Safety und Security in der Luftsicherheit

In der Disziplin Flugsicherheit / Flugzeugsicherheit ist Risiko eng an den Begriff der Lufttüchtigkeit und an die Sicherstellung von safe flight and landing gebunden. Auf der Safety-Seite wird Risiko primär über Failure Conditions beschrieben, also über Zustände, bei denen Fehlfunktionen von Luftfahrzeugfunktionen, Systemen oder Komponenten zu Auswirkungen auf Luftfahrzeug, Besatzung oder Passagiere führen können. Diese Failure Conditions werden nach ihrer Schwere klassifiziert und daraus werden Safety Objectives, Anforderungen an Systemarchitektur, Unabhängigkeit sowie Development Assurance abgeleitet.

Die klassische Safety-Methodik der Luftfahrt ist stark prozessual und normativ strukturiert. ED-79B / SAE ARP4754B beschreibt den Entwicklungsprozess ziviler Luftfahrzeuge und Systeme einschließlich Requirements, Validation, Verification, Configuration Management und Process Assurance. ED-135 / SAE ARP4761A beschreibt den Safety Assessment Process mit AFHA, PASA, SFHA, PSSA, SSA und ASA sowie Methoden wie FTA, FMEA/FMES, Markov-Analyse, ZSA, PRA, CMA und MBSA.

Typische Safety-Verfahren sind:

Die Safety-Risikologik folgt einem hierarchischen Entwicklungs- und Nachweisprinzip: Von der Luftfahrzeugebene werden Funktionen, Failure Conditions und Sicherheitsziele auf System-, Subsystem- und Item-Ebene heruntergebrochen. Umgekehrt wird in der Nachweisführung gezeigt, dass die implementierten Systeme die abgeleiteten Anforderungen erfüllen. Diese Kopplung zwischen Entwicklungsprozess, Safety Assessment und Verifikation kann anschaulich dargestellt werden, insbesondere über die Sequenz AFHA → PASA → SFHA → PSSA → SSA → ASA.

Abbildung (ED-79B, Figure 4-2: Interaction between Safety Assessment and development processes.) Annotation (Safety Assessment und Entwicklugsprozess)

Der Safety-Prozess ist einer der wichtigsten Bestandteile des Entwicklungsprozesses (siehe Abbildung)

Auf der Security-Seite wird die Disziplin nicht allgemein als IT-Sicherheit verstanden, sondern spezifisch als Aeronautical Information System Security bzw. Airworthiness Security. Ausgangspunkt ist die zunehmende Möglichkeit einer Intentional Unauthorized Electronic Interaction (IUEI) mit Luftfahrzeug- und luftfahrtbezogenen Informationssystemen. ED-201A / DO-391 beschreibt hierfür einen übergreifenden Rahmen für Aeronautical Information System Security, der Luftfahrzeuge, Betrieb, Wartung, MRO, Flughäfen, ATM/ANS, UAS/UTM und Lieferketten einschließt. Security dient in diesem Kontext ausdrücklich dazu, die Sicherheit des Flugs und die Funktionsfähigkeit der zivilen Luftfahrtinfrastruktur zu gewährleisten.

Für den engeren Bereich der Flugzeugsicherheit beschreibt ED-202B / DO-326B den Airworthiness Security Process. Dieser adressiert Bedrohungen durch IUEI, sofern diese Auswirkungen auf die Safety des Luftfahrzeugs haben können. ED-202B ist insbesondere für Design Approval Holder, Luftfahrzeughersteller und System-/Equipment-Zulieferer im Rahmen von Type Certificates, Amended Type Certificates und Supplemental Type Certificates relevant.

Die Security-Risikoanalyse arbeitet mit einer eigenen, aber eng an Safety anschlussfähigen Begrifflichkeit. Zentrale Begriffe sind:

Die Besonderheit der Flugsicherheit liegt darin, dass Safety- und Security-Bewertungen ungewöhnlich eng aufeinander bezogen sind. Security wird nicht isoliert bewertet, sondern an den möglichen Safety Impact einer Threat Condition gekoppelt. ED-202B formuliert ausdrücklich, dass der Security-Prozess mit dem Safety-Prozess interagieren muss und dass Security Assessment Activities die Outputs des Safety Assessment Process berücksichtigen sollen. Alternativ kann ein dokumentierter blended process verwendet werden, der Safety und Security integriert und geeignete Nachweise für beide Anforderungstypen liefert.

Damit entsteht in der Luftfahrt kein vollständig gemeinsames quantitatives Risikomodell, aber eine sehr weit entwickelte semiquantitative Abstimmung. Safety liefert die Wirkungs- und Kritikalitätsachse über Failure Conditions und Severity-Klassen. Security bewertet Angriffsszenarien, Angriffspfade, Maßnahmenwirksamkeit und Assurance. Die Angemessenheit von Security-Maßnahmen wird daran gespiegelt, welchen sicherheitsrelevanten Impact ein erfolgreicher Angriff haben kann.

