Wie ein Fehler entsteht, den niemand gemacht hat

Der Schaumstoff, der nicht wie ein Urteil aussah

NASA-Ingenieure stellten während der Mission drei Anträge auf hochauflösende Aufnahmen der Raumfähre. Die Anträge liefen jedoch nicht über die richtigen Kanäle. Einer gelangte zu den zuständigen Personen im Verteidigungsministerium, wurde von der NASA aber nach ungefähr neunzig Minuten zurückgezogen. Die Untersuchungskommission beschrieb später eine fehlerhafte Analyse möglicher Schäden, ein geringes Problembewusstsein der Führung, unklare Kommunikation und eine schwache Stellung der Sicherheitsstrukturen. Zugleich benannte sie eine wichtige Unsicherheit: Selbst im Rückblick war nicht sicher, ob die verlangten Aufnahmen den Schaden tatsächlich gezeigt hätten.[1]

Am 1. Februar 2003 zerbrach die Columbia beim Wiedereintritt. Heiße Gase drangen durch eine Öffnung in der Vorderkante des linken Flügels ein, schwächten seine Struktur, und aerodynamische Kräfte vollendeten die Zerstörung. Alle sieben Besatzungsmitglieder starben. Der physische Mechanismus war konkret: Etwa 0,77 Kilogramm Schaumstoff trafen 81,9 Sekunden nach dem Start auf den Flügel. Der Bericht des Columbia Accident Investigation Board maß jedoch auch den organisatorischen Ursachen gleiches Gewicht bei – Termindruck, Haushaltsbeschränkungen, Kommunikationsbarrieren, informellen Entscheidungswegen und dem Vertrauen auf frühere Erfolge anstelle eines hinreichend abgesicherten technischen Urteils.[1]

Aus heutiger Sicht wirkt die Abfolge der Ereignisse beinahe unerträglich geradlinig: Etwas traf den Flügel, Ingenieure wollten Aufnahmen, die Aufnahmen wurden nicht gemacht, die Raumfähre zerbrach. Sobald wir das Ende kennen, erscheint jeder frühere Augenblick wie ein Pfeil, der darauf zeigte.

Die Menschen innerhalb der damaligen Entscheidungsprozesse kannten dieses Ende jedoch nicht. Sie sahen ein Bruchstück, kein Loch. Sie hatten Modelle, keine Gewissheit. Sie wussten, dass auch früher Schaumstoff abgefallen war und die Missionen sicher zurückkehrten. Sie arbeiteten in einer Organisation, die gleichzeitig die Besatzung schützen, das Programm am Laufen halten, ernste Signale von Hunderten weniger bedeutsamen Anomalien unterscheiden und mit begrenzten Daten entscheiden musste.

Die Versuchung, einen einzigen Schuldigen zu finden

Nach einem Unfall, einem Fehlurteil oder einem Datenleck taucht fast immer dieselbe Frage auf: Wer hat es vermasselt? Sie ist praktisch, weil eine Institution handeln muss. Sie ist rechtlich wichtig, weil sich Verantwortung nicht in einem abstrakten „System“ auflösen lässt. Und sie ist psychologisch attraktiv, weil sie Chaos in eine Geschichte mit Figur, Entscheidung und Folge verwandelt.

Das Problem beginnt, sobald wir die Frage nach Verantwortung mit der Frage nach der Ursache verwechseln. Der britische Psychologe James Reason unterschied zwischen einer „personenbezogenen“ Sicht, die sich auf den Irrtum des Einzelnen konzentriert, und einer „systemischen“ Sicht, die Arbeitsbedingungen und Schutzschichten untersucht. In seinem bekannten Modell gleichen Sicherheitsbarrieren Scheiben eines Käses mit Löchern: Keine Schutzmaßnahme ist vollkommen, doch gewöhnlich überlappen ihre Schwachstellen nicht. Ein Unfall geschieht, wenn sie sich für einen kurzen Augenblick ausrichten.[2]

Richard Cook ging noch weiter. Bei komplexen Systemen sei eine Katastrophe meist das Ergebnis mehrerer Versäumnisse, von denen jedes notwendig ist, allein aber nicht ausreicht. Systeme sind voller kleiner Defekte, Unklarheiten, Improvisationen und provisorischer Reparaturen; dennoch funktionieren sie, weil sie Reserven besitzen und Menschen ihre Unvollkommenheiten fortlaufend ausgleichen. Nach einem Unfall nach einer einzigen „Grundursache“ zu suchen, kann deshalb irreführend sein. Häufig finden wir nur das letzte Glied, das der Folge nahe genug lag, um sich leicht benennen zu lassen.[3]

Die unmittelbare Ursache erklärt, was am Ende geschah. Die systemische Analyse fragt, weshalb sich der Weg zu diesem Ende überhaupt öffnen konnte.

