Freitag, 16.47 Uhr: Eine Automation verschickt Terminbestätigungen mit der falschen Filiale. Der klassische Reflex lautet, den Entwickler anzurufen. Ein belastbarer Betrieb hat vorher eine bessere Antwort: einen bekannten Schalter, einen Owner und einen Ersatzweg.
Ein Kill Switch löscht weder Daten noch die ganze Anwendung. Er unterbindet genau die riskante Aktion: keine Mails mehr senden, keine Termine mehr schreiben oder keine Datensätze mehr verändern. Lesen und protokollieren kann je nach Fehler weiterlaufen.
Drei Stufen statt eines roten Knopfs
| Stufe | Was wird gestoppt? | Betrieb |
|---|---|---|
| Pause | Neue automatische Aktionen | Offene Fälle bleiben sichtbar |
| Sicherer Modus | Schreiben, Senden und Löschen | Team arbeitet manuell weiter |
| Rollback | Fehlerhafte Version oder Konfiguration | Letzter geprüfter Stand läuft |
Was vor dem Ernstfall feststehen muss
- Wer darf abschalten, auch ausserhalb der Bürozeit?
- Welcher einzelne Zugriff oder Job wird pausiert?
- Wo landen neue Anfragen während der Pause?
- Welche bereits ausgeführten Aktionen müssen geprüft werden?
- Welche fünf Kontrollen erlauben den Wiederanlauf?
Der häufigste Denkfehler ist ein Schalter ohne Prozess. Wenn niemand weiss, ob danach Formulare verschwinden oder Kunden doppelt bearbeitet werden, wird im Zweifel nicht gedrückt. Testen Sie deshalb quartalsweise mit einem ungefährlichen Vorgang: pausieren, eine Anfrage einsenden, manuellen Eingang prüfen und kontrolliert fortsetzen.
Rollback ist mehr als alte Software
Auch Prompts, Berechtigungen, Routing-Regeln und Wissensquellen sind Versionen. Nach einer fehlerhaften Änderung muss nachvollziehbar sein, welcher Stand aktiv war. Die Incident-Response-Vorlage regelt die Kommunikation; das Agent-Inventar zeigt, welche Systeme betroffen sind.
Eine kleine Automation braucht keinen Leitstand. Ein dokumentierter Pause-Schalter, ein manueller Eingang und ein getesteter Neustart reichen oft. Entscheidend ist, dass diese drei Dinge vor dem Fehler existieren.
Quellen
FAQ
Braucht jede Automation einen Kill Switch?
Für rein lesende Hilfen genügt oft ein einfacher Aus-Schalter. Sobald ein System sendet, bucht, löscht oder Daten verändert, sollte die kritische Aktion separat pausierbar sein.
Wer darf abschalten?
Mindestens ein fachlicher und ein technischer Owner sollten den Weg kennen. Die Berechtigung selbst bleibt eng begrenzt.
Verliert man beim Rollback Daten?
Ein sauberer Rollback ersetzt Code oder Konfiguration, nicht blind Geschäftsdaten. Ausgeführte Aktionen werden separat abgeglichen.
Wie oft testen?
Nach wesentlichen Änderungen und zusätzlich in einem festen, risikogerechten Rhythmus.