Wie Skyguide aus Fehlern lernt

Die beiden Fluglotsen, die an diesem 15. Juni morgens gegen halb fünf Uhr Schicht hatten, konnten auf ihren Bildschirmen plötzlich die Flugroute der Flugzeuge nicht mehr erkennen. Sie informierten sogleich den Supervisor und den Techniker vor Ort. Kurze Zeit später sperrte Skyguide den gesamten Schweizer Luftraum – eine Notfallmassnahme, von der rund 6000 Passagiere betroffen waren.

So ärgerlich und peinlich die IT-Panne für das Unternehmen Skyguide ist, so simpel ist der Fall aus Sicht der Fluglotsen. «Clear the Sky» steht bei einem solchen technischen Ausfall weit oben auf der Checkliste. Man müsse schnell entscheiden und wisse nicht, ob sich die Probleme noch ausweiteten, sagt Marianne Iklé, Flugverkehrsleiterin bei Skyguide. Für die Flugsicherung ist klar: Die Sicherheit der Passagiere kommt an erster Stelle. Dazu ist der Bundesbetrieb auch von Gesetzes wegen verpflichtet.

Warum haben die Techniker nicht rechtzeitig gemerkt, dass das redundante IT-System, das bei einem Ausfall des Hauptsystems einspringen sollte, nicht übernehmen kann? Diese Kernfrage ist bei Skyguide noch Gegenstand der Untersuchungen. Erste Erkenntnisse zum Vorfall wurden an Behörden geliefert, aber noch nicht kommuniziert. Eine Cyberattacke kann das Unternehmen jedoch ausschliessen.

Keine Suche nach den Schuldigen

Bei Skyguide arbeitet man mit Hochdruck daran, die Ursachen für die Panne weiter zu untersuchen. «Die Suche nach den Verantwortlichen steht dabei nicht im Vordergrund», sagt Klaus Affholderbach, Chief Safety Officer bei Skyguide. Es gehe vielmehr darum, den tieferen Gründen auf die Spur zu kommen, um die notwendigen Schlüsse für die Anpassung von Systemen und Prozessen zu ziehen. Das vorrangige Ziel sei, als Organisation aus der Panne zu lernen.

Damit dies gelingt, ist das Management auf die Kooperationsbereitschaft der Angestellten angewiesen. Gründlich aufgearbeitet werden kann der Vorfall nur, wenn alle Beteiligten offen Auskunft geben und nicht versuchen, wichtige Informationen und Interpretationen zurückzuhalten, um sich selbst zu schützen. «Dies hat bisher sehr gut funktioniert», sagt Affholderbach.

Das war bei Skyguide nicht immer so. Die Flugverkehrsleiterin Iklé, die seit 1998 für das Unternehmen tätig ist, erinnert sich, wie sie sich in ihrer Anfangszeit gegenüber einem älteren Kollegen durchsetzen musste, der ihren Namen nicht auf den Rapport schreiben wollte, um sie vor negativen Konsequenzen zu schützen. Seither habe sich in Sachen Fehlerkultur viel verändert, sagt sie. Man gehe viel offener damit um. Wer aus Sicherheitsüberlegungen im Rückblick betrachtet vielleicht zu vorsichtig agiert habe, werde heute auch nicht mehr belächelt, sagt Iklé.

Drama in Überlingen als Auslöser

Skyguide zählt – neben den Airlines Swiss und Edelweiss – in der Schweiz heute zu den Vorreitern der sogenannten Just Culture. Dies bedeutet, dass Mitarbeiter und Mitarbeiterinnen dank einer Kultur des Vertrauens ermutigt werden, sicherheitsrelevante Ereignisse sowie eigene Fehler intern zu melden, so dass Risiken in einer Organisation frühzeitig identifiziert werden. Ein zentrales Element ist, dass redliche Fehler nicht bestraft werden. Professionalität wird aber selbstverständlich vorausgesetzt. Eine grobe Fahrlässigkeit hat Sanktionen zur Folge, das bewusste Verschweigen des Fehlers ebenso.

Auslöser der Just-Culture-Bemühungen war der tragische Unfall im deutschen Überlingen, der Skyguide tief erschütterte und das Sicherheitsdenken im Unternehmen bis heute prägt. In diesen Tagen erinnert eine Gedenktafel im Eingangsbereich des Firmensitzes an die Tragödie. Am 1. Juli 2002 kamen 71 Menschen – unter ihnen 47 Kinder – ums Leben, nachdem zwei Flugzeuge ineinandergeprallt waren. Auch der Fluglotse lebt nicht mehr. Er wurde von einem der Hinterbliebenen der Opfer umgebracht.

