Safety und Security in der Luftsicherheit

In der Disziplin Flugsicherheit / Flugzeugsicherheit ist Risiko eng an den Begriff der Lufttüchtigkeit und an die Sicherstellung von safe flight and landing gebunden. Auf der Safety-Seite wird Risiko primär über Failure Conditions beschrieben, also über Zustände, bei denen Fehlfunktionen von Luftfahrzeugfunktionen, Systemen oder Komponenten zu Auswirkungen auf Luftfahrzeug, Besatzung oder Passagiere führen können. Diese Failure Conditions werden nach ihrer Schwere klassifiziert und daraus werden Safety Objectives, Anforderungen an Systemarchitektur, Unabhängigkeit sowie Development Assurance abgeleitet.

Die klassische Safety-Methodik der Luftfahrt ist stark prozessual und normativ strukturiert. ED-79B / SAE ARP4754B beschreibt den Entwicklungsprozess ziviler Luftfahrzeuge und Systeme einschließlich Requirements, Validation, Verification, Configuration Management und Process Assurance. ED-135 / SAE ARP4761A beschreibt den Safety Assessment Process mit AFHA, PASA, SFHA, PSSA, SSA und ASA sowie Methoden wie FTA, FMEA/FMES, Markov-Analyse, ZSA, PRA, CMA und MBSA.

Typische Safety-Verfahren sind:

Die Safety-Risikologik folgt einem hierarchischen Entwicklungs- und Nachweisprinzip: Von der Luftfahrzeugebene werden Funktionen, Failure Conditions und Sicherheitsziele auf System-, Subsystem- und Item-Ebene heruntergebrochen. Umgekehrt wird in der Nachweisführung gezeigt, dass die implementierten Systeme die abgeleiteten Anforderungen erfüllen. Diese Kopplung zwischen Entwicklungsprozess, Safety Assessment und Verifikation kann anschaulich dargestellt werden, insbesondere über die Sequenz AFHA → PASA → SFHA → PSSA → SSA → ASA.

Abbildung (ED-79B, Figure 4-2: Interaction between Safety Assessment and development processes.) Annotation (Safety Assessment und Entwicklugsprozess)

Der Safety-Prozess ist einer der wichtigsten Bestandteile des Entwicklungsprozesses (siehe Abbildung)

Auf der Security-Seite wird die Disziplin nicht allgemein als IT-Sicherheit verstanden, sondern spezifisch als Aeronautical Information System Security bzw. Airworthiness Security. Ausgangspunkt ist die zunehmende Möglichkeit einer Intentional Unauthorized Electronic Interaction (IUEI) mit Luftfahrzeug- und luftfahrtbezogenen Informationssystemen. ED-201A / DO-391 beschreibt hierfür einen übergreifenden Rahmen für Aeronautical Information System Security, der Luftfahrzeuge, Betrieb, Wartung, MRO, Flughäfen, ATM/ANS, UAS/UTM und Lieferketten einschließt. Security dient in diesem Kontext ausdrücklich dazu, die Sicherheit des Flugs und die Funktionsfähigkeit der zivilen Luftfahrtinfrastruktur zu gewährleisten.

Für den engeren Bereich der Flugzeugsicherheit beschreibt ED-202B / DO-326B den Airworthiness Security Process. Dieser adressiert Bedrohungen durch IUEI, sofern diese Auswirkungen auf die Safety des Luftfahrzeugs haben können. ED-202B ist insbesondere für Design Approval Holder, Luftfahrzeughersteller und System-/Equipment-Zulieferer im Rahmen von Type Certificates, Amended Type Certificates und Supplemental Type Certificates relevant.