Für die FA512-Systematik lässt sich die Flugsicherheit daher wie folgt einordnen:

Kernaussage: Die Flugsicherheit ist eine Disziplin mit sehr weit entwickelten, normativ verankerten Safety-Prozessen und einer vergleichsweise weit formalisierten Security-Risikoanalyse. Ihre Besonderheit liegt darin, dass Security-Maßnahmen systematisch an den Safety-Auswirkungen möglicher Angriffsszenarien gespiegelt werden. Damit ist die Flugsicherheit ein besonders gutes Beispiel für eine semiquantitative Kopplung von Safety- und Security-Bewertungen, ohne dass daraus eine vollständig gemeinsame probabilistische Risikometrik entsteht.

Charakteristisch für die Disziplin Flugsicherheit / Flugzeugsicherheit ist zunächst die extreme Systemkomplexität moderner Luftfahrzeuge. Die technische Entwicklung führte von relativ einfachen und robusten Systemen über zunehmend komplexe Bord- und Avioniksysteme hin zu stark integrierten, vernetzten Architekturen mit zahlreichen internen und externen Schnittstellen. Seit den 1990er-Jahren nehmen die Schnittstellen zwischen Luftfahrzeugsystemen zu; seit etwa 2000 kommen verstärkt Schnittstellen zu externen Systemen wie ATM, ATC oder Satellitennavigation hinzu. Damit werden Luftfahrzeugsysteme stärker voneinander abhängig; cascading failures und common mode failures gewinnen an Bedeutung. Der klassische „single fault“- oder „fail safe“-Ansatz allein reicht daher nicht mehr aus, um Safety auf Luftfahrzeugebene angemessen zu bewerten.

Ein erstes zentrales Problem liegt somit in der Beherrschung von Interdependenzen. Safety-relevante Funktionen werden nicht mehr ausschließlich durch klar abgegrenzte Einzelsysteme erfüllt, sondern entstehen durch das Zusammenwirken mehrerer Systeme, Subsysteme, Software-/Hardware-Items, Datenquellen und externer Dienste. Kritisch sind insbesondere Mehrfachabhängigkeiten, gemeinsame Ressourcen, gemeinsame Fehlerursachen sowie Abhängigkeiten von Daten- und Kommunikationspfaden.

Ein zweites charakteristisches Problem entsteht durch die zunehmende Angreifbarkeit safety-relevanter Funktionen über elektronische Schnittstellen. Die EUROCAE-Dokumente behandeln diese Problematik über den Begriff der Intentional Unauthorized Electronic Interaction (IUEI). ED-202B beschreibt den Airworthiness Security Process als Prozess zur Behandlung zusätzlicher Risiken für das Luftfahrzeug, wenn dieses IUEI-Bedrohungen ausgesetzt ist. Die Security Risk Assessment Activities interagieren dabei mit dem Safety Assessment Process und dem Entwicklungsprozess nach ED-79B und ED-135.

Das grundlegende Dilemma besteht darin, dass Security-Maßnahmen erforderlich werden, um Safety-relevante Funktionen gegen Angriffe zu schützen, diese Maßnahmen aber selbst nicht die Safety des Luftfahrzeugs beeinträchtigen dürfen. Besonders deutlich wird dies im Unterschied zwischen fail secure und fail safe. Fail secure bedeutet, dass ein System auch im Fehlerfall sicher im Sinne der Security bleibt, beispielsweise indem Verbindungen geschlossen oder Zugriffe blockiert werden. Diese Forderung kann jedoch mit fail-safe-Anforderungen kollidieren, insbesondere in Notfalloperationen oder im Flug. ED-203A formuliert deshalb, dass fail secure die Airworthiness nicht beeinträchtigen darf und dass fail safe Vorrang vor fail secure hat.

Daraus ergibt sich ein für die Luftfahrt besonders typischer Zielkonflikt: Security muss Angriffe begrenzen, darf aber safety-kritische Funktionen nicht blockieren. Security-Reaktionen wie Isolieren, Blockieren, Authentifizieren, Abschalten oder Alarmieren dürfen nicht dazu führen, dass Flugsteuerung, Navigation, Kommunikation oder andere sicherheitskritische Funktionen unzulässig beeinträchtigt werden.

Ein drittes Problem betrifft die Bewertung von Angriffsszenarien und Maßnahmenwirksamkeit. Die Luftfahrt verwendet hierfür semiquantitative Verfahren, doch die dahinterliegenden Bedrohungswahrscheinlichkeiten bleiben epistemisch. Angreiferverhalten ist willensgesteuert, adaptiv und abhängig von Motivation, Fähigkeit, Gelegenheit und verfügbaren Mitteln. Die Wirksamkeit von IT-Security-Maßnahmen kann daher nicht im Sinne klassischer Safety-Ausfallwahrscheinlichkeiten quantifiziert werden.

Zusammenfassend sind für die Disziplin Flugsicherheit hervorzuheben:

Kernaussage: Die charakteristischen Probleme der Flugsicherheit ergeben sich aus der Kombination hochgradig integrierter, safety-kritischer Systemarchitekturen und zunehmender elektronischer Angreifbarkeit. Die zentrale Herausforderung besteht darin, Security-Maßnahmen so auszulegen, dass sie Angriffe auf safety-relevante Funktionen verhindern oder erschweren, ohne Lufttüchtigkeit, Crew-Handlungsfähigkeit oder safety-kritische Kommunikation selbst zu beeinträchtigen.

