TARGET’s ten-hour outage: the failover decision was slow again, and the report took eight months
Zehn Stunden TARGET-Ausfall: Wieder zögerte die Umschaltung, und der Bericht brauchte acht Monate
On 27 February 2025 the Eurosystem’s large-value payment system, T2, stopped for about ten hours and its securities platform, T2S, for about eight. The fault was a piece of storage hardware. What stretched the outage was the decision to switch to the second site, which came more than five hours after T2 went down. That is the same weak point an outside review found after the outages of 2020, and the Eurosystem’s 2021 action plan had promised to fix it. The Eurosystem’s own post-mortem came out in November 2025, about eight months after the incident. A bank caught by the EU’s resilience rules has to send its supervisor a final report within roughly five weeks.
What happened on 27 February
The most detailed account comes from the operator itself. The post-mortem, published by the ECB under the title “TARGET Services incident of 27th February 2025” and dated November 2025, gives a timeline to the minute. T2S, which settles securities in central bank money, began to fail at around 08:05 and was unavailable from 08:07. T2, the real-time gross settlement system for large euro payments, followed: a buffer pool shortage at 10:08, processing over the application-to-application channel stopped at 10:15. Instant payments in TIPS slowed for about an hour in the afternoon, because they depend on T2 for liquidity.
The cause, the report says, was “the unexpected simultaneous failure of two redundant Ethernet ports on a storage control unit.” Because both ports went at once, the system could not isolate the faulty part on its own. The vendor called the scenario “never previously encountered worldwide.”
The first hours were spent on the wrong theory. The post-mortem says the teams of the four central banks that run the platform, known as the 4CB, initially suspected a fault in the DB2 database software. That mattered for what came next. A software fault would be copied to the second site along with the data, so switching sites would not help. Failover was not pursued. Site recovery started at around 15:35, according to the report’s main text, or 15:39, according to its annex. Normal operations resumed at about 18:00. The T2 business day did not change until 01:12 the next morning.
The consequences are listed in the same document. 11,898 T2 transactions were rejected. A backlog of about 3.6 million queued messages built up in T2S. Settlement efficiency in T2S fell to 90.1 per cent by volume, against a 2024 average of 94.4 per cent, and to 83.5 per cent by value, against 97.7 per cent. The contingency system, ECONS II, was open from 11:49 to 19:02 and handled 146 payments. The report notes that salaries and pensions were delayed in some communities and that pay-outs in CLS, the foreign-exchange settlement system, were suspended for several hours. At the end of the day, current account balances at the Eurosystem were about €150 billion higher and the deposit facility about €200 billion lower, because some banks had closed their own systems before T2 finally closed. All of these figures come from the operator describing its own incident.
The standard the Eurosystem applies to others
Two sets of rules make the comparison concrete. The first is the Digital Operational Resilience Act, DORA, under which banks, payment institutions, e-money institutions and central securities depositories reported their major incidents in 2025. The joint report of the three European supervisory authorities on major ICT incidents in 2025, published on 3 June 2026, sets out the deadlines. An initial notification is due “within four hours from the classification of the incident as major” and “no later than 24 hours” after the firm became aware of it. An intermediate report follows within 72 hours. The final report is due “no later than one month after the submission of the intermediate report.” Added up, a bank has about five weeks from discovery to final report.
The ESAs’ report counts 3,383 major incidents reported under DORA in 2025, more than 60 per cent of them by credit institutions. It also mentions the TARGET incident of 27 February, giving the ten and eight hours of downtime. It does not say how that incident was classified or reported under DORA, or whether it was. Article 2 of DORA, which lists the financial entities the regulation covers, does not name central banks.
The second set of rules is closer to home. The ECB’s own regulation on systemically important payment systems, Regulation 795/2014, known as the SIPS Regulation, requires an operator to keep a business continuity plan with a secondary site. Article 15(5) says that critical IT systems must be able to “resume operations within two hours” of a disruptive event, and that the system must be able to “settle all payments due by the end of the business day on which the disruption occurs.” In 2014 the ECB identified TARGET2, the predecessor of T2, as one of four systemically important payment systems, alongside EURO1, STEP2-T and CORE(FR). The regulation allows systems operated by Eurosystem central banks to be exempted from certain requirements, on governance, wind-down plans, capital and investment risk. Article 15 is not among them.
Measured against Article 15, the day looks like this. T2 stopped processing at 10:15 and resumed at about 18:00, close to eight hours later. The business day was stretched past midnight, so most payments did settle on the day, in the sense that the day was made longer. The post-mortem itself records a narrower failure: once site recovery began, it took longer than the “contractually agreed Recovery Time Objective (RTO) of 60 min,” because the 4CB ran extra integrity checks after a hardware fault.
Eight months
The Eurosystem did not stay silent. The post-mortem records a first call with T2S settlement managers at 08:35, and on 28 February at 17:00 the ECB confirmed the root cause on its website.
