Kurz vor Mitternacht am 1. Juli 2002 näherten sich zwei Flugzeuge in 11.000 Metern Höhe über dem Bodensee. Bei dem einen handelte es sich um eine Boeing 757 Frachtmaschine der DHL, die mit zwei Piloten an Bord aus Bergamo gestartet war. Das andere Flugzeug war eine Tupolew Tu-154 der Baschkirischen Fluggesellschaft mit 69 Passagieren an Bord, die von Moskau nach Barcelona in den Urlaub flogen – darunter 46 Schulkinder aus der russischen Stadt Ufa. In Zürich arbeitete der Fluglotse Peter Nielsen gleichzeitig an zwei Stationen, während seine Kollegen Wartungsarbeiten über Nacht durchführten, die unbemerkt sein Konfliktwarnsystem und die meisten seiner Telefone außer Betrieb gesetzt hatten.

Beide Flugzeuge führten ein System mit, das genau für solche Momente entwickelt worden war: TCAS, das Kollisionsvermeidungssystem. In der letzten Minute der beiden Flüge funktionierte es exakt wie vorgesehen. Und trotzdem starben 71 Menschen – wegen einer Frage, die niemand eindeutig beantworten konnte: Wenn die Maschine „Steigen“ und der Mensch „Sinken“ sagt, wer hat dann die Kontrolle?

Dreiundvierzig Sekunden

Um 23:34:49 Uhr Ortszeit gab das TCAS der Tupolew den Befehl zum Steigflug. Sekunden später – nachdem Nielsen den Konflikt erst spät bemerkt hatte – wies er dieselbe Besatzung an, zu sinken. Die russischen Piloten sahen sich einem Widerspruch zwischen einer Computerstimme und einer menschlichen Stimme gegenüber, und ihr eigenes Betriebshandbuch bezeichnete TCAS als "Backup" der Flugsicherung – eine Formulierung, die so interpretiert werden konnte, als ob der Lotse Vorrang hätte. Sie folgten der menschlichen Anweisung. Die DHL-Besatzung hingegen, die ihre eigene koordinierte Anweisung vernommen hatte, folgte ebenfalls TCAS und sank – wodurch beide Flugzeuge nun aufeinander zurasten. Um 23:35:32 Uhr durchschlug das Leitwerk der 757 den Rumpf der Tupolew. Es gab keine Überlebenden: 69 an Bord der Tu-154, zwei an Bord der Boeing. Von den 71 Toten waren 52 Kinder.

Die Bundesstelle für Flugunfalluntersuchung (BFU) rekonstruierte die Protokolle zwei Jahre lang. Ihr Gutachten zu den Ursachen war breit gefächert: ein einzelner Fluglotse, der zwei Stationen betreuen musste, defekte Bodenausrüstung und gefährlich unklare internationale Verfahren. Die unmittelbaren Ursachen wurden jedoch eindeutig benannt.

Die grausame Erkenntnis liegt in ihrer Einfachheit: Hätten beide Besatzungen die TCAS-Anweisungen befolgt, wären die Flugzeuge sicher aneinander vorbeigeflogen. Die DHL-Besatzung hielt sich bis zum Schluss an ihre Anweisungen. Die Tupolev-Besatzung hingegen, die in einem System ausgebildet war, in dem die Anweisungen des Fluglotsen Gesetz waren, begann erst zwei Sekunden vor dem Aufprall, den Anweisungen des Systems Folge zu leisten – viel zu spät.

Die ganze Geschichte des Überlingen-Unfalls – und des darauf folgenden Mordes.

Wie die Maschine denkt

Um zu verstehen, was schiefgelaufen ist – und was behoben wurde – ist es hilfreich zu wissen, was TCAS eigentlich ist. Jede TCAS-II-Einheit fragt die Transponder von Flugzeugen in der Nähe auf 1030 MHz ab; deren Antworten auf 1090 MHz ermöglichen es ihr, eine ständig aktualisierte Karte des umliegenden Flugverkehrs zu erstellen: Entfernung aus der Laufzeit des Signals, Flughöhe aus der Antwort selbst und Peilung durch eine Richtantenne. Daraus berechnet der Computer die Flugbahn aller Flugzeuge für eine kurze Distanz in die Zukunft.

