaket und Schnittstellen, alle bestanden
• 0Standards für die Anbindung des Krankenhausinformationssystems: HL7 v2 über MLLP und FHIR R4

• HL7 v2 mit Quittung

  Aufnahme-, Verlegungs- und Entlassungsmeldungen (ADT) kommen über eine dauerhafte Verbindung mit MLLP-Rahmung. Defconder quittiert jede Nachricht (AA), lehnt Unlesbares ausdrücklich ab (AR) und nimmt nur von eingetragenen Absenderadressen an.

• FHIR R4

  Bündel und einzelne Ressourcen werden als Webhook angenommen und zerlegt. Jede Ressource ist ein Eintrag, Felder wie id, status oder subject.reference stehen für die Zuordnung bereit.

• Aktualisieren statt verdoppeln

  Meldet das KIS denselben Patienten mehrfach, wird über ein Schlüsselattribut der vorhandene Datensatz angepasst. Eine identische Meldung ändert nichts und erzeugt kein Ereignis. Nicht gemeldete Felder, etwa die Sichtungskategorie, bleiben erhalten.

• Herkunft nachprüfbar

  Die Rohnachricht liegt im Strom, ihr Merkle-Prüfwert im verketteten Hauptprotokoll. Jeder Datensatz verweist auf Strom und Eintrag, aus dem er entstand.

• Patientendaten mit Stufe

  Der Typ Patient ist als VS-NfD und als besondere Datenkategorie geführt. Ein Konto mit niedrigerer Freigabestufe sieht weder die Datensätze noch die Meldungen dahinter.

• Restlaufzeit und Schwellen

  Aus Tankinhalt, Füllstand, nicht nutzbarer Reserve und der Last des Aggregats rechnet die Aktion Restlaufzeit prüfen die Stunden bis zum Leerlauf, vergleicht sie mit der Lieferzeit und setzt eine Warnstufe: Normal, Stab informieren oder Lastabwurf prüfen. Reicht der Tank nicht bis zur Lieferung, steigt die Warnstufe, auch wenn die Schwellen noch nicht erreicht sind. Schwellen, Reserve und Lieferzeit sind je Haus einstellbar, die Beispielwerte (6 und 3 Stunden) sind Platzhalter. Nachlieferung auslösen und Lastabwurf festlegen halten die Entscheidung fest, schalten aber nichts ab. Ohne Verbrauch gibt es keine Restlaufzeit, die Aktion lehnt dann ab. Die Rechnung steckt in einem Baustein, den sich jede Installation auf jede Objektart legen kann, auch ohne Klinikpaket, etwa auf Tank, Wasserreserve oder Sauerstofflager.

• Notbetrieb als Regel

  Fällt das Krankenhausinformationssystem aus, ruft die Aktion IT-Notbetrieb den Notbetrieb aus und vermerkt auf allen unterstützten Stationen die Papierdokumentation. Auf einem nicht gestörten System lehnt die Regel ab.

Stand 22.10.2026. Vorführung im Gespräch, per Videokonferenz oder vor Ort.

• Ohne Programmierung

  Baustein wählen, Objektart wählen, Vorschau prüfen, einspielen. Vorhandene Attribute und Datensätze bleiben unverändert.

• Jede Branche

  Dieselbe Fähigkeit passt auf Notstromaggregat, Kraftstofftank, Wasserreserve oder Sauerstofflager, in Klinik, Versorger und Behörde. Das Fachpaket muss dafür nicht gewechselt werden.

• Nachweisbar

  Jedes Einspielen steht mit Baustein, Ausgabe und Ziel im Protokoll. Was ein Baustein tut, ist an den Regeln seiner Aktionen nachzulesen.

• Bleibt bei Ihnen

  Welche Bausteine Sie bekommen, richtet sich nach Ihrer Lieferung. Es gibt keinen Abruf beim Hersteller. Im Haus schalten Sie Bausteine selbst ein und aus.

• Wächst laufend

  Wir erweitern den Bestand fortlaufend und branchenübergreifend. Neue Bausteine kommen mit der Lieferung, ohne dass Sie Ihr Fachmodell neu aufbauen müssen.

• Prüfen vor Handeln

  Aktionen eines Bausteins lehnen ab, wenn Angaben fehlen. Entscheidungen mit Folgen verlangen eine Freigabe.

Defconder

Der Bereich Bausteine in der Oberfläche. Jeder Baustein nennt, was er kann, was er anlegt und wo seine Grenzen liegen.

• Vorrat und Restlaufzeit

  Wie lange reicht der Vorrat, und reicht er bis zur Lieferung? Der Baustein rechnet aus Füllstand, Inhalt, nicht nutzbarer Reserve und Last die Restlaufzeit, vergleicht sie mit der Lieferzeit und setzt eine Warnstufe. Eine Aktion löst die Nachlieferung aus, eine zweite hält die Entscheidung über Maßnahmen fest und verlangt eine Freigabe.

  • Der Verbrauch folgt der Last zwischen Leerlauf und Volllast
  • Die Warnstufe steigt schon, wenn der Vorrat nicht bis zur Lieferung reicht
  • Jede Prüfung zeigt die Veränderung seit der vorigen, bei erhöhter Warnstufe ist eine Benachrichtigung einstellbar
  • Schwellen, Reserve und Lieferzeit legt jedes Haus selbst fest, der Baustein schaltet nichts ab

  Beispiel mit erfundenen Übungsdaten: Tank mit 600 Litern, zu 56,6 Prozent gefüllt, 10 Prozent Reserve nicht nutzbar, Last 85 Prozent bei 30 bis 160 Litern je Stunde, Lieferzeit 4 Stunden. Ergebnis: 2,0 Stunden Restlaufzeit, 2 Stunden zu wenig bis zur Lieferung, Warnstufe Lastabwurf prüfen.

• Anschlüsse: Anlagentechnik und Warnmeldungen

  Der Baustein schaltet Vorlagen frei, mit denen Sie Geräte der Anlagentechnik lesen und Warnmeldungen aufnehmen. Jede Verbindung trägt ihre Herkunft: Das Gerät, aus dem ein Wert stammt, beziehungsweise die Lizenz der Quelle.

  • Modbus TCP für Aggregate, Zähler und Pegel, ausschließlich lesend
  • CAP-Warnmeldungen aus einem Feed, mit Schwere, Dringlichkeit und Gebiet
  • Ohne Herkunft oder Lizenz legt Defconder keine Verbindung an

  Heute gegen Simulator und Beispieldaten geprüft, noch nicht an Ihrem Gerät. Vor dem Betrieb testen wir gemeinsam mit Ihnen.

Defconder

Der Baustein Vorrat und Restlaufzeit in Version 2.0: Eingaben wie Reserve, Last und Lieferzeit, berechnete Werte wie nutzbare Menge, Restlaufzeit und Puffer bis zur Lieferung.

Defconder

Die Vorlage Modbus TCP im Formular für neue Anbindungen. Die Registerbelegung steht im Handbuch Ihres Geräts und wird eingetragen, Defconder rät sie nicht.

Alle Daten im Beispiel sind erfunden.

• Vor dem Start geprüft

  Die Graphanalyse erkennt Schleifen, fehlende Angaben und erreichbare Aktionen ohne erforderliche Freigabe. Die aktuellen Prüfungen decken auch den KI-zu-Aktion-Pfad ab.

• Laufbeleg exportieren und prüfen

  Der abgeschlossene Lauf enthält eine Hash-Kette. Die JSON-Datei lässt sich exportieren und unabhängig neu berechnen; Änderungen an Schritten werden erkannt.

• Ab Checkpoint wiederholen

  Ein fehlgeschlagener Lauf kann mit einem gespeicherten, klassifizierten Eingabe-Checkpoint erneut gestartet werden. Der Wiederholungsstart wird als neuer Lauf protokolliert.

• Deterministischer CLI-Läufer

  Der lokale Läufer führt Ablaufdateien mit bereitgestellten Host-Funktionen aus. Der geprüfte Beispieldurchlauf erzeugt denselben Beleg wie der Ablaufkern.

• Ressourcen-Lineage

  Die Lineage zeigt gespeicherte Objektarten, Aktionen, Ereignistypen, Datenströme, Vektorindizes, Unterabläufe und ausgewählte Modelle je Ablauf.