The full report took longer. Its cover says November 2025. From 27 February that is a little over eight months, around seven times the five weeks a bank has for its final report under DORA. The comparison is not exact, and the strongest objection to it comes below. But the report itself shows what the delay meant. Of the 20 follow-up actions listed in its Annex II, six were marked completed, three ongoing and eleven “to be started.” Among those not started were actions whose own deadlines had already passed when the report appeared: aligning the decision-making for site recovery between T2 and T2S, due in September 2025 for T2S and October 2025 for T2; assessing joint T2 and T2S crisis calls and reviewing communication templates, both due in the third quarter of 2025.
The record after that is thin. The document on operational matters for the T2 Contact Group meeting of 18 February 2026 lists the post-mortem with three action items: a reminder to participants about contingency transaction categories, completed; the criteria for activating the Crisis Communication Groups, completed; and market feedback on delaying cut-offs after long outages, still in progress, with a survey deadline of 28 February 2026, almost exactly a year after the incident. The agenda for the next meeting, on 11 June 2026, contains no item on the post-mortem. The ECB’s TARGET Services Annual Report 2025, published that month, repeats the timeline and names three completed measures, all of them technical: the replaced component, the vendor’s update and enhanced monitoring.
The 2020 review and what it promised
None of this would matter much if 2025 had been a one-off. It was not the first time. In 2020 there were five major incidents in TARGET2 and T2S. In a letter to the MEP Markus Ferber dated 21 January 2021, Christine Lagarde wrote that the outage of 23 October 2020 “lasted for approximately ten hours” and was caused by “a software defect in a third-party network device.” The ECB commissioned an outside review from Deloitte, published on 28 July 2021. According to the ECB’s press release, it found weaknesses in three areas: business continuity management, fail-over and recovery testing, and “communication protocols in crisis situations.” It made 18 recommendations.
The Eurosystem published an action plan on 17 December 2021. Several commitments in it read like a description of what went wrong in 2025. The business continuity plan would be fine-tuned to “clarify the period after which a failover will be considered,” by the first quarter of 2022. Crisis managers “will be reminded about the necessity to comply with the Recovery Time Objective,” which the plan put at two hours. Decision-making and major-incident procedures would be “reviewed and updated.” Central securities depositories and TARGET2 central banks would “align their communications on operational incidents.” Each incident requiring crisis managers would get “an ex-post assessment.”
What repeated
The 2025 post-mortem does not mention Deloitte or the 2021 action plan. Its only reference to 2020 is a remark that press coverage this time did not compare, in number or tone, to coverage in 2020. Read side by side, though, the two documents overlap in three places.
First, the failover decision. The 2021 plan promised to define when a failover would be considered. In 2025 the decision waited for the root cause and then for both sets of crisis managers. The post-mortem says the 4CB could only begin site recovery after the T2 and T2S crisis managers had both given their “nihil-obstat,” that the T2 manual of procedures and the T2S operational manual are not aligned on this point, and that if the 4CB could have decided on its own, recovery “could have been initiated approximately 30 minutes earlier.” Action item 5, aligning that decision-making, was the one still marked “to be started” after its deadline.
Second, the recovery time. In 2020 the ten-hour outage was far beyond the two-hour objective. In 2025 T2 was down for about ten hours again, and the report records that even the recovery procedure overran its 60-minute target.
Third, communication. The 2020 review named crisis communication protocols as a weakness, and the 2021 plan promised direct contact with key participants and aligned messaging. In 2025, the post-mortem records, T2 participants “would have appreciated earlier the recommendation to stop sending messages,” which “came only at 13:00,” almost three hours after T2 stopped. The equivalent crisis communication group for T2S was not activated. Updates about skipping penalty calculations were misread as a penalty waiver. Three of the 2025 follow-up actions deal with exactly this: when to issue the stop-sending recommendation, when to activate the communication groups, and how to warn participants before calls.
The root cause was different. In 2020 it was software in a network device, in 2025 storage hardware. That difference is real. But the parts of the day that turned a component failure into a ten-hour outage, the diagnosis, the decision to switch sites, and the communication about it, are the parts the 2021 plan was meant to change.
Earlier pieces here showed the same pattern from other angles. Reporting rules for outages fix the deadline to the supervisor down to the hour while leaving the duty to customers without a number. Resilience tests often set measured results next to maturity scores the tested institutions gave themselves. TARGET combines both: a precise clock for others, and an operator that reports on itself.
The annual number
The TARGET Services Annual Report 2025 states that T2 achieved 99.8 per cent technical availability in 2025, “above the target level of 99.7%,” with 43 incidents in total and two with major impact, on 27 February and 24 November. T2S also reached 99.8 per cent against a target of 99.7 per cent, with February as the exception at 98.7 per cent. On the headline measure, then, 2025 was a year in which TARGET met its targets.
That is not a contradiction, but it shows what the measure is for. An annual availability ratio spreads one bad day across a year of good ones. What matters on a day like 27 February is how long it took to decide to switch sites, and whether that was shorter than last time. The annual report does not give that figure for 2025 or for any earlier year, so it cannot be tracked from one report to the next.
