DAEDALUS: Das Flughafen -Resilienz-Rahmenwerk.

Europäische Flughäfen haben drei Jahre lang dieselbe Lektion öffentlich gelernt. Im August 2023 legte ein fehlerhafter Flugplan das britische Flugsicherungssystem lahm und beeinträchtigte über 700.000 Passagiere. Im Juli 2024 führte ein fehlerhaftes Update eines Cybersicherheitsanbieters innerhalb von drei Tagen zu rund 17.000 Flugausfällen weltweit. Im März 2025 legte ein Brand in einem Umspannwerk außerhalb des Flughafengeländes Europas verkehrsreichsten Flughafen für etwa 18 Stunden lahm und führte zum Ausfall von über 1.300 Flügen. Im September 2025 zwang ein Ransomware-Angriff auf einen zentralen Anbieter von Check-in-Systemen vier große Flughäfen zur Rückkehr zu Papierformularen. Und von September bis November 2025 legte eine Welle von Drohnenangriffen, die von den nationalen Behörden als mutmaßliche Hybridaktivität eingestuft wurden, den Betrieb an einem Flughafen nach dem anderen immer wieder lahm.

Keiner dieser Fälle war ein Versagen der Flugsicherheit im klassischen Sinne; vielmehr zeugte er von mangelnder Resilienz und hatte eine gemeinsame Ursache: Eine konzentrierte Abhängigkeit versagte. Das Versagen überschritt eine Organisationsgrenze, für die keine einzelne Partei verantwortlich war. Die Reaktion wurde durch Vorkehrungen verlangsamt, die nie im erforderlichen Umfang getestet worden waren. Und die Wiederherstellung erfolgte improvisiert statt geübt. All das bleibt einer Checkliste verborgen; es wird erst durch ein integriertes, erprobtes Betriebsmodell sichtbar, wie es DAEDALUS bietet.

Die Verpflichtung tritt nun mit einem festen Zeitplan in Kraft. Die EU-Richtlinie zur Informationssicherheit in der Luftfahrt, Part-IS, gilt seit dem 16. Oktober 2025 für Flughafenbetreiber und seit dem 22. Februar 2026 für die gesamte Luftfahrtbranche. Die Anwendbarkeit beginnt mit dem Beginn der Verpflichtung, nicht erst mit deren Erfüllung. Die Richtlinie zur Resilienz kritischer Infrastrukturen nennt den Transportsektor unter den überwachten Sektoren, NIS2 erhöht die Pflichten in Bezug auf Cybersicherheit und Meldewesen, und Betreiber kritischer Infrastrukturen in der Schweiz sind seit dem 1. April 2025 verpflichtet, Cyberangriffe innerhalb von 24 Stunden der nationalen Behörde zu melden. Resilienz ist somit von einer bloßen betrieblichen Pflicht zu einer rechtlichen Verantwortung auf Vorstandsebene geworden.

Jede der simulierten schwerwiegenden Störungen scheiterte an einem Punkt, den eine realistische Übung im Vorfeld aufgedeckt hätte: die unter Druck zusammenbrechende Fernwiederherstellung, der nie im großen Umfang geübte manuelle Rückfallmechanismus, die Benachrichtigungskette mit einem stummen Telefon darin, die unerprobte Schnittstelle zwischen den verschiedenen Behörden. DAEDALUS betrachtet Übungen daher als Mechanismus, mit dem das Modell validiert und der Vertrauensindex durch ein abgestuftes Programm erworben wird, das sich an den von der ICAO bereits erwarteten Rhythmus der Flugplatznotfallplanung anlehnt und bewusst über das klassische Unfallszenario hinaus auf Cyber-, Kontinuitäts- und Hybridszenarien erweitert wurde, die sich bei den jüngsten Störungen als entscheidend erwiesen haben. Die Szenariobibliothek basiert auf evidenzbasierten Erkenntnissen: ein Ransomware-Angriff auf eine gemeinsam genutzte Plattform, der manuelle Bearbeitung erzwingt, ein längerer Stromausfall, der eine geübte Wiederherstellungssequenz erfordert, ein koordinierter Drohnenangriff, der eine gemeinsame Führung erfordert, eine Deepfake-basierte Nachahmung einer Führungskraft während eines laufenden Vorfalls sowie die klassischen Unfall- und Sicherheitsfälle. Jede Übung schließt den Kreislauf: Erkenntnisse werden erfasst, Maßnahmen zugeordnet und datiert, der Abschluss wird in der nächsten Übung überprüft.

Das Programm wird über unsere Übungsformate, von Tischspielen bis hin zu umfassenden Simulationen, wobei die gemeinsame Übung mehrerer Organisationen als unverzichtbar gilt, da die Schnittstellen zwischen den Organisationen der Punkt sind, an dem es in echten Krisen zu Versagen kommt.