In der Disziplin Flugsicherheit / Flugzeugsicherheit werden Unsicherheiten unterschiedlich behandelt, je nachdem, ob sie der klassischen Safety-Bewertung oder der Security-Bewertung zuzuordnen sind. Charakteristisch ist nicht eine vollständige Auflösung der Unsicherheit, sondern eine Kombination aus konservativer Klassifikation, systematischer Prozessführung, semiquantitativer Bewertung, Expertenurteil und Nachweisführung über Assurance.

Auf der Safety-Seite ist der Umgang mit Unsicherheit stark methodisiert. Failure Conditions werden nach ihren möglichen Auswirkungen auf Luftfahrzeug, Besatzung und Insassen klassifiziert. Für schwerwiegende Failure Conditions werden qualitative und quantitative Safety Objectives abgeleitet, etwa über Kategorien wie Catastrophic, Hazardous, Major, Minor oder No Safety Effect. Diese Logik kann anhand der CS/FAR-25.1309-Systematik aufgezeigt werden: Je schwerwiegender die Auswirkung einer Failure Condition ist, desto unwahrscheinlicher muss ihr Auftreten sein.

Diese Safety-seitige Unsicherheitsbehandlung beruht auf mehreren Mechanismen:

ED-135 stellt hierfür eine umfangreiche Methodenlandschaft bereit: Fault Tree Analysis, FMEA/FMES, Common Mode Analysis, Zonal Safety Analysis, Particular Risk Analysis, Markov-Analyse und Model-Based Safety Analysis. Diese Verfahren dienen nicht nur der Berechnung von Wahrscheinlichkeiten, sondern auch der systematischen Identifikation von Abhängigkeiten, gemeinsamen Ursachen, latenten Fehlern, räumlichen Kopplungen und besonderen externen Einwirkungen.

Auf der Security-Seite ist die Unsicherheitslage grundsätzlich anders. Security-Risiken beruhen auf absichtlichem, adaptivem und strategischem Handeln. Die Wahrscheinlichkeit, dass ein Angriff versucht wird, und die Wahrscheinlichkeit, dass ein Angreifer konkrete Security-Maßnahmen überwindet, lassen sich nicht in gleicher Weise objektiv prognostizieren wie technische Ausfallraten. ED-201A weist ausdrücklich darauf hin, dass Angriffe und deren Erfolg beim Überwinden von Security-Maßnahmen nicht objektiv vorhergesagt werden können; stattdessen werden Klassifikationen und Level-of-Threat-Bewertungen verwendet.

Die Security-seitige Behandlung unsicherer Risikobeiträge erfolgt daher vorrangig über Szenarien und semiquantitative Bewertungslogiken. ED-203A strukturiert die Security-Risikoanalyse über Security Scope, Asset Identification, Security Perimeter, Threat Condition Identification, Threat Scenario Identification, Security Measure Characterization, Level of Threat Evaluation und Risk Evaluation.

Ein weiterer zentraler Mechanismus ist Assurance. Da Security-Wirksamkeit nicht im gleichen Sinne quantitativ nachgewiesen werden kann wie die Verfügbarkeit einer Safety-Funktion, spielen Security Assurance, Security Verification, Refutation, Architekturprinzipien und Prozessqualität eine wichtige Rolle.

Damit ergibt sich folgende Zweiteilung:

Für die gemeinsame Betrachtung bedeutet dies: Die Luftfahrt erreicht eine vergleichsweise enge Kopplung, indem Security-Bewertungen an Safety Impact bzw. Threat Condition Severity gespiegelt werden. Sie vermeidet jedoch eine vollständige metrische Verschmelzung. Die Unsicherheit der Security-Seite wird nicht aufgelöst, sondern durch strukturierte Szenarien, konservative Bewertung, semiquantitative Skalen, Begründungspflichten und Assurance beherrschbar gemacht.

Kernaussage: Die Flugsicherheit behandelt unsichere Risikobeiträge durch formale Prozessführung und abgestufte Bewertungsverfahren. Safety-seitig werden Unsicherheiten über Failure-Condition-Klassifikation, quantitative Zielwerte, Architektur- und Fehleranalysen sowie Nachweisführung reduziert. Security-seitig bleiben Bedrohungswahrscheinlichkeiten und Maßnahmenwirksamkeiten epistemisch unsicher; sie werden über Threat Scenarios, semiquantitative Threat-Level-Bewertungen, Security Measures und Assurance eingehegt.

Risikoanalysen in der Disziplin Flugsicherheit / Flugzeugsicherheit werden stark norm- und prozessgeführt durchgeführt. Charakteristisch ist eine Kombination aus qualitativen, semiquantitativen und quantitativen Verfahren, die entlang des Entwicklungs- und Lebenszyklus eines Luftfahrzeugs miteinander verzahnt sind. Safety- und Security-Analyseprozesse unterscheiden sich methodisch, sind aber über Safety-relevante Auswirkungen, Anforderungen und Nachweisartefakte eng aufeinander bezogen.