The case for the Eurosystem
The argument on the Eurosystem’s side is not weak. First, the failure was unusual. Two redundant parts failing at once, in a way the vendor says it had never seen, is the kind of event that redundancy is supposed to make impossible. Diagnosing it took time because the symptoms pointed elsewhere. And the decision not to fail over at once was not careless. If the fault had been in the database software, as the teams first believed, switching to the second site would have copied the fault there and could have left both sites unusable. Waiting to understand the fault before switching is the cautious choice. The post-mortem’s own figure supports this. A unilateral decision by the 4CB would have saved about 30 minutes. Most of the delay came from diagnosis, not from procedure.
Second, the publication. Under DORA, a bank’s final report goes to its supervisor, not to the public. No bank in Europe publishes a minute-by-minute post-mortem with a numbered list of follow-up actions and their status. The Eurosystem did. Comparing eight months for a public report with five weeks for a confidential one compares two different things. What the Eurosystem told its own overseers, and when, is not known, and it may have been much faster.
Third, some actions were taken quickly. The faulty part was replaced on 28 February. Alarms were improved by 19 March. The business continuity and IT service continuity management were reviewed by 9 April, and ECONS II was enabled to handle more users by 12 May. The European Securities and Markets Authority declared on 14 March 2025 that cash penalties for settlement fails on 27 and 28 February should not be applied, citing the infrastructure failure. Market participants were not left to absorb those costs.
Finally, the result was contained. The post-mortem reports that euro short-term rate fixing was not affected, that EURO1 and STEP2 settled without rejections once T2 was back, and that overall payment volumes and values on the day were comparable to previous days. By the post-mortem’s account, the day was delayed rather than lost.
Where that case stops
Each of these points holds, and none of them answers the central question. Diagnosis was slow because the symptoms misled, but the 2021 action plan existed precisely to define when a failover should be considered without waiting for full certainty. The plan said it would “clarify the period” after which failover is considered. The 2025 post-mortem describes no such period being applied. If the period had been defined and applied, the report would say so.
The publication argument is the strongest. But it cuts both ways. If the Eurosystem’s case is that its public report should not be held to a supervisory deadline, then the comparison that matters is with what it told its overseer, and that is not public. The post-mortem names the Market Infrastructure Board as the body monitoring progress on the action plan, and mentions no review from outside the Eurosystem. The 2020 incidents were reviewed by an outside firm. For 2025, the post-mortem mentions a vendor report, a 4CB monitoring review and a second-line-of-defence assessment, but no external review.
The quick actions were mostly technical. Those still “to be started” at publication concerned decisions and communication, the areas the 2020 review had named.
How sure each part of this is
Firmly held: the timeline, the 20 actions and their status at publication, the 60-minute recovery objective that was not met, and the late stop-sending recommendation are all in the Eurosystem’s own post-mortem. The 2021 commitments on the failover period, the two-hour objective and crisis communication are in the published action plan. The DORA deadlines are as the ESAs describe them.
With reasonable confidence: the overlap between the 2020 and 2025 weaknesses. It rests on reading two Eurosystem documents side by side, not on any finding by the Eurosystem or an outside reviewer. The full Deloitte report could not be read for this piece; the comparison uses the ECB’s summary of it and the action plan.
Cautiously: whether Article 15 of the SIPS Regulation applies to T2 in the same way it applied to TARGET2. The 2014 identification names TARGET2. This piece did not find the current Governing Council decision listing T2, and the post-mortem does not refer to the regulation at all.
What this does not tell you
It does not show that the Eurosystem reported late to anyone who was entitled to a report. The eight months are the time to a public document. What reached the Market Infrastructure Board, the Governing Council or national overseers, and when, is not in any published source found for this piece.
It does not show that a faster failover was possible on the day. With a fault that looked like software, waiting may have been the right call. The criticism here is narrower: the rule that should have made that call quicker had been promised in 2021, and the 2025 report does not show it in use.
It does not show that TARGET is less reliable than private systems. An annual availability of 99.8 per cent, against a target of 99.7, is not a poor record. Nothing in the material compares it with other large-value systems on the same basis.
An operator that is also the rule-maker
Payment regulation in Europe increasingly works through clocks: four hours to notify, 72 hours for an update, a month for a final report, two hours to resume. Clocks are useful because they turn a vague duty into something that can be checked. But a clock only works if someone outside the firm reads it. When the central bank is both operator and overseer of the system everyone else depends on, the clock it sets for others has no counterpart for itself, and the lessons from one outage are checked by the same institution that has to learn them. The 2020 incidents were reviewed from outside and produced a dated plan. The 2025 incident was reviewed from inside and produced a dated plan whose dates had partly passed when it was published. If the same promises recur after the next outage, it will be because nobody outside the Eurosystem was in a position to check whether the last ones had been kept. As private firms gain direct access to central bank settlement, as with the opening of settlement finality to non-banks, more of them will be exposed to that check not happening.
