Am 28. Oktober 2026 kollidierte ein RENFE-Hochgeschwindigkeitszug auf der Strecke Madrid–Sevilla bei Urda mit einem auf freier Strecke stehenden IRYO-Zug. Die unmittelbaren Folgen des Vorfalls waren katastrophal. In der ersten medialen Berichterstattung stand rasch die Frage nach dem Versagen des Lokführers oder des Fahrdienstleiters im Raum.
Aus Sicht der modernen Ereignisanalyse greift der Reflex, nach individueller Schuld oder einer einzelnen Hauptursache zu suchen, jedoch viel zu kurz. Schwerwiegende Vorfälle in komplexen Gesamtsystemen entstehen nicht durch ein einzelnes isoliertes Versäumnis. Sie sind das Ergebnis des unglücklichen Zusammentreffens mehrerer technischer, organisatorischer und menschlicher Einflussfaktoren.
Anhand des Zugunglücks bei Urda zeigt dieser Beitrag, wie die Human Error Root Cause Analysis (HERCA) eingesetzt wird, um die Wirkzusammenhänge lückenlos aufzuschlüsseln und systemische Schutzmaßnahmen abzuleiten.
Wie untersuche ich ein solches Ereignis mit HERCA?
Da die amtliche Untersuchung noch läuft und derzeit ausschließlich gesicherte Daten zum tatsächlichen Hergang vorliegen, konzentriert sich die Untersuchung methodisch auf die Phasen 1 bis 3 des HERCA-Prozesses. Die Phasen 4 (Maßnahmen ableiten) und 5 (Validieren) setzen auf den vollständigen Ergebnissen auf und folgen erst, wenn alle Fakten final validiert sind.
So sieht die praktische Vorgehensweise Schritt für Schritt aus:
Phase 1: Fakten sammeln
Am Anfang jeder Untersuchung steht die strikte Trennung von belegten Fakten und offenen Vermutungen. Um eine saubere und objektive Datenbasis sicherzustellen, folgen wir beim Ausfüllen des Faktenspeichers diesen verbindlichen Hinweisen zur Formulierung:
Fakten und Vermutungen sind stets klar zu unterscheiden und zu kennzeichnen.
Die Formulierungen müssen sachlich, konkret und möglichst kurz gehalten werden.
Ursachen werden möglichst mit 2–3 Wörtern als Substantiv-Verb-Aussage formuliert.
Handlungen und Ereignisse beschreiben wir im Präteritum und aktiv.
Bedingungen sind als kurze Zustandsbeschreibungen ohne ausdrückliches Verb zu formulieren.
Wertende und beschreibende Begriffe (wie schlecht, unzureichend, fehlend oder falsch) werden konsequent vermieden.
Bindewörter wie weil, dadurch, deshalb oder nachdem können auf Ursache-Wirkungs-Zusammenhänge hinweisen: Pro Ursachenbox ist jedoch nur eine Aussage zulässig. Zusammengesetzte Aussagen mit Bindewörtern werden in einzelne Ursachenboxen aufgeteilt, um die Ursache-Wirkungs-Beziehungen sichtbar zu machen.
Informationsquellen sind direkt in der Faktenbox zu dokumentieren.
Offene Vermutungen müssen im weiteren Verlauf durch weitere Informationen überprüft werden.
Im Fall von Urda tragen wir die ersten gesicherten Daten nach diesen Prinzipien zusammen:
Das Ereignis: Der RENFE-Zug prallte mit einer Aufprallgeschwindigkeit von ca. 130 km/h auf das Heck des stehenden IRYO-Zuges.
Die Ausgangslage: Der vorausfahrende IRYO-Zug kam vor dem Einfahrtsignal von Urda zum Stehen, da sich das bordeigene Zugbeeinflussungssystem (LZB) durch einen streckenseitigen Signalausfall aufgehängt und die Bremsen blockiert hatte.
Der Betriebszustand: Wegen des Ausfalls der streckenseitigen LZB-Übertragung wurde der Zugverkehr auf das Ersatzverfahren (BSL / Fahren auf Sicht und nach betrieblicher Anweisung) umgestellt.
Die Kommunikation: Die Leitzentrale erteilte dem nachfolgenden RENFE-Zug die Freigabe zur Weiterfahrt mit Normalgeschwindigkeit. Der RENFE-Lokführer war von der Leitzentrale nicht darüber informiert worden, dass sich ein anderer Zug auf der Strecke befand.
Phase 2: Problem beschreiben
Im zweiten Schritt definieren wir das exakte Problem und grenzen es von pauschalen Schuldzuweisungen ab. Wir erfassen, was genau passiert ist, wo die Abweichung vom Standard lag und welche geschäftlichen bzw. sicherheitsrelevanten Auswirkungen der Vorfall hatte.
Dabei stellen wir uns die zentrale HERCA-Frage: Was war anders als sonst?
