ISO/TR 14121-2 – wie in der Praxis Risiken bewertet werden

Der Prozess der Konformitätsbewertung von Maschinen im Hinblick auf die grundlegenden Anforderungen erfordert eine fundierte Risikobeurteilung nach den geltenden Normen. Maschinensicherheit ist ein Grundpfeiler bei Konstruktion und Betrieb industrieller Anlagen – jeder Hersteller muss vor dem Inverkehrbringen einer Maschine im EU-Markt die Gefährdungen identifizieren und das Risiko auf ein akzeptables Niveau reduzieren. Normen wie ISO 12100 (Sicherheit von Maschinen – Allgemeine Gestaltungsleitsätze, Risikobeurteilung und Risikominderung) sowie der Leitfaden ISO/TR 14121-2 (praktische Methoden der Risikobeurteilung) liefern dafür den methodischen Rahmen. Branchenspezifische Normen wie DIN EN ISO 13849-1 und DIN EN 62061 fokussieren hingegen auf die Sicherheit von Steuerungssystemen und nutzen spezifische Verfahren zur Risikoeinschätzung, um die erforderlichen Sicherheitsniveaus (Performance Level, SIL) festzulegen.

In diesem Artikel betrachten wir die wichtigsten Methoden der Risikobeurteilung, die bei der Konformitätsbewertung von Maschinen eingesetzt werden: Risikomatrizen, Risikographen, Punktbewertungsverfahren sowie qualitative und quantitative Ansätze. Wir vergleichen ihre Grundannahmen, zeigen die Vor- und Nachteile jeder Methode auf und veranschaulichen praktische Anwendungen (an Beispielen, die an die Normdokumentation angelehnt, jedoch entsprechend angepasst sind). Abschließend geben wir Hinweise, wie sich unterschiedliche Ansätze kombinieren lassen und wie man eine Methode auswählt, die zum Gefährdungstyp, zur Entwicklungsphase und zur Maschinenart passt.

Merke: Ziel der Risikobeurteilung ist nicht nur die Erfüllung formaler Anforderungen für die CE-Kennzeichnung, sondern vor allem sicherzustellen, dass die Maschine über ihren gesamten Lebenszyklus hinweg sicher ist – von der Konstruktion über die Nutzung bis hin zu Wartung und Außerbetriebnahme. Deshalb lohnt es sich, die Methoden der Risikobeurteilung so zu wählen, dass alle Gefährdungen wirksam erkannt und die Risiken systematisch sowie für das gesamte Team nachvollziehbar bewertet werden.

ISO/TR 14121-2: Grundlagen des Prozesses der Risikobeurteilung

Bevor wir zu den konkreten Methoden kommen, rufen wir kurz die Schritte der Risikobeurteilung nach DIN EN ISO 12100:2012 in Erinnerung.

1. Festlegung des Umfangs und der Grenzen der Maschine: Verständnis der Maschinenfunktion, ihres Verwendungszwecks, der Systemgrenzen sowie der Nutzer. Legen Sie fest, unter welchen Bedingungen die Maschine betrieben wird (z. B. Umgebung, Belastungen, Qualifikation des Personals).
2. Identifikation von Gefährdungen: Auflistung aller potenziellen Gefährdungsquellen in allen Phasen des Maschinenlebenszyklus (Installation, Normalbetrieb, Reinigung, Wartung, Störungen, Demontage). Gefährdungen können mechanischer, elektrischer, thermischer, chemischer Art sein, durch Strahlung entstehen, ergonomisch bedingt sein usw. Wichtig ist die Einbindung sowohl der Konstrukteure als auch der künftigen Bediener – das Praxiswissen des Personals hilft, weniger offensichtliche Risiken zu erkennen.
3. Analyse und Abschätzung des Risikos: Für jede identifizierte Gefährdung analysieren wir mögliche Unfall- bzw. Schadensszenarien: Ursachen des Ereignisses, Wahrscheinlichkeit des Auftretens sowie Auswirkungen (Konsequenzen) für Bediener oder Ausrüstung. Anschließend schätzen wir das Risikoniveau ab – hier kommen die Werkzeuge ins Spiel, die weiter unten beschrieben werden (Matrizen, Graphen, Punkteskalen usw.). Ziel ist, jeder Gefährdung eine „Risikogewichtung“ zuzuordnen, basierend auf der bewerteten Häufigkeit und der Schwere möglicher Schäden.
4. Bewertung der Risikoakzeptanz: Wir vergleichen das abgeschätzte Risiko mit den im Unternehmen oder im Projekt festgelegten Akzeptanzkriterien. Zum Beispiel: Ist das Risiko so gering, dass es toleriert werden kann, oder ist eine Reduzierung erforderlich? Viele Organisationen gehen davon aus, dass ein Risiko, das zu Tod oder dauerhafter Invalidität führt, nicht akzeptabel ist – unabhängig von der Wahrscheinlichkeit, es sei denn, es werden besondere Schutzmaßnahmen umgesetzt.
5. Risikominderung: Für Risiken, die als zu hoch eingestuft werden, werden Maßnahmen zur Risikominderung gemäß der sogenannten Dreistufen-Hierarchie aus ISO 12100 umgesetzt: (a) Beseitigung von Gefährdungen durch Konstruktion (inhärent sichere Gestaltung), (b) technische Schutzmaßnahmen (Schutzeinrichtungen, Sicherheitseinrichtungen), (c) organisatorische Maßnahmen und persönliche Schutzausrüstung (Anweisungen, Schulungen, PPE). Nach Umsetzung dieser Maßnahmen wird der Zyklus der Risikobeurteilung iterativ wiederholt, indem das Restrisiko bewertet wird – bis ein akzeptables Niveau erreicht ist.

