Im Flugbetrieb ist die Sterile-Cockpit-Regel einfach: In kritischen Flugphasen wird nur über Aufgaben gesprochen, die nötig sind, um das Flugzeug sicher zu fliegen. Keine Urlaubspläne. Kein Klatsch. Keine Restaurantdebatte im kurzen Endanflug.
Foto von Tom Fisk auf Pexels
Die Regel gibt es, weil Aufmerksamkeit begrenzt ist und Fehler sich häufen, wenn sie zerstreut wird. Änderungen in der Produktionsumgebung sind unser kurzer Endanflug. Dem Cluster ist egal, ob Slack gerade lebhaft ist oder morgen das Quartalsreview ansteht.
Ich bitte Teams nicht, stille Mönche zu werden. Ich bitte um zeitlich begrenzten Fokus, wenn das Risiko am höchsten ist.
Was als „unter zehntausend Fuß“ gilt
Für uns sind kritische Phasen keine Höhe. Es sind Momente, in denen ein falscher Klick oder ein verirrter Befehl überproportionale Wirkung hat:
Aktives Deploy- oder Rollback-Fenster. Vom Moment, in dem jemand eine Änderung anwendet, bis neue Pods Health Checks bestehen und Metriken wieder normal aussehen.
Störungsreaktion bei laufender Kundenwirkung. Die Bridge ist nicht der Ort für Roadmap-Debatten.
Erstmalige Operationen. Neuer Cluster, neuer Ingress Controller, erste Migration zu einer verwalteten Datenbank. Vertrautheit senkt Risiko; Neuheit erhöht es.
Wartung, die gemeinsame Grundlagen berührt. DNS, Zertifikate, Identity Provider, Netzwerkstandards, Storage Classes, die alle nutzen.
Übergaben beim Schichtwechsel während einer offenen Störung. Kontextverlust ist ein Fehlermodus.
Außerhalb dieser Fenster ist normale menschliche Konversation in Ordnung. Kultur braucht Luft. Steril heißt nicht den ganzen Tag steril.
Was während der sterilen Zeit in den Kanal gehört
Ich übernehme aus CRM und aus langweiligen Betriebsgewohnheiten:
Status der Änderung. Welcher Schritt läuft, was kommt als Nächstes, was blockiert uns, falls etwas blockiert.
Beobachtungen mit Belegen. „Die Fehlerrate beim Checkout hat sich in den letzten fünf Minuten verdoppelt“ ist besser als „irgendwas fühlt sich komisch an“.
Explizite Entscheidungen. „Wir pausieren den Rollout.“ „Wir rollen zurück.“ „Wir warten auf die DBA-Prüfung.“
Zuweisungen mit Namen. Wer den Befehl ausführt, wer Metriken beobachtet, wer mit dem Support spricht.
Zeitchecks. „Wir wollten in zehn Minuten entscheiden; es sind noch zwei.“
Das reicht, um eine Crew zu koordinieren. Alles andere kann fünfzehn Minuten warten. Oft stellt sich heraus, dass es einen Tag hätte warten können.
Was man höflich verschiebt
Nicht für immer verboten. Nur nicht jetzt.
Architekturmeinungen, die nichts mit der Störung zu tun haben.
Witze in Lautstärke, die das Signal übertönen. Ich mag Witze. Weniger, wenn drei Leute versuchen, die kubectl-Ausgabe zu hören.
Neue Feature-Ideen, die durch die Störung entstehen. Nach der Stabilisierung in ein Parkplatz-Dokument schreiben.
Leistungsbeurteilungen, Reorgs, Anbieter-Pitches.
„Wenn du schon drin bist“-Anfragen von Menschen, die nicht im Change-Brief stehen.
Ich war schon die Person, die eine „schnelle Frage“ in einen Störungskanal geworfen hat. Ich war auch schon der Ingenieur im Bereitschaftsdienst, der deshalb die eine nützliche Zeile verpasst hat. Die Regel schützt uns alle vor meinem Enthusiasmus.
Steriles Cockpit heißt nicht „nur Seniors sprechen“
In der Luftfahrt sollen auch junge Crewmitglieder bei Sicherheitsfragen das Wort ergreifen. Steril heißt themenbezogen, nicht hierarchisch. Wenn der neueste Ingenieur eine Metrikabweichung sieht, soll er sie klar benennen. Wenn die Störungsleitung über das Abendessen redet, kann jeder ohne Karriererisiko „steril“ sagen.
Das funktioniert nur, wenn Führungskräfte es vorleben. Wenn ich eine Änderung leite, versuche ich, Schritte kurz zu kommentieren, damit andere wissen, wo wir stehen. Wenn ich Teilnehmer bin, halte ich mich zurück, es sei denn, ich habe operative Informationen oder werde gefragt.
Praktische Regeln, die man wirklich einführen kann
Teams unterscheiden sich. Diese Regeln sind klein genug, um sie ohne Program Office auszuprobieren:
Ein primärer Kommunikationskanal pro Change oder Störung. Neben-DMs für Smalltalk — oder akzeptieren, dass Menschen etwas verpassen.
