Ursachenanalyse Chemiewerk: BASF 2016

1. Was ist passiert

17. Oktober 2016, 11:20 Uhr. Im BASF-Werk Ludwigshafen schneidet ein Mitarbeiter einer Fremdfirma eine Rohrleitung auf dem Hafengelände auf. Das Rohr sollte drucklos und leer sein. Ist es aber nicht. Als er mit einer Flex den ersten Schnitt macht, tritt Ethylen aus. Sekunden später brennt es.

Fünf Menschen sterben. 44 werden verletzt, sechs davon schwer. Der Sachschaden übersteigt 500 Millionen Euro.

Noch während die Flammen gelöscht werden, läuft eine andere Reaktion an, die fast so zuverlässig eintritt wie der Unfall selbst: die Frage, ob es menschliches oder technisches Versagen war. Und dann relativ schnell, nachdem die ersten Informationen vorliegen, die Suche nach dem menschlichen Fehler. Wer hat das falsche Rohr angeschnitten? Wer hat die Freigabe erteilt? Wer hätte es wissen müssen? Diese Fragen sind verständlich. Aber sie lenken den Blick von Anfang an in die falsche Richtung.

Denn was an diesem Morgen passiert, lässt sich nicht allein auf die Fehlentscheidung dieses einen Mitarbeiters zurückführen. Es ist das Ergebnis mehrerer unsicherer Handlungen und unsicherer Bedingungen im Vorfeld der Arbeiten. Und genau die haben den Fehler des einen Mitarbeiters erst möglich gemacht.

Genau das macht dieser Beitrag sichtbar.

2. Problembeschreibung

Am Anfang jeder Analyse steht eine Entscheidung, die über alles Weitere bestimmt: Womit fangen wir an?

Die meisten Untersuchungen beginnen mit der richtigen Frage: Was war das Problem? Das ist gut so. Viele Methoden, vom 8D-Report bis zur A3-Problemlösung, sehen die Problembeschreibung bewusst an erster Stelle. Das Problem liegt nicht in der Frage, sondern in der Antwort. Die Antworten kommen schnell. Falsche Freigabe. Mangelhafte Arbeitsvorbereitung. Unklare Verantwortung. Das sind aber keine Probleme. Das sind bereits Ursachen, oft vermischt mit Annahmen und Hypothesen, weil viele Fakten noch gar nicht bekannt sind. Wer mit Vermutungen beginnt, sucht ab diesem Moment nur noch nach Beweisen, die diese Vermutungen bestätigen. Und das führt in den meisten Fällen zu unnötig langen Diskussionen darüber, wer recht hat und wer nicht.

Die strukturierte Ereignisanalyse beginnt deshalb anders. Mit der Frage: Was ist passiert? Und zwar nur das, was zu diesem Zeitpunkt bereits bekannt und gesichert ist. Kein Urteil. Keine Erklärung. Nur der Sachverhalt.

Im Fall BASF Ludwigshafen lautete dieser Sachverhalt: Am 17. Oktober 2016 um 11:20 Uhr wurde bei Wartungsarbeiten im Rohrleitungsgraben auf dem Hafengelände das falsche Rohr mit einer Flex getrennt. Das darin befindliche Ethylen führte zu einer Explosion. Fünf Tote, 44 Verletzte, sechs davon schwer. Sachschaden über 500 Millionen Euro.

Das sind die Fakten, die eine Analyse braucht, um zu starten. Alles andere ist zu diesem Zeitpunkt noch offen.

Die Abgrenzung für diese Analyse

Bevor die Ursachenanalyse beginnt, wird festgelegt, was sie betrachtet und was bewusst nicht. Für diese Fallstudie lautet die Abgrenzung: Ein Mitarbeiter einer Fremdfirma schneidet mit einer Flex ein Rohr an, von dem alle Beteiligten ausgehen, dass es drucklos und leer ist. Diese Annahme ist falsch. Und sie ist nicht zufällig falsch. Sie ist das Ergebnis einer Kette von Bedingungen, die wir im nächsten Abschnitt sichtbar machen.

3. Ursachenanalyse im Chemiewerk: Vom ersten Warum zur systemischen Kette

Nach der Problembeschreibung beginnt die eigentliche Arbeit. Das Ereignis wird in eine Ursache-Wirkungs-Kette überführt. Der Ausgangspunkt ist immer das Problem. Was viele Untersuchungsteams noch nicht auf dem Schirm haben: Es können auch mehrere Probleme sein. Von dort geht die Analyse Schritt für Schritt zurück: Was musste jeweils gegeben sein, damit der nächste Schritt möglich wurde?

Das klingt zunächst nach der klassischen 5Why-Methode. Es ist es aber nicht. Die 5Why-Methode folgt einer linearen Kette von Frage und Antwort. Die systemische Ereignisanalyse stellt die faktischen Ursachen auf einer Zeitleiste dar, vom jüngsten Sachverhalt bis zur zeitlich ältesten Bedingung.

