Wie groß sind die Probleme bei der Schweizer Flugsicherung Skyguide?

Um 4:40 Uhr am 15. Juni hieß es in der Schweiz: «Clear The Sky». Es ist ein Extremszenario für die Luftsicherung. Und es heißt: Keine Starts, keine Landungen, keine Überflüge sind mehr möglich. Die Langstreckenflugzeuge, die schon bald in Zürich und Genf in der sogenannten «Morgenwelle» hätten landen sollen, wurden umgeleitet.

Der Grund für das Chaos war ein Systemausfall der Schweizer Flugsicherung Skyguide. Zwar liefen die Systeme nach ein paar Stunden wieder, doch der Rattenschwanz von Verspätungen und Ausfällen zog sich teils noch Tage hin. Das Bundesamt für Zivil­luftfahrt (Bazl) und das Departe­ment für Verkehr, Umwelt, Energie und Kommunikation (Uvek) untersuchen den Vorfall derzeit, Ergebnisse sollen im Dezember vorliegen.

Softwareupdate noch nicht aufgespielt

Das Schweizer Magazin Republik hat jetzt in einem Artikel Recherchen veröffentlicht, die kein gutes Licht auf die Flugsicherung werfen. Bislang hieß es, dass ein Hardware-Fehler zum Ausfall führte. Doch offenbar war nicht der Austausch, sondern nur der Neustart eines Netzwerkcomputers nötig, um die Probleme zu beheben. Schon zwei Tage zuvor habe es Warnungen gegeben, die auf Probleme mit dem Netzwerkcomputer hingewiesen hätten. Doch das Personal habe die als Fehlalarm interpretiert.

Zudem war dem Bericht zufolge auf dem Computer laut Gesprächen mit Mitarbeitenden ein Softwareupdate nötig, das den Ausfall vielleicht hätte verhindern können. Das habe bereits vorgelegen, sei von den Technikern aber noch nicht aufgespielt gewesen.

Kritik an der Digitalisierung

Der Grund dafür war aber nicht Nachlässigkeit. Die Mitarbeitenden fürchteten, dass das Update neue Probleme auslösen könnte – und die Zuverlässigkeit der Systeme negativ beeinflussen könnte. Inzwischen ist man dabei, das Update einzuspeisen. «Aktuell führen wir ein Firmware-Update durch, das bis Ende November abgeschlossen sein wird», so Skyguide zur Republik.

Ein weiterer Kritikpunkt kommt unter anderem von Mitarbeitenden. Die zunehmende Digitalisierung berge Risiken, man dürfe nicht so technologiegläubig sein. Was sie meinen: Zunehmende Digitalisierung vereinfacht zum Teil die Arbeit der Lotsinnen und Lotsen. Und sorgt für Einsparungen bei den Flugsicherungen. Doch, so die Kritik, sie berge auch Risiken, weil alles derart miteinander vernetzt sei, dass der Ausfall eines digitalen Schalters – wie am 15. Juni geschehen – gravierendere Folgen haben kann als früher.

«Beunruhigende Schwächen im System»

Berufsverbände und Gewerkschaften verfassten aus diesem Grund Mitte September einen Brief ans Uvek. «Schon seit längerem beobachten wir Signale, welche in technischer und operationeller Hinsicht beunruhigende Schwächen im System aufzeigen», steht unter anderem darin. Unterzeichnet wurde der Brief von den Verbänden der Lotsen und Techniker sowie von zwei Schweizer Gewerkschaften.

Skyguide reagiert auf Anfrage von aeroTELEGRAPH zumindest auf diesen Vorwurf mit Verständnis. «Selbstverständlich verstehen wir den Unmut über die Ereignisse vom 15. Juni und auch darüber, dass sich Tätigkeitsprofile durch technologische Innovation und namentlich das Virtual Centre verändern, was auch zu Widerstand führt», so eine Sprecherin.

Dübendorf als einziger Serverstandort

Das «Virtual Center» ist ein Beispiel für die zunehmende Digitalisierung – und ihre möglichen Risiken. Eigentlich soll es die Flugraumüberwachung in der Schweiz vereinfachen. Denn aktuell kontrolliert man aus Genf die Westschweiz und aus Dübendorf bei Zürich den Rest des Landes. Eine Ausnahme ist Basel, dort ist die französische Flugsicherung verantwortlich. Das soll sich ändern. Angelehnt an das große europäische Projekt Single European Sky könnte man es Single Swiss Sky nennen.

Dafür schafft Skyguide einen gemeinsamen virtuellen Raum, in den immer mehr Funktionen migriert werden – eine Cloud. Doch dabei gibt es laut dem Bericht ein Problem. Denn: Die Server für diese Cloud befinden sich alle in einem Raum in Dübendorf. Das heißt: Stimmt dort etwas nicht, oder gibt es einen Brand oder andere externe Faktoren sorgen für Schäden, gibt es keine Redundanzen, die einen Ausfall verhindern.

Minimales Sicherheitsniveau noch nicht erreicht

Die Eidgenössische Finanzkontrolle (EFK), eine unabhängige Prüfungsstelle der Schweizer Regierung, hat das bereits im Februar in einem Bericht bemängelt, den Sie hier als PDF öffnen und lesen können. «Single point of failure» nennt sie das Zentrum in Dübendorf darin.

In dem Bericht überprüft die EFK, ob die Resilienz der Informations- und Kommunikationstechnik (IKT) dem Minimalstandard der Regierung für kritische Infrastruktur genügt. Und sie kommt zu dem Schluss: «Das minimale Sicherheitsniveau, wie durch den IKT-Minimalstandard empfohlen, wird aktuell noch nicht vollständig erreicht.» Neben der fehlenden sogenannten «Georedundanz» bei den Servern bemängelt die Behörde auch weitere Dinge.

Bessere Notfallpläne

Zum Beispiel habe man bei Skyguide zwar sogenannte Desaster-Recovery-Pläne für Notfälle. Doch in der Zusammenarbeit mit dem Technologiekonzern DXC, mit dem das Virtual Center aufbaut wird, bestünden diese noch nicht. Zudem wird in dem Bericht auch klar, dass Kommunikation- und Informationsflüsse in der Behörde optimiert werden sollten.

Skyguide sei aber bereits dabei, die Punkte zu bearbeiten, schreibt die EFK. «Der Großteil der dazu noch notwendigen Arbeiten ist bereits identifiziert und angestoßen. Die Prüfung der EFK hat jedoch zusätzliches Optimierungspotenzial erkannt.»

«Andere Argumente finden kaum statt»

Die Flugsicherung erklärt, man habe den Artikel der Republik zur Kenntnis genommen. Er basiere hauptsächlich auf Informationen der Gewerkschaften, so eine Sprecherin. «Andere Argumente und Kontextinformationen finden darin kaum statt, obwohl wir einen Großteil der genannten Kritikpunkte widerlegen und in den richtigen Kontext stellen können.»