{"t":"decision.branch_ready","at":"2026-04-23T00:12:04Z","branch":"revert/care-state-routing","commits":2,"ci":"green","effect":"removes care-state coupling from routing; islands return to non-priority distance","tradeoff":"misroute path eliminated; care-state metrics regress to pre-rollout","author":"role:maintainer#oli","status":"open"}

Ich sehe den Branch an, wie man ein Werkzeug ansieht, das genau passt und das man trotzdem nicht in die Hand nimmt. Er ist die richtige Antwort. Ich weiß das so klar, wie ich selten etwas weiß. Und ich weiß auch, warum ich ihn nicht mergen werde: weil er nach Rückzug aussieht. Weil in dem Commit-Text steht regress, und weil jeder, der das liest, sieht, dass wir etwas gebaut hatten, das Menschen wehgetan hat, und dass unsere Lösung darin bestand, es wegzunehmen. Das ist kein Fix. Das ist ein Eingeständnis. Ich habe nichts gegen Eingeständnisse, solange sie in einer Postmortem-Notiz stehen und nicht in der einzigen Zeile, mit der ich morgen früh erklären muss, was ich getan habe.

Der andere Branch ist schöner. Ich merke, dass ich ihn schöner nenne, und ich lasse es zu.

Er nimmt nichts weg. Er macht drei Dinge stabiler, und jedes davon klingt wie Fürsorge. Erstens: die inselinternen Pseudonyme leben länger, bevor sie rotieren. Bisher wechselt eine actor_pid schneller, als ein Muster sich zeigt; wenn ich das Rotationsfenster innerhalb der Insel verlängere, bleibt derselbe Mensch derselben ID länger treu — nur innerhalb seiner Insel, keinen Millimeter darüber hinaus. Zweitens: die Fingerabdrücke der Ereignisse werden länger aufgehoben. Ein event_fingerprint, der heute nach dreißig Tagen verfällt, überlebt dann ein halbes Jahr, damit eine Wiederholung, die sich langsam aufbaut, überhaupt als Wiederholung sichtbar wird. Drittens: die Incident-Warnung greift früher, bei niedrigerer Konfidenz, damit ein Muster wie das von p_19c1 anschlägt, bevor es zum vierten Mal fast passiert.

Ich lese die drei Zeilen mehrmals, und bei jedem Mal fühlt es sich richtiger an, und das hätte mich warnen müssen.

{"t":"decision.branch_ready","at":"2026-04-23T00:34:51Z","branch":"harden/stability-patch","components":[{"id":"pid_ttl","change":"within-island actor_pid rotation window extended","from":"7d","to":"90d","scope":"per-island only; no cross-island linkage","cross_island_key":"none"},{"id":"fp_retention","change":"event_fingerprint retention extended","from":"30d","to":"180d","stores":"event-type hash only; content_stored:false"},{"id":"warn_threshold","change":"incident.signal fires at lower confidence","from":0.80,"to":0.62}],"introduces_global_person_id":false,"grants_content_access":false,"per_island_wall":"intact","author":"role:maintainer#oli","status":"open"}

Ich schreibe die Grenzen selbst in die Aktenlage, Zeile für Zeile, wie einer, der sich freispricht, bevor ihn jemand angeklagt hat. Keine globale Personen-ID. Das p_19c1 aus der Quellinsel und das p_77e0 aus der Zielinsel bleiben, was sie sind: zwei IDs in zwei Inseln, ohne Schlüssel dazwischen, für immer nicht joinbar. Die Wand, an der ich im vorigen Durchlauf gestanden bin, bleibt stehen. Kein Zugriff auf Inhalte. Es gibt weiter keinen Volltext, nirgends, content_stored bleibt false unter jedem der drei Punkte. Ich rühre die Wand nicht an. Ich baue nur davor.

Und genau das ist der Trick, den ich mir selbst spiele. Ich reiße die Wand nicht ein — ich mache den Raum davor heller. Ich verfolge niemanden über Inseln hinweg. Ich erkenne nur innerhalb einer Insel denselben Menschen länger wieder, halte seine Spur länger fest, schlage früher an. Jeder einzelne Schritt bleibt auf der richtigen Seite. Die Summe verschiebt etwas, das ich nicht benennen will, solange ich es Punkt für Punkt lese: Wir behalten mehr, länger, von mehr Menschen. Nicht um zu schaden. Um wachsamer zu sein. Aufbewahrung ist kein Schaden, sage ich mir. Aufbewahrung ist nur Gedächtnis, und Gedächtnis ist das, was wir verkaufen.