Das bedeutet nicht, dass niemand an irgendetwas schuld ist. Es bedeutet lediglich, dass die Entlassung eines Bedieners, die Bestrafung eines Technikers oder der Austausch einer Führungskraft nicht zwangsläufig den Mechanismus beseitigt, der ihre Entscheidungen hervorgebracht hat. Ein neuer Mensch kann in dieselbe Schicht, dieselbe Software, dasselbe Prioritätensystem und denselben Informationsnebel eintreten – und mit der Zeit dasselbe tun.

Der Einzelne ist sichtbar. Schnittstellen zwischen Abteilungen, Eskalationsregeln, die Art, Unsicherheit zu melden, oder eine langfristig geduldete Abweichung sind es nicht. Genau deshalb bestrafen wir nach einem Unfall so leicht das Erste und reparieren so schwer das Zweite.

Vernünftige Schritte, ein unvernünftiges Ganzes

Eine Entscheidung, die nach einer Tragödie unbegreiflich wirkt, kann davor lokal rational gewesen sein. Dieser mit der Arbeit von David Woods und Richard Cook verbundene Begriff behauptet nicht, die Menschen hätten richtig entschieden. Er besagt, dass ihr Handeln aus den Informationen, Zielen, Einschränkungen und Belastungen rekonstruiert werden muss, die ihnen im jeweiligen Augenblick vorlagen – nicht aus dem Ergebnis, das erst wir kennen.[4]

Stellen wir uns eine typische Kette vor. Ein Techniker registriert eine Abweichung, die bereits mehrfach ohne Folgen aufgetreten ist. Ein Ingenieur erhält unvollständige Daten und ein Modell, das keinen schweren Schaden erwarten lässt. Eine Führungskraft sieht eine technische Zusammenfassung, nicht die ursprüngliche Aufzeichnung, und muss zugleich entscheiden, ob ein kostspieliges Notfallverfahren aktiviert wird. Das obere Management hört, dass keine formelle „Anforderung“ vorliegt, sondern nur eine unbestätigte Sorge. Niemand muss lügen. Niemand muss gleichgültig sein. Jeder arbeitet lediglich mit einer anderen Version des Problems.

Sobald wir das Ergebnis kennen, kommt der Rückschaufehler ins Spiel. Ereignisse, die zuvor mit Dutzenden anderen Möglichkeiten konkurrierten, ordnen sich im Rückblick zu einer einzigen unausweichlichen Bahn. Die Warnung erscheint klarer, die Alternative erreichbarer und die falsche Entscheidung absurder, als sie in Echtzeit war. Hindsight Bias ist keine Entschuldigung; er ist ein Hindernis für die Untersuchung. Filtern wir ihn nicht heraus, analysieren wir statt der Entscheidungsbedingungen die Karikatur eines Menschen, der angeblich wissen musste, was wir erst nach dem Unfall wissen.

Jens Rasmussen beschrieb Organisationen als Systeme, die gleichzeitig in mehrere Richtungen gedrängt werden: zu höherer Effizienz, geringeren Kosten und weniger Arbeitsbelastung, zugleich aber auch an die Grenze akzeptablen Risikos. Der Betrieb muss sich dieser Grenze nicht mit einem einzigen bewussten Sprung nähern. Er verschiebt sich millimeterweise durch kleine Anpassungen, die einzeln vernünftig wirken.[5]

Wenn eine Warnung lernt, normal zu sein

Die gefährlichste Erfahrung einer Organisation muss nicht das Scheitern sein. Manchmal ist es wiederholter Erfolg trotz Verletzung einer Sicherheitsreserve.

Die Soziologin Diane Vaughan beschrieb bei ihrer Untersuchung der Entscheidungen vor der Challenger-Katastrophe die „Normalisierung der Abweichung“. Eine wiederholt beobachtete Anomalie wurde nicht zum Grund für einen Stopp; weil ihr in der Vergangenheit keine Katastrophe folgte, wurde sie schrittweise in das Bild des Normalbetriebs integriert. Nach Vaughan handelte es sich weder um eine einfache Verschwörung noch um eine einmalige Missachtung des Risikos. Es war ein allmähliches Abgleiten in ein Urteil, das innerhalb der betreffenden Kultur nicht mehr abweichend wirkte.[6]

Der Mechanismus ist tückisch. Die erste Abweichung löst Sorge aus. Die zweite erinnert an die erste, doch weil die erste gut ausging, wirkt sie etwas weniger alarmierend. Beim zehnten Mal liest die Organisation die Wiederholung nicht mehr als zehn Warnungen, sondern als zehn Belege dafür, dass die Situation beherrschbar ist. Das Ausbleiben einer Katastrophe verwandelt sich in eine Bestätigung der Sicherheit.