Die Security-Risikoanalyse arbeitet mit einer eigenen, aber eng an Safety anschlussfähigen Begrifflichkeit. Zentrale Begriffe sind:

Die Besonderheit der Flugsicherheit liegt darin, dass Safety- und Security-Bewertungen ungewöhnlich eng aufeinander bezogen sind. Security wird nicht isoliert bewertet, sondern an den möglichen Safety Impact einer Threat Condition gekoppelt. ED-202B formuliert ausdrücklich, dass der Security-Prozess mit dem Safety-Prozess interagieren muss und dass Security Assessment Activities die Outputs des Safety Assessment Process berücksichtigen sollen. Alternativ kann ein dokumentierter blended process verwendet werden, der Safety und Security integriert und geeignete Nachweise für beide Anforderungstypen liefert.

Damit entsteht in der Luftfahrt kein vollständig gemeinsames quantitatives Risikomodell, aber eine sehr weit entwickelte semiquantitative Abstimmung. Safety liefert die Wirkungs- und Kritikalitätsachse über Failure Conditions und Severity-Klassen. Security bewertet Angriffsszenarien, Angriffspfade, Maßnahmenwirksamkeit und Assurance. Die Angemessenheit von Security-Maßnahmen wird daran gespiegelt, welchen sicherheitsrelevanten Impact ein erfolgreicher Angriff haben kann.

Für die FA512-Systematik lässt sich die Flugsicherheit daher wie folgt einordnen:

Kernaussage: Die Flugsicherheit ist eine Disziplin mit sehr weit entwickelten, normativ verankerten Safety-Prozessen und einer vergleichsweise weit formalisierten Security-Risikoanalyse. Ihre Besonderheit liegt darin, dass Security-Maßnahmen systematisch an den Safety-Auswirkungen möglicher Angriffsszenarien gespiegelt werden. Damit ist die Flugsicherheit ein besonders gutes Beispiel für eine semiquantitative Kopplung von Safety- und Security-Bewertungen, ohne dass daraus eine vollständig gemeinsame probabilistische Risikometrik entsteht.

Charakteristisch für die Disziplin Flugsicherheit / Flugzeugsicherheit ist zunächst die extreme Systemkomplexität moderner Luftfahrzeuge. Die technische Entwicklung führte von relativ einfachen und robusten Systemen über zunehmend komplexe Bord- und Avioniksysteme hin zu stark integrierten, vernetzten Architekturen mit zahlreichen internen und externen Schnittstellen. Seit den 1990er-Jahren nehmen die Schnittstellen zwischen Luftfahrzeugsystemen zu; seit etwa 2000 kommen verstärkt Schnittstellen zu externen Systemen wie ATM, ATC oder Satellitennavigation hinzu. Damit werden Luftfahrzeugsysteme stärker voneinander abhängig; cascading failures und common mode failures gewinnen an Bedeutung. Der klassische „single fault“- oder „fail safe“-Ansatz allein reicht daher nicht mehr aus, um Safety auf Luftfahrzeugebene angemessen zu bewerten.

Ein erstes zentrales Problem liegt somit in der Beherrschung von Interdependenzen. Safety-relevante Funktionen werden nicht mehr ausschließlich durch klar abgegrenzte Einzelsysteme erfüllt, sondern entstehen durch das Zusammenwirken mehrerer Systeme, Subsysteme, Software-/Hardware-Items, Datenquellen und externer Dienste. Kritisch sind insbesondere Mehrfachabhängigkeiten, gemeinsame Ressourcen, gemeinsame Fehlerursachen sowie Abhängigkeiten von Daten- und Kommunikationspfaden.

Ein zweites charakteristisches Problem entsteht durch die zunehmende Angreifbarkeit safety-relevanter Funktionen über elektronische Schnittstellen. Die EUROCAE-Dokumente behandeln diese Problematik über den Begriff der Intentional Unauthorized Electronic Interaction (IUEI). ED-202B beschreibt den Airworthiness Security Process als Prozess zur Behandlung zusätzlicher Risiken für das Luftfahrzeug, wenn dieses IUEI-Bedrohungen ausgesetzt ist. Die Security Risk Assessment Activities interagieren dabei mit dem Safety Assessment Process und dem Entwicklungsprozess nach ED-79B und ED-135.

