Boeing 737 MAX 2019: Sicherheit als Opfer des Wettbewerbs

Ausgangslage

Es ist der 10. März 2019. Ethiopian-Airlines-Flug 302, eine 737 MAX 8, ist sechs Minuten nach dem Start in Addis Abeba abgestürzt, alle 157 Menschen an Bord sind tot. Das Profil der Flugdaten ist nahezu identisch mit Lion-Air-Flug 610, der am 29. Oktober 2018 in Indonesien abstürzte und 189 Menschen tötete.

Bei beiden Abstürzen hatten Sensoren fehlerhafte Daten an das MCAS (Maneuvering Characteristics Augmentation System) geliefert, woraufhin das automatische System die Nase des Flugzeugs wiederholt nach unten drückte. Die Crews folgten den von Boeing genehmigten Verfahren, konnten MCAS aber nicht überwinden. In den fünf Monaten zwischen den beiden Abstürzen veröffentlichte Boeing ein Service Bulletin zu MCAS, legte aber dessen volle Eingriffsbefugnis nicht offen und argumentierte, ein Flugverbot für die MAX sei unnötig.

Wenige Stunden nach dem Absturz in Äthiopien verhängt China ein Flugverbot für seine 737-MAX-Flotte. Die FAA verhängt nach tagelangem Druck am 13. März ein Flugverbot. Die weltweite Flotte von 387 MAX-Flugzeugen wird aus dem Verkehr gezogen.

Die 737 MAX war Boeings wichtigstes Produkt seit Jahrzehnten: 4.600 bestellte Flugzeuge, die $600 Milliarden potenziellen Umsatz darstellten. American Airlines, Southwest und United hatten ihre Wachstumspläne um das Flugzeug herum gebaut. Allein Southwest hatte 34 MAX im Einsatz.

Der Moment der Entscheidung

Du bist Mitglied des Vorstands von Boeing. Es ist der 14. März 2019, einen Tag nach dem Flugverbot der FAA und vier Monate bevor der Vorstand CEO Dennis Muilenburg entlassen wird. Du bereitest dich auf eine Notfallsitzung des Vorstands vor.

Die folgenden Fakten sind in 72 Stunden ans Licht gekommen:

1. MCAS war so ausgelegt, dass es auf Basis der Daten eines einzigen Anstellwinkelsensors (AoA) auslöste, ohne Abgleich mit dem zweiten Sensor.
2. Die volle Eingriffsbefugnis von MCAS wurde der FAA über die Sicherheitsanalyse des Flugzeugs offengelegt, aber nicht vollständig: Boeing bewertete den maximalen Ausschlag von MCAS zunächst mit 0,6 Grad; bis zur Zulassung war er auf 2,5 Grad erweitert worden, eine Änderung, die die Gefährdung deutlich erhöhte, ohne dass die Gefährdungsanalyse entsprechend aktualisiert wurde.
3. Piloten wurden nicht im Simulator auf MCAS geschult, eine bewusste Entscheidung, um die Gleichwertigkeit der MAX beim „Type Rating“ mit früheren 737-Varianten zu erhalten. Diese Gleichwertigkeit erlaubte es den Airlines, Piloten ohne neue Simulatorzertifizierung umzuschulen, und sparte etwa $1 Million pro Pilot. Allein American Airlines bezifferte das mit $1 Million pro Pilot über die 737-MAX-Flotte.
4. Ein Boeing-Mitarbeiter hatte 2017 intern geschrieben: „Dieses Flugzeug wurde von Clowns entworfen, die wiederum von Affen beaufsichtigt werden.“
5. Die Zulassung durch die FAA stützte sich wesentlich auf Boeings eigene Organization Designation Authorization (ODA), also darauf, dass Boeing-Ingenieure faktisch ihre eigenen Sicherheitsanalysen genehmigten.

Drei Fragen liegen vor dem Vorstand:

1. Der Wettbewerbskontext als Grundursache. Das 737-MAX-Programm wurde als Reaktion auf die Ankündigung des A320neo durch Airbus im Dezember 2010 beschleunigt. Die LEAP-Triebwerke des neo gaben Airbus einen Vorteil beim Treibstoffverbrauch. Boeings Antwort, LEAP-Triebwerke an die bestehende 737-Zelle zu montieren, statt ein neues Flugzeug zu entwerfen, schuf das Schwerpunktproblem, das MCAS erforderte. Hätte Boeing ein neues Flugzeug entworfen (NSA, New Small Airplane), hätte es kein MCAS gegeben. Ist der Wettbewerbsdruck, eine Neuentwicklung zu vermeiden, eine legitime technische Randbedingung, oder war es eine Managemententscheidung, die Sicherheit dem Wettbewerbstempo unterordnete?

2. Die Entscheidung zum Type Rating. Boeing vermarktete die MAX an Airlines mit dem Versprechen, dass kein neues Simulatortraining nötig sei. Das war für große Kunden Hunderte Millionen Dollar an Umstellungskosten wert. Aber die Gleichwertigkeit beim Type Rating zu erhalten bedeutete, dass MCAS ein „unsichtbares“ System sein musste, auf das Piloten nicht geschult wurden. Wenn der kommerzielle Wert eines Systems davon abhängt, dass Piloten nicht wissen, dass es existiert, wie sollte diese Tatsache das Zulassungsverfahren beeinflussen?