Im weiteren Verlauf konzentrieren wir uns auf die Phase der Risikoabschätzung (Punkt 3 oben) und stellen die gängigsten Methoden vor. Hervorzuheben ist, dass ISO 12100 keine einzelne konkrete Technik vorschreibt – zulässig sind sowohl qualitative (beschreibende) als auch quantitative (numerische) Ansätze, sofern das Ergebnis der Bewertung eine Entscheidung über die Notwendigkeit der Risikominderung ermöglicht. Nach ISO/TR 14121-2 gibt es viele gleichwertige Werkzeuge; die Auswahl hängt von den Besonderheiten der Maschine und den Präferenzen der Bewertenden ab.

Risikomatrix (Risk Matrix)

Die Risikomatrix ist eines der einfachsten und am häufigsten verwendeten Werkzeuge zur visuellen Risikobewertung. Es handelt sich um eine Tabelle (Matrix), deren Spalten in der Regel Kategorien der Wahrscheinlichkeit des Eintretens eines Ereignisses darstellen und deren Zeilen – Kategorien der Schwere der Auswirkungen (Konsequenzen). Am Schnittpunkt der Zeile und Spalte, die der Bewertung der jeweiligen Gefährdung entsprechen, lesen wir die zugeordnete Risikostufe ab (z. B. niedrig, mittel, hoch oder farblich: grün, gelb, rot).

Wie erstellt man eine Risikomatrix? Zunächst definieren wir diskrete Skalen für beide Dimensionen. Für die Konsequenzen können wir z. B. annehmen: 1 – leichte Verletzungen (harmlose Verletzungen), 2 – Verletzungen, die medizinische Hilfe erfordern, 3 – schwere Körperverletzung oder dauerhafte Invalidität, 4 – Todesfall. Für die Wahrscheinlichkeit des Ereignisses eine beispielhafte Skala: A – sehr selten (z. B. „praktisch unvorstellbar“), B – unwahrscheinlich (einmal in vielen Jahren), C – möglich (mehrmals im Lebenszyklus der Maschine), D – wahrscheinlich (kann einmal pro Jahr oder häufiger auftreten), E – häufig (regelmäßig, z. B. einmal im Monat oder kontinuierlich). In der Praxis passen Unternehmen diese Kategorien an ihre Bedürfnisse an – wichtig ist, dass das bewertende Team die Bedeutung der Kategorien gemeinsam festlegt, was die Subjektivität reduziert.

Anschließend erstellen wir die Tabelle, indem wir den einzelnen Kombinationen Risikostufen zuordnen. Ein Beispiel einer 4×5-Matrix zeigt die folgende Tabelle (Farben kennzeichnen das typische Risikoniveau – grün akzeptabel, gelb mittel, rot hoch):

Legende der Farben und Risikostufen:

• 🟢 Niedriges Risiko (akzeptabel) – Maßnahmen sind nicht erforderlich, oder grundlegende Schutzmaßnahmen reichen aus.
• 🟡 Mittleres Risiko (moderat) – weitere risikomindernde Maßnahmen sind zu prüfen, zusätzliche Schutzmaßnahmen und Monitoring einzuführen.
• 🔴 Hohes/Sehr hohes/Extrem hohes Risiko – ohne zusätzliche Schutzmaßnahmen nicht akzeptabel; dringende und umfassende risikomindernde Maßnahmen sind erforderlich.

Beispiel für die praktische Anwendung der Risikomatrix:

Gefährdung:

Freiliegendes Sägeblatt an einer Industriesäge.

Bewertung:

• Schwere der Auswirkung: S4 – Todesfall (katastrophale Folgen).
• Wahrscheinlichkeit: C – möglich (mehrmals im Lebenszyklus der Maschine).

Ergebnis der Bewertung in der Matrix:

Der Schnittpunkt von Zeile S4 und Spalte C zeigt das Feld 🔴 Hohes Risiko.

Konsequenz des Ergebnisses:

• Das Risiko wird als nicht akzeptabel ohne zusätzliche Schutzmaßnahmen eingestuft.
• Der Hersteller muss Schutzmaßnahmen anwenden, z. B.:
  • Schutzhaube für das Sägeblatt.
  • Sicherheitsabschalter.
  • Verriegelungssystem, das ein unbeabsichtigtes Anlaufen während der Reinigung verhindert.

Weitere Maßnahmen:

• Nach der Umsetzung der Schutzmaßnahmen ist die Analyse erneut durchzuführen.
• Ziel ist es, mindestens das Niveau „Mittel“ oder idealerweise „Niedrig“ zu erreichen.

Beispiel einer (englischsprachigen) Risikomatrix mit 4 Kategorien der Schwere der Folgen (I–IV) und 5 Kategorien der Wahrscheinlichkeit (A–E). Die Farbe markiert das resultierende Risikourteil: von niedrig (L) über mittel (M) und hoch (H) bis extrem hoch (EH). In der Praxis können Matrizen unterschiedliche Größen haben, z. B. 3×3, 5×5 usw., je nach Bedarf der Analyse.

Vorteile der Risikomatrix:

• Einfachheit und Übersichtlichkeit: Die Matrix ist leicht verständlich und liefert ein grafisches Bild des Risikos, angelehnt an die intuitive „Ampellogik“ (grün – ok, rot – stopp). Dadurch ist sie oft hilfreich in der Kommunikation mit dem Management und mit nichttechnischen Personen – sie zeigt schnell, wo die größten Gefährdungen liegen.
• Schnelle Klassifizierung: Sie ermöglicht eine schnelle Priorisierung – z. B. welche Risiken niedrig (akzeptabel) sind und welche dringende Maßnahmen erfordern.