Dabei gilt ein Grundsatz, der in der Praxis oft vernachlässigt wird: Jede Ursache, für die es noch keinen gesicherten Nachweis gibt, wird ausdrücklich als Vermutung gekennzeichnet. Nicht als Schwäche der Analyse, sondern als ihre Stärke. Denn wer Vermutungen als Fakten behandelt, leitet Maßnahmen aus falschen Grundlagen ab.

Erste Ebene: Die Adlerperspektive

Der erste Durchgang zeigt die kausale Ursache-Wirkungs-Kette in ihrer einfachsten Form. Fünf Tote, 28 Verletzte, fünf Millionen Euro Schaden. Warum? Explosion eines Ethylen-Rohres. Warum? Entzündung eines Ethylen-Rohres durch brennendes Buten-Gemisch. Warum? Entzündung des Buten-Gemischs durch Funkenflug der Trennscheibe. Warum? Anschnitt des Rohres Nr. 164 mit Buten-Gemisch, anstatt Rohr Nr. 28. Warum? Entscheidung, anstatt aus Rohr Nr. 28 ein Rohrstück zu schneiden, aus Rohr Nr. 164 zu schneiden. Warum? Mit dem Kopf nicht bei der Sache.

Und hier stoppt die klassische Untersuchung. Der Mitarbeiter war unaufmerksam. Akte zu.

Das ist nicht falsch. Aber es ist bei weitem nicht vollständig. Denn diese Kette beschreibt nur den unmittelbaren Ablauf. Sie beantwortet nicht die entscheidende Frage: Warum war diese Situation überhaupt möglich?

Zweite Ebene: Die detaillierte Analyse

In der zweiten Verdichtung fächert sich die Ursache-Wirkungs-Kette auf. Und genau hier wird sichtbar, was eine systemische Ereignisanalyse von einer oberflächlichen Untersuchung mit der klassischen 5Why-Methode unterscheidet.

Der falsche Anschnitt hatte nicht eine Ursache, sondern mehrere, die gleichzeitig wirksam waren und sich gegenseitig verstärkt haben.

Erstens: Verwechslung mit dem zu trennenden Rohr Nr. 28. Das ist eine transitorische Bedingung, also eine, die in diesem Moment vorhanden war und danach wieder verschwunden ist. Sie erklärt die unmittelbare Handlung. Aber sie erklärt nicht, warum die Verwechslung möglich war.

Dafür braucht es die nicht-transitorischen Bedingungen, also die dauerhaft im System vorhandenen Zustände, die den Fehler erst begünstigt haben. Und davon gab es mehrere: Die Kennzeichnung der Rohre über ihren Inhalt war nicht optimal. Die Kennzeichnung für Trennschnitte war unklar. Kein funkenloses Werkzeug war vorgeschrieben. Keine zusätzliche Kontrolle vor dem Anschnitt war vorgesehen.

Dazu kommt eine weitere Ebene, die in vielen Untersuchungen vollständig übersehen wird: der Einfluss der Vergangenheit. Bereits 2011 gab es einen ähnlichen Vorfall an einer Ammoniakleitung. Ohne schwerwiegende Folgen. Die Ursachen dieses falschen Schnitts wurden damals nicht vollständig analysiert und nicht kommuniziert. Das Szenario einer Entzündung durch eine brennende Rohrleitung war im Feuererlaubnisschein nicht berücksichtigt. Die Brandschutzmaßnahmen reichten für dieses Szenario nicht aus. Und das Ethylenrohr hatte keine feuerbeständige Beschichtung.

Das ist kein Versagen eines einzelnen Menschen. Das ist ein System, das über Jahre hinweg die Bedingungen für genau dieses Ereignis aufgebaut hat.

Was die Fragezeichen bedeuten

In beiden Grafiken tauchen Fragezeichen auf. Sie markieren keine Lücken in der Darstellung, sondern offene Stellen in der Analyse, an denen gesicherte Erkenntnisse enden und Vermutungen beginnen.
Genau an diesen Stellen entscheidet sich in der Praxis, ob eine Untersuchung wirklich weitergeht oder ob sie mit dem stoppt, was bequem zu erklären ist. Und solange eine Ursache nicht belegt ist, bleibt sie in der Analyse sichtbar als das, was sie ist: eine Vermutung, die noch verifiziert werden muss.

4. Verbesserung

Aus einer Ursachenanalyse folgt nicht automatisch eine wirksame Maßnahmenliste. Entscheidend ist, an welchen Stellen der Ursache-Wirkungs-Kette angesetzt wird. Maßnahmen, die nur am unmittelbaren Auslöser ansetzen, also an der Handlung des Mitarbeiters, ändern das System nicht. Sie verschieben das Problem nur.