Auf der Safety-Seite folgt die Risikoanalyse einer hierarchischen Prozesslogik. Ausgangspunkt ist die Betrachtung von Luftfahrzeugfunktionen und deren möglichen Fehlfunktionen. In frühen Entwicklungsphasen werden auf Aircraft-Level Failure Conditions identifiziert, deren Auswirkungen bewertet und nach Schweregrad klassifiziert. Daraus werden Safety Objectives und Anforderungen an Systeme, Funktionen, Architektur, Unabhängigkeit und Development Assurance abgeleitet.

Typisch ist folgende Prozesskette:

ED-135 beschreibt diesen Safety Assessment Process und die zugehörigen Analyseverfahren.

Diese Safety-Analysen sind nicht rein quantitativ. In frühen Phasen dominieren qualitative und semiquantitative Bewertungen: Failure Conditions werden identifiziert, beschrieben und klassifiziert. Quantitative Bewertungen treten insbesondere dort hinzu, wo Architekturmodelle, Fehlerraten, Risk Times, latente Fehler, Wartungsintervalle und Redundanzen betrachtet werden.

Auf der Security-Seite erfolgt die Risikoanalyse ebenfalls prozessgeführt, aber anders als in der klassischen Safety. Der Airworthiness Security Process nach ED-202B ergänzt den Aircraft Development and Certification Process um Security-Aktivitäten. ED-202B unterscheidet insbesondere Security Risk Assessment Activities, Security Development Activities und Compliance-Aktivitäten. Der Security-Prozess soll mit Safety Assessment und Entwicklung interagieren; alternativ kann ein dokumentierter blended process genutzt werden.

Abbildung: ED-203A: Security Risk Assessment Process. Annotation Security Risk Assessment (Quelle)

Die konkrete Security-Methodik wird in ED-203A ausgeführt. Sie umfasst im Kern:

Damit ergibt sich für die Security-Seite ein überwiegend semiquantitatives und szenariobasiertes Vorgehen. Anders als in der Safety werden keine belastbaren statistischen Angriffswahrscheinlichkeiten berechnet. Stattdessen wird beurteilt, wie schwierig ein erfolgreicher Angriff unter gegebenen Bedingungen ist, welche Voraussetzungen er erfordert und welche Schutzmaßnahmen seine Durchführung erschweren.

Im Betrieb und über den Lebenszyklus wird die Risikoanalyse durch Continuing-Airworthiness- und Event-Management-Prozesse ergänzt. ED-204A behandelt Information Security Guidance for Continuing Airworthiness, also Betrieb, Wartung, Ground Support Equipment, Ground Support Information Systems, Airborne Software, digitale Zertifikate, Operator-Rollen, Schulung und organisatorische Security-Programme. ED-206 ergänzt dies um Security Event Management mit Organisation, Detektion, Analyse, Reaktion, Wiederherstellung und Meldung von Security Events mit tatsächlichen oder potenziellen Aviation-Safety-Konsequenzen.

Kernaussage: Risikoanalysen in der Flugsicherheit sind normativ stark geregelt und methodisch ausdifferenziert. Die Safety-Seite kombiniert qualitative Failure-Condition-Klassifikation mit quantitativen Nachweisen zu Ausfallwahrscheinlichkeiten, Architektur und Unabhängigkeit. Die Security-Seite arbeitet szenariobasiert und semiquantitativ mit Assets, Threat Conditions, Threat Scenarios, Security Measures, Level of Threat und Assurance. Beide Seiten werden im Airworthiness-Kontext so gekoppelt, dass Security-Maßnahmen an den möglichen Safety-Auswirkungen eines Angriffs gespiegelt werden.

In der Disziplin Flugsicherheit / Flugzeugsicherheit kommen sowohl auf der Safety- als auch auf der Security-Seite gestufte Bewertungs- und Nachweismetriken zum Einsatz. Charakteristisch ist, dass diese Metriken nicht identisch sind, aber im Bereich der Airworthiness Security vergleichsweise eng aufeinander bezogen werden.

Auf der Safety-Seite sind die zentralen Metriken die Klassifikation von Failure Conditions nach Schweregrad sowie die daraus abgeleiteten qualitativen und quantitativen Safety Objectives. In der klassischen CS/FAR-25.1309-Logik werden Failure Conditions typischerweise in Kategorien wie Catastrophic, Hazardous, Major, Minor und No Safety Effect eingeordnet.

Eine zweite zentrale Safety-Metrik ist der Development Assurance Level. Dabei wird unterschieden zwischen FDAL für Funktionen und IDAL für Items, also insbesondere Software- und Hardware-Elemente. FDAL/IDAL beschreiben nicht unmittelbar eine Ausfallwahrscheinlichkeit, sondern die notwendige Strenge des Entwicklungs- und Nachweisprozesses, um Entwicklungsfehler zu vermeiden oder hinreichend zu beherrschen.

Auf der Security-Seite kommen andere, aber anschlussfähige Metriken zum Einsatz. Zunächst wird der mögliche sicherheitsrelevante Effekt einer Threat Condition bewertet. ED-201A beschreibt hierfür eine Zuordnung von Severity-of-Threat-Condition-Klassen zu Safety-Auswirkungen.

