Wenn mehrere Sicherheitssysteme
hintereinandergeschaltet werden, um den Ausfall eines primären Systems
nach dem Prinzip der Mehrfachsicherung durch ein sekundäres aufzufangen, kann sich der für das eine System Verantwortliche nicht auf den Vertrauensgrundsatz berufen. Anders als Dritte, die grundsätzlich auf Mehrfachsicherungen vertrauen können, darf der Verantwortliche eines Primärsystems prinzipiell gerade nicht mit der ordnungsgemässen Bedienung und
dem entsprechenden Funktionieren des Sekundärsystems rechnen (und
umgekehrt) (DANIELA THURNHERR, in: Kommentar zum Gewässerschutzgesetz und Wasserbaugesetz, a.a.O., N. 37 zu Art. 3 GSchG mit Hinweis auf
BGE 120 IV 300 E. 3d/bb).