Nachteile der Risikomatrix:

• Subjektive Auswahl der Kategorien: Was genau „wenig wahrscheinlich“ oder „schwerer Schaden“ bedeutet, hängt vom Ermessen des Teams ab. Unterschiedliche Personen können das unterschiedlich bewerten, was sich auf das Ergebnis auswirkt. Eine Standardisierung der Kategorien in der Organisation ist entscheidend, dennoch bleibt eine gewisse Ermessenskomponente bestehen.
• Begrenzte Genauigkeit: Die Matrix fasst Risiken in groben Bereichen zusammen. Zwei unterschiedliche Gefährdungen können denselben Wert erhalten (z. B. „mittleres Risiko“), obwohl die eine näher an der unteren Grenze liegt und die andere an der oberen. Das ist mitunter ein zu grober Ansatz, wenn eine detailliertere Analyse oder der Vergleich vieler Gefährdungen erforderlich ist.

Risikograf (Risk Graph)

Ein Risikograf ist eine grafische Methode, häufig dargestellt als Entscheidungsbaum oder logisches Diagramm. Sie beruht auf der schrittweisen Bewertung mehrerer Risikoparameter, meist mit binären Antworten (z. B. niedrig/hoch, ja/nein), die uns entlang eines Pfads zum Ergebnis führen. Jeder Knoten in einem solchen Diagramm verzweigt in eine begrenzte Anzahl von Optionen (meist zwei), was die Methode übersichtlich macht, allerdings weniger detailliert.

Risikografen werden breit in Normen zu Steuerungssystemen eingesetzt. So enthält beispielsweise DIN EN ISO 13849-1 (Sicherheit von Maschinensteuerungen) ein grafisches Schema zur Risikobeurteilung, mit dem sich der erforderliche Sicherheits-Performance-Level PLr für Sicherheitsfunktionen bestimmen lässt. Ebenso verwendet DIN EN 62061 (zur funktionalen Sicherheit von Maschinen) ein ähnliches Konzept zur Festlegung des erforderlichen Sicherheits-Integritätslevels SIL. In beiden Fällen bewerten wir nacheinander die folgenden Faktoren:

1. S (Severity) – Schwere des potenziellen Schadens: z. B. S1 = leichte oder reversible Verletzung, S2 = schwere (irreversible) Verletzung oder Tod.
2. F (Frequency/Exposure) – Häufigkeit und Dauer der Exposition gegenüber der Gefährdung: z. B. F1 = selten oder kurzzeitige Exposition, F2 = häufig oder langandauernde Exposition.
3. P (Possibility of Avoidance) – Möglichkeit, die Gefährdung zu vermeiden oder den Schaden zu begrenzen: z. B. P1 = unter günstigen Umständen vermeidbar (der Bediener hat die Möglichkeit zu reagieren), P2 = praktisch nicht vermeidbar (das Ereignis tritt plötzlich auf oder ist unvermeidbar).
4. (Optional) W/Pr (Probability of occurrence) – Wahrscheinlichkeit des Auftretens eines gefährlichen Ereignisses: Dieser Parameter wird z. B. in IEC 62061 teilweise ausdrücklich als eigenständiger Faktor berücksichtigt (als Pr bezeichnet), neben der Expositionshäufigkeit und der Möglichkeit der Vermeidung. In der Praxis wird er in der Methode nach ISO 13849-1 indirekt bei der Bewertung von F und P mit erfasst.

Auf Basis der obigen Bewertungen gelangen wir, indem wir dem Pfad im Risikografen folgen, zum Ergebnis – meist in Form eines Risikolevels oder einer Kategorie der erforderlichen Schutzmaßnahmen. Für ISO 13849-1 ist das Ergebnis der erforderliche Performance Level (PLr) von a bis e (wobei a den niedrigsten geforderten Zuverlässigkeitsgrad des Steuerungssystems und e den höchsten bezeichnet). In ISO 14121-2 findet sich hingegen ein Risikograf, der einen Risikoindex auf einer numerischen Skala liefert, z. B. von 1 bis 6 – die Werte 1–2 stehen für ein geringes Risiko, höhere Werte weisen auf die Notwendigkeit weiterer risikomindernder Maßnahmen hin.

START
  │
  ├─ Schwere des Schadens (S)
  │   ├─ S1: leichte Verletzung (reversibel)
  │   │   └─ Expositionshäufigkeit (F)
  │   │       ├─ F1: selten oder kurzzeitig
  │   │       │   └─ Möglichkeit der Vermeidung (P)
  │   │       │       ├─ P1: Vermeidung möglich → PLr = a
  │   │       │       └─ P2: Vermeidung schwierig → PLr = b
  │   │       └─ F2: häufig oder langandauernd
  │   │           └─ Möglichkeit der Vermeidung (P)
  │   │               ├─ P1: Vermeidung möglich → PLr = b
  │   │               └─ P2: Vermeidung schwierig → PLr = c
  │   └─ S2: schwere Verletzungen (irreversibel) oder Tod
  │       └─ Expositionshäufigkeit (F)
  │           ├─ F1: selten oder kurzzeitig
  │           │   └─ Möglichkeit der Vermeidung (P)
  │           │       ├─ P1: Vermeidung möglich → PLr = c
  │           │       └─ P2: Vermeidung schwierig → PLr = d
  │           └─ F2: häufig oder langandauernd
  │               └─ Möglichkeit der Vermeidung (P)
  │                   ├─ P1: Vermeidung möglich → PLr = d
  │                   └─ P2: Vermeidung schwierig → PLr = e

Beispiel für die Anwendung des Risikographen: Betrachten wir die Gefährdung, dass ein Industrieroboter einen Menschen trifft, wenn dieser bei fehlenden geeigneten Schutzeinrichtungen den Arbeitsbereich des Roboters betritt. Wir verwenden die Methode aus ISO 13849-1 und bewerten für dieses Szenario: S = S2 (schwere Verletzungen oder Tod), F = F2 (häufiger Zugang – z. B. betritt der Bediener die Zelle oft, und der Roboter läuft viele Stunden pro Tag), P = P2 (eine Vermeidung der Gefährdung ist wenig wahrscheinlich – der Roboter bewegt sich schnell und lässt keine Zeit zum Ausweichen). Geht man den Risikographen der Norm entlang, führt die Kombination (S2, F2, P2) zum erforderlichen PLr = e – dem höchsten Sicherheitsniveau. Das bedeutet, dass sehr zuverlässige Sicherheitsmaßnahmen umzusetzen sind (z. B. Lichtvorhänge der höchsten Kategorie oder überwachte Türzuhaltungen, Redundanz in den Steuerungskreisen usw.), um das Risiko eines Anstoßes durch den Roboter auf ein akzeptables Niveau zu reduzieren. Zum Vergleich: Wäre das Szenario weniger kritisch – z. B. ein Roboter mit geringer Kraft, der Menschen nur selten zugänglich ist –, könnte die Bewertung (S1, F1, P1) zu PLr = c oder niedriger führen, was geringere Anforderungen an die Komplexität der Schutzeinrichtungen bedeutet.