Das grundlegende Dilemma besteht darin, dass Security-Maßnahmen erforderlich werden, um Safety-relevante Funktionen gegen Angriffe zu schützen, diese Maßnahmen aber selbst nicht die Safety des Luftfahrzeugs beeinträchtigen dürfen. Besonders deutlich wird dies im Unterschied zwischen fail secure und fail safe. Fail secure bedeutet, dass ein System auch im Fehlerfall sicher im Sinne der Security bleibt, beispielsweise indem Verbindungen geschlossen oder Zugriffe blockiert werden. Diese Forderung kann jedoch mit fail-safe-Anforderungen kollidieren, insbesondere in Notfalloperationen oder im Flug. ED-203A formuliert deshalb, dass fail secure die Airworthiness nicht beeinträchtigen darf und dass fail safe Vorrang vor fail secure hat.

Daraus ergibt sich ein für die Luftfahrt besonders typischer Zielkonflikt: Security muss Angriffe begrenzen, darf aber safety-kritische Funktionen nicht blockieren. Security-Reaktionen wie Isolieren, Blockieren, Authentifizieren, Abschalten oder Alarmieren dürfen nicht dazu führen, dass Flugsteuerung, Navigation, Kommunikation oder andere sicherheitskritische Funktionen unzulässig beeinträchtigt werden.

Ein drittes Problem betrifft die Bewertung von Angriffsszenarien und Maßnahmenwirksamkeit. Die Luftfahrt verwendet hierfür semiquantitative Verfahren, doch die dahinterliegenden Bedrohungswahrscheinlichkeiten bleiben epistemisch. Angreiferverhalten ist willensgesteuert, adaptiv und abhängig von Motivation, Fähigkeit, Gelegenheit und verfügbaren Mitteln. Die Wirksamkeit von IT-Security-Maßnahmen kann daher nicht im Sinne klassischer Safety-Ausfallwahrscheinlichkeiten quantifiziert werden.

Zusammenfassend sind für die Disziplin Flugsicherheit hervorzuheben:

Kernaussage: Die charakteristischen Probleme der Flugsicherheit ergeben sich aus der Kombination hochgradig integrierter, safety-kritischer Systemarchitekturen und zunehmender elektronischer Angreifbarkeit. Die zentrale Herausforderung besteht darin, Security-Maßnahmen so auszulegen, dass sie Angriffe auf safety-relevante Funktionen verhindern oder erschweren, ohne Lufttüchtigkeit, Crew-Handlungsfähigkeit oder safety-kritische Kommunikation selbst zu beeinträchtigen.

In der Disziplin Flugsicherheit / Flugzeugsicherheit werden Unsicherheiten unterschiedlich behandelt, je nachdem, ob sie der klassischen Safety-Bewertung oder der Security-Bewertung zuzuordnen sind. Charakteristisch ist nicht eine vollständige Auflösung der Unsicherheit, sondern eine Kombination aus konservativer Klassifikation, systematischer Prozessführung, semiquantitativer Bewertung, Expertenurteil und Nachweisführung über Assurance.

Auf der Safety-Seite ist der Umgang mit Unsicherheit stark methodisiert. Failure Conditions werden nach ihren möglichen Auswirkungen auf Luftfahrzeug, Besatzung und Insassen klassifiziert. Für schwerwiegende Failure Conditions werden qualitative und quantitative Safety Objectives abgeleitet, etwa über Kategorien wie Catastrophic, Hazardous, Major, Minor oder No Safety Effect. Diese Logik kann anhand der CS/FAR-25.1309-Systematik aufgezeigt werden: Je schwerwiegender die Auswirkung einer Failure Condition ist, desto unwahrscheinlicher muss ihr Auftreten sein.

Diese Safety-seitige Unsicherheitsbehandlung beruht auf mehreren Mechanismen:

ED-135 stellt hierfür eine umfangreiche Methodenlandschaft bereit: Fault Tree Analysis, FMEA/FMES, Common Mode Analysis, Zonal Safety Analysis, Particular Risk Analysis, Markov-Analyse und Model-Based Safety Analysis. Diese Verfahren dienen nicht nur der Berechnung von Wahrscheinlichkeiten, sondern auch der systematischen Identifikation von Abhängigkeiten, gemeinsamen Ursachen, latenten Fehlern, räumlichen Kopplungen und besonderen externen Einwirkungen.