Wenn ein anderes Flugzeug zu nahe kommt, eskaliert das System in zwei Stufen. Etwa 40 Sekunden vor einer möglichen Kollision erfolgt die Verkehrswarnung ("Verkehr, Verkehr"), die die Besatzung zur Vorsicht auffordert. Ungefähr 25 Sekunden später folgt die Auflösungswarnung (RA): ein direkter Flugbefehl wie "Steigen, steigen" oder "Sinken, sinken". Und hier kommt der Clou: Wenn beide Flugzeuge mit TCAS II ausgestattet sind, kommunizieren die beiden Bordcomputer über ihre Mode-S-Transponder und geben sich ergänzende, koordinierte Befehle aus – ein Flugzeug steigt, das andere sinkt. Diese Choreografie funktioniert nur, wenn beide Besatzungen perfekt zusammenarbeiten. Genau diese Annahme, die fest in der Logik verankert ist, wurde in Überlingen durchbrochen.

Die Warnzeichen waren da. Siebzehn Monate zuvor waren über Japan zwei Flugzeuge der Japan Airlines beinahe kollidiert, weil die Besatzung den Anweisungen des Fluglotsen statt des TCAS-Steigbefehls gefolgt war; nur ein Ausweichmanöver in letzter Sekunde verhinderte eine Katastrophe, und etwa 100 Menschen wurden verletzt. Die Lehre aus diesem Beinaheunfall wurde dokumentiert und verbreitet – doch noch nicht in weltweit verbindliche Regeln umgesetzt, als in der Nacht über dem Bodensee dieselbe Falle zuschnappte.

Kapitän Joe geht vom Pilotensitz aus die TCAS-Anzeigen, TAs und RAs durch.

Geboren im Smog über Los Angeles

Das TCAS-System selbst entstand eine Generation zuvor unter blutigen Umständen. Am 31. August 1986 wurde Aeroméxico-Flug 498, eine DC-9 im Landeanflug auf Los Angeles, von einer privaten Piper Archer getroffen, die in den Kontrollbereich des Terminals geraten war. Die Passagiermaschine stürzte kopfüber in den Vorort Cerritos. Alle 64 Insassen der DC-9, die drei Insassen der Piper und 15 Personen am Boden – insgesamt 82 – kamen ums Leben.

Die FAA forschte bereits seit Jahrzehnten an der Kollisionsvermeidung – die Kollision im Grand Canyon 1956 markierte den Beginn dieser Entwicklung –, doch Cerritos setzte den Beratungen ein Ende. Im Dezember 1987 verabschiedete der Kongress das Gesetz Public Law 100-223, das die Ausstattung aller Verkehrsflugzeuge mit mehr als 30 Sitzplätzen im US-Luftraum bis Anfang der 1990er-Jahre mit TCAS II vorschrieb; die Flotte war Ende 1993 vollständig ausgerüstet. Ein Großteil der Welt folgte diesem Beispiel, und Zusammenstöße zwischen ausgerüsteten Verkehrsflugzeugen in der Luft wurden extrem selten. Das System funktionierte. Was jedoch noch ungetestet blieb, war die Schnittstelle zwischen System und menschlicher Kontrolle.