• Modellstatus sichtbar

  Modelle können lokal als experimentell, aktiv, abgekündigt oder abgelöst geführt werden. Der Status wird nicht automatisch mit einem Modellanbieter synchronisiert.

• Bausteine für den ganzen Ablauf

  Auslöser aus Ereignis, Schwelle, Zeitplan, Datenstrom oder von Hand. Dazu Datenabfrage, Bedingung, Schleife über Meldungen, parallele Pfade, Warten, Zusammenführen, Ähnlichkeitssuche, KI-Einordnung und -Zusammenfassung, Freigabe, Aktion und Benachrichtigung.

• Aufgeräumter Editor

  Der Schrittkatalog links ist nach Kategorien einklappbar und durchsuchbar. Kontextmenüs auf Fläche und Knoten, eine kompakte Aktionsleiste, Rückgängig und Wiederholen sowie Import und Export halten den Weg zum Ablauf kurz.

• Veröffentlichen mit zweiter Person

  Eine veröffentlichte Version bleibt unveränderlich. Auf Wunsch muss eine zweite Person die Veröffentlichung bestätigen. Änderungen führen immer zu einer neuen Version.

• Testfälle und Simulation

  Ein Trockenlauf spielt einen Ablauf mit Beispieldaten durch, ohne Benachrichtigungen zu senden oder Aktionen auszulösen. Gespeicherte Testfälle und eine Simulation mit mehreren Ereignissen prüfen das erwartete Verhalten.

• Versionen vergleichen und zurückrollen

  Zwei Versionen lassen sich nebeneinander vergleichen. Ein Rückrollplan zeigt vorab, was sich ändert. Das Zurückrollen erzeugt einen neuen Entwurf und verändert die alte Version nicht.

• Freigabepostfach, Verlauf und Kennzahlen

  Wartende Freigaben stehen gesammelt im Postfach. Der Verlauf lässt sich filtern, jeder Schritt eines Laufs ist einsehbar, und die Entscheidung der freigebenden Person wird protokolliert. Kennzahlen zeigen, wie oft Abläufe gestartet wurden, wie sie endeten und welche Versionen im Einsatz sind. Sie beruhen auf den protokollierten Läufen der lokalen Instanz.

Defconder

Der große Übungsablauf mit 15 Knoten. Der linke Ausschnitt zeigt Auslöser, Daten, Prüfung und die ersten Verzweigungen. Alle Beispieldaten sind erfunden.

Defconder

Der rechte Ausschnitt führt die Pfade über Suche und Zusammenführung bis zur Freigabe und zum Abschluss. Die grüne Leiste zeigt das Ergebnis der Graphprüfung.

• Übung: Warnstufe bis Nachlieferung

  Ein erfundenes Notstromaggregat erreicht eine Warnstufe. Der Ablauf informiert den Stab, wartet auf eine Freigabe und protokolliert danach die Aktion.

  • Freigabepflichtige Aktion bleibt bis zur Freigabe stehen
  • Die freigebende Person wird im Lauf protokolliert
  • Der Trockenlauf zeigt die Schritte ohne Wirkung

  Alle Daten sind erfundene Übungsdaten.

• Übung: Meldung prüfen und freigeben

  Ein erfundener Meldungseingang wird eingeordnet. Der gezeigte Entwurf enthält absichtlich Fehler, damit die Prüfung fehlende Freigabepfade sichtbar macht.

  • Fehler werden am betroffenen Knoten angezeigt
  • Der Graph lässt sich als verzweigter Ablauf betrachten
  • Ein lokal gepflegter Modellstatus ist in der Lineage sichtbar

  Alle Meldungen und Namen sind für die Demo erfunden.

Defconder

Der fehlerhafte Übungsentwurf wird nicht freigegeben. Alle drei Befunde benennen einen Weg zur Aktion ohne Freigabeknoten.

Defconder

Der Schrittkatalog ordnet 32 Bausteine in sechs Kategorien. Eine Suche und aufklappbare Gruppen halten die Übersicht, auch bei großen Abläufen.

Defconder

Eine aufgeklappte Kategorie zeigt ihre Bausteine, hier die sieben Bausteine für Daten. Die übrigen Gruppen bleiben eingeklappt.

Defconder

Die Aktionsleiste ist kompakt: Speichern, Rückgängig, Prüfen, Trockenlauf und Veröffentlichen liegen in einer Zeile, seltener gebrauchte Werkzeuge im Menü Mehr.

Defconder

Rechtsklick auf einen Knoten: Eigenschaften öffnen, kopieren, duplizieren oder löschen. Die Eigenschaften erscheinen rechts im Seitenfeld.

Defconder

Rechtsklick auf die Fläche: Einfügen, automatisch anordnen, Ansicht einpassen, Präsentationsbilder erzeugen sowie Abläufe importieren und exportieren.

Defconder

Dieselben Werkzeuge liegen im Menü Mehr der Kopfleiste. Rückgängig und Wiederholen stehen daneben.

Defconder

Die Eigenschaften zeigen Name, zugeordnete Aktion und Fehlerstrategie des ausgewählten Knotens.

Defconder

Der Trockenlauf markiert Benachrichtigung und Aktion als simuliert. Interne Beispielkennungen sind in der Aufnahme anonymisiert.

Defconder

Der Lauf wartet sichtbar auf eine Freigabe. Die protokollierten bisherigen Schritte bleiben einsehbar.

Defconder

Der Beleg wurde exportiert und unabhängig geprüft. Personenkennungen wurden in der Aufnahme anonymisiert.

Defconder

Die Lineage ordnet gespeicherte Ressourcen den Abläufen und Knoten zu. Im Beispiel enthält der lokale Modellkatalog kein Modell.

Alle Namen und Daten in den gezeigten Abläufen sind erfundene Übungsdaten. Personenkennungen wurden in den Screenshots anonymisiert.

Defconder

Der Baustein Versionsräume. Der aktive Stand wird als Hauptstand gesichert. Alle Namen und Daten sind erfundene Übungsdaten.

Defconder

Für die Übung entsteht ein eigener Arbeitszweig, getrennt vom Betrieb. Direkte Änderungen am Hauptstand sind gesperrt.

• Hauptstand gesperrt

  Der aktive Stand ist für direkte Änderungen gesperrt. Änderungen kommen nur über geprüfte Zusammenführungen.

• Isolierte Arbeitszweige

  Entwürfe und Übungen laufen in eigenen Zweigen. Der Betrieb bleibt unberührt, bis eine Änderung freigegeben ist.

• Commits mit Begründung

  Jeder gesicherte Stand trägt eine Nachricht, den Autor und den Zeitpunkt. Die Historie steht im verketteten Ereignisprotokoll.

• Vergleich Feld für Feld

  Der Vergleich zeigt für jede geänderte Ressource die Felder mit altem und neuem Wert, bevor etwas übernommen wird.

• Wiederherstellen und markieren

  Ein früherer Stand lässt sich in einem Arbeitszweig wiederherstellen. Dabei entsteht ein neuer Commit, nichts wird gelöscht. Tags markieren geprüfte Stände.

• Übernahme zu zweit

  Wer die Übernahme beantragt, darf sie nicht selbst freigeben. Eine zweite berechtigte Person entscheidet, die Freigabe steht im Protokoll.

• Konflikte werden erkannt

  Der Drei-Wege-Vergleich prüft Ausgangsstand, Zweig und Hauptstand. Ändern zwei Zweige dasselbe Feld, wird nichts stillschweigend überschrieben.

• Keine Geheimnisse in der Historie

  Passwörter und Zugangsdaten werden in Versionsobjekten abgelehnt. Gespeichert wird nur ein Verweis auf das Geheimnis.

• Pakete mit Prüfsummen

  Ein Stand lässt sich als Paket exportieren und bei einem anderen Haus als eigener, getrennter Zweig importieren. Die Prüfsummen sichern die Unversehrtheit.

• Acht eigene Rechte

  Ansehen, Sichern, Zweige anlegen, Übernahme beantragen, Übernahme freigeben, Wiederherstellen, Exportieren und Importieren sind getrennte Rechte in der Rollenverwaltung.

