Lufttüchtigkeitsberichte: Das richtige Nachweistool

Die EASA schreibt für den Lufttüchtigkeitsüberprüfungsbericht keine Technologie vor: Seit dem 7. August 2026 verlangt die Verordnung (EU) 2026/100 einen schriftlichen, beweiskräftigen Bericht, der fünf Jahre aufzubewahren ist, ohne ein Werkzeug vorzuschreiben — eine geteilte PDF, ein Dokumentenmanagementsystem oder ein verteiltes Register bleiben offene Optionen. Die Wahl liegt bei Ihnen, und das Kriterium dafür passt in eine Frage: Wollen Sie in fünf Jahren, vor einer Behörde oder einem zweifelnden Käufer, Datum und Integrität Ihres Berichts behaupten — oder nachweisen?

Dieses Kriterium ändert alles. Lautet die Antwort „nachweisen“, reichen weder eine weitere PDF im gemeinsamen Ordner noch ein verschärftes internes Verfahren: Es braucht eine Beweisschicht, die ein Dritter prüfen kann — und genau das kann ein fälschungssicheres Register liefern. Sehen wir uns zunächst an, was die Verordnung genau verlangt.

Was M.A.903(h) ändert

Wir haben das gesamte Regulierungspaket in unserem Artikel zur Verordnung (EU) 2026/100 ausführlich behandelt. Der hier relevante Punkt ist das neue M.A.903(h), eingeführt durch die Durchführungsverordnung (EU) 2026/100 der Kommission: „Die Einzelheiten und das Ergebnis einer Lufttüchtigkeitsüberprüfung sind in einem Lufttüchtigkeitsüberprüfungsbericht festzuhalten.“ Die Part-ML enthält dieselbe Anforderung in Punkt ML.A.903(h). Die Punkte CAMO.A.220(a)(3) und CAO.A.090(a)(4) schreiben anschließend vor, diesen Bericht zusammen mit dem ARC oder der Empfehlung aufzubewahren, und die Punkte CAMO.A.220(a)(7) und CAO.A.090(c) setzen eine Aufbewahrungsfrist von fünf Jahren fest, wenn die ausstellende Organisation nicht dieselbe ist, die die Lufttüchtigkeit verwaltet — ein Fall, der alltäglich wird, seit die Überprüfung einer unabhängigen Organisation anvertraut werden darf. Die AMC und GM, die den erwarteten Inhalt präzisieren, wurden am 6. Juli 2026 durch die EASA-Entscheidung ED 2026/005/R angenommen.

Was bisher gute Praxis war, wird damit zu einem regulierten Nachweis: kontrollierte Vorlage, definierte Mindestinhalte, benannter Verantwortlicher, Platz im Aufzeichnungssystem, einklagbare Aufbewahrungsfrist. Und weil die Überprüfung von einem Dritten durchgeführt werden kann, zirkuliert dieser Bericht zwischen Organisationen — zwischen dem Lufttüchtigkeitsmanager, der Überprüfungsorganisation, der zuständigen Behörde, manchmal dem Käufer des Luftfahrzeugs. Jede Übergabe wirft dieselbe Frage auf: Woher weiß der Empfänger, dass das Dokument seit seiner Unterzeichnung nicht verändert wurde?

Was ein Auditor von einem regulatorischen Nachweis erwartet

Ein regulatorischer Nachweis ist nur so viel wert wie drei Eigenschaften, die allesamt in einem Audit überprüfbar sind:

• Datierte Existenz: nachweisen können, dass der Bericht in dieser Form zu einem bestimmten Zeitpunkt existierte — nicht nur behaupten.
• Integrität: nachweisen können, dass nach der Unterzeichnung keine Zeile verändert wurde, auch nicht von jemandem mit Zugriff auf den Server.
• Langfristige Prüfbarkeit: das Dokument und seinen Nachweis fünf Jahre später vor einer Behörde oder einem Käufer vorlegen können, ohne von einem einzigen internen System abhängig zu sein.

Eine PDF in einem gemeinsamen Ordner bietet keine dieser drei Garantien in nachweisbarer Form. Das Änderungsdatum einer Datei lässt sich ändern, ein Dokument lässt sich umschreiben, ein Server wird migriert: Diese Systeme waren nie dafür gedacht, belastbare Beweise zu erzeugen — genau die Lücke, die die neue Anforderung offenlegt.