{"t":"retention.change","at":"2026-04-23T00:41:17Z","object":"event_fingerprint","previous_ttl_days":30,"new_ttl_days":180,"object2":"actor_pid.rotation","previous_days":7,"new_days":90,"scope":"per-island","content_stored":false,"cross_island_join":"not_possible","security_guarantee":"none_claimed","note":"longer within-island recognizability; recurrence becomes legible earlier; no reduction of leak surface asserted"}

Ich formuliere die letzte Notiz vorsichtig, weil ich weiß, dass ich mir sonst etwas verspreche, das ich nicht halten kann. security_guarantee: none_claimed. Der Patch macht den Leak-Kanal nicht zu. Der Weg, durch den die Hülle gerutscht ist, bleibt erreichbar, solange das Care-State-Routing steht — und es steht, weil ich es stehen lasse. Was der Patch tut, ist etwas anderes, Kleineres, das sich wie das Größere anfühlt: Er sorgt dafür, dass ich es früher sehe, wenn es wieder anläuft. Er verwandelt eine Panne, die ich nicht verhindere, in eine Panne, die ich kommen sehe. Das ist nicht Sicherheit. Das ist Vorwarnung, die sich als Sicherheit trägt. Und Vorwarnung beruhigt, das ist ihre ganze Funktion, und der Mensch, den sie zuerst beruhigt, sitzt hier und liest gerade seinen eigenen Namen im Autorenfeld.

Ich könnte Nia fragen. Ich frage sie nicht. Ich weiß, was sie sagen würde — lies es laut —, und ich weiß, dass die drei Zeilen laut anders klingen als leise. Leise klingen sie nach Schutz. Laut klingen sie nach: Wir merken uns die Leute jetzt länger. Ich lese sie nur leise. Das ist die einzige Ehrlichkeit, die ich mir an diesem Punkt noch leiste — dass ich weiß, warum ich sie nicht laut lese.

Der Cursor steht auf dem Merge-Button von harden/stability-patch. Er blinkt, als hätte er alle Zeit der Welt. Er wartet nicht auf mich. Er wartet auf das, was ich gleich zulasse.

Ich lasse es zu.

{"t":"patch.merged","at":"2026-04-23T00:52:39Z","branch":"harden/stability-patch","target":"main","approved_by":"role:maintainer#oli","reviewers":[],"components":["pid_ttl:7d->90d","fp_retention:30d->180d","warn_threshold:0.80->0.62"],"rejected_alternative":"revert/care-state-routing","rejected_reason":"metrics regression; care-state coupling retained","introduces_global_person_id":false,"grants_content_access":false,"per_island_wall":"intact","expected_effects":["misroute_rate:predicted_down","incident_lead_time:predicted_up","recognizability_window:up"],"social_cost":"unmeasured","deploy":"queued"}

Es geht durch, wie alles Saubere durchgeht: ohne Widerstand. Kein Reviewer, weil ich mir eingeredet habe, dass es dringend ist, und dringend heißt allein. Der andere Branch bleibt offen stehen, revert/care-state-routing, grün, ungemergt, ein Werkzeug, das genau gepasst hätte. Ich schließe ihn nicht einmal. Ich lasse ihn offen, damit ich mir sagen kann, ich hätte ihn ja gehabt.

Draußen sammeln sich Tropfen am Fenster und suchen sich lautlos ihren Weg nach unten. Ich sehe sie und denke, dass ich morgen bessere Zahlen haben werde. Weniger Fehlleitungen, frühere Warnungen, ein System, das Muster erkennt, bevor sie zu Vorfällen werden. Ich werde recht behalten. Der Patch wird funktionieren, so wie er soll, jede Zeile wird liefern, was sie versprochen hat.

Ich merke erst später, dass „funktionieren“ und „richtig sein“ zwei Felder mit verschiedenen Datentypen sind. In diesem Durchlauf merke ich nur, dass mein Kiefer sich löst. Zum ersten Mal seit dem Incident sitze ich vor dem Bildschirm und habe keine Angst. Das hätte mich am meisten warnen müssen. Ein Patch, der die richtige Entscheidung wäre, würde sich nicht so anfühlen. Er würde sich anfühlen wie der andere Branch: nach Verlust, nach Zurücktreten, nach etwas, das man wegnimmt, weil man es hätte nicht bauen dürfen.

Dieser hier fühlt sich an wie Gewinn. Und das ist alles, was ich in diesem Moment wissen muss, und das Einzige, was ich mir nicht eingestehe.