Eine sichere Rückkehr kann jedoch zwei völlig verschiedene Dinge bedeuten: Entweder war die Reserve tatsächlich ausreichend, oder das System überlebte aufgrund von Umständen, die es nicht kontrollierte. Ohne Messung lassen sich diese Möglichkeiten nicht verlässlich trennen.

In diesen Prozess tritt noch ein weiteres Paradox ein. Menschen an der Front halten ein schlecht entworfenes System häufig gerade dadurch am Laufen, dass sie improvisieren. Sie umgehen ein unbrauchbares Formular, ergänzen eine fehlende Information telefonisch, fangen den Fehler eines Kollegen ab oder korrigieren inkonsistente Daten. Ihre Anpassungen erzeugen Sicherheit in Echtzeit. Zugleich verbergen sie vor der Führung, wie fragil der Betrieb tatsächlich ist. Die Organisation sieht das Ergebnis – die erbrachte Leistung –, nicht die Hunderte kleinen Eingriffe, ohne die alles auseinanderfiele.[3]

Dann fehlt ein Mensch, zwei Sicherungen versagen gleichzeitig oder eine ungewöhnliche Kombination von Umständen tritt ein. Was wie ein plötzlicher Zusammenbruch aussieht, ist in Wahrheit der Augenblick, in dem Menschen die Mängel, die lange vorhanden waren, nicht mehr kompensieren konnten.

Wie Informationen verloren gehen, ohne dass jemand sie zurückhält

In Organisationen werden Informationen fast nie in ihrer ursprünglichen Form weitergegeben. Sie müssen sortiert, übersetzt, gekürzt und in ein Format eingeordnet werden, das die nächste Ebene versteht. Ein Techniker beschreibt eine Anomalie. Ein Ingenieur macht daraus eine Schätzung. Eine Führungskraft überführt die Schätzung in eine Risikokategorie. Das Management vergleicht diese Kategorie mit Zeitplan, Budget und formalen Regeln.

Jede Umwandlung ist notwendig. Ein Direktor kann nicht alle Sensoren überwachen, und ein Richter kann nicht die gesamte Ermittlung erneut durchführen. Zugleich geht bei jeder Umwandlung ein Teil des Kontexts verloren – besonders Unsicherheit, Widersprüche und schwache Signale, die sich nur schwer in ein einziges Feld pressen lassen.

So kann organisatorisches Nichtwissen ohne eine einzige Lüge entstehen. Es geht nicht darum, dass die Information „nach oben“ gar nicht gesendet wurde. Sie kommt dort in einer Form an, in der sie nicht mehr dieselben Fragen auslöst. Im Fall der Columbia verwandelte sich eine technische Sorge beim Durchlaufen der Struktur in das Fehlen eines formellen Antrags auf Bildaufnahmen. Den Unterschied schufen keine neuen Fakten. Ihn schuf die Art, in der die Institution entschied, was als hinreichender Grund zum Handeln zählt.[1]

Dasselbe Problem entsteht in der Gegenrichtung. Die Führung erlässt eine allgemeine Regel, die an der Front auf physische Realität, Personalmangel oder eine Ausnahme trifft, die beim Entwurf nicht bedacht wurde. Beschäftigte schaffen eine praktische Abkürzung. Sie wird nicht dokumentiert, weil sie formal gar nicht existieren dürfte. Die Führung glaubt deshalb weiterhin, der Prozess funktioniere nach der Dokumentation.

Die Organisation lebt dann in zwei Versionen ihrer selbst: in der offiziellen, in der Schritte klar und Verantwortlichkeiten zugewiesen sind, und in der betrieblichen, in der die Arbeit dank Improvisationen erledigt wird. Eine Katastrophe legt den Unterschied häufig erst offen, wenn er sich nicht mehr überbrücken lässt.

Ein Justizirrtum ohne einen einzigen Augenblick des Irrtums

Bei einem Justizirrtum neigen wir dazu, nach einem einzigen Wendepunkt zu suchen: einem falschen Geständnis, einer fehlerhaften Identifizierung, einem manipulierten Gutachten oder dem vorsätzlichen Zurückhalten eines Beweises. Solche Wendepunkte gibt es. Viele Fälle gewinnen ihre Überzeugungskraft jedoch erst dadurch, dass mehrere schwache Elemente beginnen, einander zu bestätigen.

