Der Mythos vom Schweizer Käse – was das berühmteste Bild der Sicherheitswissenschaft verdeckt

In der Nacht des 1. Juli 2002 sass in Zürich ein einzelner Fluglotse an zwei Arbeitsplätzen. Sein Kollege ruhte nebenan, wie es die geduldete Nachtpraxis vorsah. Die Telefonverbindungen zu den Nachbarstellen waren wegen Wartungsarbeiten tot, die optische Konfliktwarnung am Boden abgeschaltet, und über dem Bodensee kreuzten sich die Wege einer Tupolew auf dem Weg nach Barcelona und eines DHL-Frachters Richtung Brüssel. Als der Lotse den Konflikt erkannte, wies er die Tupolew an zu sinken. Sekunden später befahl das Kollisionswarnsystem TCAS an Bord das Gegenteil: steigen. Die Besatzung folgte dem Lotsen. Der Frachter folgte seinem TCAS und sank ebenfalls. Um 23:35 Uhr kollidierten die beiden Maschinen in gut zehn Kilometern Höhe. 71 Menschen starben.

Aus dieser Nacht wurde die vielleicht bekannteste Folie der Sicherheitsausbildung: Scheiben, Löcher, ein Pfeil, der durchsticht. Ein Lotse allein, die Warnung stumm, die Telefone tot, zwei Cockpits mit widersprüchlichen Anweisungen: jede Lücke findet ihre Scheibe. Zwei Jahre später sass James Reason in einem Workshop bei Eurocontrol, vor ihm die Schweizer-Käse-Analyse von Überlingen, und stellte eine Frage, die man vom Erfinder des Modells nicht erwartet: Hat der Käse sein Verfalldatum überschritten?

Das erfolgreichste Bild der Sicherheitswissenschaft

Man muss zuerst würdigen, was dieses Bild geleistet hat. Als Reason es 1990 in Human Error entwickelte und 1997 in Managing the Risks of Organizational Accidents ausarbeitete, war die gängige Deutung eines Unfalls die Suche nach der einen Ursache, meist einem Menschen am Ende der Kette. Reasons Käsescheiben drehten den Blick um: Ein Unfall braucht viele Beteiligte. Jede Scheibe ist eine Schutzebene (Technik, Verfahren, Ausbildung, Aufsicht), und keine ist dicht. Die Löcher sind aktive Fehler dort, wo gehandelt wird, und latente Bedingungen, die weit weg davon entstehen: in Budgetentscheiden, Planungsannahmen, Wartungsfenstern. Erst wenn die Löcher sich decken, schlägt ein Ereignis durch.

Damit liess sich einer Geschäftsleitung in dreissig Sekunden erklären, warum die Kündigung des letzten Handelnden kein Sicherheitsgewinn ist. Das Bild verschob die Aufmerksamkeit vom Einzelnen auf die Organisation, von der Schuldfrage auf die Bedingungen. Kaum ein Bild taucht in Ausbildungen, Foliensätzen und Untersuchungsberichten so zuverlässig auf, quer durch Luftfahrt, Medizin, Industrie und Energieversorgung. Nebenbei: Der Name stammt gar nicht von Reason. Den Schweizer Käse hat ihm vermutlich Rob Lee angehängt, damals Leiter der australischen Flugunfalluntersuchung. Reason hatte gestaffelte Schutzebenen gezeichnet; der Schweizer Käse machte daraus eine Marke.

Vier Löcher, sauber benannt

Überlingen scheint das Modell glänzend zu bestätigen. Die Scheiben lassen sich aufsagen: die Besetzung (ein Lotse für zwei Arbeitsplätze), die Technik (Telefone und optische Konfliktwarnung in Wartung), die Warnkette (der akustische Alarm, den niemand hörte), die Verfahren (zwei Ausbildungswelten mit unterschiedlicher Antwort auf die Frage, wem im Zweifel zu folgen ist: dem Lotsen oder dem TCAS). Vier Löcher, sauber benannt, und aus jedem folgte eine Massnahme. Die wichtigste gilt seit dem Unfall weltweit: Bei einem Widerspruch hat das TCAS Vorrang, immer.

Genau diese Glätte sollte misstrauisch machen. Die Käse-Lesart von Überlingen funktioniert reibungslos, sie liefert Löcher, Scheiben und Massnahmen. Und sie übersieht trotzdem das Entscheidende an dieser Nacht.

Was die Käsescheiben nicht zeigen können

Das Entscheidende ist der Moment, in dem zwei Sicherheitssysteme einander widersprachen. Der Lotse funktionierte: Er erkannte den Konflikt und griff ein. Das TCAS funktionierte: Es erkannte den Konflikt und griff ein. Beide Barrieren taten, wofür sie gebaut waren, und zusammen schickten sie zwei Maschinen in dieselbe Höhe. Das ist kein Loch in einer Scheibe. Ein Loch wäre eine Abwesenheit von Schutz; hier gab es Schutz im Überfluss. Über dem Bodensee kollidierten zwei intakte Barrieren, und für diesen Vorgang hat der Schweizer Käse keine Sprache. Die Scheiben stehen im Bild stumm nebeneinander, sie interagieren nicht.

