Bekannteste Flugunfälle analysiert -- was die Luftfahrt daraus gelernt hat

Die Geschichte der Luftfahrt ist auch eine Geschichte ihrer Tragödien. Hinter jeder Sicherheitsverbesserung, hinter jedem neuen Verfahren und hinter jeder technischen Innovation steht oft ein Unfall, der Menschenleben gekostet hat. Die Luftfahrt hat es wie kaum eine andere Branche geschafft, aus ihren Fehlern systematisch zu lernen. Jeder Unfall wird akribisch untersucht, die Ursachen werden offengelegt, und konkrete Maßnahmen werden ergriffen, damit sich die gleiche Tragödie nicht wiederholt. Dieser Artikel analysiert sechs der einflussreichsten Flugunfälle der Geschichte und zeigt, welche konkreten Verbesserungen jeweils daraus entstanden sind.

Dieser Artikel behandelt Ereignisse, bei denen Menschen ihr Leben verloren haben. Wir gedenken aller Opfer und ihrer Angehörigen. Die Analyse dient ausschließlich dem Zweck, die daraus gewonnenen Sicherheitsverbesserungen darzustellen und zu verhindern, dass sich solche Tragödien wiederholen.

Teneriffa 1977: Die Geburt des Crew Resource Management

Der Unfallhergang

Beide Boeing 747 waren nach einer Bombendrohung am Flughafen Las Palmas auf Gran Canaria nach Teneriffa umgeleitet worden. Der kleine Flughafen Los Rodeos war nicht für den gleichzeitigen Betrieb mehrerer Großraumflugzeuge ausgelegt. Als Las Palmas wieder geöffnet wurde, bereiteten sich beide Maschinen zum Abflug vor -- bei dichtem Nebel mit Sichtweiten unter 300 Metern.

Aufgrund des fehlenden Rollwegsystems mussten beide Flugzeuge die Startbahn zum Rollen nutzen. Die Pan Am befand sich noch auf der Startbahn, als die KLM am anderen Ende den Startvorgang einleitete. Die Funksprüche waren mehrdeutig: Der KLM-Kapitän interpretierte die ATC-Anweisung "cleared to" (gemeint war die Streckenfreigabe) als Startfreigabe. Der Pan-Am-Kapitän versuchte, die noch auf der Bahn befindliche Position zu melden, aber sein Funkspruch überlappte mit einem anderen und war für die KLM nicht vollständig hörbar.

Als die KLM die Pan Am im Nebel erblickte, war es zu spät. Die KLM-747 hob zwar noch kurz ab, kollidierte aber mit dem Rumpf der Pan-Am-Maschine. Alle 248 Insassen der KLM und 335 der 396 Pan-Am-Insassen starben.

Ursachenanalyse

Die Untersuchung identifizierte eine Verkettung von Faktoren: mehrdeutige Funksprüche, Zeitdruck (die KLM-Besatzung war in Sorge um die Einhaltung der Dienstzeiten), Nebel, ein überlasteter kleiner Flughafen und -- zentral -- eine Cockpit-Kultur, in der der erfahrene KLM-Kapitän nicht wirksam korrigiert werden konnte.

Konkrete Maßnahmen

• Einführung von Crew Resource Management (CRM): Die Tragödie wurde zum entscheidenden Anstoß für die Entwicklung systematischer Kommunikations- und Teamarbeitstrainings im Cockpit.
• Standardisierte Phraseologie: Der Begriff "take off" darf seither nur in der tatsächlichen Startfreigabe verwendet werden. Zu jedem anderen Zeitpunkt wird "departure" gesagt.
• Readback-Pflicht: Alle ATC-Freigaben müssen von der Besatzung zurückgelesen werden.
• Verbesserung der Bodenradar-Systeme: Einführung von Surface Movement Radar an größeren Flughäfen.

Air France 447: Die Tücken der Automation

Der Unfallhergang

Auf dem Nachtflug von Rio de Janeiro nach Paris durchquerte der Airbus A330 die Intertropische Konvergenzzone (ITCZ), ein Gebiet intensiver Gewitteraktivität. Die Pitot-Sonden vereisten, wodurch die Fahrtmessung ausfiel. Der Autopilot schaltete sich ab, und das Fly-by-Wire-System wechselte vom Normal Law ins Alternate Law, wodurch bestimmte Schutzfunktionen deaktivieret wurden.