Was ist passiert? Ein RENFE-Hochgeschwindigkeitszug fuhr auf einen stehenden IRYO-Hochgeschwindigkeitszug auf.
Was war anders als sonst? Technische Störungen wie ein LZB-Ausfall kamen in der Vergangenheit vor und wurden im Ersatzbetrieb (BSL) routinemäßig abgefangen. Das Besondere in diesem Fall war, dass die Leitstelle dem nachfolgenden Zug trotz des stehenden Hindernisses die Freigabe erteilte – warum es hier zu dieser fatalen Fehleinschätzung bzw. dem Abweichen von den Sicherheitsüberprüfungen kam, ist Gegenstand der laufenden Untersuchung und zum aktuellen Zeitpunkt noch offen.
Auswirkungen: Katastrophale Folgen für die Sicherheit (zahlreiche Todesopfer und Verletzte) sowie die temporäre Sperrung der wichtigen Hochgeschwindigkeitsstrecke Madrid–Sevilla.
Phase 3: Ursachen analysieren (Die Ursachenkarte)
Das Herzstück der Untersuchung ist die visuelle Ursachenkarte. Anstatt wie bei der klassischen 5-Why-Methode nach einer singulären Hauptursache zu suchen oder Faktoren in einem Ishikawa-Diagramm nur starr zu kategorisieren, verknüpfe ich Handlungen und Bedingungen in einem mehrlinearen Ursachenbaum.
Da sich eine Analyse im Verlauf der Ereignisuntersuchung durch neue Erkenntnisse dynamisch weiterentwickelt, unterteilen wir diese Phase in zwei Schritte.
Das methodische Grundprinzip dabei: Neue Fakten und erste Vermutungen werden im Zuge der Untersuchung niemals direkt ungesichert in die Karte eingetragen. Sie werden konsequent zuerst im Faktenspeicher gesammelt, auf ihre Relevanz überprüft und fließen erst dann als verifizierte Ursachen in die bestehenden Ursache-Wirkungsketten ein, wenn klar ist, dass sie den Vorfall nachweislich beeinflusst haben. Um diesen iterativen Fortschritt zu verdeutlichen, arbeiten wir hier mit zwei aufeinanderfolgenden Versionen der Ursachenkarte.
Phase 3a: Ursachenkarte – Version 1 (Erster Erkenntnisstand)
Im ersten Schritt bilden wir die kausalen Zusammenhänge auf Basis der primär gesicherten Daten ab. Beim Aufbau der Ursache-Wirkungsbeziehungen folgen wir einer strikten methodischen Ausfällung:
Visualisierung der Wirkzusammenhänge: Wir visualisieren die direkten und systemischen Einflussfaktoren sowie menschliche Fehler als logisches Netz aus Ursachen und Wirkungen.
Kritische Plausibilitätsprüfung: Jede einzelne Ursache-Wirkungsbeziehung in den Ketten wird kritisch hinterfragt: Erklärt die Ursache nachweislich die Wirkung? Sind die notwendigen und hinreichenden Bedingungen erfüllt?
Klare Trennung: Es wird strikt zwischen belegten Fakten und noch offenen Vermutungen unterschieden.
Systemgrenzen setzen: Stoßen wir an Systemgrenzen oder Einflüsse außerhalb unseres direkten Einflussbereichs, setzen wir ein klares Stopp-Zeichen.
Wandert man in dieser ersten Version vom Vorfall nach rechts, spaltet sich das Geschehen auf Basis der ersten gesicherten Daten auf:
- Pfad A (Stillstand des ersten Zuges): Der IRYO-Zug kam vor dem Einfahrtsignal zum Stehen, weil das bordeigene LZB nach dem streckenseitigen Signalausfall die Bremsen blockierte.
- Pfad B (Freigabe und Kollision): Der RENFE-Zug fuhr auf den stehenden Zug auf, weil die Leitzentrale die Freigabe zur Weiterfahrt mit Normalgeschwindigkeit erteilte. Hier wird die klassische Falle von Annahmen anstelle von Belegen sichtbar: Die Leitzentrale ging fälschlicherweise davon aus, dass der IRYO-Zug seine Fahrt nach dem Rechner-Neustart bereits fortgesetzt hatte, ohne dass dies durch harte Fakten belegt war.
Phase 3b: Ursachenkarte – Version 2 (Erweiterung durch neue Erkenntnisse)
Im Laufe der weiteren Untersuchung treffen stetig neue Informationen und Vermutungen ein. Diese werden jedoch niemals ungeprüft übernommen, sondern müssen zwingend den definierten Prozess durchlaufen: Sie werden zunächst im Faktenspeicher gesammelt und erst dann in die bestehenden Ursache-Wirkungsketten an der passenden Stelle eingefügt, wenn ihre tatsächliche Auswirkung auf den Vorfall verifiziert ist.