Ein Zeuge sieht den Täter nur kurz, unter Stress und bei schlechtem Licht. Später wählt er aus Fotos aus. Ein Ermittler, der den Verdächtigen kennt, kann unbewusst auf Zögern reagieren. Nach der Auswahl erinnert sich der Zeuge sicherer an das Gesicht als zuvor. In die Akte gelangt die Identifizierung, nicht der gesamte Prozess, in dem ihre Gewissheit entstand. Der nächste Ermittler liest sie bereits als Ausgangstatsache. Neue Beweise werden in ihrem Licht bewertet.

Der US-amerikanische National Research Council wies darauf hin, dass Wahrnehmung, Erinnerung und subjektive Sicherheit formbar sind. Erinnerungen werden bei Speicherung und Abruf rekonstruiert, aktualisiert und können verzerrt werden, ohne dass der Zeuge es bemerkt. Die Genauigkeit wird von Beobachtungsdauer, Entfernung, Beleuchtung, Stress und dem Identifizierungsverfahren selbst beeinflusst. Der Bericht empfahl deshalb unter anderem doppelt verblindete Gegenüberstellungen, standardisierte Hinweise, die wörtliche Erfassung des anfänglichen Sicherheitsgrads und eine Videoaufzeichnung des Verfahrens.[7]

Keiner dieser Schritte erzeugt für sich allein ein Urteil. Das Urteil entsteht erst durch ihre Verknüpfung: Zeugenerinnerung, Art der Fragestellung, Auswahl eines Verdächtigen, Interpretation eines forensischen Befunds, Entscheidung der Anklage, Ressourcen der Verteidigung und Regeln, nach denen das Gericht Beweise zulässt oder gewichtet. Ein schwacher Beweis kann einen anderen schwachen Beweis stärken, weil beide aus derselben ursprünglichen Annahme hervorgehen. Es entsteht ein Kreis, der von außen wie mehrere unabhängige Bestätigungen aussieht.

Die Zahlen zeigen noch etwas, das den Titel dieses Artikels komplizierter macht. Bei 71 Prozent dieser Exonerationen verzeichnete das Register Fehlverhalten oder unzulässiges Handeln von Amtsträgern; in vielen Fällen lagen mehrere Handlungsformen gleichzeitig vor. Das ist kein Bild einer Welt, in der alle bloß unschuldige Rädchen sind. Es ist das Bild einer Welt, in der sich systemische Schwächen, menschliche Irrtümer, berufliches Versagen und manchmal auch bewusster Machtmissbrauch überschneiden.[8]

Deshalb ist Präzision wichtig: Ein „Fehler, den niemand gemacht hat“ behauptet nicht, niemand habe irgendetwas getan. Er beschreibt eine Situation, in der sich das Ergebnis nicht redlich durch eine einzige Handlung oder eine einzige Person erklären lässt. Manchmal finden wir in der Kette tatsächlich eine Lüge, Manipulation oder grobe Fahrlässigkeit. Selbst dann muss sie nicht die gesamte Kette erklären.

Das System ist kein Alibi

Systemisches Denken birgt eine eigene Gefahr. Es kann sich in einen Nebel verwandeln, in dem individuelle Verantwortung verschwindet. Wenn alles durch „Kultur“, „Prozess“ oder „Komplexität“ verursacht wurde, kann am Ende der Eindruck entstehen, niemand sei für irgendetwas verantwortlich. Das wäre ebenso ungenau wie die Suche nach einem einzigen Sündenbock.

Der als Just Culture bezeichnete Ansatz versucht, verschiedene Verhaltensarten zu trennen: gewöhnlichen menschlichen Irrtum, eine riskante Abkürzung, die zur Norm geworden ist, und eine bewusst rücksichtslose Regelverletzung. Die Reaktion soll nicht allein von der Größe der Folge ausgehen. Derselbe gefährliche Schritt kann einmal ohne Schaden enden und ein anderes Mal in einer Tragödie; die moralische Qualität des Handelns hat sich dabei nicht verändert. Umgekehrt wird ein unbeabsichtigter Fehler in einer schlecht gestalteten Benutzeroberfläche nicht allein deshalb verwerflich, weil er diesmal große Auswirkungen hatte.[9]