Am 27. Februar 2025 stand T2, das Großbetragszahlungssystem des Eurosystems, rund zehn Stunden still, die Wertpapierplattform T2S rund acht. Ausgelöst hat das ein defektes Speicherbauteil. In die Länge gezogen hat es die Entscheidung, auf den zweiten Standort umzuschalten: Sie fiel mehr als fünf Stunden, nachdem T2 ausgefallen war. Genau diese Schwachstelle hatte eine externe Prüfung schon nach den Ausfällen von 2020 benannt, und der Maßnahmenplan des Eurosystems von 2021 hatte versprochen, sie zu beheben. Den eigenen Abschlussbericht legte das Eurosystem im November 2025 vor, gut acht Monate nach dem Vorfall. Eine Bank, die unter die europäischen Resilienzregeln fällt, muss ihrer Aufsicht den Abschlussbericht nach etwa fünf Wochen schicken.
Was am 27. Februar geschah
Die genaueste Darstellung stammt vom Betreiber selbst. Der Abschlussbericht, den die EZB unter dem Titel „TARGET Services incident of 27th February 2025“ mit Datum November 2025 veröffentlicht hat, enthält eine minutengenaue Chronik. T2S, das Wertpapiergeschäfte in Zentralbankgeld abwickelt, geriet gegen 08:05 Uhr ins Stocken und war ab 08:07 Uhr nicht mehr erreichbar. T2, das Echtzeit-Bruttosystem für große Euro-Zahlungen, folgte: um 10:08 Uhr ein Engpass im Pufferspeicher, um 10:15 Uhr stand die Verarbeitung über die Maschine-zu-Maschine-Schnittstelle. Echtzeitzahlungen in TIPS liefen am Nachmittag etwa eine Stunde lang verlangsamt, weil sie ihre Liquidität aus T2 beziehen.
Ursache war laut Bericht der gleichzeitige Ausfall zweier redundanter Ethernet-Anschlüsse an einer Steuereinheit des Speichersystems. Weil beide Anschlüsse zugleich ausfielen, konnte das System das defekte Teil nicht selbst abtrennen. Der Hersteller sprach von einem Fall, der „weltweit noch nie aufgetreten“ sei.
Die ersten Stunden galten der falschen Annahme. Die Teams der vier Zentralbanken, die die Plattform betreiben und intern „4CB“ heißen, vermuteten zunächst einen Fehler in der Datenbanksoftware DB2. Das hatte Folgen. Ein Softwarefehler wird mit den Daten auf den zweiten Standort übertragen; ein Standortwechsel hilft dann nicht. Also wurde zunächst nicht umgeschaltet. Die Wiederherstellung am zweiten Standort begann nach dem Haupttext des Berichts gegen 15:35 Uhr, nach seinem Anhang um 15:39 Uhr. Gegen 18:00 Uhr lief der Betrieb wieder normal. Der Geschäftstag in T2 wechselte erst am nächsten Morgen um 01:12 Uhr.
Die Folgen stehen im selben Dokument. 11.898 Zahlungen wurden von T2 abgewiesen. In T2S stauten sich rund 3,6 Millionen Nachrichten. Die Abwicklungsquote von T2S fiel nach Stückzahl auf 90,1 Prozent, bei einem Durchschnitt von 94,4 Prozent im Jahr 2024, nach Wert auf 83,5 Prozent statt 97,7 Prozent. Das Notfallsystem ECONS II war von 11:49 bis 19:02 Uhr geöffnet und wickelte 146 Zahlungen ab. Der Bericht vermerkt, dass in einigen Gemeinden Löhne und Renten verspätet ankamen und dass Auszahlungen im Devisenabwicklungssystem CLS mehrere Stunden ausgesetzt waren. Am Abend lagen die Guthaben auf den Girokonten beim Eurosystem um rund 150 Milliarden Euro höher und die Einlagefazilität um rund 200 Milliarden Euro niedriger, weil manche Banken ihre eigenen Systeme geschlossen hatten, bevor T2 schließlich schloss. Alle diese Zahlen stammen vom Betreiber, der über seinen eigenen Ausfall berichtet. Niemand sonst hat die Daten, sie nachzuprüfen.
Der Maßstab, den das Eurosystem an andere anlegt
Zwei Regelwerke machen den Vergleich greifbar. Das erste ist die Verordnung über die digitale operationale Resilienz, kurz DORA, nach der Banken, Zahlungsinstitute, E-Geld-Institute und Zentralverwahrer 2025 ihre schweren IKT-Vorfälle gemeldet haben. Der gemeinsame Bericht der drei europäischen Aufsichtsbehörden über diese Vorfälle, veröffentlicht am 3. Juni 2026, nennt die Fristen. Die Erstmeldung ist innerhalb von vier Stunden fällig, nachdem der Vorfall als schwerwiegend eingestuft wurde, spätestens aber 24 Stunden, nachdem das Unternehmen davon erfahren hat. Ein Zwischenbericht folgt binnen 72 Stunden. Der Abschlussbericht ist spätestens einen Monat nach dem Zwischenbericht einzureichen. Zusammengerechnet hat eine Bank also etwa fünf Wochen von der Entdeckung bis zum Abschlussbericht.
