In Duitsland gaat de politie ervan uit dat een tikfout in de cockpit het kapingsalarm rond een Corendon-vlucht uit Corfu heeft veroorzaakt. De piloot wilde volgens de politie met zijn transponder melden dat de radio was uitgevallen, en had daarvoor code 7600 moeten kiezen. In plaats daarvan zond het toestel 7500 uit, de code voor een kaping. Dat zette dinsdag 13 oktober een volledige veiligheidsoperatie in gang: gevechtsvliegtuigen stegen op, de luchthaven van Neurenberg ging dicht en een onderhandelingsteam en een speciale politie-eenheid stonden klaar. Aan boord bleek niets aan de hand. Wij zetten op een rij wat er bekend is, wat de vrij beschikbare ADS-B-gegevens laten zien en waarom één verkeerd cijfer zo veel in beweging zet.

Wat er op 13 oktober gebeurde

Het ging om vlucht XR456 van Corfu naar Neurenberg, uitgevoerd met de Boeing 737-800 met registratie 9H-CXD van het Maltese Corendon Airlines Europe, schrijft aeroTELEGRAPH. Corendon bevestigt vlucht en registratie in een verklaring. Volgens de politie van Mittelfranken werd vanuit de cockpit de code 7500 uitgezonden, waarna de piloot niet meer via de radio bereikbaar was. "Om veiligheidsredenen werden vervolgens verschillende alarmen geactiveerd", schreef de Duitse politie, aangehaald door de NOS.

"Omdat we daarna de cockpit niet meer konden bereiken, of beter gezegd de toren de cockpit niet meer kon bereiken, moesten we uitgaan van het ergste", zei een politiewoordvoerder volgens Der Spiegel. Volgens hem kwam de code ongeveer halverwege de vlucht binnen, kort na 11.00 uur Duitse tijd. Aan boord waren volgens Corendon 178 passagiers en zes bemanningsleden.

De verklaring: 7500 in plaats van 7600

Woensdag gaf de politie een verklaring. Het toestel had een defecte radio, waardoor de bemanning na het vertrek van Corfu niet meer bereikbaar was, zei een politiewoordvoerder tegen het Duitse persbureau dpa. De piloot wilde die radio-uitval volgens de huidige stand van het onderzoek melden met transpondercode 7600, maar voerde per ongeluk 7500 in. De piloot was zich de vermoedelijke fout waarschijnlijk eerst niet bewust, zei politiewoordvoerder Michael Petzold. Nadat militaire toestellen het vliegtuig over meer dan de helft van de route hadden begeleid, had hij de vergissing volgens de politie wel door.

Petzold zei ook dat een eenmaal verzonden code niet meer kan worden teruggenomen. De politie stelt geen onderzoek in naar de piloot, omdat zij er niet van uitgaat dat hij opzettelijk handelde. Corendon sprak dinsdag van "een kortstondige storing van het radiocommunicatiesysteem" en benadrukt dat er op geen enkel moment een echte noodsituatie was en dat passagiers, bemanning en toestel nooit in gevaar waren. In die verklaring gaat Corendon niet in op een tikfout.

Wat de open ADS-B-gegevens laten zien

De positie- en transpondergegevens die het toestel zelf uitzond, zijn openbaar terug te zien in het archief van het vrije ADS-B-netwerk adsb.lol. Daarin staat 9H-CXD, met de roepnaam CXI2ZD, vanaf 08.13 uur UTC (10.13 uur Nederlandse tijd) op code 7500. Dat was ongeveer zes minuten na de eerste positie na de start, op ongeveer 8.000 voet, kort voordat het toestel verder klom, boven de Ionische Zee, ten noordwesten van Corfu. Het toestel gaf toen ook de ADS-B-status voor wederrechtelijke inmenging af. Om 08.27 uur UTC, op ongeveer 34.500 voet boven de zuidelijke Adriatische Zee ter hoogte van Apulië, stond de transponder weer op de gewone code 3715. Vanaf 08.38 uur UTC tot aan de landing in Neurenberg om 10.16 uur UTC zond het toestel code 6003 uit. Code 7600, de code voor radio-uitval, komt in de gegevens van deze vlucht niet voor, voor zover het open netwerk de transponder vastlegde.

