Der Flughafen war offen. Der Check-in nicht.

Was geschah

CERT-EUs Septemberbericht 2025 beschreibt einen Cyberangriff auf Collins Aerospaces MUSE-System, der elektronischen Check-in und Gepäckabgabe in Brüssel, Heathrow und Berlin störte. Flughäfen wechselten zu manuellen Abläufen. Laut britischer National Crime Agency wurde der Vorfall am 19. September gemeldet.

Der manuelle Ersatzprozess hat eine eigene Kapazität

Ein Prozess kann verfügbar bleiben und trotzdem erheblich weniger leisten. Ein Flughafenteam öffnet beispielsweise manuelle Schalter während einer Lieferantenstörung. Entscheidend ist die Zahl der mit vorhandenen Mitarbeitern, Unterlagen und Geräten bearbeitbaren Passagiere. Das verlangt eine örtliche Bewertung. Lieferantenstatus oder ein geöffneter Schalter liefern diese Antwort nicht.

Die Lage kann sich nach Fluggesellschaft, Terminal und Reiseabschnitt unterscheiden. Warteschlangenmeldung, Personaleinsatz und geänderte Flugabfertigung beschreiben verbundene Folgen statt identischer Ausfälle. Jede Information braucht Verantwortliche und Beobachtungszeit. Bei Änderungen des Ersatzprozesses müssen Partner bestätigte und vorläufige Angaben erkennen. Der Austausch unterstützt konsistente Entscheidungen, ohne Sicherheits- oder Passagiersysteme zu ersetzen.

Eine Abhängigkeit, viele operative Folgen

Das sichtbare Problem lag am Schalter. Operativ ging es um Warteschlangen, Personaleinsatz, Flugentscheidungen und Passagierinformation. Ein Lieferant kann die Wiederherstellung bearbeiten, während jeder Flughafen entscheiden muss, was er jetzt sicher leisten kann. Beide Gespräche müssen verbunden bleiben.

Das ist eine Lehre über Abhängigkeiten, kein Beleg dafür, dass sämtliche Flughafensysteme kompromittiert waren. Ein manueller Ablauf sagt dem Krisenstab auch nicht, welche Kapazität verbleibt. Das müssen die zuständigen Teams bestätigen.

Was der Krisenstab wissen muss

• Welcher Dienst betroffen ist. Lieferantenmeldung den abhängigen Schaltern, Prozessen und Teams zuordnen.
• Was weiter funktioniert. Verantwortliche bestätigen Ausweichkapazität und Grenzen sowie den nächsten Aktualisierungszeitpunkt.
• Wer entscheidet. Technische Wiederherstellungsverantwortung von operativen Entscheidungen und Passagierkommunikation trennen.
• Was sich geändert hat. Entscheidungen und Meldungen auf derselben Chronik halten. Ein alter Status darf nicht als neue Bestätigung zirkulieren.

Mit einem gemeinsamen Lagebild

Ein beispielhafter Meridian-Arbeitsbereich würde die Lieferantenmeldung neben geprüfte lokale Berichte und zugewiesene Aktionen stellen. Er unterstützt die Koordination mit freigegebenen Partnern. Er stellt keinen kompromittierten Dienst wieder her, führt keinen Check-in durch und garantiert keine ausreichende Ausweichkapazität.

Lieferantenmeldungen in örtliche Fragen übersetzen

Ein Abhängigkeitsregister hilft, wenn es benannte Dienste mit nutzenden Prozessen und prüfenden Verantwortlichen verbindet. Meldet der Anbieter eine Teilwiederherstellung, prüft der lokale Prozesseigner betroffene Funktion, zulässige Tests und bestätigende Person. Die Originalmeldung bleibt neben der Bewertung erhalten. Eine allgemeine Nachricht darf nicht unbemerkt zur Bestätigung sämtlicher Funktionen werden.

Ein Terminalkoordinator könnte einer Fluggesellschaft einen Prüfauftrag geben, Einschränkungen erfassen und den nächsten Prüfzeitpunkt festlegen. Ein Partner sieht dieselbe Aktualisierung innerhalb seiner Berechtigungen. Widerspricht der lokale Test dem Anbieter, bleibt der Unterschied zur Klärung sichtbar. Optionale KI-Zusammenfassungen können Nachrichten erschließen; Entscheidungen müssen auf den zugrunde liegenden Berichten beruhen. Der Ablauf ist ein beispielhafter Projektumfang, keine Aussage über die im September eingesetzten Systeme.

Wiederanlauf bestätigen und Übergaben erproben

Ein gezielter Meridian-Pilot könnte freigegebene Beispielmeldungen, eine begrenzte Abhängigkeitskarte und Berichte weniger Teams verwenden. Eine Übung verfolgt den Ausfall bis zum manuellen Ersatzprozess. Eine zweite ergänzt Teilwiederherstellung und klärt die Freigabe des Normalbetriebs. Prüfer müssen Entscheidung, Belege und Einschränkungen ohne Rekonstruktion getrennter Gespräche finden können.

Die Abnahme sollte verzögerte Meldung, Schichtwechsel und Ausfall des Koordinationskanals testen. Zugriffsdurchsetzung, Aufbewahrung und Protokollierung sind zu vereinbaren und nachzuweisen. Betreiberkontrolle macht Datenverarbeitung und Wartung nachvollziehbar; Hosting allein beseitigt Lieferantenabhängigkeiten nicht. Technische Wiederherstellung, örtliche Prüfung und klare Zuständigkeit bleiben notwendig. Das gemeinsame Lagebild koordiniert diese Aufgaben, während Verantwortliche für ihre Entscheidungen einstehen.

Für den Betreiber endet ein Lieferantenausfall nicht mit einer grünen Statusseite. Die Teams müssen bestätigen, dass der Betrieb wieder aufgenommen werden kann.