• Fall: Das Klinikum übt den Stromausfall

  Ein Notstromaggregat soll neu beschrieben werden, und der laufende Betrieb darf dabei nicht gestört werden.

  • Der Hauptstand wird gesichert, die Übung läuft im Zweig notstrom-uebung
  • Das Aggregat wird umbenannt und um den Tankinhalt ergänzt, ein Passwort im Modell wird abgelehnt
  • Ein falscher Name wird zurückgeholt, der geprüfte Stand bekommt einen Tag
  • Die Übernahme beantragt eine Person, die Selbstfreigabe wird abgelehnt, eine zweite Person gibt frei

  Alle Namen, Daten und Personen sind erfunden. Der Fall ist eine Übung und keine Fachregel für ein Krankenhaus.

• Fall: Zwei Änderungen am selben Feld, ein Stand für ein Partnerhaus

  Während der Zweig läuft, ändert jemand dasselbe Feld in einer Variante anders. Und ein Partnerhaus braucht denselben Stand.

  • Die Übernahme der Variante wird als Konflikt erkannt und nicht überschrieben
  • Der Zweig muss angepasst und neu gesichert werden
  • Ein Commit wird als Paket mit Prüfsummen exportiert
  • Das Partnerhaus importiert es als eigenen, getrennten Zweig, nie direkt in den Betrieb

  Der Konflikt wird im Drei-Wege-Vergleich erkannt. Die Meldung in der Oberfläche nennt die Zahl der Konflikte.

Defconder

Ein Passwort im Modell wird abgelehnt: Geheimnisse dürfen nicht in Versionsobjekte geschrieben werden. Stattdessen wird ein Verweis verwendet.

Defconder

Der Vergleich zeigt jedes geänderte Feld mit altem und neuem Wert: der neue Name und das ergänzte Attribut.

Defconder

Die Wiederherstellung erzeugt einen neuen Commit mit dem Namen des zurückgeholten Stands. Nichts wird gelöscht.

Defconder

Die Selbstfreigabe wird abgelehnt: Die Person, die den Merge beantragt hat, darf ihn nicht selbst freigeben.

Defconder

Eine zweite Person gibt frei. Der Merge steht in der Historie des Hauptstands, mit ihrem Namen.

Defconder

Eine Variante ändert dasselbe Feld anders. Der Drei-Wege-Vergleich erkennt den Konflikt, die Übernahme wird nicht ausgeführt.

Defconder

Ein exportiertes Paket wird als eigener Zweig importiert, hier mit dem erfundenen Namen Import-Klinik-Nord.

Alle Namen und Daten sind erfundene Übungsdaten. Die Benutzernamen in den Aufnahmen sind Testkonten.

Defconder

Der Graph über Millionen Einträge: Knoten mit Symbolen, Hinweise beim Überfahren, kürzester Pfad zwischen zwei Personen. Jede Kante nennt Strom und Eintrag, aus dem sie entstand. Übungsdaten.

Defconder

Personenabgleich: Ab fünfzehn Punkten und drei unabhängigen Belegen wird automatisch zusammengeführt. Zwillingsrisiko, widersprüchliches Geburtsdatum oder häufiger Name sperren das Paar, bis zwei Personen entschieden haben.

Defconder

Geokodierung ohne Internet aus offenen Kartendaten. Das Ergebnis nennt die Genauigkeit (Hausnummer, Straße, Postleitzahl, Ort). Mehrdeutige Adressen erhalten bewusst keine Koordinate.

Defconder

SQL über den Datensee mit Diagramm: Einsätze je Stunde des Tages aus 43.743 Übungsmeldungen. Jede Abfrage ist schreibgeschützt und steht im Hauptprotokoll.

Defconder

Semantische Suche über 5000 Lagemeldungen, die Bedeutungskarte zeigt, welche Meldungen inhaltlich zusammenliegen. Das Sprachmodell läuft lokal, nichts verlässt den Server.

Defconder

Blinder Graph: Ermittler sehen Zusammenhänge unter Pseudonymen. Klarnamen werden nur mit hochgeladenem Beschluss und den Signaturen von mindestens zwei Hütern befristet aufgedeckt.

• 0Millionen Zeilen (3,9 GB) in 505 Sekunden eingelesen, auf einem Rechner
• 0Millionen Kanten zwischen 11 Millionen Knoten in 306 Sekunden zum Graphen gebaut
• 0falsche automatische Zusammenführungen bei 3,6 Millionen Personendatensätzen mit bekannter Wahrheit
• 0Millisekunden für 10.000 Adressnachschläge, offline

• Streaming statt Speicherlimit

  Dateien beliebiger Größe (CSV, NDJSON, Parquet, ganze Ordner) werden in Stücken gelesen. Jedes Stück erhält eine Merkle-Wurzel im verketteten Hauptprotokoll, jede Zeile einen eigenen Prüfwert.

• Datenbanken anbinden

  PostgreSQL, SQL Server, Oracle, MySQL, MariaDB und SQLite werden als Quelle abgefragt. Zugangsdaten liegen im Tresor, Abfragen sind schreibgeschützt, Zeitversatz und Fortsetzung stehen in der Konfiguration.

• Graph mit Herkunft

  Verknüpfungsregeln legen fest, welche Felder Knoten und Kanten werden. Pfadsuche, Nachbarschaft und Filter laufen über den Datensee. Wer einen Strom nicht sehen darf, sieht die daran hängenden Kanten nicht.

• Abgleich, der sperrt

  Phonetische Vorauswahl, Punktesystem und unabhängige Belege. Bei Risiko entscheidet nicht die Software: Das Paar bleibt gesperrt, bis zwei Personen es bewerten. Jede Entscheidung ist ein Ereignis im Protokoll.

• Geokodierung offen und offline

  Ein Adressindex aus OpenStreetMap-Daten entsteht in Sekunden und arbeitet ohne Netz. Optional fragt eine Kette Nominatim oder Photon an, gebunden an die Einstufung des Stroms, ohne Adressen ins Nutzungsprotokoll zu schreiben.

• Bedeutungssuche lokal

  Eingebettet wird mit einem lokalen Modell. Exakte Suche über eine Million Vektoren dauert unter einer Sekunde, ein Näherungsindex macht sie bis zu dreizehnmal schneller. Dazu eine dreidimensionale Karte der Bedeutungen.

• DuckDB-Analyse im Browser

  Gruppieren, Zählen, Zeitreihen: SQL direkt auf dem Strom, mit Balken-, Linien- und Flächendiagramm, Spaltenprofil und CSV-Export. Nach 60 Sekunden bricht die Abfrage ab.

• Richtervorbehalt eingebaut

  Im blinden Graph bleiben Klarnamen verschlüsselt. Aufdeckung braucht den Beschluss als Datei und Freigaben nach dem Mehraugenprinzip. Der Schlüssel liegt nur für die Dauer der Freigabe im Arbeitsspeicher.

• Zweckbindung

  Rollen und Freigabestufen gelten bis in den Graphen. Abfragen und Aufdeckungen sind Ereignisse mit Zeit, Person und Zweck, damit lässt sich später belegen, wer was wann gesehen hat.

Stand 22.10.2026. Vorführung im Gespräch, per Videokonferenz oder vor Ort.

Defconder

Frage in ganzen Sätzen, darunter die Abfrage, die Defconder ausgeführt hat, und das Ergebnis. Alle Daten sind erfunden. Die Oberfläche ist deutsch.

• Das System rechnet, das Modell erklärt

  Die Zahl, die Liste und die Gruppen kommen aus einer Abfrage, die Defconder selbst ausführt. Sie sehen die Abfrage als Text. Fällt das Modell aus, bleibt das Ergebnis.

• Jede Aussage mit Quelle und Zitat

  Das Modell darf nur sagen, was es wörtlich belegen kann. Stimmt ein Zitat oder eine Zahl nicht, steht die Aussage als nicht belegt da und lässt sich nicht bestätigen.

• Nur das, was Sie sehen dürfen

  Fallfragen nutzen dieselbe Sicht nach Freigabestufe wie der Rest des Systems. Was Ihr Konto nicht sehen darf, kommt weder in die Abfrage noch in die Antwort.