Die tijden passen niet bij de verklaringen. Corendon schrijft dat het toestel "om 9 uur (UTC) in het Kroatische luchtruim" een noodcode meldde, en de politie spreekt van een code ongeveer halverwege de vlucht, kort na 11.00 uur Duitse tijd. Dat is hetzelfde moment, maar volgens de ADS-B-gegevens stond de transponder toen al ruim een half uur niet meer op 7500. Mogelijk gaat het om het moment waarop het alarm bij de Duitse en Kroatische diensten binnenkwam; dat is niet bekendgemaakt. Ook hoe het past bij de verklaring van de politie dat de piloot de fout pas merkte toen straaljagers het toestel begeleidden, is niet uitgelegd.

Straaljagers uit meerdere landen

Al in het Kroatische luchtruim begeleidden militaire toestellen de Boeing, meldt dpa. Een Kroatisch gevechtsvliegtuig steeg op om het toestel tot aan de Sloveense grens te begeleiden, na een waarschuwing van het NAVO-luchtcommando in het Spaanse Torrejón, meldde het Kroatische ministerie van Defensie volgens Der Spiegel. Ook onderscheppingsjagers van het Oostenrijkse Bundesheer werden gealarmeerd, aldus dpa. In het Duitse luchtruim namen twee Eurofighters van het Taktisches Luftwaffengeschwader 74 uit Neuburg an der Donau het over, waar dag en nacht twee toestellen paraat staan. Een woordvoerder van de Luftwaffe zei tegen RTL dat de jets het toestel onderschepten, tot de landing begeleidden en daarna boven de luchthaven bleven tot een nieuwe start was uitgesloten.

Neurenberg op slot

De politie sloot de luchthaven en de toegangswegen kort voor de landing af. In Neurenberg stonden onder meer een onderhandelingsgroep, getraind voor contact met kapers, en het Unterstützungskommando (USK) van de Beierse politie klaar, meldt dpa. Tussen het noodsignaal en de landing hadden de hulpdiensten volgens Petzold minder dan een uur om zich voor te bereiden. Hij sprak van een buitengewoon goede prestatie van de hulpdiensten.

De Boeing landde volgens de ADS-B-gegevens om 12.16 uur Nederlandse tijd. Pas toen het toestel op een parkeerpositie stond, kwam er contact met de cockpit, schrijft t-online. Kort na 13.00 uur gaf de politie het sein veilig: "De controles ter plaatse hebben uitgewezen dat er geen gevaar is." De passagiers moesten eerst aan boord blijven en mochten na ongeveer een uur uitstappen; bussen brachten ze naar de aankomsthal, waar een noodteam klaarstond, meldt Euronews. Kort na 13.30 uur kwam het vliegverkeer weer op gang.

De sluiting raakte ook ander verkeer. Vluchten werden uitgeweken naar Frankfurt, Memmingen, Stuttgart en München, en KLM schrapte vlucht KL1843 uit Amsterdam, meldt aeroTELEGRAPH. Wizz Air Malta annuleerde een vlucht uit Cluj-Napoca. Voor de luchthaven was het "een zeer bewogen dag", zei luchthavendirecteur Michael Hupe volgens inFranken.de. In de nacht ervoor hadden drie piloten tussen 02.00 en 04.00 uur los van elkaar een object gemeld dat mogelijk een drone was, meldt aeroTELEGRAPH. Een zoekactie met een politiehelikopter leverde niets op. Volgens een politiewoordvoerder zijn de twee voorvallen "helemaal niet met elkaar in verband te brengen", schrijft t-online.

