Wer Sicherheit verantwortet, muss widersprechen können

Im Oktober 2018 und im März 2019 stürzten zwei Flugzeuge des Typs Boeing 737 MAX ab, ein Flug der Lion Air und ein Flug der Ethiopian Airlines, mit zusammen 346 Todesopfern. Die Untersuchungen identifizierten als zentrale Ursache ein neues Steuerungssystem namens MCAS. Es drückte die Nase des Flugzeugs unter bestimmten Bedingungen wiederholt nach unten, für die Piloten kaum nachvollziehbar und auf Grundlage fehlerhafter Daten eines einzelnen Sensors, der nicht redundant ausgelegt war.

Entwickelt und zugelassen wurde dieses System unter erheblichem Druck. Der Konkurrent Airbus war mit einem neuen, sparsameren Modell bereits erfolgreich am Markt. Boeing wollte die 737 MAX schnell und ohne aufwendige, teure Umschulung der Piloten ausliefern. MCAS wurde deshalb so ausgelegt, dass es im Alltag möglichst wenig auffiel. In den Handbüchern für Piloten tauchte es zunächst gar nicht auf. Zugleich hatte die amerikanische Luftfahrtbehörde FAA im Rahmen eines seit Jahren etablierten Verfahrens große Teile der Zertifizierungsprüfung an Boeing-Beschäftigte übertragen, die formal im Auftrag der Behörde und faktisch innerhalb der Weisungsstrukturen des Unternehmens arbeiteten.

In dieser Konstellation mussten Ingenieure ihre Sicherheitsbedenken innerhalb derselben Organisation vortragen, die unter hohem Zeit- und Kostendruck stand, das Flugzeug zur Zulassung zu bringen. Spätere Untersuchungen und veröffentlichte interne Kommunikation zeigten, dass einzelne Beschäftigte durchaus Zweifel geäußert hatten. Diese Zweifel entfalteten jedoch nicht die Kraft, die für eine grundlegende Überarbeitung des Systems oder eine ausführlichere Schulung der Piloten nötig gewesen wäre.

Jede Sicherheits-, Qualitäts- oder Risikofunktion wirkt nur, solange sie sich durchsetzen kann, gerade in den Momenten, in denen ihre Erkenntnisse den wirtschaftlichen oder zeitlichen Interessen der übrigen Organisation erkennbar entgegenstehen. Dieser Widerspruch braucht eine strukturelle Absicherung. Sie fehlt, sobald die Verantwortlichen organisatorisch, finanziell oder in ihrer Karriere von denselben Vorgesetzten abhängen, deren Entscheidungen sie kontrollieren sollen. Die Sicherheitsfunktion verliert damit ihre Wirkung, gleich wie ausführlich sie auf dem Papier beschrieben ist.

Eine Sicherheitsfunktion wirkt nur, solange sie sich gegen wirtschaftlichen und zeitlichen Druck durchsetzen kann. Dafür braucht sie Unabhängigkeit von den Vorgesetzten, deren Entscheidungen sie kontrollieren soll.

Mehr solcher Fälle gibt es hier!