• Nur lokale Modelle

  Es laufen nur Modelle, die Sie auf Ihrer eigenen Infrastruktur freigegeben haben, nie Cloud-Modelle. Die Betreibersperre der KI-Schicht gilt auch hier.

• Verknüpfungen erst nach Widerspruch

  Schlägt das Modell eine Verbindung vor, formuliert zuerst ein zweiter Agent das stärkste Argument dagegen. Erst wenn Sie das gelesen haben, trägt Defconder die Verknüpfung ein.

• Beleg zum Nachrechnen

  Jede Antwort bekommt einen Prüfwert im Protokoll. Der Beleg rechnet Quellen, Zitate und Abfrage neu, ein unabhängiges Werkzeug prüft den Auszug ohne Defconder.

Defconder

Zwei Aussagen des Modells, jede mit Zitat und Quelle. Fehlt ein Beleg, steht dort nicht belegt, und die Aussage lässt sich nicht bestätigen.

Defconder

Der Beleg rechnet Prüfwert, Quellen, Zitate und Abfrage neu und sagt, ob die Antwort trägt.

Stand: gebaut und im Test belegt. Auf Rechnern ohne Grafikkarte dauert eine Antwort mit Modell Minuten. Alle Angaben ohne Gewähr, alle Beispieldaten erfunden.

Defconder

Die Prozesskarte aus 400 erfundenen Notaufnahme-Fällen: Fallzahl und mittlere Zeit an jedem Übergang. Die Oberfläche ist deutsch.

• Prozesskarte aus den echten Fällen

  Wie oft geht es von Schritt zu Schritt, und wie lange dauert das im Mittel? Die Karte entsteht aus den Ereignissen, nicht aus einem Wunschmodell.

• Varianten ohne Einzelne zu zeigen

  Die häufigsten Wege mit Fallzahlen. Gruppen unter der Mindestgröße (voreingestellt fünf) werden nie ausgewiesen.

• Zahlen mit Grenzen

  Durchlaufzeit, Median, Rücksprünge. Was sich nicht berechnen lässt, steht als nicht verfügbar da, statt geschätzt zu werden.

• Engpässe an den Übergaben

  Wartezeit zwischen Rollen mit Häufigkeit. Aus einem Befund lässt sich eine Maßnahme mit Verantwortlichem, Frist und Messgröße vorbereiten.

• Lokal, verschlüsselt, ausgeschaltet bis zur Freigabe

  Importierte Quellen werden verschlüsselt gespeichert, Fälle pseudonymisiert. Die Prozessanalyse läuft erst, wenn ein Administrator sie einschaltet.

• Prüfwert und unabhängiger Beleg

  Jedes Ergebnis trägt einen Prüfwert. Der Kennzahlbeleg lässt sich herunterladen, und ein eigenes Prüfwerkzeug rechnet ihn ohne Defconder nach.

• Verstehen

  • Prozesskarte mit Häufigkeit und Zeit
  • Varianten und Variantenvergleich zweier Zeiträume
  • Fallgruppen vergleichen über exakte Attribute
  • Objektbeziehungen nach OCEL 2.0

• Messen

  • Leistung: Durchlaufzeit, Median, Zielzeit
  • Rollenübergaben mit Wartezeit
  • Datenqualität: Zeiten, Dubletten, Reihenfolge
  • Ausreißerprüfung mit erklärter Schwelle

• Entdecken

  • Heuristische Entdeckung aus den Ereignissen
  • Induktive Entdeckung mit ausgewiesenem Rückfallmodell
  • Export als BPMN 2.0, PNML oder Modell-JSON

• Gegen das Soll prüfen

  • Soll-Ist-Abgleich mit Sollmodellen aus dem Ablauf-Studio oder aus BPMN- und PNML-Import
  • Abweichungsbericht je Vorgang
  • Regelprüfung: Pflichtschritt, Frist, Vier-Augen-Freigabe
  • Ursachenanalyse mit begrenztem Entscheidungsbaum, Zusammenhänge statt Beweise

• Vorausschauen

  • Vorhersage der nächsten Aktivität und der Restzeit, lokal trainiert und an späteren Vorgängen geprüft
  • Ereignissimulation für Was-wäre-wenn bei Ankünften und Ressourcen

• Handeln und belegen

  • Aus einem Befund eine Maßnahme mit Verantwortlichem, Frist und Messgröße
  • Gespeicherte Ansichten und Filter
  • Prüfwertbericht und unabhängiger Kennzahlbeleg

• Das erwarten Sie, und es ist da

  • Prozesskarte, Varianten und Variantenvergleich aus dem echten Ereignisprotokoll
  • Objektzentrierte Auswertung nach OCEL 2.0
  • Soll-Ist-Abgleich gegen BPMN- und PNML-Modelle, Abweichungsbericht, Regelprüfung
  • Ursachenanalyse, Vorhersage von Restzeit und nächster Aktivität, Was-wäre-wenn-Simulation
  • Import von CSV, XES, OCEL und Parquet
  • Berichte, gespeicherte Ansichten, Maßnahmen mit Frist und Messgröße

• Das kommt bei Defconder dazu

  • Läuft auf Ihrer eigenen Infrastruktur, verschlüsselt, ohne Cloud
  • Fälle pseudonymisiert, Gruppen unter der Mindestgröße werden nie ausgewiesen
  • Aus bis zur Freigabe durch einen Administrator, jede Quelle mit Einstufung und Rechten
  • Jedes Ergebnis mit Prüfwert, ein unabhängiges Werkzeug rechnet den Beleg ohne Defconder nach
  • Jede Auswertung und jede Maßnahme steht im verketteten Protokoll
  • Nicht Berechenbares steht als nicht verfügbar da, statt geschätzt zu werden

Defconder

Leistung: 400 Fälle, im Mittel 116,8 Minuten, Median 85 Minuten. Was nicht berechenbar ist, steht als nicht verfügbar da.

Defconder

Übergaben zwischen Rollen mit mittlerer Wartezeit. Aus einem Befund wird eine Maßnahme mit Frist und Messgröße.

Defconder

Ursachenanalyse: Welche Merkmale hängen mit langen Durchlaufzeiten zusammen? Die Ansicht zeigt Zusammenhänge, keine Kausalnachweise. Links die siebzehn Analysearten, rechts Ergebnisprüfwert und Beleg.

Defconder

Was-wäre-wenn-Simulation: mehr Ressourcen und andere Ankünfte gegenüber der Basis. Die Basiswerte sind ausdrücklich hypothetisch, die Rechnung ist mit festem Startwert reproduzierbar.

Stand: gebaut und im Test belegt. Alle Beispieldaten erfunden, alle Angaben ohne Gewähr.

• Zuordnung zuerst

  Zwei Meldungen gelten als dasselbe Objekt, wenn sie dieselbe Kennung tragen ODER räumlich und zeitlich nah genug beieinanderliegen. Konfigurierbare Schranken statt starrer Annahmen.

• Ehrliche Unsicherheit

  Jeder fusionierte Track trägt seine eigene Qualitätskennzahl: den größten Abstand zwischen den beitragenden Meldungen, offen ausgewiesen statt verschwiegen.

• Keine Meldung geht verloren

  Eine Meldung ohne passende Zuordnung bleibt als eigener Ein-Meldungs-Track erhalten, statt stillschweigend zu verschwinden.

• Nachvollziehbar statt Blackbox

  Gewichtete Mittelung, keine trainierte Schätzung. Jeder Schritt lässt sich nachrechnen, nicht nur glauben.

• Zurückspulen mit Prüfstempel

  Zeitstrahl mit Wiedergabe in mehreren Geschwindigkeiten. Zu jedem Zeitpunkt zeigt ein Stempel, dass der Fingerabdruck stimmt, die Kette lückenlos ist und Browser und Server denselben Zustand rechnen.

• Vier Arten von Prognosen

  Verlauf einer Messgröße, Annäherung und Schutzkorridor, Ausdauer und Ablösung sowie ein eigenes Modell mit Unsicherheitsband. Alles nachrechenbar, nichts davon Teil des echten Lagebilds.

• Optionen nebeneinander

  Mehrere Handlungsmöglichkeiten werden gerechnet und gegen Bedingungen geprüft. Die Oberfläche nennt die Option mit den wenigsten Verletzungen, die Entscheidung trifft der Mensch und begründet sie.