Eine zweite zentrale Security-Metrik ist der Level of Threat. ED-201A stellt eine Risk Acceptance Comparison Matrix dar, in der Severity of the Threat Condition mit dem Level of Threat kombiniert wird. Die daraus resultierenden Bewertungen lauten etwa Acceptable, Conditionally Acceptable oder Not Acceptable. Damit wird Security-Risiko nicht als einfache Angriffswahrscheinlichkeit verstanden, sondern als semiquantitative Bewertung der Angemessenheit von Schutzmaßnahmen bezogen auf den potenziellen Safety Impact.

Ergänzend kommt im Bereich Security Event Management und Vulnerability Management auch CVSS zum Einsatz. ED-206 enthält eine luftfahrtspezifische Anleitung zur Verwendung des Common Vulnerability Scoring System. CVSS dient dabei vor allem der Bewertung und Priorisierung von Schwachstellen, nicht der eigentlichen Airworthiness-Safety-Severity-Logik.

Die Besonderheit der Luftfahrt liegt nicht darin, dass Safety- und Security-Metriken vollständig vereinheitlicht wären. Eine solche vollständige Vereinheitlichung ist wegen epistemischer Bedrohungswahrscheinlichkeiten und nicht probabilistisch quantifizierbarer IT-Security-Wirksamkeit nicht möglich. Die Besonderheit liegt vielmehr darin, dass Security-Metriken systematisch an Safety-Wirkungen gekoppelt werden.

Kernaussage: Die Flugsicherheit nutzt eine besonders weit entwickelte semiquantitative Kopplung von Safety- und Security-Metriken. Safety arbeitet mit Failure-Condition-Severity, qualitativen und quantitativen Wahrscheinlichkeitszielen sowie FDAL/IDAL. Security arbeitet mit Severity of Threat Condition, Level of Threat, Security-Measure-Effectiveness, Risk Acceptability, Assurance Levels und ergänzend CVSS. Die Metriken sind nicht identisch, werden aber über den Safety Impact von Threat Conditions systematisch aufeinander bezogen.

In der Disziplin Flugsicherheit / Flugzeugsicherheit treten Wechselwirkungen zwischen Safety und Security vor allem dort auf, wo elektronische Angriffe die Lufttüchtigkeit oder safety-relevante Funktionen des Luftfahrzeugs beeinflussen können. Die zentrale Kopplung entsteht nicht durch eine vollständige Verschmelzung beider Risikomodelle, sondern dadurch, dass Security-Bedrohungen auf Safety-Auswirkungen bezogen werden und die Security-Risikoanalyse die Ergebnisse der Safety-Analyse berücksichtigen muss.

Die wichtigste Form der Wechselwirkung ist eine Angriffswirkung von Security auf Safety: Ein Security-Ereignis kann Verfügbarkeit, Integrität oder korrekte Funktion eines safety-relevanten Systems beeinträchtigen und dadurch eine Safety-relevante Threat Condition erzeugen. ED-206 beschreibt Security Events als bösartige Interaktionen, Malware oder Schwachstellen in Systemen, Komponenten oder Prozeduren, die Safety-Konsequenzen für Luftfahrzeug, Passagiere oder Crew verursachen können.

In Entwicklung und Zertifizierung wird diese Wechselwirkung über einen gekoppelten Prozess behandelt. ED-202B beschreibt, dass Compliance entweder über differenzierte, aber interagierende Safety- und Security-Prozesse erreicht werden kann oder über einen dokumentierten blended process. Entscheidend ist, dass die Security-Prozesse die Outputs des Safety Assessment Process berücksichtigen und die Konsistenz beider Prozesse gewahrt bleibt.

Die Wechselwirkung wird also in der Luftfahrt vor allem durch Anforderungs- und Nachweisbeziehungen behandelt:

Besonders relevant sind Designwechselwirkungen zwischen Security-Maßnahmen und Safety-Funktionen. ED-203A behandelt dies anhand des Unterschieds zwischen fail secure und fail safe. Fail secure darf die Airworthiness nicht beeinträchtigen; fail safe hat Vorrang vor fail secure.

Damit ist für die FA512-Systematik wichtig:

In der operationellen Phase treten Wechselwirkungen zusätzlich über Security Event Management und Safety Reporting auf. ED-206 beschreibt die Schnittstelle zwischen Information Security Event Management und bestehenden Safety Event Management- bzw. Occurrence-Reporting-Prozessen. Security Events können Safety-Auswirkungen haben, bevor sie im klassischen Safety Management sichtbar werden; umgekehrt kann ein Safety Incident eine Security-Ursache haben.

Kernaussage: In der Flugsicherheit treten Safety-/Security-Wechselwirkungen vor allem als Angriffswirkungen auf safety-relevante Luftfahrzeugfunktionen und als Designwechselwirkungen zwischen Security-Maßnahmen und Safety-Anforderungen auf. Behandelt werden sie durch eine enge Prozesskopplung: Der Security-Prozess berücksichtigt die Ergebnisse der Safety-Analyse, Security Requirements werden aus safety-relevanten Threat Conditions abgeleitet, und Security-Maßnahmen dürfen die Airworthiness nicht beeinträchtigen. Besonders prägend ist der Grundsatz: fail safe hat Vorrang vor fail secure.