Die zu treffende Entscheidung: drei Optionen, ein Kriterium

Angesichts von M.A.903(h) sind drei Haltungen möglich. Die erste besteht darin, den Bericht wie jedes interne Dokument zu erstellen: am Tag der Unterzeichnung formkonform, drei Jahre später unhaltbar. Die zweite verschärft das interne Verfahren — gesperrte Ordner, Zugriffsrechte, hausinterne Protokollierung —, was die Disziplin verbessert, ohne einen von Dritten überprüfbaren Nachweis zu erzeugen. Die dritte fügt eine externe Beweisschicht hinzu: einen Fingerabdruck des Berichts, zeitgestempelt in einem Register, das niemand umschreiben kann. Das Auswahlkriterium passt in eine Frage: Wollen Sie in fünf Jahren, vor einer Behörde oder einem zweifelnden Käufer, behaupten oder nachweisen? Lautet die Antwort „nachweisen“, hält nur die dritte Option die Distanz aus.

Was eine Blockchain konkret bringt, ohne Fachjargon

Eine Blockchain ist ein Register von Einträgen, das niemand — nicht einmal sein Betreiber — nachträglich ändern oder löschen kann, und in dem jeder Eintrag fälschungssicher datiert ist. Auf den Überprüfungsbericht angewendet, lässt sich die Methode in einem Satz zusammenfassen: Man veröffentlicht nicht den Bericht auf der Blockchain, sondern trägt seinen Fingerabdruck ein.

Konkret berechnet das System bei der Unterzeichnung des Berichts einen kryptografischen Fingerabdruck der Datei — eine kurze Zeichenfolge, die sich ändert, sobald sich ein einziges Byte des Dokuments ändert — und trägt ihn mit einem Zeitstempel in das Register ein. Das Dokument verbleibt im gewohnten Aufzeichnungssystem, unter Zugriffskontrolle. Drei praktische Konsequenzen:

• Existenznachweis: Der zeitgestempelte Fingerabdruck belegt, dass genau dieses Dokument zu diesem Zeitpunkt existierte. Es wird unmöglich, einen Bericht während eines Audits rückwirkend zu „erzeugen“.
• Integritätsnachweis: Jeder Inhaber der Datei kann ihren Fingerabdruck neu berechnen und mit dem im Register vergleichen. Stimmen beide überein, ist das Dokument unverändert; wurde ein Detail nachgebessert, schlägt der Vergleich fehl.
• Unabhängige Verifizierung: Die zuständige Behörde, der Käufer oder der Kunde kann prüfen, ohne vom Softwareanbieter oder vom Zugang zum internen System der Organisation abhängig zu sein. Und da nur der Fingerabdruck eingetragen wird, bleibt der Inhalt des Berichts vertraulich.

Jede neue Version des Berichts erhält eine neue Verankerung: Die Versionshistorie wird zu einer Beweiskette, die der Anforderung lückenloser Nachverfolgbarkeit eines Überprüfungsprozesses auf natürliche Weise entspricht — von der dokumentarischen Prüfung der Aufzeichnungen bis zur physischen Besichtigung des Luftfahrzeugs, die M.A.903 zeitlich so eng wie möglich aneinandergerückt sehen will (M.A.903(e)).

Einen Überprüfungsbericht verankern: Der Fingerabdruck geht ins Register, das Dokument bleibt im Aufzeichnungssystem.

Das Werkzeug: die Matrix Anforderung ↔ Eigenschaft des Registers

Hier die vollständige Zuordnung, direkt verwendbar für ein Lastenheft oder zur Beantwortung einer Auditfrage.

Zwei Zeilen dieser Matrix verdienen Hervorhebung. Der Existenznachweis ist die einzige solide Antwort auf das Szenario des am Vorabend eines Audits „rekonstruierten“ Berichts: Ohne datierte Verankerung unterscheidet nichts einen am Tag der Überprüfung unterzeichneten Bericht von einem drei Jahre später verfassten. Und die unabhängige Verifizierung verändert die Dynamik jeder Übergabe: Der Empfänger muss dem Aussteller nicht mehr vertrauen — er prüft.