• Formal bewiesen unter Annahmen

  Ein Beweisprogramm läuft lokal im Server und prüft drei Arten von Eigenschaften: rechtzeitiges Abfangen, Anflugwege außerhalb von Sperrzonen und durchgehende Mindestbesetzung. Das Ergebnis nennt seine Annahmen mit.

• Versiegelte Läufe

  Jeder festgehaltene Lauf steht in einer eigenen Prüfkette und mit einem Verweis im Hauptprotokoll. Eine Neuberechnung aus den damaligen Ereignissen liefert dasselbe Ergebnis.

• Freigabestufe gilt auch rückwärts

  Wer etwas heute nicht sehen darf, sieht es auch in der Zeitreise nicht. Ein Lauf erhält die strengste Stufe der verwendeten Daten.

ZeitreiseOptionenEigenes ModellPrüfpfad

Die Lage von gestern, bis auf die Sekunde, mit Beleg

Karte, Objekte und Ereignisse werden aus dem Protokoll bis zum gewählten Zeitpunkt wiederhergestellt. Der Prüfstempel links zeigt, was dabei im Browser nachgerechnet wurde.

• Fingerabdruck des Ereignisses im Browser nachgerechnet
• Kette serverseitig geprüft, Lagebild-Siegel von Browser und Server unabhängig verglichen
• Die echte Lage bleibt unberührt, der historische Zustand ist nur eine Ansicht

Defconder

Die gezeigten Ansichten stammen aus einer Testinstanz mit Übungsdaten. Formale Beweise gelten unter den ausgewiesenen Modellannahmen und sagen nichts über die Richtigkeit der Eingangsdaten. Eine Zulassung für den Einsatz bei Behörden ist mit Chronos Guard nicht verbunden.

Defconder

Der Prüfer im Browser, mit Beispieldaten aus einer Testinstanz: Vertrauensstufe 2, drei Zeugen haben den Stand des Protokolls gegengezeichnet. Die Aussagen lauten, dass ein Datensatz genau zwei Ereignisse hat, ein anderer genau einmal abgerufen wurde und ein dritter nie.

• 0Umsetzungen des Prüfers in JavaScript, Python und Rust, alle gegen dieselbe Spezifikation geschrieben
• 0Testvektoren, die alle drei bestehen: Baumwurzeln, Konsistenzbeweise, Signaturen (auch hashbasierte aus einer unabhängigen Referenz), Ereignisse, Auszüge, Aussagen, Zeitanker, Beweise von OpenTimestamps samt einem echten von 2015, Ziehungen und Belege
• 0Laufzeitabhängigkeiten. Der Prüfer braucht nur die Verschlüsselungsfunktionen des Browsers oder von Node
• 0zufällig veränderte Dokumente in der Zufallsprüfung aller Dokumentarten, ohne Absturz und ohne eine unbemerkt angenommene Fälschung

• Drei Vertrauensstufen, ehrlich benannt

  Stufe 0: in sich stimmig. Stufe 1: der Schlüssel gehört dem, den Sie erwartet haben. Stufe 2: unabhängige Zeugen haben den Stand des Protokolls bestätigt. Jedes Ergebnis nennt seine Stufe, und Stufe 0 sagt ausdrücklich, dass sie nicht beweist, von wem ein Dokument stammt.

• Auszüge: zeigen, ohne zu verraten

  Jedes Ereignis besteht aus einem Baum seiner Felder, jedes Feld mit eigenem Salz. Wer ein Dokument weitergibt, kann Felder verdecken. Die Prüfsumme des Ereignisses und sein Platz im Protokoll bleiben nachprüfbar.

• Entscheidungen gegen veröffentlichte Regeln

  Regeln stehen als Ereignis im Protokoll, bevor sie angewandt werden. Ein verweigerter Zugriff oder eine föderierte Abfrage trägt einen Beleg mit Regel, Eingaben und Ergebnis. Der Prüfer rechnet die Regel selbst durch, auch alle Randfälle, und braucht dafür kein externes Beweisprogramm.

• Beobachter und die Bürger-App

  Ein Beobachter holt Prüfpunkte laufend und schlägt Alarm bei Rücksetzung, Umschreiben oder zwei Wurzeln für dieselbe Größe. Die Bürger-App enthält dieselbe Prüfung für das Handy (Entwicklerfassung). Zwei unterschriebene Wurzeln gleicher Größe sind ein Beweis, den jeder nachrechnen kann.

• Lesezugriffe im Protokoll

  Treffer föderierter Abfragen, Dateiabrufe, Bürgerfotos, der Export des Protokolls und die Übergabe an ein KI-Modell stehen als Ereignis im Protokoll. So lässt sich beweisen, dass etwas auf diesen Wegen nie abgerufen wurde. Das bloße Anzeigen im Dashboard kennt der Server nicht und erfasst es deshalb nicht.

• Zeitkorridor aus öffentlicher Rechenarbeit

  Optional trägt ein Prüfpunkt den Kopf des neuesten Bitcoin-Blocks (nicht früher als). Ein Zeitbeweis im Format von OpenTimestamps zeigt, dass er spätestens zu einer späteren Blockzeit bestand. Beides zusammen ergibt einen Zeitkorridor, auf etwa zwei Stunden genau. Ein echtes Beispiel mit allen Dateien liegt offen: ein Prüfpunkt im Bitcoin-Block 970912, frühestens 11.10.2026 05:58 UTC entstanden und spätestens 12:33 UTC vorhanden, mit dem Original-Beweis des Werkzeugs ots. Ein qualifizierter Zeitstempel nach eIDAS ist das nicht.

• Eine Signatur, die ein Quantencomputer nicht fälscht

  Zusätzlich zu Ed25519 kann das Protokoll seinen Prüfpunkt mit SLH-DSA nach FIPS 205 unterschreiben. Das Verfahren braucht nur SHA-256, die Seite rechnet es im Browser nach, und unsere Signaturen stimmen Byte für Byte mit einer unabhängigen Referenz überein. Die Gegenzeichnungen der Zeugen bleiben vorerst Ed25519.

• Stichprobe mit öffentlichem Zufall

  Wo sich nicht alles lückenlos beweisen lässt, etwa dass jede Entscheidung der Regel folgte, zieht der Prüfer Ereignisse mit dem Zufall eines Bitcoin-Blocks, den der Betreiber beim Festschreiben nicht kannte. Bei fehlerfreien Ziehungen nennt er eine Schranke für den Anteil verletzender Ereignisse. Einzelne seltene Verstöße findet eine Stichprobe nicht, und der Bericht sagt das.

• Freigabe nur gegen Protokolleintrag

  Ein Protokoll beweist nur, was drinsteht. Liegen Daten verschlüsselt und ist ihr Schlüssel unter mehreren Hütern geteilt, geben die Hüter ihren Anteil nur heraus, wenn die Anfrage im bezeugten Protokoll steht. Wer entschlüsselt hat, hat einen Eintrag hinterlassen. Der Prüfer rechnet Quittungen und Auskünfte nach und zeigt, wann für ein Objekt kein Schlüssel freigegeben werden konnte. Ein Referenz-Hüter liegt offen, die Anbindung an die Anwendung folgt.

• Zählbeweise für Berichte

  Zu jedem Schlüssel gibt es eine bewiesene Zahl, auch je Monat. So lässt sich ein Quartalsbericht an die Aufsicht rechnen und prüfen, ohne die Ereignisse zu zeigen: genau so viele Zugriffe dieser Art in diesem Monat. Die Summe mehrerer Monate bildet, wer die bewiesenen Zahlen addiert.

• Beweiswert über den Bruch eines Verfahrens hinaus

  Eine Erneuerungskette hält den Beweiswert eines Prüfpunkts, indem sie ihn rechtzeitig unter einem zweiten Verfahren mit Zeitbeweis festschreibt. Wer später ein gebrochenes Verfahren fälscht, kann nicht vor das Datum der Erneuerung zurückdatieren. Der Prüfer rechnet das gegen ein angenommenes Bruchdatum nach.

• Bericht in Klartext

  Zu jedem Ergebnis nennt der Prüfer, was bewiesen ist, was nicht, was ein Gegner dafür bräuchte und was als Nächstes zu tun ist. Für Menschen, die ein Ergebnis weitergeben müssen und es erklären wollen.