In angrenzenden Disziplinen werden sehr ähnliche Grundprobleme bearbeitet, allerdings mit unterschiedlichen Schutzobjekten, regulatorischen Rahmenbedingungen, Metriken und Verantwortungsgrenzen. Die Disziplin Flugsicherheit / Flugzeugsicherheit ist besonders eng verbunden mit Flughafensicherheit, und Automotive.

ED-201A zeigt, dass Aeronautical Information System Security nicht nur Luftfahrzeuge betrifft, sondern ein vernetztes Ökosystem aus Aircraft Design and Production, Aircraft Operations, MRO, Airports, Air Traffic Management, UAS/UTM, Lieferketten und informationsverarbeitenden Organisationen umfasst.

Die Flughafensicherheit bearbeitet ähnliche Safety-/Security-Konflikte, aber mit anderem Schwerpunkt. Während die Flugzeugsicherheit auf Lufttüchtigkeit, Aircraft Systems und safe flight and landing zielt, stehen bei Flughäfen Passagierströme, Sicherheitsbereiche, Zugangskontrollen, Gepäckprozesse, Notausgänge, Räumung, Betriebskontinuität und physische Sicherheitszonen im Vordergrund.

Ähnlich ist die Grundstruktur der Zielkonflikte: Safety-Anforderungen wie Flucht- und Räumungsmöglichkeiten müssen mit Security-Anforderungen wie Zutrittskontrolle und Integrität des Sicherheitsbereichs zusammengebracht werden. Anders als beim Luftfahrzeug sind viele Konflikte jedoch stärker räumlich, organisatorisch und personengebunden.

In Automotive werden ähnliche Fragen bearbeitet: funktionale Sicherheit nach ISO 26262, Cybersecurity nach ISO/SAE 21434, Kopplung von Safety-Kritikalität und Security-Schutzbedarf. Die Parallele liegt in Angriffen auf elektronische Steuergeräte und Kommunikationspfade mit möglichen Safety-Folgen. Der Unterschied liegt in Reife, Zertifizierungslogik und regulatorischem Zuschnitt.

Kernaussage: In angrenzenden Disziplinen werden ähnliche Safety-/Security-Probleme bearbeitet, insbesondere in Flughafensicherheit, und Automotive. Gemeinsam sind zunehmende Vernetzung, mögliche Angriffswirkungen auf safety-relevante Funktionen und Zielkonflikte zwischen Schutzmaßnahmen. Die Flugsicherheit unterscheidet sich durch ihre besonders ausgeprägte lufttüchtigkeitsbezogene Prozess- und Nachweislogik.

Die Disziplin Flugsicherheit / Flugzeugsicherheit zeigt besonders deutlich, dass Safety und Security methodisch eng gekoppelt werden können, ohne ihre unterschiedlichen Bewertungslogiken aufzugeben. Gemeinsam ist beiden Domänen, dass sie in der Luftfahrt stark prozess-, anforderungs- und nachweisorientiert organisiert sind. Unterschiede bestehen jedoch in der Art der betrachteten Ursachen, in der Bewertbarkeit von Wahrscheinlichkeiten, in den verwendeten Metriken und in der Form der Nachweisführung.

Gemeinsamkeiten zwischen Safety und Security in der Luftfahrt

Safety Requirements und Security Requirements werden aus vorgelagerten Analysen abgeleitet und müssen im Entwicklungsprozess nachvollziehbar umgesetzt und geprüft werden. ED-202B betont, dass der Security-Prozess mit dem Safety-Prozess interagieren und dessen Outputs berücksichtigen soll.

Der wichtigste methodische Unterschied betrifft die Art der Ursachen. Safety betrachtet primär unbeabsichtigte Fehlfunktionen, technische Ausfälle, Entwicklungsfehler, Bedien- oder Wartungsfehler sowie externe Ereignisse. Security betrachtet absichtliche, adaptive und strategische Handlungen durch Angreifer. Safety-Analysen beruhen häufig auf relativ stabilen Annahmen über technische Ausfälle, Umgebungsbedingungen und Betriebsprofile. Security-Analysen müssen mit neuen Schwachstellen, veränderten Angreifermethoden und dynamischen Angriffspfaden umgehen. Deshalb haben Security Event Management, Vulnerability Management und Continued Security Effectiveness besondere Bedeutung.

Ein zweiter Unterschied betrifft die Quantifizierbarkeit. In Safety können bestimmte Risiken über Fehlerraten, Ausfallwahrscheinlichkeiten, Risk Times, Redundanzen, latente Fehler und Architekturmodelle quantitativ bewertet werden. In Security ist eine vergleichbare probabilistische Bewertung nicht möglich, weil Angriffserfolg von Motivation, Fähigkeit, Gelegenheit, Wissen, Werkzeugen und adaptivem Verhalten abhängt.

Ein dritter Unterschied betrifft die Metriken. Safety verwendet Failure-Condition-Severity, qualitative Wahrscheinlichkeitsklassen, quantitative Zielwerte, FDAL/IDAL und Failure Rates. Security verwendet Severity of Threat Condition, Threat Scenarios, Level of Threat, Security Measure Effectiveness, Risk Acceptability, Security Assurance Level und ergänzend CVSS.