3. Die Architektur der Governance. Boeings Sicherheitsprüfungen waren mit der Zeit weniger streng geworden. Die ODA delegierte die Zulassungsbefugnis zurück an Boeing. Der Vorstand erhielt nur wenige Details zu konkreten technischen Sicherheitsabwägungen. Der CEO war ein Finanzmann, kein Ingenieur. Welche Änderungen der Governance auf Ebene von Vorstand, Management und Aufsicht hätten zu einem anderen Ergebnis geführt?

Wichtige Finanzkennzahlen

Die Fehlermechanik von MCAS

Das Versagen von MCAS zeigt, wie sich schrittweise technische Entscheidungen, jede für sich rational, zu einer systemischen Katastrophe verbinden können:

1. Ursprüngliches Problem: Die neuen LEAP-Triebwerke, bei der MAX höher und weiter vorn montiert, um die Bodenfreiheit zu erhalten, verschoben den Schwerpunkt und veränderten das Nickverhalten des Flugzeugs, besonders bei hohem Anstellwinkel.

2. Lösung MCAS: Die Nase automatisch nach unten drücken, wenn der einzelne AoA-Sensor einen Schwellenwert überschritt, um das Flugverhalten früherer 737-Varianten nachzubilden. Das würde die Gleichwertigkeit beim Type Rating bewahren, die Boeing den Airlines versprochen hatte.

3. Ausweitung des Umfangs: Das ursprünglich zugelassene MCAS hatte eine begrenzte Befugnis (0,6 Grad am Höhenleitwerk). Bei Tests erweiterten Ingenieure die Befugnis von MCAS auf 2,5 Grad (mehr als das 4-Fache des Originals), ohne die formale Gefährdungsanalyse entsprechend zu aktualisieren. Die Sicherheitsdokumentation der FAA beschrieb die begrenztere Version.

4. Design mit nur einem Sensor: MCAS stützte sich nur auf die Daten eines AoA-Sensors. Fiel dieser Sensor aus (wie bei beiden Unglücksflügen), löste MCAS auf Basis falscher Daten aus und drückte die Nase wiederholt nach unten, alle paar Sekunden, solange das fehlerhafte Sensorsignal anhielt.

5. Vor den Piloten verborgen: Weil MCAS für Piloten unsichtbar sein sollte, stand es nicht im Flughandbuch. Als Crews auf eine MCAS-Auslösung mit fehlerhaften Daten stießen, hatten sie kein Verfahren dafür. Das Verfahren für eine durchgehende Trimmung existierte, berücksichtigte aber keine wiederholten MCAS-Auslösungen.

Eingesetzte Frameworks

• Stakeholder-Theorie. Boeing hatte konkurrierende Pflichten gegenüber Beteiligten: Aktionäre (Wirtschaftlichkeit des Programms erhalten), Airline-Kunden (Schulungskosten vermeiden), Aufsichtsbehörden (Zulassung erhalten) und Passagiere/Crews (ein sicheres Flugzeug liefern). Als die Interessen der finanziellen Beteiligten über die Sicherheit der Passagiere gestellt wurden, war das Ergebnis 346 Tote. Eine echte Stakeholder-Analyse hätte die Passagiere als letzte Nutzer erkannt, deren Interessen nicht verhandelbar sind.
• Verfall der Sicherheitskultur. Die Fusion von Boeing mit McDonnell Douglas 1997 brachte eine Kultur des Financial Engineering in Konflikt mit Boeings historisch ingenieurgetriebener Identität. Mehrere interne Studien dokumentierten den Kulturwandel. „Sicherheitskultur“ ist kein Slogan, sondern das Gefüge aus Anreizen, Meldewegen und Befugnissen, das bestimmt, ob Sicherheitsbedenken sich gegen kommerziellen Druck durchsetzen können.
• Vereinnahmung der Aufsicht und Selbstzertifizierung. Das ODA-Programm der FAA, das Zulassungsbefugnisse an Boeings eigene Ingenieure delegierte, ergab angesichts der technischen Komplexität moderner Flugzeuge wirtschaftlich Sinn. Aber wenn die zertifizierenden Ingenieure für den Hersteller arbeiten und demselben kommerziellen Druck ausgesetzt sind, ist die Unabhängigkeit der Zulassung schon durch die Konstruktion beschädigt. Die MAX-Abstürze waren teilweise ein Versagen des ODA-Modells.
• Strategie der Reaktion auf Wettbewerber. Boeings Entscheidung, die MAX zu beschleunigen, statt ein neues Flugzeug zu entwerfen, war eine Reaktion auf den A320neo von Airbus. Diese Wahl schuf die technischen Randbedingungen (Triebwerksposition, Schwerpunktverschiebung, Bedarf an MCAS), die zu den Abstürzen führten. Wettbewerbsstrategie zu verstehen heißt auch, ihre nachgelagerten technischen und sicherheitsrelevanten Folgen zu verstehen.