Der Lotse war in jener Nacht allein im Dienst. Es fanden Wartungsarbeiten statt, auch das Telefon funktionierte nicht. Er musste sich zwischen zwei Bildschirmen hin und her bewegen, um alles im Auge zu behalten. Plötzlich sah der Lotse, dass zwei Maschinen sich gefährlich nahe kamen, und gab einem der Piloten eine Anweisung, die dem Kollisionswarnsystem an Bord der Maschine genau entgegenlief.

Ins kalte Wasser geworfen

Das Unglück sei die Folge von Versäumnissen, Fehlern, unklaren Regeln, einer unangemessenen Sicherheitskultur und einer Verkettung unglücklicher Umstände gewesen, sagt Affholderbach rückblickend. Er selbst hatte im Radio davon erfahren, obwohl er damals gerade zum Stabsleiter ernannt worden war und vorher hätte im Bild sein müssen.

Eine Krisenorganisation, wie sie bei der IT-Panne zum Einsatz kam, gab es zu jener Zeit noch nicht. Der junge Manager wurde gleich ins kalte Wasser geworfen und musste vor wichtigen Branchenvertretern Red und Antwort stehen. Damals schwor er sich, dass er alles tun würde, damit so etwas nie wieder passieren würde.

Heute leitet Affholderbach eine Sicherheitsabteilung mit fünfzig Mitarbeitenden. Der Bereich kümmert sich unter anderem um die Qualitätssicherung, sorgt dafür, dass Zukunftsprojekte die Sicherheit im Tagesgeschäft nicht tangieren, und treibt die Just Culture im Unternehmen voran. Dass es trotz all diesen ergriffenen Massnahmen wieder zu einem solchen Unglück kommen könnte, sei äusserst unwahrscheinlich, sagt Affholderbach.

Just Culture als Führungsaufgabe

Bis sich die Just Culture bei Skyguide etabliert hatte, dauerte es lange. Dass Angestellte offen mit ihren Fehlern umgehen, setzt ein tiefes Vertrauensverhältnis zwischen den Mitarbeitenden und der Führungsetage voraus. Ein solches bildet sich nur heraus, wenn die Kultur durch alle Ebenen im Unternehmen wachsen kann.

Just Culture kann nicht befohlen werden, die Chefs müssen vielmehr einen nachvollziehbaren Umgang mit Fehlern vorleben. «Just Culture ist eine Führungsaufgabe», sagt Affholderbach. Für ihn persönlich heisst dies etwa, dass er Fehler offen zugibt und Kritik der Angestellten aufnimmt. Oder dass er aus Sicherheitsüberlegungen auch ab und zu unpopuläre Entscheide trifft.

«Wir haben zehn Jahre gebraucht, um eine Kultur des Vertrauens zu etablieren», sagt Affholderbach. Dass Mitarbeiterinnen und Mitarbeiter genügend Vertrauen hätten, um offen über ihre Fehler zu sprechen, habe er etwa daran gesehen, dass ein Fluglotse, der wegen eines Fehlers angeklagt worden sei, in internen Schulungen darüber gesprochen habe, damit seine Kolleginnen und Kollegen daraus hätten lernen können.

Dass sich über die Jahre eine Vertrauenskultur herausgebildet hat, zeigt sich auch an der Entwicklung der Meldungen. Gingen 2009 noch rund tausend Meldungen zu Fehlern, Versäumnissen und Verbesserungsvorschlägen ein, waren es zehn Jahre später bereits doppelt so viele.

Vertrauen verspielt

Das Vertrauen kann aber auch wieder leicht verspielt werden. Die Fluglotsen, die intern Fehler meldeten, um einen Beitrag zur Verbesserung der Sicherheit zu leisten, mussten feststellen, dass ihre detaillierten Ausführungen zu gefährlichen Annäherungen von Flugzeugen in einigen Fällen für Strafverfahren verwendet wurden. Diese gelangten über behördliche Untersuchungsberichte in die Hände von Staatsanwälten.

«Das war nicht der Deal», sagt Iklé. Die Fluglotsen hatten sich darauf verlassen, dass sie bei Fehlern, die sie nicht absichtlich oder grobfahrlässig begangen hatten, keine Sanktionen zu befürchten haben. Auch das Skyguide-Management hatte laut Affholderbach nicht damit gerechnet, dass Mitarbeitende aufgrund der freiwilligen Meldungen bestraft würden.

Doch 2019 wurde ein Fluglotse vor Bundesgericht wegen fahrlässiger Störung des öffentlichen Verkehrs zu einer bedingten Geldstrafe von 18 000 Fr. verurteilt. Er hatte zwei Flugzeugen gleichzeitig die Erlaubnis zum Steigflug erteilt; in der Folge kamen sich die Maschinen gefährlich nahe. Unternehmensintern wurde er deswegen nicht sanktioniert: Denn er hatte zwar falsch, aber nicht absichtlich oder grobfahrlässig gehandelt.