• Offene Formate, nachbaubar

  Prüfpunkte folgen den Formaten von C2SP, die Bäume RFC 9162. Die Spezifikation beschreibt jedes Format so genau, dass man den Prüfer in einer anderen Sprache nachbauen kann. Bisher gibt es drei Umsetzungen von einer Hand. Eine Umsetzung durch Dritte steht aus und ist ausdrücklich erwünscht.

• Netzsperre eingebaut

  Die Prüferseite trägt eine Content-Security-Policy, die jede Verbindung ins Netz und jedes nachgeladene Skript verbietet. Eine Kopie, die heimlich Daten verschickt, würde vom Browser gestoppt, und die Prüfsumme der Seite lässt sich gegen den reproduzierbaren Bau vergleichen.

• Seite und Quelle signiert, reproduzierbar gebaut

  Die Prüferseite wird reproduzierbar gebaut. Ihre Prüfsumme steht in einem Manifest, das mit Ed25519 und hashbasiert unterschrieben ist, und der Prüfer prüft das selbst. Eine Bezeugung durch unabhängige Dritte gibt es noch nicht.

Defconder

Der Bericht in Klartext zum selben Ergebnis. Er nennt zuerst, was bewiesen ist, und danach, was nicht bewiesen ist und was ein Gegner dafür bräuchte, darunter ein Zeuge, der erst nach einer Fälschung hinzugezogen wurde.

Stand 11.10.2026. Die Zahlen stammen aus dem Testlauf des Prüfers. Die drei Demos rechnen im Browser mit denselben Rechenvorschriften wie der Prüfer, verkleinert auf wenige Einträge. In der Anwendung selbst sind die hashbasierte Signatur und die Zählschlüssel zuschaltbar, die Stichprobe ist als Funktion des Servers vorhanden, Zeitbeweise werden mit dem Werkzeug ots gestempelt, und die Anbindung der Schlüsselhüter an die Anwendung folgt. Die Bilder zeigen den Prüfer mit Beispieldaten aus einer Testinstanz.

• 0verfälschte Eingaben im Differenztest der drei unabhängigen Prüfer in JavaScript, Python und Rust. Gesucht ist jede Eingabe mit abweichendem Urteil
• 0verfälschte Meldungen an vier Sensoreingängen, ohne Absturz und ohne Hänger
• 0Abweichungen zwischen den Prüfern nach der Behebung im identischen Lauf, zuvor 17
• 0Einzelprüfungen der gesamten Basislinie, vor und nach allen Korrekturen gleich

• Differenztest der Prüfer

  Drei unabhängige Umsetzungen der Prüflogik urteilen über dieselben verfälschten Beweisdokumente. Der Test deckte Abweichungen bei der Typprüfung und beim Lesen von Hexadezimalwerten auf. Sie sind behoben, der identische Lauf liefert keine Abweichung mehr.

• Rechtekonzept

  Konten mit genau einer eng gefassten Berechtigung versuchten, ihre Freigabestufe zu erhöhen oder fremde Konten zu ändern. Das Konzept wurde an dieser Stelle geschlossen: sechs Prüffälle bestehen jetzt, zwei Gegenproben bestätigen, dass Erlaubtes weiter funktioniert.

• Robustheit der Eingänge

  Fehlerhafte Rahmen ohne Anmeldung führten in einem Fall zum Beenden des Serverprozesses. Fehlerhafte Eingaben werden jetzt verworfen, ein unerwarteter Fehler beendet den Server nicht mehr.

• Protokoll unter Last und bei Ausfall

  Das nur anhängbare Protokoll wird bei Fehlversuchen vor der Anmeldung begrenzt. Nach einem Stromausfall wird nur ein unvollständig geschriebener letzter Eintrag gesichert und entfernt, jede Veränderung weiter vorn bleibt ein harter Fehler.

• Manipulation erkannt

  Veränderte, gelöschte und vertauschte Einträge im Protokoll werden beim Start erkannt, der Start wird verweigert. Hartes Beenden im Schreibsturm hinterlässt ein lesbares Protokoll und einen sauberen Neustart.

• Lieferkette

  Bekannte Schwachstellen in Bauwerkzeugen wurden beseitigt, der Aufbau in sauberer Kopie nachgewiesen. Zwei Teilprojekte brauchen einen Hauptversionswechsel und stehen als offen im Bericht.

Stand 22.10.2026. Die Prüffälle sind als einzelne Abwehrbehauptungen formuliert, nicht als verkettete Angriffe.

• Beweisen statt zusammenführen

  Nicht erst zusammenführen und danach filtern: jeder Treffer wird einzeln geprüft, bevor überhaupt etwas zurückgeht. Technisch unmöglich, mehr zu liefern, als bewiesen zulässig ist.

• Zwei unabhängige Achsen

  Freigabestufe und Datenkategorie sind getrennt. Opfer- und Zeugendaten können für jeden Zweck gesperrt bleiben, unabhängig davon, wie hoch jemand eingestuft ist.

• An die Rolle gebunden

  Welche Zwecke eine Rolle überhaupt auswählen darf, ist serverseitig festgelegt. Eine Rolle ohne Freigabe für einen Zweck kann ihn technisch nicht nutzen, nicht nur im Dropdown ausgeblendet.

• Jede Ablehnung protokolliert

  Verweigerte Treffer werden gezählt und im Ereignisprotokoll festgehalten, nie stillschweigend weggelassen.

Die App, nicht ein Mockup

• Kein Server nötig

  Jedes Gerät führt seine eigene, vollständige Kopie der Lage. Zwei Geräte, die sich treffen, gleichen sich direkt ab, mathematisch garantiert widerspruchsfrei.

• Läuft über Umwege weiter

  Ein Gerät trägt Meldungen mit sich, bis es das nächste trifft. Eine Meldung erreicht ihr Ziel auch dann, wenn Absender und Empfänger sich nie begegnen.

• Fälschung fällt auf

  Jedes Gerät signiert nur seine eigenen Meldungen in einer eigenen, verketteten Kette. Ein verändernder Zwischenstopp fliegt beim nächsten Gerät automatisch auf.

• Freigabestufe bleibt erhalten

  Erreicht ein Mesh-Paket wieder ein Netz, wird es geprüft und in die Hauptkette eingespeist, mit der ursprünglich vergebenen Freigabestufe, nicht neu vergeben.

• Auch für die Bevölkerung

  Die Defconder-Bürger-App läuft auf gewöhnlichen Smartphones, meldet Beobachtungen und gibt Warnungen weiter, auch wenn rundum kein einziger Mobilfunkmast mehr sendet.

• Echt geprüft, nicht nur behauptet

  Zustandsabgleich, Weitergabe über Umwege, Herkunftsprüfung und die Einspeisung in eine echte Serverinstanz sind als lauffähiger Code verifiziert, nicht nur skizziert.

Defconder

Das aktive Vorab-Mandat: beantragt von einer Person, freigegeben von einer anderen. Rechts die Prüfliste (mehrere Quellen, Plausibilität, Fluchtwege) und die Belegkette. Alle Orte erfunden.

• Vorab-Mandat statt Entscheidung im Ernstfall

  Zwei Menschen geben für eine Schicht ein begrenztes Mandat frei. Wer es beantragt, gibt es nicht selbst frei, die Selbstfreigabe wird abgewiesen.

• Eine Spur zählt erst bei mehreren Quellen

  Mindestens zwei unabhängige Sensorverfahren und eine Plausibilitätsprüfung gegen die Bedrohungsklasse. Ein einzelner Melder löst nichts aus.

• Der Widerspruchs-Agent bremst

  Er prüft gegen: Rettungshubschrauber im Korridor? Fluchtwege offen? Bei einem Treffer wird nicht geschaltet, und der Grund steht in der Kette.

• Sofort-Veto

  Jeder Berechtigte stoppt mit einem Tastendruck. Alle aktiven Mandate enden, die Gebäudetechnik geht in den Grundzustand zurück, der Vorgang ist belegt.

• Waffenfrei und umkehrbar

  Keine Wirkmittel, 0,0 Watt Sendeleistung. Schutzschritte sind Licht dimmen, Rollläden und Lüftungsklappen schalten, Schutzräume anweisen. Fluchtwege und Sicherheitsbeleuchtung bleiben tabu.