Abgegrenzter Fall: ein drei Jahre nach Ausstellung angefochtenes ARC

Nehmen wir das ungünstigste — und realistischste — Szenario. Im Jahr 2026 stellt ein unabhängiges CAMO nach Überprüfung das ARC eines Geschäftsjets aus, wie es Punkt M.A.901(c) nun erlaubt, und hält den von M.A.903(h) geforderten Bericht fest. Drei Jahre später, 2029, wird das Luftfahrzeug verkauft. In der Due-Diligence erhebt der Käufer einen Einwand: Er vermutet, der Überprüfungsbericht sei nachträglich ergänzt worden, um eine spät behobene Feststellung zu verschleiern, und verlangt den Nachweis, dass das vorgelegte Dokument tatsächlich dasjenige ist, das zum Datum des ARC existierte.

Ohne Verankerung. Das CAMO legt die PDF und seine internen Metadaten vor. Der Käufer entgegnet, dass sich ein Dateidatum ändern lässt, dass ein Server neu installiert wird, dass das Ereignisprotokoll des Dokumentensystems vom CAMO selbst verwaltet wird — von einer befangenen Partei. Der Streit wird über Glaubwürdigkeit entschieden, nicht über Fakten: Preisverhandlung, eine Klausel im Kaufvertrag, manchmal eine neue Lufttüchtigkeitsüberprüfung auf Kosten des Verkäufers. Das CAMO kann, selbst wenn es redlich handelt, nicht nachweisen, was es behauptet.

Mit Verankerung. Das CAMO legt den Bericht und die Verankerungsbescheinigung vor: den Fingerabdruck des Dokuments, eingetragen in das Register am Tag der ARC-Unterzeichnung, 2026. Der Käufer — oder sein Berater — berechnet den Fingerabdruck der übergebenen Datei neu und vergleicht ihn mit dem im Register. Er stimmt überein: Das Dokument ist seit 2026 unverändert, und die Debatte über die Datierung ist in wenigen Minuten geschlossen. Wäre der Bericht auch nur um eine Zeile nachgebessert worden, würde der Vergleich fehlschlagen und die Abweichung sichtbar. Dieselbe Demonstration funktioniert vor der zuständigen Behörde, falls sie ein Verfahren zum ARC eröffnet: Die Organisation legt Dokument und Nachweis vor, ohne überzeugen zu müssen.

Derselbe Streit, mit und ohne Verankerung: Wochen der Verhandlung gegen Minuten der Prüfung.

Dieser Fall verdeutlicht den Kern: Der Wert des Überprüfungsberichts entscheidet sich nicht am Tag seiner Unterzeichnung, sondern am Tag, an dem ihn jemand anficht. An diesem Tag misst sich der Unterschied zwischen einer PDF und einem verankerten Nachweis — in Wochen der Verhandlung oder in Minuten der Prüfung.

Dasselbe Vertrauensproblem bei den Teilen

Dieses Bedürfnis nach unveränderbaren Aufzeichnungen ist in der Luftfahrt nicht neu: Es ist nur in den Vordergrund gerückt. Der Fall AOG Technics, der 2023 bekannt wurde, hat es eindrucksvoll gezeigt: Teile für CFM56-Triebwerke waren mit gefälschten Zertifikaten in Umlauf gebracht worden, und Dutzende Luftfahrzeuge mussten am Boden bleiben, bis die Historien überprüft waren. Der Wert eines Teils — wie der eines Überprüfungsberichts — beruht vollständig auf der Glaubwürdigkeit seiner Unterlagen. Das ist die Lehre, die die Industrie jetzt zieht: GA Telesis, einer der weltweit führenden MRO-Anbieter, stellte 2026 WILBUR vor, ein auf Blockchain beruhendes Register, das jedem Teil, Triebwerk und jeder Zelle einen einzigen, überprüfbaren Lebenszyklusnachweis geben soll; die groß angelegten Erprobungen begannen im Sommer 2026. Der von M.A.903(h) geforderte Lufttüchtigkeitsüberprüfungsbericht reiht sich in genau dieselbe Bewegung ein: Konformitätsdokumente in beweiskräftige Nachweise zu verwandeln.

Was die Blockchain nicht löst

Die natürliche Antwort ist nicht die Wunderantwort. Vier Grenzen müssen klar benannt werden, weil sie über den realen Erfolg eines solchen Aufbaus entscheiden.