Wirksame Verbesserungen setzen an den Bedingungen an, die die gefährliche Handlung erst möglich gemacht haben. Genau das zeigt die Ursachenkarte: Jede grün markierte Maßnahme ist direkt einer nachgewiesenen oder vermuteten Ursache zugeordnet. Keine der Maßnahmen richtet sich gegen den Mitarbeiter. Alle vier richten sich gegen das System.

 

Hinweis: Die nachfolgenden Maßnahmen sind keine dokumentierten Ergebnisse der offiziellen BASF-Untersuchung. Öffentlich zugängliche Quellen enthalten keine Informationen darüber, welche konkreten Maßnahmen nach dem Vorfall tatsächlich eingeführt wurden. Die hier vorgeschlagenen Maßnahmen basieren ausschließlich auf der in dieser Fallstudie durchgeführten Ursachenanalyse und zeigen, wie ich als Moderator einer strukturierten Ereignisanalyse vorgehen würde.

Maßnahme 1: Neue Kennzeichnung der Rohre

Die Verwechslung von Rohr Nr. 164 mit Rohr Nr. 28 war möglich, weil die Kennzeichnung der Rohre über ihren Inhalt nicht optimal war und die Kennzeichnung für Trennschnitte unklar blieb. Die Maßnahme setzt genau dort an: eine eindeutige, für Instandhaltungsarbeiten unmissverständliche Kennzeichnung, die Verwechslungen strukturell ausschließt, nicht durch Aufmerksamkeit des Mitarbeiters verhindert.

Maßnahme 2: 4-Augen-Prinzip vor dem Anschnitt einer Leitung

Vor dem Anschnitt gab es keine vorgeschriebene zusätzliche Kontrolle. Der Mitarbeiter handelte auf Basis seiner eigenen Einschätzung des Leitungszustands. Das 4-Augen-Prinzip macht eine zweite unabhängige Prüfung zur Pflicht, bevor das Werkzeug ansetzt. Eine einfache, sofort umsetzbare Maßnahme, die eine der gefährlichsten Lücken im Freigabeprozess schließt.

Maßnahme 3: Einsatz von funkenfreiem Werkzeug

Kein funkenfreies Werkzeug war für diesen Arbeitsschritt vorgeschrieben. Der Einsatz einer Flex in einem Bereich mit brennbaren Gasen war damit nicht durch das System verhindert, sondern durch das individuelle Urteil des Mitarbeiters. Die Maßnahme macht den Einsatz funkenlosen Werkzeugs zur verbindlichen Anforderung, unabhängig davon, was der einzelne Mitarbeiter in der Situation für angemessen hält.

Maßnahme 4: Neue feuerbeständige Beschichtung des Ethylenrohrs

Das Ethylenrohr hatte keine feuerbeständige Beschichtung. Als das Buten-Gemisch sich entzündete, fehlte diese letzte Barriere. Die neue Beschichtung ist eine passive Schutzmaßnahme, die unabhängig vom menschlichen Handeln wirkt. Sie greift auch dann, wenn alle anderen Maßnahmen versagen.

Was diese vier Maßnahmen gemeinsam zeigen

Keine dieser Maßnahmen lautet: “Mitarbeiter müssen sorgfältiger arbeiten.” Keine richtet sich gegen eine Person. Alle vier verändern die Rahmenbedingungen so, dass dieselbe gefährliche Kombination aus Handlung und Bedingung in Zukunft deutlich unwahrscheinlicher wird.

Das ist der Unterschied zwischen einer Maßnahme, die das Problem löst, und einer, die das gute Gewissen beruhigt.

Was dieser Vorfall sichtbar macht

Der BASF-Unfall von 2016 ist kein Einzelfall. Er ist ein Muster. Dasselbe Muster, das sich in Chemiewerken, Produktionshallen und Kliniken wiederholt, immer dann, wenn Untersuchungen dort aufhören, wo sie unbequem werden.

Was dieser Vorfall besonders deutlich macht: Das Gefährlichste an solchen Ereignissen ist nicht der Moment, in dem der Fehler passiert. Es ist die Zeit davor. Die Jahre, in denen sich Bedingungen aufgebaut haben, die niemand als Risiko erkannt hat, weil niemand danach gesucht hat.

2011 gab es bereits einen ähnlichen Vorfall an einer Ammoniakleitung. Ohne schwerwiegende Folgen. Und genau das ist das Problem. Vorfälle ohne schwerwiegende Folgen erzeugen keine ausreichende Dringlichkeit. Die Untersuchung bleibt oberflächlich. Die Ursachen bleiben im System. Fünf Jahre später zahlen fünf Menschen mit ihrem Leben dafür.