START → S2 → F2 → P2 → PLr = e

Vorteile des Risikographen:

• Logische, vorgegebene Struktur der Analyse: Der Graph führt den Anwender Schritt für Schritt durch die zentralen Fragen zur Gefährdung. Das sichert die Systematik – ein wesentlicher Faktor wird nicht übersehen. Die Methode ist häufig von Experten (z. B. Normungsgremien) für typische Maschinenfälle ausgearbeitet und stellt damit eine anerkannte Branchenpraxis dar.
• Gemeinsames Verständnis der Kategorien: Da die Werte (z. B. S1/S2, F1/F2, P1/P2) in der Norm definiert sind, kann sich das Team darauf beziehen, was Interpretationskonflikte reduziert. Dadurch sollten unterschiedliche Personen, die denselben Graphen anwenden, bei vergleichbaren Gefährdungen zu ähnlichen Ergebnissen kommen.
• Direkte Verknüpfung mit Sicherheitsanforderungen: Das Ergebnis in Form von PLr oder SIL zeigt dem Konstrukteur unmittelbar, wie fortgeschritten die technischen Maßnahmen auszuführen sind. Damit wird die Risikobeurteilung mit Auslegungskriterien verknüpft (z. B. Auswahl der Architektur des Steuerungssystems, Zuverlässigkeitsniveau der Komponenten).

Nachteile des Risikographen:

• Begrenzter Detaillierungsgrad: Die Methode arbeitet in der Regel nur mit wenigen Kategorien (z. B. zwei Optionen für S, F, P). Das bedeutet, dass unterschiedliche Szenarien auf dieselben Kategorien vereinfacht werden können. Der Graph klassifiziert das Risiko nur grob, liefert z. B. ein Ergebnis „hoch/mittel/niedrig“ oder den erforderlichen Schutzlevel, zeigt jedoch keine feinen Unterschiede zwischen Risiken derselben Kategorie.
• Kein expliziter Zahlenwert: Während eine Matrix oder eine Punkte-Methode einen relativen „Score“ liefern kann, endet der Graph meist bei einer Kennzeichnung (z. B. PLr = d). Es ist schwieriger, viele unterschiedliche Gefährdungen miteinander zu vergleichen, weil die Ergebnisse qualitativ sind und nicht zeigen, „wie viel“ größer ein Risiko gegenüber einem anderen ist – abgesehen von einem anderen Pfad im Entscheidungsbaum.
• Anwendungsspezifität: Risikographen sind häufig auf bestimmte Normen oder Branchen zugeschnitten. Der Graph aus ISO 13849-1 bezieht sich vor allem auf Risiken, die mit einem fehlerhaften Verhalten des Steuerungssystems zusammenhängen. Für die Bewertung anderer Risikoarten (z. B. ergonomischer Risiken, Lärm) ist er möglicherweise nicht direkt geeignet. Daher werden je nach Art der Gefährdungen mitunter unterschiedliche Graphen eingesetzt.

Punkte-Methoden (Punktebewertung des Risikos)

Punkte-Methoden, auch als Risk Scoring oder numerische Methoden bezeichnet, beruhen darauf, Risikokategorien Zahlenwerte zuzuordnen und daraus anschließend einen Risikokennwert zu berechnen. In der Praxis ist das eine Weiterentwicklung der Matrix-Idee: Statt nur mit Beschreibungen oder Farben zu arbeiten, erhält jede Kategorie (z. B. Wahrscheinlichkeit, Schadensausmaß, Exposition) eine definierte Punktzahl. Anschließend werden diese Punkte – häufig durch Multiplikation oder Addition – verknüpft, um einen Endwert zu erhalten. Dieser Wert ermöglicht es, Gefährdungen zu priorisieren – vom höchsten bis zum niedrigsten Risiko – und Akzeptanzschwellen festzulegen.

Am häufigsten wird die Multiplikation mehrerer Faktoren verwendet, zum Beispiel:

Risk Score=P×S×E

wobei:

• P (Probability) – Punktebewertung der Wahrscheinlichkeit, dass eine Gefährdung eintritt (z. B. auf einer Skala von 1–5, wobei 1 „fast nie“ und 5 „sehr häufig“ bedeutet)
• S (Severity) – Punktebewertung der Schwere der Folgen (z. B. 1 – geringfügiger Schaden, 5 – Tod oder Katastrophe)
• E (Exposure) – Punktebewertung der Exposition, also der Häufigkeit oder Dauer der Gefährdungsexposition (z. B. 1 – sporadischer Kontakt, 5 – kontinuierlicher/täglicher Kontakt)

Einige Varianten von Punktbewertungsmethoden verwenden andere Faktoren – zum Beispiel Avoidance (A), also die Berücksichtigung der Möglichkeit, dass der Bediener das Ereignis vermeiden kann, oder Detectability (D), also die Möglichkeit, die Gefährdung zu erkennen, bevor sie Schaden verursacht. Die Grundidee bleibt jedoch dieselbe: Das Endergebnis Risk Score ist eine Zahl (z. B. im Bereich 1–100 oder 1–1000), und je höher sie ist, desto größer ist das Risiko.