Das veranschaulicht der Abschlussbericht der US-amerikanischen NTSB zum Alaska-Airlines-Flug 1282. Am 5. Januar 2024 löste sich während des Steigflugs eine Verschlussplatte für einen Notausgang von einer Boeing 737-9; vier Sicherungsbolzen waren nicht eingebaut. Der im Juli 2025 veröffentlichte Bericht bestimmte jedoch nicht nur den unmittelbaren technischen Mechanismus. Als wahrscheinliche Ursache nannte er, dass Boeing keine angemessene Schulung, Anweisungen und Aufsicht für den Ausbau und Wiedereinbau gewährleistet habe. Als beitragenden Faktor nannte er eine unwirksame Aufsicht und Auditplanung der FAA, die wiederkehrende systemische Abweichungen nicht erfasst habe.[10]

Die fehlenden Bolzen waren real. Beim Wiedereinbau blieben sie außerhalb der Konstruktion. Dennoch hätte die Untersuchung zu früh geendet, wenn sie lediglich den letzten Beschäftigten am Flugzeug gefunden hätte. Die Frage war nicht nur, wer den Arbeitsschritt ausführte, sondern weshalb der Prozess die Dokumentation des Öffnens nicht sicherstellte, weshalb er keine unabhängige Kontrolle auslöste und weshalb die Aufsicht wiederkehrende Abweichungen nicht in eine wirksame Korrektur überführte.

Institutionen, die zweifeln können

Eine zuverlässige Organisation ist nicht eine, in der Menschen keine Fehler machen. Eine solche Organisation existiert nicht. Zuverlässiger ist eine Organisation, die mit unvollständigen Informationen, konkurrierenden Zielen und wechselnden Betriebsbedingungen rechnet – und mehrere Gelegenheiten schafft, einen Fehler zu erkennen, infrage zu stellen oder zu korrigieren, bevor er sich mit weiteren verbindet.

Die Forschung zu Hochzuverlässigkeitsorganisationen fasst deren Ansatz häufig in fünf Prinzipien zusammen: dauernde Aufmerksamkeit für mögliches Versagen, Widerstand gegen vereinfachende Erklärungen, Sensibilität für das tatsächliche Betriebsgeschehen, Vorrang von Fachwissen unabhängig von der Hierarchie und die Fähigkeit, einen sicheren Zustand wiederherzustellen, wenn etwas schiefgeht. Die Evidenz zur Umsetzung dieser Prinzipien ist nicht ohne Grenzen, und kein Satz von Schlagworten erzeugt für sich allein Sicherheit. Bedeutung gewinnen sie erst, wenn sie zu alltäglichen Entscheidungsgewohnheiten werden.[11]

Solche Institutionen können nach außen weniger selbstsicher wirken. Sie produzieren mehr Meldungen, mehr abweichende Stellungnahmen und manchmal auch mehr dokumentierte Fehler. Das muss jedoch nicht bedeuten, dass sie unsicherer sind. Es kann bedeuten, dass sie sehen, was eine andere Organisation noch verdrängt. Eine geringe Zahl gemeldeter Probleme ist nur dann eine gute Nachricht, wenn wir wissen, dass das System tatsächlich nach Problemen sucht und Menschen sie ohne Angst vor automatischer Bestrafung melden können.

Die CAIB-Kommission empfahl nach der Columbia-Katastrophe nicht nur technische Änderungen. Sie forderte eine unabhängige technische Autorität, eine stärkere Sicherheitsstruktur, bessere Bildaufnahmen, einen angesichts der Ressourcen realistischen Zeitplan sowie die Fähigkeit zu Inspektionen und gegebenenfalls Reparaturen im Orbit. Mit anderen Worten: Es genügte nicht, einen widerstandsfähigeren Flügel zu bauen. Verändert werden musste die Art, wie Unsicherheit in Entscheidungen einfließt und welche Möglichkeiten noch bestehen, wenn Prävention versagt.[1]

Dieselbe Logik gilt in der Justiz. Eine doppelt verblindete Gegenüberstellung vertraut nicht darauf, dass der Ermittler den Zeugen schon nicht beeinflussen werde; sie entfernt die Möglichkeit unbewusster Beeinflussung aus dem Verfahrensdesign. Eine Videoaufzeichnung garantiert keine richtige Identifizierung, bewahrt aber den Prozess, der sonst auf sein Ergebnis reduziert würde. Die wörtliche Erfassung des ersten Sicherheitsgrads verhindert, dass spätere Selbstsicherheit das ursprüngliche Zögern überschreibt.[7]

Die beste Sicherung ist daher häufig kein besserer Mensch. Es ist eine Anordnung, die vom Menschen nicht verlangt, unfehlbar zu sein.