Zo werken 7500, 7600 en 7700

Drie transpondercodes zijn wereldwijd gereserveerd. In de documenten van de VN-luchtvaartorganisatie ICAO staat dat 7700, 7600 en 7500 zijn voorbehouden aan piloten in een noodsituatie, bij uitval van de radioverbinding en bij wederrechtelijke inmenging, zoals een kaping. De Europese luchtverkeersregels (SERA) nemen dat over: een piloot kiest 7700 bij een noodsituatie, 7600 bij radio-uitval en probeert 7500 te kiezen bij wederrechtelijke inmenging. Zodra een toestel 7500 uitzendt, verandert het symbool op het scherm van de verkeersleider en verschijnt de melding "HIJACK", legt Der Spiegel uit; de verkeersleiding licht direct politie en veiligheidsdiensten in.

Code 7600 heeft juist een geruststellende functie. Volgens de ICAO-procedures voor vliegers kan een verkeersleider die 7600 ziet, nagaan hoe ver de storing gaat door de piloot te vragen op "ident" te drukken of van code te wisselen. Werkt de ontvanger aan boord nog, dan kan de vlucht verder worden geleid met codewissels en ident-signalen als bevestiging. Wie 7600 uitzendt, kan dus zonder spraak toch laten zien dat hij meeluistert. Bij 7500 werkt dat precies andersom. Meer over code 7700 lees je in ons antwoord op wat squawk 7700 betekent.

Waarom 7500 niet zomaar terug te draaien is

Bij een kaping moet de bemanning kunnen waarschuwen zonder dat de kaper het merkt, en dat bepaalt de procedure. Ziet de verkeersleiding 7500, dan vraagt zij de piloot de code te bevestigen. Volgens de ICAO-procedures en de Europese richtsnoeren bij SERA bevestigt de piloot dan, afhankelijk van de omstandigheden, of antwoordt hij helemaal niet. Geen antwoord geldt als bevestiging dat 7500 geen per ongeluk gekozen code is. In het Britse radiotelefoniehandboek CAP 413 zegt de verkeersleider niet eens "7500" op de frequentie, maar vraagt hij of het toestel de toegewezen code uitzendt, om na te gaan of 7500 bewust is ingesteld. De Amerikaanse FAA vraagt een piloot die niet gekaapt wordt, dat in duidelijke taal te melden; bevestigt hij of antwoordt hij niet, dan stelt de verkeersleider geen verdere vragen en worden de autoriteiten ingelicht. De door Eurocontrol ondersteunde kennisbank SKYbrary raadt verkeersleiders aan de bemanning niet naar haar bedoelingen te vragen.

Daarin zit de kern van het voorval met XR456. Met een werkende radio had de bemanning de vergissing binnen een paar woorden kunnen rechtzetten. Nu was de radio volgens de politie defect en was de bemanning niet bereikbaar. Een bemanning die niet antwoordt, is voor de verkeersleiding niet te onderscheiden van een bemanning die bewust zwijgt. Daarom moesten de autoriteiten uitgaan van het ergste, zoals de politie zei, en daarom kan het alarm volgens Der Spiegel pas worden opgeheven als de politie zelf heeft vastgesteld wat er aan boord gebeurt, ook als de code per ongeluk is ingevoerd.

Hoe een invoerfout ontstaat, en wat ertegen helpt

7500 en 7600 verschillen één cijfer. Dat het misgaan van één cijfer een bekend risico is, blijkt uit de regels zelf. De FAA vraagt piloten bij routinematige codewissels te voorkomen dat ze per ongeluk 7500, 7600 of 7700 instellen, omdat dat op de grond een vals alarm geeft. Haar voorbeeld: wie van 2700 naar 7200 gaat, draait eerst naar 2200 en dan naar 7200, niet via 7700. De Britse luchtvaartgids (AIP) waarschuwt voor voorzichtigheid bij zogeheten conspicuity-codes in de 70-reeks, omdat die dicht bij de noodcodes liggen, en schrijft voor dat piloten een opgedragen code teruglezen. Volgens de Europese richtsnoeren controleert een piloot die een code moet bevestigen de instelling op de transponder, kiest hij zo nodig opnieuw en meldt hij wat er werkelijk op het bedieningspaneel staat.