Die Luftfahrt löst diese Unterschiede nicht durch eine vollständige Vereinheitlichung der Metriken auf. Stattdessen koppelt sie die Domänen über eine gemeinsame sicherheitsbezogene Wirkungsachse: Security wird dann airworthiness-relevant, wenn ein Angriff eine Safety-relevante Wirkung auf das Luftfahrzeug haben kann.

Kernaussage: Safety und Security sind in der Flugsicherheit methodisch nicht identisch, aber stark gekoppelt. Gemeinsam sind Prozessführung, Anforderungsableitung, Nachweisorientierung und Kritikalitätsbezug. Unterschiede bestehen in Ursache, Unsicherheit, Quantifizierbarkeit und Metrik. Die Luftfahrt löst diesen Unterschied nicht durch eine künstliche gemeinsame Wahrscheinlichkeitsmetrik, sondern durch eine semiquantitative Kopplung: Security Threat Conditions werden an Safety-Auswirkungen gespiegelt, während Security Measures, Level of Threat und Assurance die Angemessenheit des Schutzes bewerten.

In der Disziplin Flugsicherheit / Flugzeugsicherheit liegt ein gemeinsamer Nenner für Safety- und Security-Risiken nicht in einer vollständig gemeinsamen Wahrscheinlichkeitsmetrik. Eine solche metrische Verschmelzung ist methodisch nicht erreichbar, weil Safety und Security unterschiedliche Unsicherheitsarten behandeln. Safety kann in wesentlichen Teilen mit Ausfallwahrscheinlichkeiten, Failure Rates, quantitativen Safety Objectives und Development-Assurance-Logiken arbeiten. Security muss dagegen mit absichtlichem, adaptivem Angreiferverhalten, veränderlichen Bedrohungslagen und nicht objektiv quantifizierbarer Maßnahmenwirksamkeit umgehen.

Der gemeinsame Nenner liegt daher nicht in der Formel Risiko = Wahrscheinlichkeit × Auswirkung im strengen probabilistischen Sinn, sondern in einer gemeinsamen Wirkungs- und Kritikalitätsachse: Sowohl Safety als auch Security beziehen ihre Bewertung letztlich darauf, welche Folgen ein Ereignis oder Angriff für Luftfahrzeug, Crew, Passagiere und sicheren Flug haben kann.

Auf der Safety-Seite geschieht dies über Failure Conditions und deren Severity-Klassen. Auf der Security-Seite geschieht dies über Threat Conditions, deren Severity an mögliche Safety-Auswirkungen gekoppelt wird. ED-201A stellt hierfür Klassifikationen bereit, mit denen die Severity of Threat Conditions mit Safety-Auswirkungen vergleichbar kommuniziert werden kann.

Damit ergibt sich als gemeinsamer Nenner nicht eine identische Metrik, sondern eine kompatible semiquantitative Bewertungsarchitektur:

Ein möglicher gemeinsamer Nenner ist daher die safety-relevante Threat Condition. Sie übersetzt eine Security-Beeinträchtigung in eine sicherheitsbezogene Wirkung. Ein Angriff ist im Airworthiness-Security-Kontext nicht deshalb relevant, weil er allgemein ein IT-System betrifft, sondern weil er über den Verlust einer Security Property eine Threat Condition erzeugt, die safety-relevante Konsequenzen haben kann.

Auf dieser Grundlage kann eine semiquantitative Bewertung erfolgen. In der Safety werden Failure Conditions nach Schwere und zulässiger Auftretenswahrscheinlichkeit klassifiziert. Im Security-Kontext werden Impact bzw. Severity der Threat Condition mit einer Einschätzung des Level of Threat bzw. der verbleibenden Angriffsmöglichkeit kombiniert.

Für das FA512-Wiki lässt sich daraus ableiten: Der gemeinsame Nenner liegt in der Luftfahrt nicht in einer vollständig gemeinsamen Risikoformel, sondern in einer übersetzbaren Struktur aus Ursache / Angriffspfad – Beeinträchtigung – sicherheitsrelevanter Wirkung – angemessenem Schutzniveau.

Kernaussage: Ein gemeinsamer Nenner für Safety- und Security-Risiken in der Flugsicherheit ist nicht eine vollständig gemeinsame quantitative Wahrscheinlichkeit, sondern der Safety Impact einer unerwünschten Wirkung. Safety bewertet Failure Conditions, Security bewertet Threat Conditions; beide lassen sich über die sicherheitsrelevante Wirkung auf Luftfahrzeug, Crew, Passagiere und safe flight and landing miteinander verbinden. Die Quantifizierung bleibt daher semiquantitativ und assurance-orientiert: Sie dient der Begründung angemessener Schutzmaßnahmen, nicht der exakten Berechnung eines gemeinsamen Gesamtrisikos.

Für die Disziplin Flugsicherheit / Flugzeugsicherheit ist bereits eine vergleichsweise weit entwickelte methodische Kopplung von Safety und Security vorhanden. Die zentralen EUROCAE-Dokumente beschreiben Safety Assessment, Airworthiness Security, Security Risk Assessment, Continuing Airworthiness und Security Event Management als aufeinander bezogene Prozesse. Dennoch bleibt eine vollständige Synthese beider Domänen methodisch anspruchsvoll. Erforderlich ist vor allem neues Wissen darüber, wie unterschiedliche Unsicherheitsarten, Metriken, Nachweislogiken und Lebenszyklusprozesse konsistent miteinander verbunden werden können, ohne Scheingenauigkeit zu erzeugen.