Der Bericht der Aufsichtsbehörden zählt für 2025 insgesamt 3.383 schwere Vorfälle, mehr als 60 Prozent davon bei Kreditinstituten. Er erwähnt auch den TARGET-Ausfall vom 27. Februar samt zehn und acht Stunden Stillstand. Wie dieser Vorfall nach DORA eingestuft oder gemeldet wurde, und ob überhaupt, sagt er nicht. Artikel 2 der Verordnung, der aufzählt, für welche Finanzunternehmen sie gilt, nennt Zentralbanken nicht.
Das zweite Regelwerk stammt von der EZB selbst: ihre Verordnung über systemrelevante Zahlungsverkehrssysteme, Nr. 795/2014, kurz SIPS-Verordnung. Sie verlangt vom Betreiber einen Notfallplan mit zweitem Standort. Nach Artikel 15 Absatz 5 müssen kritische IT-Systeme den Betrieb innerhalb von zwei Stunden nach einem Störfall wieder aufnehmen können, und das System muss so angelegt sein, dass es alle fälligen Zahlungen bis zum Ende des Geschäftstags abwickeln kann, an dem die Störung eintritt. 2014 hat die EZB TARGET2, den Vorgänger von T2, als eines von vier systemrelevanten Zahlungssystemen bestimmt, neben EURO1, STEP2-T und CORE(FR). Systeme, die von Zentralbanken des Eurosystems betrieben werden, können nach der Verordnung von einzelnen Pflichten befreit werden, etwa bei Leitung, Abwicklungsplänen, Eigenkapital und Anlagerisiken. Artikel 15 gehört nicht dazu.
An Artikel 15 gemessen sieht der Tag so aus. T2 stand um 10:15 Uhr still und lief gegen 18:00 Uhr wieder, knapp acht Stunden später. Der Geschäftstag wurde über Mitternacht hinaus verlängert; die meisten Zahlungen wurden also am selben Tag abgewickelt, in dem Sinne, dass der Tag länger gemacht wurde. Der Bericht selbst hält ein engeres Versäumnis fest: Als die Wiederherstellung einmal begonnen hatte, dauerte sie länger als die vertraglich vereinbarte Wiederherstellungszeit von 60 Minuten, weil die 4CB nach einem Hardwaredefekt zusätzliche Integritätsprüfungen durchführten.
Acht Monate
Geschwiegen hat das Eurosystem nicht. Der Bericht verzeichnet eine erste Telefonkonferenz mit den T2S-Verantwortlichen um 08:35 Uhr, und am 28. Februar um 17:00 Uhr bestätigte die EZB auf ihrer Website die Ursache.
Der vollständige Bericht brauchte länger. Auf dem Titelblatt steht November 2025, vom 27. Februar aus gerechnet also gut acht Monate, etwa das Siebenfache der fünf Wochen, die eine Bank nach DORA für ihren Abschlussbericht hat. Der Vergleich ist nicht exakt, und der stärkste Einwand dagegen folgt weiter unten. Was die Verzögerung bedeutete, zeigt der Bericht aber selbst. Von den 20 Folgemaßnahmen in seinem Anhang II waren sechs als erledigt markiert, drei als laufend und elf als „noch zu beginnen“. Darunter waren Maßnahmen, deren eigene Frist bei Erscheinen schon verstrichen war: die Abstimmung der Entscheidungswege für die Standortwiederherstellung zwischen T2 und T2S, fällig im September 2025 für T2S und im Oktober 2025 für T2; die Prüfung gemeinsamer Krisenkonferenzen für T2 und T2S und die Überarbeitung der Kommunikationsvorlagen, beide fällig im dritten Quartal 2025.
Danach wird die Spur dünn. Die Unterlage zu den betrieblichen Fragen für die Sitzung der T2-Kontaktgruppe vom 18. Februar 2026 führt den Bericht mit drei Punkten: die Erinnerung an die Teilnehmer, welche Zahlungsarten im Notfall gelten, erledigt; die Kriterien für die Einberufung der Krisenkommunikationsgruppen, erledigt; und die Marktumfrage zur Verschiebung von Annahmeschlusszeiten nach langen Ausfällen, noch in Arbeit, mit Umfrageschluss am 28. Februar 2026, also fast genau ein Jahr nach dem Vorfall. Die Tagesordnung der folgenden Sitzung vom 11. Juni 2026 enthält keinen Punkt zum Abschlussbericht. Der TARGET-Jahresbericht 2025 der EZB, im selben Monat erschienen, wiederholt die Chronik und nennt drei erledigte Maßnahmen, alle technisch: das ersetzte Bauteil, das Update des Herstellers und eine verbesserte Überwachung.