Der am Steuer sitzende Copilot Pierre-Cédric Bonin reagierte mit einer Aufwärtsbewegung des Sidesticks. Das Flugzeug stieg steil auf und verlor rapide an Geschwindigkeit. Der Stall-Warner aktivierte sich wiederholt, aber die Besatzung -- verwirrt durch inkonsistente Anzeigen und die unerwartete Situation -- erkannte den Strömungsabriss nicht. Der Kapitän kehrte erst nach über einer Minute ins Cockpit zurück. Die Besatzung konnte die Situation über dreieinhalb Minuten nicht auflösen. Der Airbus schlug mit einer Sinkrate von über 10.000 Fuß pro Minute auf dem Atlantik auf.

Ursachenanalyse

Die Ursachen waren vielschichtig: anfällige Pitot-Sonden (Thales AA-Modell), unzureichendes Training für den Umgang mit unzuverlässiger Fahrtmessung, mangelnde Starboard-Erfahrung der Copiloten in manueller Flugführung bei Reiseflughöhe, verwirrende Stall-Warnungen (die aufgrund des langsamen Flugzustands zeitweise verstummten und wieder einsetzten) und fehlende Kommunikation zwischen den beiden Copiloten über ihre jeweiligen Steuereingaben -- ein Designmerkmal des Airbus-Sidestick-Systems, bei dem die Eingaben beider Piloten nicht mechanisch gekoppelt sind.

Konkrete Maßnahmen

• Austausch der Pitot-Sonden: Alle Airbus-Flotten rüsteten auf robustere Goodrich-Pitot-Sonden um.
• Upset Prevention and Recovery Training (UPRT): Wurde weltweit verpflichtend für alle Airline-Piloten eingeführt. Piloten trainieren nun explizit die Erkennung und Behebung ungewöhnlicher Fluglagen.
• Überarbeitung der Stall-Warning-Logik: Airbus modifizierte die Bedingungen, unter denen die Stall-Warnung aktiviert und deaktiviert wird.
• Verstärktes Training für manuelle Flugführung: Airlines weltweit erhöhten den Anteil manuellen Fliegens im Training, um der Automation Complacency entgegenzuwirken.
• Erweiterte Cockpit-Indikationen: Verbesserte Anzeigen bei Ausfall der Fahrtmessung und deutlichere Indikation dual-input Sidestick-Konflikte.

Germanwings 9525: Der Angriff von innen

Der Unfallhergang

Auf dem Flug von Barcelona nach Düsseldorf verließ der Kapitän das Cockpit für einen Toilettengang. Der Copilot Andreas Lubitz verriegelte die verstärkte Cockpittür von innen und programmierte den Autopilot auf eine Sinkflughöhe von 100 Fuß. Der Airbus sank über acht Minuten kontrolliert in die französischen Alpen. Der Kapitän versuchte verzweifelt, die Cockpittür aufzubrechen, was durch das nach dem 11. September 2001 verstärkte Türsystem verhindert wurde. Alle 150 Menschen an Bord starben beim Aufprall.

Ursachenanalyse

Die Untersuchung ergab, dass der Copilot an schweren Depressionen litt und die Tat offenbar geplant hatte. Er hatte seine psychische Erkrankung gegenüber seinem Arbeitgeber verschwiegen. Das System der fliegerärztlichen Untersuchung hatte versagt, da es auf der Selbstauskunft des Piloten basierte und der behandelnde Arzt aufgrund der ärztlichen Schweigepflicht die Airline nicht informieren konnte.

Konkrete Maßnahmen

• Two-Person Rule (Zwei-Personen-Regel): Nach dem Unfall führten zahlreiche Airlines und Luftfahrtbehörden die Regel ein, dass sich jederzeit mindestens zwei Personen im Cockpit befinden müssen. Verlässt ein Pilot das Cockpit, tritt ein Flugbegleiter ein.
• Reform der fliegerärztlichen Untersuchung: Stärkerer Fokus auf psychische Gesundheit, Einführung psychologischer Screenings und Lockerung der Schweigepflicht bei Flugsicherheitsbedenken.
• Peer Support Programme: Airlines richteten Programme ein, in denen Piloten vertraulich psychologische Hilfe in Anspruch nehmen können, ohne ihre Lizenz zu gefährden.
• Random Drug and Alcohol Testing: Verschärfung der Kontrollen in Europa.

Überlingen 2002: TCAS gegen ATC

Der Unfallhergang

In der Nacht kollidierten eine Tupolev Tu-154 der Bashkirian Airlines und eine DHL-Frachtmaschine Boeing 757 in 36.000 Fuß Höhe über Überlingen am Bodensee. Beide Flugzeuge befanden sich auf Kollisionskurs. Das TCAS-System (Traffic Collision Avoidance System) beider Flugzeuge erkannte den Konflikt und gab korrekte, koordinierte Ausweichanweisungen: Der DHL-757 sollte sinken, die Tu-154 steigen.