Damit die Methode brauchbar ist, müssen Ergebnisbereiche definiert werden, die den Risikostufen entsprechen. Beispielsweise kann ein Betrieb festlegen: Ergebnis 1–20 = niedriges Risiko (akzeptabel), 21–50 = mittleres (erfordert Überwachung und Verbesserung, wenn dies leicht umsetzbar ist), >50 = hohes (nicht akzeptabel, sofortiges Handeln erforderlich). Solche Schwellenwerte sollten sich aus der Sicherheitsstrategie des Unternehmens und einer plausiblen Analyse ergeben (z. B. können sie anhand früherer Risikobewertungen kalibriert werden).

Anwendungsbeispiel für die Punktbewertungsmethode: Nehmen wir die Gefährdung einer Handverbrennung an einem heißen Maschinenteil (z. B. ein auf 150°C erhitzter Heizblock, mit dem der Bediener versehentlich in Kontakt kommen kann). Wir verwenden das einfache Punktmodell P×S×E:

• Schwere der Auswirkung (S): Eine Verbrennung kann schmerzhaft sein, ist aber eher nicht lebensbedrohlich – wir bewerten sie mit 3 auf der Skala 1–5 (mittlere Verletzung, z. B. eine schwere Verbrennung, die medizinische Versorgung erfordert, jedoch ohne dauerhafte Folgen).
• Wahrscheinlichkeit (P): Kann es häufig zu einem Kontakt mit dem heißen Teil kommen? Nehmen wir an, das Teil befindet sich an einer schwer zugänglichen Stelle, sodass eine versehentliche Berührung selten ist, aber z. B. bei Wartungsarbeiten dennoch möglich – wir vergeben 2 (auf der Skala 1–5, entsprechend „wenig wahrscheinlich“).
• Exposition (E): Wie oft befindet sich der Bediener in der Nähe dieses Teils? Wenn die Maschine täglich läuft und der Bediener stündlich Material in der Nähe des Heizelements wechseln muss, kann die Exposition als häufig gelten – wir setzen 4 (auf der Skala 1–5, wobei 5 eine ständige Exposition und 4 eine häufige bedeutet, z. B. mehrmals täglich).

Wir berechnen Risk Score = 3 × 2 × 4 = 24. Nun interpretieren wir das Ergebnis: Bei der Annahme einer Schwelle von z. B. >20 für hohes Risiko zeigt der Wert 24, dass das Risiko nicht akzeptabel oder zumindest „wesentlich“ ist. Das Unternehmen sollte daher Maßnahmen ergreifen – z. B. eine thermische Abschirmung ergänzen, das Heizelement isolieren oder den Bediener mit geeigneten Handschuhen ausstatten und schulen. Nach Umsetzung dieser Maßnahmen könnte eine erneute Punktebewertung sinken (z. B. Verringerung der Exposition durch eine Abdeckung – E von 4 auf 1, was einen neuen Risk Score von 3×2×1 = 6 ergeben würde, also ein niedriges Risiko).

Es ist wichtig zu beachten, dass die Zahl 24 für sich genommen keine Einheit und keine absolute Bedeutung hat – sie erhält ihren Sinn erst vor dem Hintergrund festgelegter Kriterien (hier: 24 überschreitet die Akzeptanzschwelle) sowie im Vergleich mit Ergebnissen anderer Gefährdungen. Wenn beispielsweise andere Gefährdungen an dieser Maschine Werte im Bereich 5–10 haben und eine 24 erreicht, ist klar, was priorisiert werden sollte.

Vorteile der Punktbewertungsmethode:

• Höhere relative Genauigkeit: Im Gegensatz zu „starren“ Kategorien in einer Matrix ermöglicht der Risk Score, Unterschiede zwischen Risiken herauszuarbeiten. Ein Ergebnis von 24 vs. 18 vs. 36 liefert mehr Information als lediglich „mittel“ vs. „hoch“. Das erleichtert den systematischen Vergleich von Gefährdungen sowie die Priorisierung von Maßnahmen
• Weniger Subjektivität durch numerische Kriterien: Die Auswahl der Einzelbewertungen ist zwar subjektiv, doch die Arbeit mit Zahlen erzwingt eine gewisse Konsequenz. Wenn wir die Skala klar definieren (z. B. was 1 und was 5 für jeden Faktor bedeutet) und sie konsequent anwenden, werden die Bewertungen innerhalb der Organisation objektiver. Entscheidungen wie „Ist 24 ein akzeptables Risiko?“ sind ebenfalls einfacher, weil man sich auf vereinbarte Schwellenwerte beziehen kann – die Diskussion ist weniger emotional und stärker sachorientiert.
• Nützlich bei einer großen Anzahl von Gefährdungen: In komplexen Projekten, in denen Dutzende potenzieller Gefährdungen identifiziert werden, zeigt eine nach Risk Score absteigend sortierte Liste klar, womit man sich zuerst befassen sollte. Das erleichtert das Risikomanagement und die Zuweisung von Ressourcen (Zeit, Geld) für Sicherheitsmaßnahmen dort, wo sie am dringendsten benötigt werden.