Auf der Security-Seite ist die Unsicherheitslage grundsätzlich anders. Security-Risiken beruhen auf absichtlichem, adaptivem und strategischem Handeln. Die Wahrscheinlichkeit, dass ein Angriff versucht wird, und die Wahrscheinlichkeit, dass ein Angreifer konkrete Security-Maßnahmen überwindet, lassen sich nicht in gleicher Weise objektiv prognostizieren wie technische Ausfallraten. ED-201A weist ausdrücklich darauf hin, dass Angriffe und deren Erfolg beim Überwinden von Security-Maßnahmen nicht objektiv vorhergesagt werden können; stattdessen werden Klassifikationen und Level-of-Threat-Bewertungen verwendet.

Die Security-seitige Behandlung unsicherer Risikobeiträge erfolgt daher vorrangig über Szenarien und semiquantitative Bewertungslogiken. ED-203A strukturiert die Security-Risikoanalyse über Security Scope, Asset Identification, Security Perimeter, Threat Condition Identification, Threat Scenario Identification, Security Measure Characterization, Level of Threat Evaluation und Risk Evaluation.

Ein weiterer zentraler Mechanismus ist Assurance. Da Security-Wirksamkeit nicht im gleichen Sinne quantitativ nachgewiesen werden kann wie die Verfügbarkeit einer Safety-Funktion, spielen Security Assurance, Security Verification, Refutation, Architekturprinzipien und Prozessqualität eine wichtige Rolle.

Damit ergibt sich folgende Zweiteilung:

Für die gemeinsame Betrachtung bedeutet dies: Die Luftfahrt erreicht eine vergleichsweise enge Kopplung, indem Security-Bewertungen an Safety Impact bzw. Threat Condition Severity gespiegelt werden. Sie vermeidet jedoch eine vollständige metrische Verschmelzung. Die Unsicherheit der Security-Seite wird nicht aufgelöst, sondern durch strukturierte Szenarien, konservative Bewertung, semiquantitative Skalen, Begründungspflichten und Assurance beherrschbar gemacht.

Kernaussage: Die Flugsicherheit behandelt unsichere Risikobeiträge durch formale Prozessführung und abgestufte Bewertungsverfahren. Safety-seitig werden Unsicherheiten über Failure-Condition-Klassifikation, quantitative Zielwerte, Architektur- und Fehleranalysen sowie Nachweisführung reduziert. Security-seitig bleiben Bedrohungswahrscheinlichkeiten und Maßnahmenwirksamkeiten epistemisch unsicher; sie werden über Threat Scenarios, semiquantitative Threat-Level-Bewertungen, Security Measures und Assurance eingehegt.

Risikoanalysen in der Disziplin Flugsicherheit / Flugzeugsicherheit werden stark norm- und prozessgeführt durchgeführt. Charakteristisch ist eine Kombination aus qualitativen, semiquantitativen und quantitativen Verfahren, die entlang des Entwicklungs- und Lebenszyklus eines Luftfahrzeugs miteinander verzahnt sind. Safety- und Security-Analyseprozesse unterscheiden sich methodisch, sind aber über Safety-relevante Auswirkungen, Anforderungen und Nachweisartefakte eng aufeinander bezogen.

Auf der Safety-Seite folgt die Risikoanalyse einer hierarchischen Prozesslogik. Ausgangspunkt ist die Betrachtung von Luftfahrzeugfunktionen und deren möglichen Fehlfunktionen. In frühen Entwicklungsphasen werden auf Aircraft-Level Failure Conditions identifiziert, deren Auswirkungen bewertet und nach Schweregrad klassifiziert. Daraus werden Safety Objectives und Anforderungen an Systeme, Funktionen, Architektur, Unabhängigkeit und Development Assurance abgeleitet.