• Jede Entscheidung in einer Kette

  Mandat, Freigabe, Spur, Sperre und Veto liegen in einer SHA-256-Belegkette. Wer wann was entschieden hat, lässt sich nachrechnen.

• I Passiv-Ortung

  Ankunftszeitdifferenzen von Mikrofonen, Funkschatten im WLAN und Zeitgeber-Prüfung des GNSS liefern Richtung und Zeitfenster. Das System sendet dafür nichts aus.

• II Signatur-Tarnung

  Außen- und Fassadenlicht dimmen, Wärmespitzen drosseln. Sicherheits- und Fluchtwegbeleuchtung bleiben immer an.

• III Zivilschutz-Kokon

  Erwartete Überdruckbelastung je Fassade mit Unsicherheitsband und abgeschattete Sektoren. Rollläden und Lüftungsklappen schalten mit Rücklesen des Ist-Zustands, Schutzraum-Anweisungen gehen als CAP-Meldung hinaus.

• IV Cyber-Spiegelwelt

  Erkannte Angriffe im eigenen Netz werden in eine abgetrennte Umgebung mit maskierten Daten umgeleitet. Netzfrequenz und Notstromvorrat werden überwacht.

• V Wahrheitsschutz

  Krisenmeldungen werden gegen Signatur und Sensorwerte geprüft. Fehlt der Nachweis, lautet das Ergebnis ehrlich: nicht prüfbar.

• Zweistufige Lieferung

  Die zivile Ausführung und eine hoheitliche Ausführung sind getrennt ausgeliefert. Das ist im Beweislauf geprüft.

Defconder

Der Widerspruchs-Agent sperrt: Ein Rettungshubschrauber im Korridor, also wird nicht geschaltet. Der Grund steht in der Belegkette. Simulation.

Defconder

Nach dem Sofort-Veto: alle Mandate beendet, Gebäudetechnik im Grundzustand, der Vorgang als Eintrag in der Kette. Simulation einer Nutzlastdrohne.

Stand: Prototyp mit Beweislauf, im Ausbau zum Produkt. Alle Orte, Daten und Szenarien erfunden, alle Angaben ohne Gewähr.

Defconder

Der Entwurf: Text für die Gegenseite, Beleg je Aussage und die Textprüfungen. Alle Daten sind erfunden. Die Oberfläche ist deutsch.

• Nur Wahrheit aus Ihren Daten

  Objekt und Zahlen kommen aus dem Datensatz, jede Aussage trägt einen Beleg mit dem Prüfwert ihrer Quelle. Nichts wird frei formuliert oder geschätzt.

• Keine Drohung, kein Abwehrmittel, keine Waffe

  Eine Textprüfung lehnt Entwürfe ab, die so etwas enthalten. Koordinaten stehen nur drin, wenn jemand schriftlich abgewogen hat, dass sie das Haus nicht zum Ziel machen.

• Erst widersprechen, dann freigeben

  Ein Gegenargument ist Pflicht, und wer freigibt, nimmt es mit eigener Abwägung zur Kenntnis. Zwei andere Menschen geben frei, wer den Entwurf geschrieben hat, kann es nicht selbst.

• Signiert und nachrechenbar

  Der Auszug trägt eine Signatur und einen Prüfwert. Ein eigenes Prüfwerkzeug auf der Kommandozeile rechnet alles ohne Defconder nach und sagt, wie weit es trägt.

• Warnformat für offene Kanäle

  Dieselbe Mitteilung als CAP-Datei auf Deutsch und Englisch, mit demselben Prüfwert. Die Übergabe an eine neutrale Stelle macht ein Mensch und hält sie im Protokoll fest.

• Befristet, rückziehbar, ehrlich gekennzeichnet

  Jede Mitteilung gilt nur für eine festgelegte Zeit. Ein Rückzug braucht einen Grund, und Übungen sind im Text als Übung gekennzeichnet.

Defconder

Zuerst das stärkste Gegenargument, dann die Kenntnisnahme mit eigener Abwägung. Erst danach lässt sich freigeben.

Defconder

Veröffentlicht und signiert. Der Beleg rechnet Prüfwert, Signatur und Texte neu und sagt, ob er trägt.

Stand: gebaut und im Test belegt. Alle Beispieldaten erfunden, alle Angaben ohne Gewähr.

1. 01

   Ein eigenes Gedächtnis pro Installation

   Jede Installation baut ihr Wissen selbst auf: Dokumente aus der Wissensbasis und geprüfte Rückmeldungen, getrennt je Mandant, verschlüsselt und bei jedem Abruf mit Rechteprüfung. Nichts davon verlässt Ihre Infrastruktur, und kein Modell lernt aus den Daten mehrerer Kunden.

   • Dokumente und Rückmeldungsbeispiele, je Mandant getrennt
   • Die Rechte werden bei jedem Abruf neu geprüft
   • Löschen entfernt den Inhalt aus Speicher und Wissensindex

2. 02

   Lernen, das Sie steuern

   Jede Installation startet ohne Lernen. Der Betreiber schaltet Lernstufen je Bereich ein. Rückmeldungen liegen verschlüsselt in einer Warteschlange und wirken erst, wenn eine benannte Rolle sie prüft und übernimmt. Die Gewichte des Modells ändern sich dabei nicht.

   • Standard ist Stufe 0: kein Lernen
   • Rückmeldungen anlegen, ändern, übernehmen, archivieren und löschen
   • Lern-Sperre: Bestehendes bleibt, Neues wird nicht aufgenommen

3. 03

   Das Tor vor dem Modell

   Kein Modell wird aufgerufen, ohne dass der Server vorher prüft: Wer fragt, wozu, auf welcher Einstufung, mit welchem freigegebenen Modell, und ob der Betreiber die KI gesperrt hat. Fehlt etwas, ist die Antwort Nein.

   • Rolle, Zweck, Einstufung, Modellfreigabe und Sperre an einer Stelle
   • Bei Ausfall, Zeitüberschreitung oder unklarem Wert gilt: abgelehnt
   • Jede Entscheidung im Protokoll, ohne Prompt und ohne Modellantwort

4. 04

   Widerspruch vor Freigabe

   Bevor ein Mensch einen KI-Vorschlag freigibt, formuliert ein zweiter Agent das stärkste Argument dagegen, wenn möglich mit einem anderen Modell. Ohne Gegenargument lässt sich der Vorschlag nicht freigeben.

   • Der Einwand trägt eine Schwere: gering, mittel oder hoch
   • Bei hoher Schwere wartet die Aktion auf einen Menschen und verlangt eine schriftliche Abwägung
   • Gegenargument und Kenntnisnahme stehen mit Prüfwerten im Protokoll

• Hauptschalter für den Betreiber

  Eine Sperrdatei und eine Umgebungsvariable begrenzen die KI. Die Variable kann eine Sperre aus der Datei nicht lockern, eine beschädigte Datei sperrt. Nur der Architekt ändert die Sperre im System, die Änderung steht im Protokoll.

• Lokal zuerst

  Modelle laufen standardmäßig auf Ihrem Server. Cloud-Modelle sind nur freigeschaltet möglich und ab einer von Ihnen gesetzten Geheimhaltungsstufe gesperrt.

• Wissen mit Quellenbezug

  Die Wissensbasis antwortet aus Ihren Dokumenten, lokal betrieben und mit Quellen. Was eine Person nicht lesen darf, taucht weder in Treffern noch in Antworten oder Quellenangaben auf.

• Beispiele sind Daten, keine Befehle

  Gelernte Beispiele gelangen nie in den Systemteil oder in Regeln, sondern nur als markierter Datenblock, höchstens drei je Anfrage und mit begrenzter Länge. Ob ein Modell darin versteckten Anweisungen folgt, messen wir getrennt.

• Modellwechsel nur zu zweit

  Ein neues Modell ist zuerst ein Kandidat mit Prüfergebnis. Aktiv wird es erst nach Freigabe durch eine zweite Person und gegen eine Schwelle, die der Betreiber selbst setzt. Zurücknehmen ist möglich.