Nachteile der Punktbewertungsmethode:

• Notwendigkeit der Kalibrierung und einer passenden Skala: Damit die Methode funktioniert, müssen die Punkteskalen gut durchdacht sein. Außerdem sollte die Organisation sie an ihre Besonderheiten anpassen – z. B. wird die Skala für Projektrisiken anders aussehen als die für die Maschinensicherheit. Das Team muss zudem geschult werden, damit alle die Werte ähnlich interpretieren. Das erfordert einen gewissen Aufwand und Disziplin bei der Anwendung der festgelegten Regeln
• Scheinbare Genauigkeit: Auch wenn Zahlen Präzision suggerieren, dürfen wir nicht vergessen, dass sie weiterhin auf der subjektiven Einschätzung von Expertinnen und Experten beruhen. Der Unterschied zwischen einer Gefährdung mit 15 und 16 Punkten kann in der Praxis fraglich sein – das ist keine physikalische Messung, sondern eine Schätzung. Es besteht das Risiko, dass das Ermitteln „einer einzigen Zahl“ das Gesamtbild verzerrt – Menschen können der Zahl selbst zu viel Bedeutung beimessen und den Kontext aus den Augen verlieren. Deshalb sollte ein Punktwert immer qualitativ und mit einer gewissen kritischen Distanz interpretiert werden
• Komplexität bei vielen Faktoren: Umfangreichere Methoden (z. B. HRN – Hazard Rating Number) können 4 oder 5 Faktoren berücksichtigen und einen sehr großen Ergebnisbereich erzeugen. Das liefert theoretisch ein genaueres Bild, wird für Anwenderinnen und Anwender jedoch weniger übersichtlich. Das Hinzufügen weiterer Parameter (z. B. Erkennbarkeit, Möglichkeit der Vermeidung usw.) erhöht den Aufwand für die Bewertung jeder einzelnen Gefährdung und kann die Kommunikation der Ergebnisse an unbeteiligte Personen erschweren.

Praktisches Anwendungsbeispiel

Gefährdung: Verbrennung der Hand der Bedienperson an einem heißen Maschinenteil (Heizblock 150°C).

Bewertung der Gefährdung:

• P (Wahrscheinlichkeit): Bauteil schwer zugänglich, Kontakt nur sporadisch möglich (Wartung), Bewertung: 2
• S (Schwere der Folge): Mittlere Verletzungen, medizinische Versorgung erforderlich, ohne dauerhafte Folgen, Bewertung: 3
• E (Exposition): Bedienperson befindet sich häufig in der Nähe des Bauteils (täglich, stündlich), Bewertung: 4

Risk Score = P × S × E = 2 × 3 × 4 = 24

Interpretation des Ergebnisses:

• Risk Score = 24, also mittleres Risiko (🟡), erfordert zusätzliche Schutzmaßnahmen oder Überwachung.

Abhilfemaßnahmen:

• Montage einer Wärmedämmung oder Abdeckung.
• Bereitstellung geeigneter Schutzhandschuhe.
• Schulung der Bedienpersonen.

Erneute Risikobewertung nach Umsetzung der Maßnahmen:
Die Exposition sinkt z. B. von 4 auf 1 (seltener Kontakt):

Neuer Risk Score = 2 × 3 × 1 = 6, also niedriges Risiko (🟢).

ISO/TR 14121-2: Qualitativer vs. quantitativer Ansatz in der Risikoanalyse

In der Risikoanalyse von Maschinen lassen sich zwei grundlegende Ansätze unterscheiden: qualitativ (qualitative) und quantitativ (quantitative). In der Praxis liegen die meisten der oben beschriebenen Methoden irgendwo zwischen diesen Extremen – dennoch lohnt es sich zu verstehen, worin sie sich unterscheiden:

• Qualitative Methoden stützen sich auf beschreibende Kategorien und fachkundiges Urteil. Das Ergebnis ist meist eine bestimmte Risikoklasse (z. B. „niedrig“, „mittel“, „hoch“) oder eine erforderliche Maßnahme („akzeptabel“ vs. „nicht akzeptabel“). Ein Beispiel für einen rein qualitativen Ansatz ist die beschreibende Aussage: „das Risiko eines Stromschlags wurde als hoch eingestuft, weil die Folgen schwerwiegend sind und die Exposition häufig ist, obwohl die Wahrscheinlichkeit moderat ist“. Risikomatrizen und Risikografen gehören überwiegend in diese Gruppe – es wird mit verbalen Einstufungen oder Buchstabensymbolen gearbeitet, nicht mit konkreten Zahlen. Vorteil: leicht verständlich für alle Beteiligten im Prozess (intuitiv versteht jeder, was „hohes Risiko“ bedeutet, eher als z. B. „Risiko = 3,7×10^-5“!). Außerdem ist der qualitative Ansatz oft der einzig mögliche, wenn keine Zahlenwerte vorliegen – was bei neuen Maschinen oder seltenen Ereignissen häufig der Fall ist. Nachteil: qualitative Ergebnisse sind schwerer vergleichbar und können subjektiv sein. Zwei Experten können dasselbe Risiko beschreibend unterschiedlich bewerten, während eine Zahl ihre Einschätzungen zu einer Mittelung zwingen würde.
• Quantitative Methoden zielen darauf ab, Risiko in Zahlenwerten auszudrücken, häufig in absoluten Einheiten (z. B. Wahrscheinlichkeit 1 pro Million Operationen, erwartete Unfallhäufigkeit 0,001/Jahr, erwartete Schadenskosten in Euro). Eine vollständig quantitative Risikoanalyse versucht, Daten zu nutzen – Ausfallstatistiken, Unfallhäufigkeiten in der Branche, Daten zur Zuverlässigkeit von Komponenten –, um das Risiko objektiv zu berechnen. Ein Beispiel wäre: „die Wahrscheinlichkeit eines Sensorausfalls und des gleichzeitigen Nichtansprechens der Sicherheitsbremse beträgt 2,3 × 10^-8 pro Betriebsstunde; bei 2000 h Betrieb pro Jahr beträgt das Risiko eines tödlichen Unfalls ~4,6 × 10^-5 pro Jahr, also weniger als das Kriterium $10^{-4}$/Jahr – wir stufen das Risiko als akzeptabel ein.“ Ein solcher Ansatz findet sich z. B. in der Analyse der funktionalen Sicherheit (Berechnung von PFH – Probability of a Dangerous Failure per Hour für Steuerungssysteme) oder in der prozesstechnischen Risikobewertung mit Methoden wie LOPA, bei denen Risiko numerisch ausgedrückt wird. Vorteile: vermittelt den Eindruck hoher Präzision und ermöglicht den Vergleich mit formalen Kriterien (z. B. ALARP-Niveaus oder rechtlichen Anforderungen, sofern solche existieren). Zudem erlaubt es eine Kosten-Nutzen-Optimierung – man kann abschätzen, was ein bestimmtes Risiko statistisch „kostet“ und ob sich eine weitere Risikominderung lohnt. Nachteile: eine vollständige quantitative Analyse ist zeitaufwendig und datenabhängig, und diese Daten sind nicht immer verfügbar. Bei vielen Maschinen fehlen belastbare Statistiken zu Ausfall- oder Unfallraten – dann beruhen Zahlen leicht auf Schätzungen, was solchen Berechnungen den Sinn nimmt. Außerdem kann die scheinbare Objektivität trügerisch sein: Die Modellierung von Risiken erfordert häufig vereinfachende Annahmen, und das Endergebnis ist mitunter mit Unsicherheiten über mehrere Größenordnungen behaftet (auch wenn viele signifikante Stellen angezeigt werden). Maschinennormen verlangen in der überwiegenden Mehrheit keine vollständig quantitative Bewertung – sie lassen sie zu, weisen jedoch darauf hin, dass eine verbale Risikobeschreibung in der Regel leichter verständlich ist als das Arbeiten mit numerischen Kennwerten.