Ein erster Wissensbedarf betrifft die Bewertung epistemischer Unsicherheit in Security-Risiken. Während Safety-Analysen teilweise auf Fehlerraten, quantitativen Safety Objectives, Architekturmodellen und probabilistischen Methoden beruhen, bleiben Security-Bedrohungen wesentlich von Angreifermotivation, Fähigkeiten, Gelegenheit und adaptivem Verhalten abhängig. Für die Synthese werden Methoden benötigt, die epistemische Security-Unsicherheiten transparent beschreiben, begründen und kommunizieren, ohne sie in scheinbar exakte Wahrscheinlichkeiten zu überführen.

Ein zweiter Wissensbedarf betrifft die Bewertung der Wirksamkeit von Security-Maßnahmen. In der Safety kann die Verfügbarkeit technischer Schutzfunktionen teilweise quantitativ nachgewiesen werden. Die Wirksamkeit von IT-Security-Maßnahmen ist dagegen nicht in gleicher Weise berechenbar, weil Angreifer auf Schutzmaßnahmen reagieren, neue Pfade suchen oder Schwachstellen ausnutzen können. Für eine weitergehende Synthese wäre zu klären, wie Scoring-Ansätze validiert, kalibriert, auditiert und zwischen Organisationen vergleichbar gemacht werden können.

Ein dritter Wissensbedarf betrifft Designwechselwirkungen zwischen Safety- und Security-Maßnahmen. Die Luftfahrt behandelt diese Frage unter anderem über den Grundsatz, dass fail safe Vorrang vor fail secure haben muss, wenn Airworthiness betroffen ist. Für die Synthese braucht es zusätzliche methodische Ansätze, um solche Konflikte früh im Entwurf zu erkennen, zu dokumentieren und nachvollziehbar aufzulösen.

Ein vierter Wissensbedarf betrifft die Integration von Entwicklung, Betrieb und Ereignismanagement. Security-Risiken sind dynamisch: Neue Schwachstellen, neue Angriffsmethoden und neue Betriebsumgebungen können nach der Zertifizierung auftreten. ED-204A erweitert die Betrachtung auf Continuing Airworthiness, Betrieb, Wartung, Ground Support, Rollen, Training und Operator-Prozesse. ED-206 behandelt Security Event Management einschließlich Detektion, Analyse, Response, Recovery und Reporting.

Ein fünfter Wissensbedarf liegt in der koordinierten Risikokommunikation über Organisationsgrenzen hinweg. Luftfahrzeuge, Betreiber, MRO, Ground Support, ATM/ANS, Zulieferer und externe Dienste bilden ein vernetztes Ökosystem. ED-201A betont die gemeinsame Verantwortung vieler Akteure im zivilen Luftfahrtsystem und stellt Vergleichsformate für Security Risk Assessment Outputs bereit.

Ein sechster Wissensbedarf betrifft die Abgrenzung und Übertragbarkeit zwischen Disziplinen. Die Flugsicherheit kann als sehr weit entwickeltes Beispiel für semiquantitative Safety-/Security-Kopplung dienen. Dennoch ist unklar, welche Teile dieser Methodik auf z. B. Automotive, Railway, Industrieanlagen, KRITIS oder physische Sicherheit übertragbar sind.

Kernaussage: Für eine weitergehende Synthese von Safety und Security in der Flugsicherheit ist vor allem Wissen darüber erforderlich, wie epistemische Security-Unsicherheiten, semiquantitative Security-Scorings, Safety-Severity, Security Assurance und Lebenszyklusdaten konsistent verbunden werden können. Die zentrale offene Aufgabe besteht nicht in einer vollständigen gemeinsamen Quantifizierung, sondern in einer belastbaren Übersetzung zwischen Safety-Wirkung und Security-Schutzlogik — einschließlich klarer Kriterien für Angemessenheit, Nachweisführung, Verantwortlichkeit und Rückkopplung aus dem Betrieb.

Hier bitte relevante Quellen angeben, auf die bei der Beantwortung der Leitfragen referenziert wird. Gut geeignet sind sicher auch Quellen, die schon eine breitere Übersicht über die Thematik und Beispiele liefern.

Airbus “A Statistical Analysis of Commercial Aviation Accidents 1958-2021”

EASA CS25 “Certification Specifications and Acceptable Means of Compliance For Large Aeroplanes”

SAE ARP4754A “Guidelines for Development of Civil Aircraft and Systems”

SAE ARP4761 “Guidelines and Methods for Conducting the Safety Assessment Process on Civil Airborne Systems and Equipment”

RTCA DO-178 “Software Considerations in Airborne Systems and Equipment Certification”

RTCA DO-254 “Design Assurance Guidance for Airborne Electronic Hardware”

Duane Kritzinger „Aircraft System Safety: Assessments for Initial Airworthiness Certification”