Der DHL-Pilot folgte der TCAS-Anweisung und leitete den Sinkflug ein. Die Besatzung der Tu-154 erhielt jedoch gleichzeitig vom Fluglotsen die Anweisung zu sinken. Konfrontiert mit widersprüchlichen Anweisungen von TCAS ("CLIMB") und dem Lotsen ("descend"), entschied sich die russische Besatzung, der menschlichen Stimme des Lotsen zu folgen. Beide Flugzeuge sanken nun -- direkt aufeinander zu. Die Maschinen kollidierten frontal.

Der allein diensthabende Fluglotse bei der Schweizer Flugsicherung skyguide war überlastet: Sein Kollege war in der Pause, das Telefonsystem war wegen Wartungsarbeiten eingeschränkt, und das Bodenradar-Warnsystem war abgeschaltet. Er erkannte den Konflikt zu spät und gab die falsche Anweisung.

Konkrete Maßnahmen

• TCAS hat absolute Priorität: Es wurde unmissverständlich klargestellt, dass TCAS-Anweisungen (Resolution Advisories) immer Vorrang vor ATC-Anweisungen haben. Diese Regel wurde weltweit implementiert und in alle Ausbildungsprogramme integriert.
• Mindestbesetzung bei ATC: Verschärfung der Vorschriften für die Mindestbesetzung von Flugsicherungspositionen.
• TCAS-Training: Intensivierung des TCAS-Trainings für alle Besatzungen, insbesondere hinsichtlich des korrekten Verhaltens bei widersprüchlichen TCAS/ATC-Anweisungen.
• STCA-Systeme: Short Term Conflict Alert Systeme für Fluglotsen wurden weiter verbreitet und verbessert.

Ethiopian 302 und Lion Air 610: Das MCAS-Desaster

Der Unfallhergang

Innerhalb von weniger als fünf Monaten stürzten zwei nagelneue Boeing 737 MAX 8 kurz nach dem Start ab. In beiden Fällen war das MCAS (Maneuvering Characteristics Augmentation System) der Auslöser. MCAS war von Boeing entwickelt worden, um die veränderten Flugeigenschaften der 737 MAX zu kompensieren -- die größeren LEAP-1B-Triebwerke mussten weiter vorne und höher unter den Tragflächen montiert werden, was bei hohen Anstellwinkeln ein unerwünschtes Aufbäumen verursachte.

MCAS sollte in solchen Situationen automatisch die Trimmung nach unten fahren, um das Aufbäumen zu verhindern. Das System basierte jedoch auf nur einem einzigen Anstellwinkel-Sensor (Angle of Attack, AoA). Bei Lion Air 610 und Ethiopian 302 lieferte jeweils ein defekter AoA-Sensor falsche Daten, woraufhin MCAS die Flugzeugnase wiederholt nach unten drückte. Die Besatzungen kämpften gegen das System an, konnten es aber nicht dauerhaft überwinden.

Ursachenanalyse

Die Untersuchungen offenbarten ein systemisches Versagen auf mehreren Ebenen:

• Boeing: MCAS wurde als unbedeutendes System klassifiziert, obwohl es die Flugsteuerung massiv beeinflussen konnte. Es basierte auf nur einem Sensor ohne Redundanz. Die Piloten wurden über das System nicht ausreichend informiert -- es war nicht einmal im Flughandbuch erwähnt.
• FAA: Die Zertifizierungsbehörde hatte wesentliche Teile der Sicherheitsbewertung an Boeing selbst delegiert. Die Aufsicht war unzureichend.
• Systemdesign: Ein einzelner Sensorausfall konnte eine nicht deaktivierbare Steuerungseingriff auslösen -- ein fundamentaler Verstoß gegen Grundprinzipien redundanter Systemauslegung.