Thread für Details, Top-Level für Status. Lange Logausgaben in Threads halten die Hauptzeitleiste lesbar.
Change Captain. Auch informell. Eine Person kennt die Checkliste und ruft Halt oder Weiter.
Kein Deploy bei ungeklärter steriler Überschneidung. Wenn zwei kritische Dinge passieren müssen, nacheinander abarbeiten oder beide mit klaren Rollen besetzen. Parallele kritische Arbeit ist eine zuverlässige Art, Überraschungen zu vervielfachen.
Bots stummschalten, die ohne Erkenntnis spammen. Wenn eine Integration fünfzig Zeilen pro Minute postet und niemand sie liest, ist das Lärm in Uniform.
Schriftliches Briefing oben verlinken. Fünf Stichpunkte: Umfang, Rollback, Signale, Verantwortlicher, Zeitbox.
Das braucht keine Spezialsoftware. Es braucht die Übereinkunft, dass Fokus eine Ressource ist.
Kubernetes macht sterile Phasen schwerer, wenn man es zulässt
Alles ist YAML und Buttons. Es ist leicht, „kurz kubectl“ zu machen, während jemand anders im selben Namespace per Helm upgraded. GitOps hilft, wenn man der Pipeline vertraut; es schadet, wenn zwei Menschen gegen den Controller arbeiten.
Ich habe gesehen, wie sterile Fenster zusammenbrachen, weil:
Jemand ein Deployment per Hand skaliert hat, während HPA aktiv war.
Ein Teamkollege eine ConfigMap gepatcht hat, um eine Theorie zu testen, während der Deploy auf dem alten Wert basierte.
Eine CI-Pipeline automatisch von main ausgerollt hat, weil wir vergessen hatten, sie einzufrieren.
Argo CD per Auto-Sync eine Änderung erneut angewendet hat, von der jemand glaubte, sie manuell zurückgenommen zu haben.
Steriles Cockpit für die Produktionsumgebung bedeutet auch Werkzeugdisziplin: Pipelines einfrieren, Holds ankündigen, Locks oder Change-Fenster nutzen, wo die Organisation das unterstützt. Kultur ohne Mechanik ist undicht.
Wenn steril unhöflich wirkt
Menschen wehren sich. Verständlich. Absolute Stille kann Angst oder Verwirrung verbergen. Ich ziele auf „fokussiert“, nicht auf „kalt“.
Formulierungen, die helfen:
„Wir sind im Deploy-Fenster — können wir die Frage bis 14:30 parken?“
„Die Idee will ich hören; ich packe sie in den Postmortem-Parkplatz.“
„Steril für die nächsten zehn Minuten, während wir Error Budgets beobachten.“
Wenn jemand ein Sicherheitsanliegen hat — möglicher Datenverlust, rechtliche Exposition, Auswirkungen auf Patienten — ist das immer themenbezogen. Die Regel ist kein Gehorsam gegenüber einem Captain. Sie schützt Aufmerksamkeit.
Bezug zur blameless Kultur
Blameless heißt nicht konsequenzfrei. Es heißt, dass man auf Lernen statt auf Bestrafung optimiert. Steriles Cockpit unterstützt das, indem es öffentliche Selbstdarstellung unter Stress reduziert. Weniger heiße Takes im Kanal bedeuten danach sauberere Zeitleisten.
Wenn das Fenster geschlossen ist, darf man wieder menschlich sein: nachbesprechen, Witze machen, danken. Ich versuche, Menschen zu danken, die beim Thema geblieben sind. Diese Verstärkung zählt mehr als ein weiteres Richtlinien-PDF.
Womit ich noch kämpfe
Ich rede gern. Ich mag Kontext. Unter Stress will ich Geschichte erklären, die niemand gefragt hat. Die Steril-Regel ist auch eine Regel, die ich mir selbst schreibe.
Ich vergesse auch, das Fenster ausdrücklich zu öffnen und zu schließen. Teams profitieren von explizitem „wir starten“ und „wir sind durch“, auch wenn es zeremoniell wirkt. Zeremonie ist billiger als Mehrdeutigkeit.
Remote-Arbeit macht Nebengespräche leichter und das Signal im Hauptkanal schwerer. Ich habe keine perfekte Antwort außer zu merken, wann Slack sich wie ein überfülltes Cockpit in einer nebligen Nacht anfühlt.
Abschluss
Die Luftfahrt hat Fokus nicht erfunden, weil Piloten besonders sind. Sie hat Fokus eingeführt, weil die Kosten der Ablenkung zu hoch waren. Unsere Kosten sind Ausfallzeit, Datenverlust und Vertrauen.
Änderungen in der Produktionsumgebung verdienen eine kurze Phase, in der die einzigen Stimmen im Raum die sind, die den Anflug fliegen. Alles andere kann am Boden warten.
Wenn man diese Woche eine Sache ausprobiert: beim nächsten riskanten Change im Team vereinbaren — ein Kanal, ein Captain, nur operative Gespräche, bis die Metriken wieder langweilig sind. Danach Kaffee holen und über Urlaube sprechen. Die Landebahn liegt hinter einem.