Diskussionsfragen

1. Boeing-Ingenieure dokumentierten die erweiterte Befugnis von MCAS in internen Systemen, aber die Sicherheitsdokumentation der FAA spiegelte die ursprüngliche, begrenztere Version wider. Die interne Kommunikation deutet darauf hin, dass diese Diskrepanz bekannt war. Ist das ein Versagen der technischen Dokumentation, eine absichtliche Falschdarstellung oder etwas dazwischen, und wie beeinflusst deine Antwort Boeings Schuld?
2. Southwest Airlines bezifferte die Gleichwertigkeit beim Type Rating mit etwa $1 Million pro Pilot. American und United setzten ähnliche Werte an. Inwieweit sind die Airlines für die MCAS-Katastrophe mitverantwortlich, da der kommerzielle Wert von „kein Simulatortraining“ den Anreiz schuf, MCAS vor den Piloten verborgen zu halten?
3. Boeings ODA erlaubte den eigenen Ingenieuren, die Sicherheit der MAX zu zertifizieren. Die FAA prüfte Boeings Einreichungen, verifizierte aber nicht alle technischen Analysen unabhängig. Nach den Abstürzen zog die FAA unabhängige technische Experten hinzu und fand weitere Probleme, die Boeing nicht gemeldet hatte. Was ist das angemessene Aufsichtsmodell für die Zulassung komplexer Systeme, wenn die Behörde die technische Analyse des Herstellers nicht unabhängig nachvollziehen kann?
4. Das Flugverbot für die 737 MAX dauerte 20 Monate. In dieser Zeit produzierte Boeing weiter MAX-Flugzeuge und häufte einen Rückstau von über 450 nicht ausgelieferten Maschinen an. Was sagt die Entscheidung, während eines Flugverbots weiterzuproduzieren, über Boeings institutionelles Vertrauen in die spätere Neuzulassung aus, und war dieses Vertrauen berechtigt?
5. Dennis Muilenburg sagte im Oktober 2019 vor dem Handelsausschuss des Senats aus, er sei „stolz“ auf Boeings Sicherheitsbilanz und Boeing habe „die Regeln befolgt“. Fünf Monate später wurde interne Kommunikation veröffentlicht, in der Boeing-Ingenieure die MAX als „von Clowns entworfen“ bezeichneten und sich über die Aufsicht lustig machten. Wie sollten CEOs rechtliche Verteidigungsfähigkeit gegen moralische Verantwortung abwägen, wenn sie nach einem Sicherheitsversagen ihres Unternehmens vor dem Kongress aussagen?

Das tatsächliche Ergebnis (am Ende der Session aufgedeckt)

18. November 2020: Die FAA lässt die 737 MAX wieder zu, nachdem Boeing MCAS so umkonstruiert hat, dass es zwei AoA-Sensoren nutzt, eine Warnleuchte bei Abweichungen ergänzt und Simulatortraining für alle Piloten verlangt.

Januar 2021: Boeing stimmt zu, $2,5 Milliarden zu zahlen, um die strafrechtlichen Vorwürfe des DOJ beizulegen, darunter eine Strafe von $243,6 Millionen und $1,77 Milliarden Entschädigung für Airlines. Der Deal umfasst eine Vereinbarung über eine aufgeschobene Strafverfolgung (kein Schuldeingeständnis des Unternehmens Boeing).

2021: Boeing zahlt den Familien der 346 Opfer einen Vergleich von über $500M.

2024: Das DOJ stellt fest, dass Boeing gegen die Vereinbarung über die aufgeschobene Strafverfolgung von 2021 verstoßen hat (Verschweigen technischer Informationen). Es nimmt die strafrechtlichen Ermittlungen wieder auf; Boeing stimmt zu, sich in einem Punkt der Verschwörung zum Betrug an den Vereinigten Staaten schuldig zu bekennen.

Die Lehre: Wettbewerbsdruck ist keine technische Randbedingung, sondern eine Managemententscheidung. Wenn kommerzielle Entscheidungen bestimmen, ob Sicherheitssysteme den Piloten offengelegt werden, ob Sensorredundanz eingebaut wird und ob Behörden vollständige technische Unterlagen erhalten, hat die Organisation einen Tausch zwischen Sicherheit und Umsatz vollzogen. Boeing hat diesen Tausch vollzogen. 346 Menschen haben dafür bezahlt.

Quellen

• US House Committee on Transportation and Infrastructure, "The Boeing 737 MAX Aircraft: Costs, Consequences, and Lessons from its Design, Development, and Certification" (September 2020).
• DOJ Press Release: Boeing enters deferred prosecution agreement for conspiracy to defraud the FAA (Januar 2021).
• Joint Authorities Technical Review (JATR), "Observations, Findings, and Recommendations" (Oktober 2019).
• FAA AD 2019-06-08, Emergency Airworthiness Directive grounding the 737 MAX (März 2019).
• Abschlussberichte: Indonesian KNKT (Lion Air JT610) und Ethiopian Civil Aviation Authority (ET302).
• Peter Robison, "Flying Blind: The 737 MAX Tragedy and the Fall of Boeing" (2021).