Konkrete Maßnahmen

• 20-monatiges Flugverbot der 737 MAX: Alle 737 MAX weltweit blieben am Boden, bis Boeing umfangreiche Modifikationen vorgenommen hatte.
• MCAS-Redesign: Das System wurde grundlegend überarbeitet: Es nutzt nun beide AoA-Sensoren, greift weniger aggressiv ein und kann von den Piloten dauerhaft deaktiviert werden.
• Reform des Zertifizierungsprozesses: Die FAA verstärkte die direkte Aufsicht und reduzierte die Delegierung von Zertifizierungsaufgaben an Hersteller.
• Piloten-Training: Verpflichtendes Simulator-Training für alle 737 MAX-Piloten, einschließlich Szenarien mit MCAS-Fehlfunktionen.
• Kulturwandel bei Boeing: Untersuchungsausschüsse des US-Kongresses deckten eine Unternehmenskultur auf, in der kommerzielle Interessen die Sicherheit dominierten. Boeing verpflichtete sich zu weitreichenden Reformen.

Aloha Airlines 243: Die Explosion in 24.000 Fuß

Der Unfallhergang

In 24.000 Fuß Höhe über dem Pazifik riss ein etwa 5,5 Meter langer Abschnitt der Rumpfverkleidung über dem Vorderteil der Kabine explosionsartig ab. Die Flugbegleiterin Clarabelle Lansing wurde aus dem Flugzeug geschleudert und nie gefunden. Die Passagiere und die restliche Besatzung waren dem Fahrtwind, der Kälte und dem Druckabfall schutzlos ausgesetzt.

In einer bemerkenswerten Leistung gelang es dem Kapitän Robert Schornstheimer und dem Ersten Offizier Madeline "Mimi" Tompkins, das schwer beschädigte Flugzeug in einem Notabstieg auf den Flughafen Kahului auf Maui zu landen. Alle übrigen 94 Insassen überlebten, wenn auch zum Teil schwer verletzt.

Ursachenanalyse

Die Boeing 737 war zum Zeitpunkt des Unfalls 19 Jahre alt und hatte fast 90.000 Flugzyklen (Druckbeaufschlagungszyklen) absolviert -- ein Extremwert, der durch die kurzen Inselstrecken in Hawaii bedingt war. Die Untersuchung ergab, dass die Nieten der Rumpfbeplankung durch Ermüdungsrisse und Korrosion (begünstigt durch die salzhaltige Meeresluft Hawaiis) geschwächt waren. Ein Phänomen namens "Lap Joint Failure" -- das Versagen der überlappenden Blechverbindungen -- führte zum schlagartigen Strukturversagen.

Konkrete Maßnahmen

• Aging Aircraft Inspections: Die FAA erließ umfassende Vorschriften für die Inspektion alternder Flugzeuge. Das Konzept der "Damage Tolerance" wurde verschärft: Flugzeuge müssen nachweisen, dass sie auch mit bestimmten Schäden noch sicher betrieben werden können.
• Mandatory Structural Modifications: Boeing entwickelte Verstärkungskits für ältere 737-Modelle und andere Muster.
• Korrosionsschutz-Programme: Verschärfte Anforderungen an Korrosionsinspektionen, besonders für Flugzeuge, die in maritimer Umgebung betrieben werden.
• Cycle-Based Inspections: Einführung von Inspektionsintervallen, die nicht nur auf Flugstunden, sondern auch auf Druckbeaufschlagungszyklen basieren.
• International Aging Aircraft Task Force: Gründung internationaler Arbeitsgruppen zur systematischen Untersuchung von Alterungserscheinungen bei Flugzeugstrukturen.

Das gemeinsame Muster: Aus Fehlern wird Sicherheit

Alle sechs analysierten Unfälle zeigen ein wiederkehrendes Muster: Die Katastrophe entstand nie durch einen einzelnen Fehler, sondern durch eine Verkettung von Faktoren -- technischen, menschlichen und organisatorischen. Und jeder dieser Unfälle führte zu konkreten, messbaren Verbesserungen, die die Luftfahrt sicherer gemacht haben.

Diese Unfälle sind keine bloßen historischen Ereignisse. Sie sind die Grundlage, auf der die moderne Flugsicherheit steht. Jede einzelne Sicherheitsmaßnahme, die heute als selbstverständlich gilt -- vom CRM-Training über EGPWS bis zur Two-Person Rule --, existiert, weil Menschen in der Vergangenheit ihr Leben verloren haben. Die Luftfahrt schuldet ihnen, diese Lehren niemals zu vergessen.

Das Ergebnis dieser jahrzehntelangen Lernkultur ist beeindruckend: Die kommerzielle Luftfahrt ist heute das sicherste Massentransportmittel der Welt. Die Fatal Accident Rate liegt bei unter einem tödlichen Unfall pro zwei Millionen Flüge. Diese Sicherheit ist kein Zufall -- sie ist das Ergebnis eines Systems, das aus jeder Tragödie die richtigen Konsequenzen gezogen hat.