In der Praxis der Risikobeurteilung von Maschinen wird häufig ein semi-quantitativer Ansatz (semi-quantitative) verwendet, z. B. eine Punktmethode, die qualitativen Kategorien Zahlen zuordnet, ohne zu behaupten, es handele sich um „echte“ Wahrscheinlichkeiten oder Kosten. Das liefert eine höhere Auflösung der Bewertung als rein beschreibende Kategorien und vermeidet zugleich vorgetäuschte Genauigkeit. Die Wahl des Ansatzes sollte die Projektanforderungen berücksichtigen: Wenn eine dokumentierte Normenkonformität erforderlich ist (z. B. die Berechnung von PL oder SIL für ein Steuerungssystem), sind die in der Norm angegebenen Methoden heranzuziehen (meist qualitative oder Punktmethoden). Wenn ein Unternehmen jedoch auf eine interne, betriebswirtschaftlich geprägte Risikoschätzung setzt, kann es für wesentliche Gefährdungen auch stärker quantitative Analysen in Betracht ziehen.

ISO/TR 14121-2: Kombination von Methoden und Auswahl des geeigneten Ansatzes

Es gibt keine universelle Methode der Risikoanalyse, die für jeden Fall gleichermaßen geeignet ist. Erfahrene Sicherheitsingenieure kombinieren häufig unterschiedliche Ansätze, um ein vollständigeres Bild zu erhalten und fundiertere Entscheidungen zu treffen. Nachfolgend einige Hinweise dazu, wann welche Methode anzuwenden ist und wie man sie kombiniert:

• Konzeptphase des Projekts (frühe Konstruktion): Zu Beginn, wenn die Maschine noch als Skizze oder Prototyp vorliegt, fehlen in der Regel detaillierte Zahlenwerte. Hier bewähren sich schnelle, qualitative Methoden – z. B. ein Brainstorming mit Risikomatrix für die identifizierten Gefährdungen. Die Matrix hilft, die kritischsten Bereiche bereits zu Beginn herauszufiltern. Man kann auch eine Gefährdungs-Checkliste aus ISO 12100 nutzen und zu jeder Gefährdung eine Einstufung in „niedriges/mittleres/hohes Risiko“ ergänzen. In dieser Phase ist es wichtiger, keine Gefährdung zu übersehen, als die Wahrscheinlichkeit exakt zu schätzen – daher reichen beschreibende Methoden völlig aus. Die Ergebnisse einer solchen Voranalyse können Konstruktionsentscheidungen beeinflussen (z. B. Änderung des Maschinenlayouts, konstruktive Integration einer Schutzeinrichtung, Reduzierung der Bewegungsgeschwindigkeit bei hohem Risiko).
• Phase der Detailkonstruktion: Wenn bereits mehr Daten zur Maschine vorliegen – technische Parameter, Zykluszeiten, geplante Sicherheitsmaßnahmen – lohnt sich eine genauere Analyse. Hier kann eine Punktebewertungsmethode zum Einsatz kommen. Sie eignet sich, um Dutzende konkreter Gefährdungen systematisch zu analysieren. Außerdem lassen sich damit verschiedene Lösungsvarianten vergleichen: Wenn wir z. B. abwägen, ob eine feste trennende Schutzeinrichtung oder ein Lichtvorhang eingesetzt werden soll, können wir den Risk Score für Szenarien mit der einen und der anderen Maßnahme abschätzen – das zeigt, welche Variante das Risiko besser reduziert. In der Detailkonstruktion werden häufig auch Risikographen für Sicherheitsfunktionen verwendet. Für jede identifizierte Funktion (z. B. Not-Halt, Abschalten des Antriebs beim Öffnen der Schutztür, Geschwindigkeitsbegrenzung im Einrichtbetrieb) nutzen wir den Risikographen aus ISO 13849-1 oder IEC 62061, um den erforderlichen PLr/SIL zu bestimmen. Diese Informationen beeinflussen anschließend die Auswahl der Komponenten (z. B. ob ein Sicherheitsrelais der Kategorie 2 PL=c ausreicht oder eine zweikanalige Steuerung PL=e erforderlich ist). Im Ergebnis gilt: In einem Projekt werden parallel unterschiedliche Methoden eingesetzt – eine allgemeine Risikobeurteilung per Matrix/Punktebewertung für die gesamte Maschine und dedizierte Risikographen für spezifische Gefährdungen, die sicherheitsbezogene Steuerungssysteme erfordern.
• Maschinen mit komplexen, vielfältigen Gefährdungen: Wenn es sich um eine umfangreiche Anlage handelt (z. B. eine integrierte Produktionslinie, kollaborierende Roboter, Maschinen mit vielen Subsystemen), reicht eine einzelne Methode möglicherweise nicht aus. Beispiel: In einer Verpackungslinie können gleichzeitig schwere mechanische Gefährdungen auftreten (z. B. Quetschen durch den Greifer eines Roboters), elektrische Gefährdungen (Hochspannungsverteilung), ergonomische Gefährdungen (manuelles Heben von Lasten) sowie software-/cyberbezogene Gefährdungen (fehlerhafte Steuerungssoftware). In einer solchen Situation ist es sinnvoll:
  • Für mechanische/elektrische Gefährdungen – eine Matrix oder ein Scoring zur Risikobewertung einzusetzen und den Bedarf an Schutzeinrichtungen, Verriegelungen, Lock-out usw. aufzuzeigen. Für Gefährdungen im Zusammenhang mit dem Steuerungssystem (z. B. Sensorausfall, der zu einer Kollision führt) – den Risikographen aus Normen zu verwenden, um PLr/SIL zu ermitteln, was sich in Anforderungen an die Architektur des Steuerungssystems übersetzt. Für ergonomische Risiken – sich stärker auf eine qualitative Bewertung zu stützen (z. B. ergonomische Normen oder Arbeitsschutz-Leitlinien heranziehen, da belastbare Zahlen hier schwer zu bekommen sind; eine Risikomatrix kann genutzt werden, jedoch mit Schwerpunkt auf Konsultation des Personals, Belastungsbefragungen usw.). Für digitale/IT-Risiken – separate Ansätze in Betracht zu ziehen (Cybersecurity-Analyse, Software-FMEA), da klassische Sicherheitsmatrizen z. B. das Risiko eines System-Hacks möglicherweise nicht abbilden. Bei Bedarf können solche Risiken separat durch IT-Spezialisten bewertet und deren Ergebnisse in die Gesamtrisikobeurteilung übernommen werden.