Wat er precies in de cockpit van 9H-CXD gebeurde, op welk paneel en in welke volgorde, is niet bekendgemaakt. Voor (aankomende) verkeersvliegers is de les wel helder. De noodcodes leer je al in de PPL-opleiding; in een geval als dit zit het probleem waarschijnlijk niet in het weten maar in het intikken, onder werkdruk na een storing. Hardop benoemen wat je instelt en het laten controleren door de collega past bij de controles die de regels vragen. En bij radio-uitval blijft de vaste volgorde gelden: 7600 instellen, de procedures voor radio-uitval volgen en luisteren of de verkeersleiding je via ident of een codewissel toch bereikt.

Wordt een toestel onderschept, dan gelden aparte plichten. Volgens SERA volgt de gezagvoerder direct de aanwijzingen van het onderscheppende toestel, probeert hij contact te maken op de noodfrequentie 121,5 MHz en kiest hij, tenzij de verkeersleiding anders zegt, code 7700.

Eerdere vergissingen met 7500

Het voorval staat niet op zichzelf. In januari 2011 week United-vlucht 940 van Chicago naar Frankfurt uit naar Toronto nadat de piloot volgens een rapport van Transport Canada koffie over de radioapparatuur had gemorst en daarna per ongeluk 7500 uitzond; het Canadese ministerie van Defensie werd ingelicht. In september 2016 omsingelde de politie op de luchthaven van Manilla een toestel van Saudi Arabian Airlines nadat een piloot volgens de luchthavendirectie per vergissing 7500 had ingesteld. In januari 2025 stond bij Air India-vlucht AI2957 van Delhi naar Mumbai de code volgens het persbureau PTI ongeveer drie minuten op 7500; de gezagvoerder meldde dat het per ongeluk was, maar het toestel werd na de landing toch naar een afgezonderde standplaats gebracht. En op 30 juni van dit jaar begeleidde een Bulgaarse MiG-29 een Airbus A320 die 7500 uitzond, waarna Turkse F-16's de escorte overnamen. Volgens berichten die The Sofia Globe aanhaalt, zei de piloot dat het alarm per vergissing was afgegaan.

Tijdlijn

• 13 oktober, 02.00 tot 04.00 uur: drie piloten melden bij Neurenberg een mogelijke drone. Er wordt niets gevonden.
• 10.06 uur: eerste ADS-B-positie van XR456 na de start op Corfu, op 2.475 voet (adsb.lol).
• 10.13 tot 10.27 uur: de transponder zendt 7500 uit, boven de Ionische en de zuidelijke Adriatische Zee (adsb.lol).
• Kort na 11.00 uur: het tijdstip dat politie en Corendon voor de noodcode noemen (Corendon: in het Kroatische luchtruim).
• Boven Kroatië: een Kroatisch gevechtsvliegtuig begeleidt het toestel tot de Sloveense grens. Oostenrijk alarmeert onderscheppingsjagers.
• In het Duitse luchtruim: twee Eurofighters van TLG 74 begeleiden het toestel naar Neurenberg. De luchthaven gaat dicht.
• 12.16 uur: landing in Neurenberg (adsb.lol). Contact met de cockpit pas op de parkeerpositie.
• Kort na 13.00 uur: de politie geeft het sein veilig. Passagiers gaan na ongeveer een uur van boord.
• Kort na 13.30 uur: het vliegverkeer komt weer op gang.
• 14 oktober: de politie zegt tegen dpa dat de piloot 7600 wilde kiezen en per ongeluk 7500 invoerde. Er komt geen onderzoek naar de piloot.

Alle tijden in Nederlandse tijd (UTC+2).

Wat nog niet bevestigd is

De tikfout is de lezing van de politie op basis van het lopende onderzoek, niet de uitkomst van een afgerond technisch onderzoek. Wat de radio heeft doen uitvallen, is niet bekendgemaakt. Of het Duitse onderzoeksbureau BFU de radiostoring onderzoekt, zoals t-online schreef, heeft de BFU zelf niet bevestigd. Waarom de tijden in de verklaringen van politie en Corendon ruim drie kwartier afwijken van de ADS-B-gegevens, en wanneer de bemanning de fout precies merkte, is niet uitgelegd.