Über dem Bodensee lagen nicht einfach Löcher übereinander. Dort kollidierten zwei intakte Barrieren – und für diesen Vorgang hat der Schweizer Käse keine Sprache.

Dazu kommt ein zweites Problem: Das Bild ist ein Standbild. Die Löcher von Überlingen lagen nicht seit Jahren bereit, sie öffneten und verschoben sich an diesem Abend. Die Wartungsarbeiten waren geplant und bewilligt, die Einmann-Besetzung eine geduldete Praxis, die in hundert Nächten zuvor niemandem geschadet hatte. Jede dieser Bedingungen war für sich genommen normal. Wer den Käse zeichnet, zeichnet das Ergebnis dieser Bewegung und hält es fest, als wäre es ein Zustand gewesen. Warum sich die Löcher ausgerechnet in dieser Nacht deckten, welche Dynamik sie aufeinander zuschob: Diese Frage kann das Bild nicht stellen. Es zeigt, dass ein Unfall viele Beteiligte braucht. Wie sie sich verabreden, erzählt es nicht.

Der Zweifel des Erfinders

Das Bemerkenswerte ist, wie klar Reason das selbst gesehen hat. Im September 2004 analysierte ein Eurocontrol-Workshop den Fall Überlingen mit Reasons Modell, und Reason stellte seinen eigenen Beitrag unter den Titel «Is Swiss cheese past its sell-by date?». Der Bericht, der daraus entstand, hält trocken fest: Ironischerweise sei der Einzige, der den Gebrauch des Modells ernsthaft in Frage stelle, Reason selbst. Er warnte darin auch vor dem Pendel, das zu weit schwingen könne: vor der Jagd nach immer entfernteren latenten Bedingungen, bis jede Budgetentscheidung von vor zehn Jahren zur Unfallursache erklärt wird und niemand mehr für irgendetwas verantwortlich ist.

James Reason ist im Februar 2025 gestorben, und seither ist die Versuchung gross, das Modell endgültig zu kanonisieren. Das wäre die falsche Ehrung. Reason hat sein Bild zeitlebens als das behandelt, was es war: ein Denkbild mit Geltungsbereich, kein Naturgesetz. Der Mythos vom Schweizer Käse ist deshalb nicht das Modell selbst. Der Mythos ist der Gebrauch: eine Kommunikationsmetapher, die zur Analysemethode befördert wurde. In dieser Beförderung kippt das Bild. Aus «ein Unfall hat viele Väter» wird ein Prüfschema: Löcher benennen, Scheiben zuordnen, Massnahmen ableiten, Bericht abschliessen. Die Folie, die eine Diskussion über die Organisation eröffnen sollte, beendet sie. Wo jede Lücke ihre Scheibe gefunden hat, fühlt sich die Analyse fertig an, und die Frage nach der Dynamik dahinter wird gar nicht mehr vermisst.

Was an die Stelle tritt

Die Sicherheitswissenschaft hat auf diese Grenzen längst geantwortet. Erik Hollnagel hat mit FRAM eine Methode gebaut, die statt Scheiben und Löchern die alltägliche Variabilität von Funktionen betrachtet und fragt, wie sich normale Schwankungen zu einem Ereignis aufschaukeln: Resonanz statt Flugbahn. Nancy Leveson modelliert mit STAMP Sicherheit als Regelungsproblem, bei dem Unfälle aus fehlender Kontrolle über Wechselwirkungen entstehen, gerade auch zwischen intakten Komponenten. Beide Ansätze haben eine Sprache für das, was über dem Bodensee geschah. Beide sind sperriger als der Schweizer Käse, und keiner von beiden passt auf eine Folie. Das ist kein Zufall: Die Eingängigkeit des Käses ist genau die Eigenschaft, die ihn als Analysewerkzeug disqualifiziert.

Für den Schweizer Käse bleibt damit eine ehrenvolle Aufgabe. Wer einem Verwaltungsrat in fünf Minuten erklären muss, warum die Entlassung des Lotsen kein einziges Problem gelöst hätte, findet kein besseres Bild. Als Türöffner ins systemische Denken ist die Folie unschlagbar. Nur sollte man durch eine geöffnete Tür dann auch gehen. Wie das konkret aussieht, schauen wir uns nächste Woche an: mit einer Buchnotiz zu Hollnagels FRAM, der Methode, die dort anfängt, wo die Scheiben aufhören.

Der Käse zeigt, dass ein Unfall viele Väter braucht. Warum sie sich in einer Julinacht über dem Bodensee verabredet haben, kann nur erzählen, wer die Käsescheiben beiseitelegt.

Quellen

• James Reason – Human Error, Cambridge University Press 1990
• James Reason – Managing the Risks of Organizational Accidents, Ashgate 1997
• James Reason, Erik Hollnagel & Jean Pariès – Revisiting the ‹Swiss Cheese› Model of Accidents, Eurocontrol EEC Note No. 13/06, 2006 (Hauptquelle)
• Bundesstelle für Flugunfalluntersuchung – Untersuchungsbericht AX001-1-2/02, 2004 (Überlingen)
• Erik Hollnagel – FRAM: The Functional Resonance Analysis Method, Ashgate 2012
• Nancy Leveson – Engineering a Safer World, MIT Press 2011