Die Folgen und eine zweite Tragödie

Die Trauer in Überlingen endete nicht an der Absturzstelle. Peter Nielsen, der diensthabende Fluglotse, überlebte die Nacht, aber nicht die Tragödie. Am 24. Februar 2004 reiste Vitaly Kaloyev – ein russischer Architekt, der seine Frau und seine beiden Kinder bei Flug 2937 verloren hatte und persönlich die Felder nach seiner Tochter abgesucht hatte – zu Nielsens Haus in der Nähe von Zürich und erstach ihn vor den Augen seiner Familie. Ein Schweizer Gericht verurteilte Kaloyev, urteilte später jedoch, dass er aufgrund verminderter Schuldfähigkeit gehandelt habe; er wurde 2007 freigelassen und kehrte nach Hause zurück. Man muss es ganz deutlich sagen: Nielsen war einer der wenigen, die ein marodes System zusammenhielten, das sein Arbeitgeber hatte verkommen lassen. Der Bericht der Bundesflugaufsicht (BFU) und später die Verurteilung von Skyguide-Managern durch ein Schweizer Gericht stellten das institutionelle Versagen über das Versagen jedes Einzelnen.

Skyguide selbst, das zunächst die russische Besatzung beschuldigt hatte, übernahm die Verantwortung, als der Abschlussbericht im Jahr 2004 veröffentlicht wurde. Der Vorstandsvorsitzende, Alain Rossier, wandte sich direkt an die Familien.

Nahe Brachenreute, wo ein Großteil der Tupolew abstürzte, steht ein Denkmal des Künstlers Andrea Zaumseil: eine riesige, zerrissene Perlenkette aus Stahl, die an die zerbrochene Halskette erinnert, die Kalojew neben seiner Tochter fand. Jedes Jahr im Juli versammeln sich dort noch immer Angehörige.

Was sich in Überlingen verändert hat

Die regulatorische Antwort erfolgte prompt und wurde nicht abgeschwächt. Die ICAO-Verfahren wurden überarbeitet, um jegliche Unklarheiten zu beseitigen: Sobald eine Resolution Advisory (TCAS-RA) ertönt, muss die Besatzung ihr unverzüglich Folge leisten, selbst wenn sie einer expliziten Anweisung der Flugsicherung widerspricht. Piloten melden "TCAS RA" über Funk, und ab diesem Zeitpunkt erteilt der Lotse dem Flugzeug keine Manöveranweisungen mehr, bis die Besatzung Entwarnung gibt. In der Vertikalen hat die Maschine für diese wenigen Sekunden Vorrang vor allen anderen.

Auch die Software lernte dazu. TCAS II Version 7.1, entwickelt nach Überlingen und zwischen 2012 und 2015 im europäischen Luftraum vorgeschrieben, fügte genau die Funktion hinzu, die in jener Nacht gefordert wurde: Wenn ein Flugzeug die koordinierte RA (Recognition Approach) nicht einhält, erkennt das System die Nichteinhaltung und korrigiert die Anweisung des anderen Flugzeugs – wodurch aus einer zum Scheitern verurteilten Sink-Sink-Geometrie ein Sink- und Steigflug wird. Außerdem wurde der häufig falsch geflogene Funkspruch "Vertikalgeschwindigkeit anpassen, anpassen" durch ein direktes "Niveau halten, Niveau halten" ersetzt. Die nächste Generation, ACAS X, geht noch einen Schritt weiter und nutzt probabilistisch optimierte Logik sowie neue Überwachungsquellen wie ADS-B; sie ist bereits in neu gebauten Verkehrsflugzeugen im Einsatz.

Das moderne TCAS ist zweifellos einer der stillen Triumphe der Luftfahrttechnik – eine letzte Verteidigungslinie, die dazu beigetragen hat, Zusammenstöße zwischen Verkehrsflugzeugen in der Luft nahezu auszurotten. Doch seine wichtigste Komponente war weder die Antenne noch der Algorithmus. Es ist eine Regel, in der einfachsten Sprache der Aufsichtsbehörden verfasst und in Überlingen zum höchstmöglichen Preis erworben: Wenn die Maschine spricht, befolgt man ihre Anweisung.

Quellen: BFU-Untersuchungsbericht AX001-1-2/02, FAA Lessons Learned Library, EUROCONTROL, SKYbrary, Wikipedia, swissinfo.ch