Das zweite Muster ist genauso verbreitet: Begriffe wie “Unachtsamkeit” oder “Mit dem Kopf nicht bei der Sache” beenden das Nachdenken, statt es zu öffnen. Sie sind keine Ursachen. Sie sind Platzhalter für eine Analyse, die nicht stattgefunden hat. Solange solche Begriffe als Ergebnis akzeptiert werden, ändert sich nichts am System.

Das dritte Muster betrifft die Maßnahmen. Wer die Ursache im Menschen sucht, findet dort auch die Lösung: Schulung, Ermahnung, Erinnerung an die Vorschriften. Diese Maßnahmen sind nicht falsch. Aber sie sind wirkungslos, solange die systemischen Bedingungen unverändert bleiben. Der nächste Mitarbeiter kommt in dieselbe Situation und macht denselben Fehler, weil das System ihn nicht daran hindert.

Was sich ändert, wenn die Analyse konsequent weitergeführt wird, zeigt dieser Vorfall ebenfalls. Vier Maßnahmen, keine davon richtet sich gegen eine Person. Alle vier verändern die Bedingungen, unter denen gearbeitet wird. Das ist der Unterschied zwischen einer Untersuchung, die etwas bewirkt, und einer, die dokumentiert.

6. Was Sie beim nächsten Vorfall konkret besser machen können

1. Beginnen Sie mit Fakten, nicht mit Erklärungen.
   Sammeln Sie zu Beginn jeder Untersuchung ausschließlich das, was gesichert bekannt ist. Was ist passiert, wann, wo, mit welchen Folgen. Keine Interpretationen, keine Schuldzuweisungen, keine voreiligen Ursachenvermutungen. Erst wenn die Fakten vollständig sind, beginnt die Analyse.
2. Stoppen Sie nie bei “Unachtsamkeit”.
   Wenn in Ihrer Untersuchung Begriffe wie “Unachtsamkeit”, “Fehlbedienung” oder “mangelnde Sorgfalt” auftauchen, ist das kein Ergebnis. Es ist ein Signal, dass die Analyse noch nicht tief genug gegangen ist. Fragen Sie weiter: Warum war diese Situation so beschaffen, dass der Mitarbeiter so handeln musste?
3. Unterscheiden Sie konsequent zwischen Nachweis und Vermutung.
   Kennzeichnen Sie in Ihrer Ursachenkarte jede Ursache, für die es noch keinen gesicherten Beleg gibt, ausdrücklich als Vermutung. Das schützt Sie vor Maßnahmen, die auf falschen Grundlagen aufbauen, und zeigt, wo noch Klärungsbedarf besteht.
4. Suchen Sie nach mehreren Ursachen, nicht nach einer.
   Es gibt keine Root Cause. Jeder Vorfall ist das Ergebnis mehrerer gleichzeitig wirksamer Bedingungen. Wenn Ihre Analyse bei einer einzigen Ursache endet, ist sie noch nicht fertig.
5. Leiten Sie Maßnahmen auf Systemebene ab, nicht auf Personenebene.
   Jede Maßnahme, die mit “Der Mitarbeiter muss künftig…” beginnt, greift zu kurz. Fragen Sie stattdessen: Welche Bedingung im System hat diese Handlung erst möglich gemacht? Und wie ändern wir diese Bedingung?
6. Nehmen Sie Beinahe-Vorfälle genauso ernst wie schwere Unfälle.
   Der Vorfall von 2011 an der Ammoniakleitung hätte der Wendepunkt sein können. Er war es nicht, weil niemand tief genug gesucht hat. Beinahe-Vorfälle sind Ihr wertvollstes Lernmaterial, solange noch niemand zu Schaden gekommen ist.

7. Direkt loslegen

Für Ihre nächste Ereignisanalyse steht Ihnen eine kostenlose Excel-Arbeitsmappe zur Verfügung. Sie führt Sie Schritt für Schritt durch Problembeschreibung, Ursachenanalyse und Maßnahmenableitung.

→ Zur kostenlosen Excel-Arbeitsmappe

8. Sprechen wir über Ihren Fall

Dieser Beitrag zeigt, wie eine strukturierte Ereignisanalyse vorgeht. Was er nicht zeigen kann: wie das in Ihrem konkreten Fall aussieht. Denn jeder Vorfall ist anders. Jedes System ist anders. Und jede Organisation bringt andere Voraussetzungen mit.

Wenn Sie nach einem Vorfall das Gefühl haben, dass die bisherige Untersuchung nicht tief genug gegangen ist, oder wenn Sie wissen wollen, wie eine systemische Analyse in Ihrem Unternehmen aussehen könnte, rede ich gerne mit Ihnen darüber.

Kein Vortrag. Kein Verkaufsgespräch. Ein konkretes Gespräch über Ihren Fall.

→ Kennenlerngespräch vereinbaren