• Keine Selbstkonfiguration

  Die KI kann weder Lernstufen noch Sperren, Rechte oder Modellfreigaben ändern. Das setzt der Server außerhalb des Modells durch.

Alle Darstellungen verwenden fiktive Übungsdaten.

• Bild und Dokumente

  Vom Foto bis zur gescannten Akte.

  • Text aus Fotos und Scans, Zeile für Zeile mit Position. Gescannte PDF-Seiten werden automatisch gelesen.
  • PDF-Dokumente seitenweise mit Aufbau und Lesereihenfolge.
  • Objekte im Bild, auch mit freiem Suchbegriff, und Suche nach Bedeutung.
  • Ein Klick ins Bild grenzt den Gegenstand als Umriss ab.
  • Änderungserkennung zwischen zwei Aufnahmen derselben Stelle, auch bei kleiner Kameraverschiebung.
  • Dokumentenvergleich bis auf das einzelne Wort.
  • Schwärzung, die unumkehrbar in die Bildpunkte eingebrannt und vom System nachgeprüft wird.

• Video und Drohne

  Vom Kamerastrom bis zum Flugweg auf der Karte.

  • Gliederung in Szenen mit Vorschaubild, Objekte werden über die Zeit verfolgt, eingeblendeter Text wird gelesen.
  • Sensordaten nach MISB ST 0601 laufen synchron zur Wiedergabe auf der Karte: Flugweg, Höhe, Kurs und Bildausschnitt am Boden. Pakete mit falscher Prüfsumme werden verworfen.
  • Live-Aufzeichnung von Kamera- und Drohnenströmen. Jedes Segment wird beim Empfang verschlüsselt und mit dem vorigen verkettet.
  • Vorläufige Alarme während der Aufnahme, klar als maschinell und ungeprüft gekennzeichnet.

• Audio

  Vom Funkmitschnitt zum Transkript.

  • Sprache zu Text mit Zeitmarken, in vielen Sprachen.
  • Übersetzung, unter anderem aus dem Russischen, Ukrainischen und Arabischen.
  • Erkennung akustischer Ereignisse wie Sirene, Schuss oder Explosion.
  • Sprechertrennung: Wer spricht wann, das Transkript zeigt den Sprecher an.

• Biometrie, streng geführt

  Nur mit Rahmen, nur mit Ermächtigung, nur als Kandidat.

  • Gesichts- und Stimmabgleich gegen eigene Referenzsätze, technisch gesperrt ohne aktives Rechtsrahmen-Paket und gültige Ermächtigung.
  • Treffer sind Kandidaten mit Ähnlichkeitswert, nie eine festgestellte Identität. Jeder Kandidat braucht die begründete Bestätigung eines Menschen.
  • Fehlerraten zwischen Personengruppen werden gemessen, ein Modell mit erheblichen Unterschieden wird nicht eingesetzt.
  • Auskunfts- und Löschersuchen Betroffener sind abgebildet, Vorlagen werden per Kryptolöschung vernichtet.

1. 00Steht

   Fundament

   • Ontologie-Baukasten mit Regelprüfung
   • Verkettetes Ereignisprotokoll mit unabhängigem Prüfer
   • Freigabestufen im Server
   • Rollen, Zwecke und Vier-Augen-Prinzip
   • Hardware-Schlüssel für die Anmeldung
   • Geheimnisse verschlüsselt im Ruhezustand
   • Hauptprotokoll und Systemsicherungen mit AES-256-GCM im Ruhezustand
   • Aktionen, KI-Agenten, Cloud-Sperre ab einer gesetzten Geheimhaltungsstufe
   • Zentrale KI-Richtlinienschicht mit Betreiber-Sperre
   • Lernen pro Installation, Stufe 1: Dokumente und Rückmeldungsbeispiele je Mandant, mit Lern-Sperre
   • Bausteine für jede Objektart, Auslieferung je Kunde
   • Versionsräume: Arbeitszweige, Vergleich und Zusammenführung mit zweiter Person
   • Abläufe: visueller Editor mit Prüfung, Freigaben und Lauf-Beleg
   • Abläufe: Laufbeleg-Export, Wiederholung ab gespeichertem Checkpoint, deterministischer CLI-Läufer, Ressourcen-Lineage und lokaler Modell-Lifecycle
   • Wiederherstellung im Ernstfall erprobt
   • Pipeline-, Sensor- und Analyse-Baukasten
   • Layout- und App-Baukasten für eigene Anwendungen
   • Härtetest in sieben Stufen
   • Navigation mit Seitenleiste und Infoleiste je Modul, auch auf dem Handy
   • KI-Schicht: Messlauf mit 30 synthetischen Prüffällen und Modellfreigabe durch zwei Personen
2. 01Steht

   Fachfunktionen

   • Datenströme mit Millionen Einträgen, beweisbar verankert
   • Graph, Geokodierung und Personenabgleich mit Sperre
   • Semantische Suche und Vektorraum
   • Medienanalyse mit nachprüfbarem Beweispaket
   • Föderierte Abfrage über mehrere Domain Packs
   • Eigener Kartenserver mit taktischen Grafiken und Geländeanalysen
   • Lage-Schnittstellen für Spuren und Warnungen, Luftraumkarte mit Zonenmarkierung
   • Zeitreise und Prognosen mit Prüfpfad (Chronos Guard), mit Fachvorlagen für Netzlast, Pegel, Ausdauer und Notstrom
   • Comms für Führung und Kommunikation: Kern mit Aufträgen, Alarmen und Quittungen
   • Terra: begehbare 3D-Welt mit Wetter und Szenarien
   • Krisenplan mit Plan-Coach
   • Krankenhaus-Fachpaket als Szenario
3. 02Als Nächstes

   Betriebsreife

   • Mein Dashboard: persönliche Startseite aus Widgets der Module (erste Stufe läuft, Ausbau folgt)
   • Prozessanalyse (Process Mining) auf dem eigenen Protokoll und auf importierten Ereignisdaten (gebaut, im Test belegt, jede Kennzahl nachrechenbar)
   • Fallfragen: Fragen in natürlicher Sprache an einen Fall, jede Aussage mit Quelle, wörtlichem Zitat und nachprüfbarem Beleg (gebaut, im Test belegt)
   • Hilfe und Dokumentation in der Anwendung (Hilfe-Zentrum mit Artikeln je Modul und Einführung steht, Bedienabläufe und Betriebshandbuch folgen)
   • Abläufe: weitere Knotenarten und Terra-Schwelle stehen im Editor, Ausführung für Fristen und Webhooks sowie Richtervorbehalt im Editor folgen
   • Offline-Karten: Straßenkarte und Kartenpakete ohne Internet (erste Straßenkarte für Hannover läuft im Test)
   • Comms: Funkwege und Mesh im Gerätetest
   • Hochverfügbarer Betrieb
4. 03Geplant

   Einsatzreife

   • Schutzschild: Prototyp mit Beweislauf (fünf Schichten, Vorab-Mandat, Veto), Ausbau zum Produkt mit echter Sensorhardware und rechtlicher Prüfung
   • Klartext: signierte, nachprüfbare Schutzmitteilungen an die Gegenseite, von zwei Menschen freigegeben, Übergabe an offene Kanäle durch Menschen (gebaut, im Test belegt)
   • Rollen und Rechte über mehrere Organisationen hinweg getrennt
   • Verzeichnisdienst und Single Sign-on
   • Herkunftsnachweis für Daten
   • KI-Schicht: ein Modell, das den Messlauf besteht, und seine Freigabe durch den Betreiber
   • Unabhängige Sicherheitsprüfung
   • Biometrie: Echtzeit-Abgleich und Schutz gegen Präsentationsangriffe
5. 04Geplant

   Ökosystem

   • Öffentliche Programmierschnittstelle
   • Paketmarkt für Fachmodelle
   • Partnerprogramm für Integratoren
   • Weitere Vorlagen und Beispielanwendungen
6. 05Zielbild

   Zielbild

   • Verbundbetrieb mehrerer Häuser
   • Offline-Betrieb im Feld
   • Verteilte Datenströme über mehrere Server
   • Gezieltes Nachtrainieren pro Installation, sobald geeignete Hardware vorhanden ist
   • Zulassung für eingestufte Informationen
   • Auslieferung in abgeschotteten Umgebungen