Typisch ist folgende Prozesskette:

ED-135 beschreibt diesen Safety Assessment Process und die zugehörigen Analyseverfahren.

Diese Safety-Analysen sind nicht rein quantitativ. In frühen Phasen dominieren qualitative und semiquantitative Bewertungen: Failure Conditions werden identifiziert, beschrieben und klassifiziert. Quantitative Bewertungen treten insbesondere dort hinzu, wo Architekturmodelle, Fehlerraten, Risk Times, latente Fehler, Wartungsintervalle und Redundanzen betrachtet werden.

Auf der Security-Seite erfolgt die Risikoanalyse ebenfalls prozessgeführt, aber anders als in der klassischen Safety. Der Airworthiness Security Process nach ED-202B ergänzt den Aircraft Development and Certification Process um Security-Aktivitäten. ED-202B unterscheidet insbesondere Security Risk Assessment Activities, Security Development Activities und Compliance-Aktivitäten. Der Security-Prozess soll mit Safety Assessment und Entwicklung interagieren; alternativ kann ein dokumentierter blended process genutzt werden.

Abbildung: ED-203A: Security Risk Assessment Process. Annotation Security Risk Assessment (Quelle)

Die konkrete Security-Methodik wird in ED-203A ausgeführt. Sie umfasst im Kern:

Damit ergibt sich für die Security-Seite ein überwiegend semiquantitatives und szenariobasiertes Vorgehen. Anders als in der Safety werden keine belastbaren statistischen Angriffswahrscheinlichkeiten berechnet. Stattdessen wird beurteilt, wie schwierig ein erfolgreicher Angriff unter gegebenen Bedingungen ist, welche Voraussetzungen er erfordert und welche Schutzmaßnahmen seine Durchführung erschweren.

Im Betrieb und über den Lebenszyklus wird die Risikoanalyse durch Continuing-Airworthiness- und Event-Management-Prozesse ergänzt. ED-204A behandelt Information Security Guidance for Continuing Airworthiness, also Betrieb, Wartung, Ground Support Equipment, Ground Support Information Systems, Airborne Software, digitale Zertifikate, Operator-Rollen, Schulung und organisatorische Security-Programme. ED-206 ergänzt dies um Security Event Management mit Organisation, Detektion, Analyse, Reaktion, Wiederherstellung und Meldung von Security Events mit tatsächlichen oder potenziellen Aviation-Safety-Konsequenzen.

Kernaussage: Risikoanalysen in der Flugsicherheit sind normativ stark geregelt und methodisch ausdifferenziert. Die Safety-Seite kombiniert qualitative Failure-Condition-Klassifikation mit quantitativen Nachweisen zu Ausfallwahrscheinlichkeiten, Architektur und Unabhängigkeit. Die Security-Seite arbeitet szenariobasiert und semiquantitativ mit Assets, Threat Conditions, Threat Scenarios, Security Measures, Level of Threat und Assurance. Beide Seiten werden im Airworthiness-Kontext so gekoppelt, dass Security-Maßnahmen an den möglichen Safety-Auswirkungen eines Angriffs gespiegelt werden.

Hier bitte relevante Quellen angeben, auf die bei der Beantwortung der Leitfragen referenziert wird. Gut geeignet sind sicher auch Quellen, die schon eine breitere Übersicht über die Thematik und Beispiele liefern.

Airbus “A Statistical Analysis of Commercial Aviation Accidents 1958-2021”

EASA CS25 “Certification Specifications and Acceptable Means of Compliance For Large Aeroplanes”

SAE ARP4754A “Guidelines for Development of Civil Aircraft and Systems”

SAE ARP4761 “Guidelines and Methods for Conducting the Safety Assessment Process on Civil Airborne Systems and Equipment”

RTCA DO-178 “Software Considerations in Airborne Systems and Equipment Certification”

RTCA DO-254 “Design Assurance Guidance for Airborne Electronic Hardware”

Duane Kritzinger „Aircraft System Safety: Assessments for Initial Airworthiness Certification”