«Clear the sky», hiess es am Mittwochmorgen gegen halb fünf Uhr in der Zentrale der Luftraumsicherung Skyguide. Für mehrere Stunden durfte kein einziges Flugzeug über die Schweiz fliegen. An die 100 Flüge mussten umgeleitet werden, fielen aus oder hoben verspätet ab. Tausende Passagiere sassen für Stunden an Schweizer Flughäfen fest.
Auslöser für das Chaos: Ein Netzwerk-Switch lief fehlerhaft, eine grundlegende Hardwarekomponente. Auch die Back-up-Switches griffen nicht ein. Bislang ist auch bei Skyguide unklar, warum das System nicht funktioniert hat.
Redundanzen sorgen für Sicherheit
Als solide gilt ein modernes Netzwerk, wenn es Redundanzen aufweist. Darunter versteht man die absichtliche Mehrfachauslegung technischer Bestandteile. Bei normaler Funktion überflüssige Einheiten sind als Ersatz für ausfallende Komponenten gedacht. Die Netzwerkschalter müssen nicht nur mit den Computern, sondern auch untereinander verbunden sein. Ein Schalter muss die Ausfälle eines anderen erkennen können – und für das defekte Teil einspringen.
Um zu vermeiden, dass mehrere Geräte die gleichen Fehler aufweisen, sollen Produkte unterschiedlicher Hersteller verwendet werden. Auch zusätzliche Kontrollsysteme, die die Netzwerkanwendungen laufend überprüfen, sind möglich. Doch das ist teuer, sagt Laurent Vanbever (36), ausserordentlicher Professor für Vernetzte Systeme an der ETH Zürich: «Je höher die Redundanz eines Systems, desto höher werden die Kosten für Komponenten, die Instandhaltung und die Wartung.»
Erster Fehler im System seit fünf Jahren
Der fehlerhafte Netzwerkschalter bei Skyguide hatte sogar drei Back-up-Schalter. Einer davon habe am Abend vorher eine Warnung gesendet, sagt Klaus Meier (57), Chief Information Officer von Skyguide, zu SonntagsBlick. «Das war nicht besorgniserregend, denn die anderen zwei Schalter liefen normal.» Doch auf eine zweite Fehlermeldung am nächsten Morgen wurde der Datenfluss plötzlich gestoppt, ohne auf einen der Back-up-Schalter umzuleiten – obwohl diese reibungslos funktionierten.
Das System brach zusammen. Meier sagt: «Das verstehen wir nicht. Die Geräte arbeiten seit fünf Jahren zusammen. Es gab nie einen Fehler.»
Alle Netzwerkschalter sind vom gleichen Hersteller. Man suche auf Hochtouren nach der Ursache, betont Chefinformatiker Meier. «In vielen Fällen verwenden wir verschiedene Lieferanten, um die Redundanz zu steigern. Doch Netzwerkschalter sind zwar kritisch in ihrer Funktion, im Aufbau aber relativ unkompliziert. Deshalb unterscheiden sich die Bauteile von Hersteller zu Hersteller nicht gross», erklärt er.
Im restlichen Netzwerk wird stärker auf Risikostreuung geachtet: Das Unternehmen operiert mit drei voneinander physisch komplett unabhängigen Leitungen, welche die Zentralen in Genf und Dübendorf ZH miteinander verbinden. Für Informationsübertragungen setzt man auf verschiedene Technologien – von dem zweifachen IP-Netzwerk für digitale Datensätze bis hin zum analogen Notfallnetzwerk.
Letzte Sicherheitsprüfung war im April
Das Bundesamt für Zivilluftfahrt (Bazl) überprüft regelmässig die Sicherheit der IT-Systeme von Skyguide. Die letzte Untersuchung fand im April statt, schreibt die Behörde auf Anfrage des SonntagsBlicks: «Die IT-Systeme der Flugsicherung Skyguide erfüllen die internationalen und nationalen Standards und regulatorischen Vorgaben.»
Dass es trotzdem immer wieder Ausfälle geben kann, liege an der hohen Komplexität der modernen Netzwerke, sagt Laurent Vanbever. «Das redundanteste System kann ausfallen. Das lässt sich nicht verhindern.» Umso wichtiger sei es jetzt, dass Skyguide die Ursache finde und Ausfälle durch entsprechende Kontrollsysteme zukünftig vermeide.
Skyguide arbeitet in einem kritischen Umfeld – das System müsse deshalb den höchsten Standards entsprechen, fordert der Informatiker. Denn im Notfall gehts um Leben und Tod: «Die Zuverlässigkeit der Netzinfrastruktur ist entscheidend für die Sicherheit der Menschen.»