• Fehlerhafte Eingabe an der Quelle. Ein fälschungssicheres Register beweist, dass ein Dokument seit seiner Verankerung unverändert ist — es beweist nicht, dass sein Inhalt korrekt ist. Ein Bericht, der einen Ablesefehler, eine falsch abgeschriebene Seriennummer oder eine übersehene Feststellung festhält, wird vollkommen integriert sein... und vollkommen falsch. Die Verankerung verlagert die Frage auf die Qualität des Überprüfungsprozesses selbst: Gegenproben vor der Unterzeichnung, Kompetenz des Personals, Aufsicht. Der kryptografische Nachweis ersetzt niemals die Sorgfalt des Prüfers.
• Die Governance des Registers. Wer betreibt das Register, wer darf schreiben, was geschieht, wenn der Betreiber verschwindet? Ein geschlossenes proprietäres Register, das nur über den Anbieter prüfbar ist, erzeugt genau die Abhängigkeit neu, die es zu beseitigen vorgab. Die Beweiskraft hängt von Governance-Entscheidungen ab — offenes Register oder Konsortium, öffentliche Fingerabdruck-Standards, ein exportierbares Verifizierungsverfahren —, und das sind Architekturentscheidungen, keine automatischen Eigenschaften der Technologie.
• Die Adoption durch Dritte. Der Nachweis hat nur Wert, wenn Behörde, Käufer oder Versicherer bereit sind, ihn zu prüfen — und anzuerkennen. Die Verordnung (EU) 2026/100 ist technologieneutral: Sie schreibt Blockchain weder vor noch erwähnt sie sie, und keine Behörde ist verpflichtet, eine Verankerung anzuerkennen. In der Praxis ist die Demonstration einfach genug, um in gutem Glauben akzeptiert zu werden, aber es wäre falsch, den Aufbau als regulatorische Anerkennung darzustellen.
• Das Verhältnis von Kosten und Bedarf. Für eine Organisation, die drei ARC pro Jahr für eigene Luftfahrzeuge ausstellt, mag ein rigoroses internes Verfahren genügen. Die Beweisschicht lohnt sich, wenn der Bericht zirkuliert — von der Verwaltung entkoppelte Überprüfung, Flotten mit vielen Kunden, Luftfahrzeugtransaktionen —, also genau in den Konstellationen, die die Verordnung 2026/100 gerade verallgemeinert hat.

Wo man anfängt

Kein pharaonisches Projekt nötig. Eine pragmatische Umsetzung lässt sich auf fünf Punkte reduzieren:

1. Den Bericht dort belassen, wo er ist: Das bestehende Aufzeichnungssystem bleibt die Quelle des Dokuments; die Blockchain ist nur eine Beweisschicht.
2. Bei der Unterzeichnung verankern: Berechnung und Eintragung des Fingerabdrucks müssen Teil des Signatur-Workflows des Berichts sein, kein manueller Schritt im Nachhinein.
3. Jede Version verankern: Jede Änderung führt zu einer neuen signierten und verankerten Version, niemals zu einer stillen Neufassung.
4. Die Verifizierung durch Dritte vorsehen: Eine einfache exportierbare Fingerabdruck-Datei ermöglicht einer Behörde oder einem Käufer die eigenständige Prüfung.
5. Formatneutral bleiben: Fingerabdrücke nach offenem Standard, dokumentiertes Verifizierungsverfahren — der Nachweis muss einen Wechsel des Softwareanbieters überstehen.

Keplers Einschätzung: Dokumentarische Beweise werden Infrastruktur der Lufttüchtigkeit

Keplers Einschätzung: Unsere Überzeugung ist, dass die Verordnung (EU) 2026/100 den Moment markiert, in dem der dokumentarische Nachweis aufhört, eine Frage guter interner Verwaltung zu sein, und zur Infrastruktur der Lufttüchtigkeit wird — auf Augenhöhe mit dem technischen Dossier des Luftfahrzeugs. Sobald der Überprüfungsbericht zwischen Organisationen zirkuliert und fünf Jahre halten muss, kann die Frage „wie nachweisen“ nicht mehr der Improvisation jedes einzelnen CAMO überlassen bleiben: Sie verlangt gemeinsame Schienen — standardisierte Verankerung, unabhängige Verifizierung, offene Formate. Organisationen, die diese Schienen jetzt legen, verwandeln eine regulatorische Pflicht in ein Verkaufsargument: Eine nachweisbare Lufttüchtigkeitshistorie ist bares Geld wert, wenn ein Luftfahrzeug weiterverkauft wird.

Kepler Aviation baut diese Beweisschicht für Lufttüchtigkeitsaufzeichnungen im Kepler-Digitals-Ökosystem, das Blockchain auf die Luftfahrt anwendet. Für ein Gespräch über die Absicherung Ihrer Überprüfungsberichte kontaktieren Sie uns.