Das Endergebnis wird ein vollständiges Risikobild sein. Wichtig ist, alle Bewertungen in einem konsistenten Bericht zusammenzuführen, z. B. als tabellarische Gefährdungsliste mit Spalten: Beschreibung der Gefährdung, Bewertungsmethode (Matrix/Diagramm/Punktbewertung), Bewertungsergebnis, Risikominderungsmaßnahmen, Restrisiko nach Reduktion. So erkennt der Auditor bzw. die Person, die die Konformität der Maschine prüft, dass keine Risikokategorie übersehen wurde und dass für jede davon geeignete Analysetechniken angewendet wurden.

Zusammenfassend ist die Kombination von Methoden Best Practice, weil jede Methode eine etwas andere Perspektive bietet. Matrix oder Diagramm können das Gesamtbild und Mindestanforderungen sichtbar machen, während Punktbewertung oder quantitative Analyse Details schärfen und bei wirtschaftlichen Entscheidungen helfen (wo sich Investitionen in Sicherheit am meisten lohnen). Wichtig ist, die Konsistenz der Dokumentation zu wahren – klar festzuhalten, mit welcher Methode die jeweilige Gefährdung bewertet wurde und warum genau diese gewählt wurde. So sieht der Auditor der Konformitätsbewertung (z. B. eine benannte Stelle, die die CE-Dokumentation prüft), dass die Analyse kompetent und umfassend durchgeführt wurde – im Sinne der Normen und guter ingenieurtechnischer Praxis.

Die Risikoanalyse ist das Herzstück des Konformitätsbewertungsprozesses einer Maschine, verpflichtend gemäß Maschinenrichtlinie/Maschinenverordnung der EU sowie harmonisierten Normen. Sie ermöglicht es Konstrukteuren, Gefährdungen zu identifizieren, die damit verbundenen Risiken abzuschätzen und Maßnahmen zur Risikominderung zu ergreifen, noch bevor es zu einem Unfall kommt.

Es gibt nicht die eine „beste“ Methode – jede hat ihre Stärken und Schwächen. Deshalb besteht die Kompetenz eines Sicherheitsingenieurs darin, das passende Werkzeug für die jeweilige Aufgabe auszuwählen: Manchmal reicht eine einfache Matrix, ein anderes Mal braucht es ein detailliertes Scoring oder eine SIL-Analyse. Häufig liefert eine Kombination von Methoden die besten Ergebnisse, weil sie sich gegenseitig ergänzen. So können wir zum Beispiel mit einer qualitativen Gefährdungsidentifikation beginnen, anschließend die wichtigsten Gefährdungen quantitativ (punktbasiert) bewerten und für Fragestellungen rund um das Steuerungssystem normative Diagramme heranziehen – so geht uns kein Aspekt durch die Lappen.

Zum Schluss gilt: Ziel ist nicht das bloße Ausfüllen einer Tabelle oder eines Diagramms, sondern eine tatsächliche Verbesserung der Sicherheit. Die Risikobeurteilung ist iterativ und kreativ. Sie regt dazu an, Fragen wie „Was wäre, wenn …?“ zu stellen und Lösungen zu finden, die Gefährdungen an der Quelle beseitigen. Die hier beschriebenen Methoden sind Werkzeuge, die helfen, diese Aktivitäten zu strukturieren. Bei der Anwendung sollten wir uns an die Grundsätze der Normen (ISO 12100 und zugehörige) sowie an gute ingenieurmäßige Praxis halten und zudem verschiedene Perspektiven in den Prozess einbeziehen (Konstrukteure, Bediener, Instandhaltung, Arbeitssicherheit). Eine so durchgeführte Risikobeurteilung ist glaubwürdig, vollständig und wirksam – und führt zu einer sicheren Maschine mit CE-Kennzeichnung sowie zu mehr Sicherheit für Hersteller und Endanwender.