In der fortgeschriebenen Version 2 wird auf Basis dieses iterativen Prozesses die Kausalkette im unteren Pfad vertieft, um detailliert aufzuschlüsseln, warum der IRYO-Zug zum Zeitpunkt des Aufpralls noch immer vor dem Signal stand:
Vertiefung der Stillstandsursachen (Mehrlineare und-Verknüpfung): Der anhaltende Stillstand des IRYO-Zuges war das Resultat dreier gleichzeitig wirkender Bedingungen:
Das bordeigene LZB blockierte die Bremsen.
Das LZB-System ließ sich vor Ort nicht sofort neu starten.
Die notwendige Umschaltung auf das alternative Ersatzsystem (ASFA) war zeitaufwendig.
Jede neu hinzugefügte Kausallinie wird dabei erneut einer strengen Plausibilitätsprüfung unterzogen: Erklärt die Ursache nachweislich die Wirkung? Sind die notwendigen und hinreichenden Bedingungen erfüllt? So bleibt die gesamte Analyse von Anfang bis Ende absolut nachvollziehbar und faktenbasiert.
Phase 4 und 5: Wie geht es weiter?
Aufgabe des offiziellen Untersuchungsteams wird es nun sein, sich intensiv mit den verbliebenen Lücken in der Ursachenkarte zu beschäftigen und plausible, nachweisbare Antworten auf die offenen „Warum?“-Fragen zu finden.
Der Schwerpunkt der weiteren Ermittlungen muss sich vor allem auf folgende Schlüsselfragen richten:
Warum übersah die Leitstelle den vor dem Haltesignal bei Urda stehenden IRYO-Zug?
Warum hatte die Zugführerin des IRYO-Zuges Schwierigkeiten, die bordeigene LZB-Einheit zügig neu zu starten?
Warum fällt das LZB-System im laufenden Bahnbetrieb derart häufig aus?
Speziell bei Fragen rund um menschliche Handlungen gilt im HERCA-Prozess ein strikter Grundsatz: Wir dürfen hier keinesfalls bei einer vorschnellen Schuldzuweisung stehenbleiben. Um zu den wahren Ursachen vorzudringen, müssen wir uns intensiv mit den Human Factors auseinandersetzen. Dieser Begriff beschreibt das Zusammenspiel zwischen dem Menschen, der Technik, der Organisation und der Arbeitsumgebung.
Dabei gilt die Vorgabe, mindestens für zwei weitere „Warum?“-Ebenen die jeweiligen Kombinationen aus Handlungen und begünstigenden Bedingungen zu ermitteln. Denn menschliches Handeln ist in der Regel lokal rational – Menschen agieren in der Situation so, wie es aus ihrer Sicht Sinn ergibt. Erst wenn diese tieferen Systemebenen und Bedingungen lückenlos aufgedeckt sind, macht das Festlegen geeigneter, robuster Verbesserungsmaßnahmen in Phase 4 Sinn. In Phase 5 folgt schließlich nach angemessener Zeit die Überprüfung, ob die umgesetzten Maßnahmen wirksam und nachhaltig greifen.
Fazit:
Die Human Error Root Cause Analysis (HERCA) unterstützt Organisationen dabei, unerwünschte Vorfälle wir z.B. Arbeitsunfälle, Kundenreklamationen, Behandlungsfehler usw. strukturiert und systematisch zu untersuchen. Ein weiterer Vorteil von HERCA ist, dass die Methode bereits auch bei Bagatellproblemen und besonders bei Beinaheunfällen eingesetzt werden kann. Mit dem Ziel, aus den Vorfällen und Fehlern zu lernen, um Katastrophen zu vermeiden.
Der Wert der HERCA liegt darin, nicht bei vorschnellen Schuldzuweisungen oder sichtbaren Fehlhandlungen stehenzubleiben, sondern den gesamten Zusammenhang technischer, organisatorischer und menschlicher Faktoren zu betrachten. Also wie bei einem Puzzle alle Puzzlesteine zu finden und zu einem kompletten Bild zusammenzusetzen.
Je mehr von den ermittelten Ursachen durch geeignete, robuste Maßnahmen beseitigt werden, umso geringer ist das Risiko, dass es zu einem ähnlichen Vorfall kommt. Genau das ist der Kern von echtem Risikomanagement.
Die neusten Erkenntnisse:
02.11.2026:
Kollision: AITAT bestätigt Auffahrgeschwindigkeit des RENFE-AVE von 160–200 km/h auf den stehenden IRYO-Zug.
Technik: Großflächiger LZB-Ausfall (Linienzugbeeinflussung) auf 63 km Streckenlänge um 08:30 Uhr.
Leitstelle: Der betreffende Mitarbeiter der Leitzentrale Adif, der dem nachfolgenden RENFE-Zug die Anweisung zur „Normalfahrt“ (Befehl LZB4) gab, hat vor der Guardia Civil von seinem Recht Gebrauch gemacht, die Aussage zu verweigern.