Strafe sorgt für Verunsicherung

Das Urteil sorgte für eine grosse Verunsicherung unter den Fluglotsen. Die Just-Culture-Meldungen gingen deswegen zwar nicht zurück, sie beschränken sich seither aber vor allem auf den Hergang, den man ohnehin auf dem Radar sieht. Wertvolle zusätzliche Ausführungen und Interpretationen, die zur Verbesserung der Sicherheit beitragen, fehlen weitgehend. Zu gross ist die Angst vor einer Strafanzeige. «Wir tauschen uns nun vermehrt informell über Vorfälle aus und lernen so voneinander», sagt Iklé.

Das Meldesystem, das Herzstück von Just Culture, kann damit aber seinen Zweck nicht mehr richtig erfüllen. Nur dank aussagekräftigen Meldungen gelingt es, neue Problemfelder systematisch und frühzeitig zu erkennen.

Politisch gibt es nun Bestrebungen, die Just Culture im Gesetz festzuschreiben. Demnach sollten Strafverfahren nur noch dann eröffnet werden dürfen, wenn es sich klar um einen vorsätzlichen oder grobfahrlässigen Fehler handelt.

Ausserdem soll die Just Culture, die in der Aviatik breit etabliert ist, auch in anderen sicherheitsrelevanten Branchen wie etwa dem Gesundheitswesen umgesetzt werden. Der Bundesrat lässt gerade einen entsprechenden Bericht ausarbeiten. Denn anders als Unternehmen, die innovative Produkte entwickeln und dabei aus Fehlern neue Ideen generieren, können sich sicherheitsrelevante Firmen einen solchen Umgang mit Fehlern nicht leisten. Sie müssen daraus lernen, bevor etwas passiert.

Spitäler sind noch nicht so weit

Laut Philippe Ammann, Captain bei der Swiss und Inhaber des Beratungsunternehmens Pilot Impuls, das Unternehmen bei der Einführung von Just Culture berät, sind etwa Spitäler beim Thema Just Culture oft noch nicht so weit fortgeschritten wie die Aviatik. Für das Personal könne es schwierig sein, offen über Fehler zu sprechen – weil im Team die offene Fehlerkultur noch zu wenig ausgeprägt sei oder aus Angst vor haftungsrechtlichen Folgen.

Firmenchefs aus den unterschiedlichsten Branchen seien sich meist bewusst, wie wichtig es für die Organisation wäre, dass redliche Fehler nicht bestraft würden, sagt Ammann. Doch oft haderten sie damit, nicht zu bestrafen – aus Angst, dies könnte als Schwäche ausgelegt werden oder gar Nachlässigkeit provozieren. «Diese Angst ist in der Regel unbegründet», sagt Ammann. Meist sei die Scham für die Person, die den Fehler verursacht habe, Strafe genug.

Im Kontakt mit Firmen hört Ammann oft, man habe im hektischen Tagesgeschäft gar keine Zeit für tiefergehende Fehleranalysen. Doch nur wenn das Unternehmen Massnahmen ableite und aufgrund eines Vorfalls etwa ein weiteres Sicherheitsnetz spanne, mache dies die Organisation sicherer. «Hundertprozentige Sicherheit wird man nie erreichen, weil Menschen Fehler machen», sagt Ammann.

Menschen machen Fehler

Dem Sicherheitschef von Skyguide bereitet dies aber kein Kopfzerbrechen. Im Wissen, dass Menschen Fehler machen, geht es laut Affholderbach vor allem darum, dass ein Fehler in der Organisation auffällt und aufgefangen werden kann, bevor er sich durch das ganze System zieht und am Ende die Sicherheit der Passagiere gefährdet.

Am 15. Juni konnte Skyguide die Sicherheit als oberstes Gebot gewährleisten – aber nur durch die Anwendung von «Clear the Sky», dem allerletzten Sicherheitsnetz. Nach der Panne muss der bundesnahe Betrieb nun die Versäumnisse gründlich aufarbeiten. Es stellt sich die Frage, wo und welche weiteren Sicherheitsnetze nötig sind. So betreiben etwa Kernkraftwerke mehrere redundante Sicherheitssysteme. Oder grössere Spitäler machen regelmässig sogenannte scharfe Tests. Laut Affholderbach werden solche Tests bei Skyguide auch durchgeführt.

Durch die IT-Panne entstanden erhebliche finanzielle Kosten für die Fluggesellschaften, Ärger und Umtriebe für die betroffenen Passagiere und ein Reputationsschaden für Skyguide. Für die Flugsicherung geht es nun nicht zuletzt auch darum, die Just Culture auch im technischen Bereich stärker zu verankern. Die Arbeit der Fluglotsen ist heute so stark von der Technik abhängig, dass aus einem IT-Problem rasch auch ein sicherheitsrelevantes Problem werden kann.