Die Prüfung von 2020 und was sie versprach
All das wöge wenig, wenn 2025 ein Einzelfall gewesen wäre. Es war nicht das erste Mal. 2020 gab es in TARGET2 und T2S fünf schwere Störungen. In einem Brief an den Europaabgeordneten Markus Ferber vom 21. Januar 2021 schrieb Christine Lagarde, der Ausfall vom 23. Oktober 2020 habe „etwa zehn Stunden“ gedauert und sei auf einen Softwarefehler in einem Netzwerkgerät eines Drittanbieters zurückgegangen. Die EZB ließ die Störungen von Deloitte extern prüfen; der Bericht erschien am 28. Juli 2021. Nach der Pressemitteilung der EZB fand er Schwächen in drei Bereichen: im Notfallmanagement, bei Tests von Standortwechsel und Wiederherstellung und bei den Kommunikationsabläufen in Krisen. Er gab 18 Empfehlungen.
Am 17. Dezember 2021 veröffentlichte das Eurosystem einen Maßnahmenplan. Mehrere Zusagen darin lesen sich wie eine Beschreibung dessen, was 2025 schiefging. Der Notfallplan sollte bis zum ersten Quartal 2022 so geschärft werden, dass klar ist, nach welcher Zeitspanne ein Standortwechsel erwogen wird. Die Krisenverantwortlichen sollten daran erinnert werden, die Wiederherstellungszeit einzuhalten, die der Plan mit zwei Stunden angab. Entscheidungswege und Verfahren für schwere Störungen sollten überprüft und aktualisiert werden. Zentralverwahrer und TARGET2-Zentralbanken sollten ihre Kommunikation bei Störungen aufeinander abstimmen. Jeder Vorfall, der die Krisenverantwortlichen beschäftigt, sollte nachträglich ausgewertet werden.
Was sich wiederholte
Der Bericht von 2025 erwähnt weder Deloitte noch den Maßnahmenplan von 2021. Sein einziger Bezug auf 2020 ist die Bemerkung, die Presseberichte seien diesmal nach Zahl und Ton nicht mit denen von 2020 vergleichbar gewesen. Legt man die beiden Dokumente nebeneinander, überschneiden sie sich dennoch an drei Stellen.
Erstens die Entscheidung zum Standortwechsel. Der Plan von 2021 versprach festzulegen, wann ein Wechsel erwogen wird. 2025 wartete die Entscheidung zuerst auf die Ursache und dann auf beide Gruppen von Krisenverantwortlichen. Der Bericht hält fest, dass die 4CB die Wiederherstellung erst beginnen durften, nachdem die Krisenverantwortlichen von T2 und von T2S ihr „nihil obstat“ gegeben hatten, dass das Verfahrenshandbuch von T2 und das Betriebshandbuch von T2S in diesem Punkt nicht übereinstimmen und dass die Wiederherstellung etwa 30 Minuten früher hätte beginnen können, wenn die 4CB allein hätten entscheiden dürfen. Ausgerechnet Maßnahme 5, die diese Entscheidungswege angleichen soll, stand nach Ablauf ihrer Frist noch auf „zu beginnen“.
Zweitens die Wiederherstellungszeit. 2020 lag der zehnstündige Ausfall weit jenseits der Zwei-Stunden-Vorgabe. 2025 stand T2 wieder rund zehn Stunden still, und der Bericht vermerkt, dass schon das Wiederherstellungsverfahren selbst seine 60 Minuten überschritt.
Drittens die Kommunikation. Die Prüfung von 2020 nannte die Krisenkommunikation als Schwäche, der Plan von 2021 versprach direkten Kontakt zu wichtigen Teilnehmern und abgestimmte Mitteilungen. 2025, so der Bericht, hätten sich die T2-Teilnehmer die Empfehlung, keine Nachrichten mehr ans System zu schicken, früher gewünscht; sie kam erst um 13:00 Uhr, fast drei Stunden nach dem Stillstand von T2. Die entsprechende Krisenkommunikationsgruppe für T2S wurde gar nicht einberufen. Hinweise, dass die Berechnung von Strafzahlungen ausgesetzt werde, wurden als Verzicht auf die Strafzahlungen missverstanden. Drei der Folgemaßnahmen von 2025 betreffen genau das: wann die Empfehlung zum Sendestopp kommt, wann die Kommunikationsgruppen einberufen werden und wie Teilnehmer vor Konferenzen vorgewarnt werden.
Die Ursache war eine andere. 2020 war es Software in einem Netzwerkgerät, 2025 Speicherhardware. Der Unterschied ist echt. Aber die Teile des Tages, die aus einem Bauteildefekt einen zehnstündigen Ausfall machten, also Diagnose, Umschaltentscheidung und Kommunikation darüber, sind genau die Teile, die der Plan von 2021 ändern sollte.
Frühere Beiträge hier haben dasselbe Muster aus anderer Richtung gezeigt. Meldevorschriften für Störungen legen die Frist gegenüber der Aufsicht auf die Stunde genau fest, während die Pflicht gegenüber den Kunden ohne Zahl bleibt. Resilienztests stellen oft gemessene Ergebnisse neben Reifegrade, die sich die geprüften Häuser selbst gegeben haben. TARGET vereint beides: eine genaue Uhr für die anderen und einen Betreiber, der über sich selbst berichtet.
Die Jahreszahl
Laut TARGET-Jahresbericht 2025 erreichte T2 im Jahr 2025 eine technische Verfügbarkeit von 99,8 Prozent und lag damit über dem Zielwert von 99,7 Prozent, bei insgesamt 43 Störungen, davon zwei mit schweren Folgen am 27. Februar und am 24. November. Auch T2S kam auf 99,8 Prozent gegenüber einem Ziel von 99,7 Prozent; nur der Februar fiel mit 98,7 Prozent heraus. Gemessen an der Kennzahl, die der Jahresbericht in den Vordergrund stellt, war 2025 also ein Jahr, in dem TARGET seine Ziele erreichte.
Das ist kein Widerspruch, zeigt aber, wofür die Kennzahl taugt. Eine jährliche Verfügbarkeitsquote verteilt einen schlechten Tag auf ein Jahr guter Tage. An einem Tag wie dem 27. Februar zählt etwas anderes: wie lange es dauerte, den Standortwechsel zu beschließen, und ob das schneller ging als beim letzten Mal. Diese Zeit nennt der Jahresbericht weder für 2025 noch für frühere Jahre. Von Bericht zu Bericht verfolgen lässt sie sich deshalb nicht.
Was für das Eurosystem spricht
Das Argument auf der Seite des Eurosystems ist nicht schwach. Erstens war der Defekt ungewöhnlich. Dass zwei redundante Teile gleichzeitig ausfallen, und zwar auf eine Weise, die der Hersteller nach eigener Aussage nie gesehen hatte, ist genau das, was Redundanz ausschließen soll. Die Diagnose dauerte, weil die Anzeichen in eine andere Richtung wiesen. Und dass nicht sofort umgeschaltet wurde, war nicht leichtfertig. Hätte der Fehler in der Datenbanksoftware gelegen, wie die Teams zunächst annahmen, hätte ein Standortwechsel den Fehler mitgenommen und womöglich beide Standorte unbrauchbar gemacht. Erst die Ursache zu verstehen und dann umzuschalten ist die vorsichtige Wahl. Die Zahl im Bericht selbst stützt das: Eine Alleinentscheidung der 4CB hätte rund 30 Minuten gespart. Der größte Teil der Verzögerung kam aus der Diagnose, nicht aus dem Verfahren.
Zweitens die Veröffentlichung. Nach DORA geht der Abschlussbericht einer Bank an ihre Aufsicht, nicht an die Öffentlichkeit. Keine Bank in Europa veröffentlicht einen minutengenauen Bericht mit nummerierter Liste von Folgemaßnahmen und deren Stand. Das Eurosystem hat es getan. Acht Monate für einen öffentlichen Bericht mit fünf Wochen für einen vertraulichen zu vergleichen heißt, zwei verschiedene Dinge zu vergleichen. Was das Eurosystem seinen eigenen Aufsehern wann mitgeteilt hat, ist nicht bekannt; es kann deutlich schneller gewesen sein.
Drittens wurde manches schnell erledigt. Das defekte Teil war am 28. Februar ersetzt, die Alarmierung bis zum 19. März verbessert, das Notfall- und IT-Kontinuitätsmanagement bis zum 9. April überprüft, ECONS II bis zum 12. Mai für mehr gleichzeitige Nutzer ausgelegt. Die Europäische Wertpapier- und Marktaufsichtsbehörde ESMA erklärte am 14. März 2025, dass für gescheiterte Wertpapierlieferungen am 27. und 28. Februar keine Strafzahlungen fällig werden sollten, weil eine Infrastrukturkomponente ausgefallen war. Die Marktteilnehmer blieben auf diesen Kosten nicht sitzen.
Schließlich blieb der Schaden begrenzt. Nach dem Bericht war der Euro-Kurzfristzins €STR nicht betroffen, EURO1 und STEP2 wickelten nach der Rückkehr von T2 ohne Abweisungen ab, und Zahl und Wert der Zahlungen an diesem Tag lagen insgesamt auf dem Niveau der Vortage. Nach der Darstellung des Berichts war der Tag verzögert, nicht verloren.
Wo dieses Argument endet
Jeder dieser Punkte trifft zu, und keiner beantwortet die eigentliche Frage. Die Diagnose dauerte, weil die Anzeichen täuschten; doch der Maßnahmenplan von 2021 sollte gerade festlegen, wann ein Standortwechsel erwogen wird, ohne auf volle Gewissheit zu warten. Er versprach, die Zeitspanne zu klären, nach der umgeschaltet wird. Der Bericht von 2025 beschreibt keine solche Zeitspanne, die angewandt worden wäre. Wäre sie festgelegt und angewandt worden, stünde das im Bericht.
Das Veröffentlichungsargument wiegt am schwersten. Es schneidet aber in beide Richtungen. Wenn der öffentliche Bericht nicht an einer Aufsichtsfrist gemessen werden soll, dann zählt der Vergleich mit dem, was das Eurosystem seiner Aufsicht berichtet hat, und das ist nicht öffentlich. Der Bericht nennt den Market Infrastructure Board als das Gremium, das den Fortschritt der Maßnahmen überwacht, und erwähnt keine Prüfung von außerhalb des Eurosystems. Die Störungen von 2020 hatte ein externes Unternehmen untersucht.
Die schnellen Maßnahmen waren überwiegend technisch. Was bei Erscheinen noch „zu beginnen“ war, betraf Entscheidungen und Kommunikation, also die Bereiche, die schon die Prüfung von 2020 benannt hatte.
Wie sicher die einzelnen Teile sind
Fest vertreten: Chronik, die 20 Maßnahmen samt Stand bei Veröffentlichung, die verfehlte Wiederherstellungszeit von 60 Minuten und die späte Sendestopp-Empfehlung stehen im Abschlussbericht des Eurosystems selbst. Die Zusagen von 2021 zur Zeitspanne für den Standortwechsel, zur Zwei-Stunden-Vorgabe und zur Krisenkommunikation stehen im veröffentlichten Maßnahmenplan. Die DORA-Fristen sind so, wie die Aufsichtsbehörden sie beschreiben.
Mit vernünftiger Sicherheit: die Überschneidung der Schwächen von 2020 und 2025. Sie beruht darauf, zwei Dokumente des Eurosystems nebeneinanderzulegen, nicht auf einem Befund des Eurosystems oder eines externen Prüfers. Den vollständigen Deloitte-Bericht konnte dieser Beitrag nicht lesen; der Vergleich stützt sich auf die Zusammenfassung der EZB und den Maßnahmenplan.
Vorsichtig: ob Artikel 15 der SIPS-Verordnung für T2 genauso gilt wie für TARGET2. Die Bestimmung von 2014 nennt TARGET2. Den aktuellen Beschluss des EZB-Rats, der T2 aufführt, hat dieser Beitrag nicht gefunden, und der Abschlussbericht bezieht sich gar nicht auf die Verordnung.
Was daraus nicht folgt
Es folgt nicht, dass das Eurosystem irgendjemandem verspätet berichtet hätte, der Anspruch auf einen Bericht hatte. Die acht Monate sind die Zeit bis zu einem öffentlichen Dokument. Was beim Market Infrastructure Board, beim EZB-Rat oder bei nationalen Aufsehern wann ankam, steht in keiner Quelle, die für diesen Beitrag gefunden wurde.
Es folgt nicht, dass an diesem Tag ein schnellerer Standortwechsel möglich gewesen wäre. Bei einem Fehler, der nach Software aussah, kann Abwarten richtig gewesen sein. Die Kritik ist schmaler: Die Regel, die diese Entscheidung hätte beschleunigen sollen, war 2021 versprochen worden, und der Bericht von 2025 zeigt sie nicht im Einsatz.
Es folgt nicht, dass TARGET unzuverlässiger wäre als private Systeme. Eine Jahresverfügbarkeit von 99,8 Prozent bei einem Ziel von 99,7 Prozent ist keine schlechte Bilanz. Nichts im Material vergleicht sie auf gleicher Grundlage mit anderen Großbetragssystemen.
Ein Betreiber, der zugleich die Regeln macht
Die Regulierung des Zahlungsverkehrs in Europa arbeitet zunehmend mit Uhren: vier Stunden für die Erstmeldung, 72 Stunden für den Zwischenstand, ein Monat für den Abschlussbericht, zwei Stunden bis zum Wiederanlauf. Uhren sind nützlich, weil sie aus einer vagen Pflicht etwas Prüfbares machen. Eine Uhr wirkt aber nur, wenn jemand außerhalb des Unternehmens sie abliest. Ist die Zentralbank Betreiberin und Aufseherin des Systems, von dem alle anderen abhängen, hat die Uhr, die sie anderen stellt, für sie selbst kein Gegenstück, und die Lehren aus einem Ausfall prüft dieselbe Institution, die sie ziehen soll. Die Störungen von 2020 wurden von außen untersucht und mündeten in einen Plan mit Fristen. Der Ausfall von 2025 wurde von innen untersucht und mündete in einen Plan, dessen Fristen bei Veröffentlichung teils schon abgelaufen waren. Kehren nach dem nächsten Ausfall dieselben Zusagen wieder, dann deshalb, weil niemand außerhalb des Eurosystems in der Lage war zu prüfen, ob die letzten eingehalten wurden. Je mehr private Unternehmen direkten Zugang zur Abwicklung in Zentralbankgeld erhalten, etwa durch die Öffnung der Abwicklungsendgültigkeit für Nichtbanken, desto mehr von ihnen hängen davon ab, dass diese Prüfung stattfindet.
