Ein Meldesystem für Beinaheunfälle erfasst die Ereignisse, bei denen nichts passiert ist — und damit die einzigen Informationen über Gefahren, die noch keinen Schaden verursacht haben. Der Aufbau ist technisch einfach: ein Formular, ein Verantwortlicher, eine Auswertung. Schwierig ist etwas anderes: Menschen dazu zu bringen, Ereignisse zu melden, bei denen sie selbst beteiligt waren. Genau daran scheitern die meisten Systeme, und zwar leise.
Die Begriffe sauber trennen, sonst wird die Auswertung wertlos
In der Praxis werden vier Dinge in dasselbe Formular geschrieben, die getrennt gehören:
| Kategorie | Merkmal | Beispiel |
|---|---|---|
| Unfall | Ereignis mit Verletzung oder Erkrankung | Schnittverletzung beim Entpacken |
| Beinaheunfall | Ereignis ohne Verletzung, aber mit Verletzungspotenzial | Gabelstapler bremst kurz vor einer Person |
| Unsicherer Zustand | kein Ereignis, dauerhafter Mangel | zugestellter Fluchtweg, defekte Absaugung |
| Unsicheres Verhalten | Abweichung von einer Regel ohne Ereignis | Arbeit ohne vorgeschriebene Schutzbrille |
Die Norm für Arbeits- und Gesundheitsschutz fasst Unfall und Beinaheunfall unter dem Oberbegriff Vorfall zusammen — der Unfall ist der Vorfall, bei dem tatsächlich eine Verletzung eingetreten ist. Diese Zuordnung ist eine häufige Verwechslung: Wer im Auditgespräch „Vorfall“ mit „Unfall“ gleichsetzt, kann nicht erklären, warum sein System die überwiegende Zahl der Vorfälle nicht erfasst.
Zwei Meldepflichten, die unabhängig vom Managementsystem gelten
Vor jeder freiwilligen Systematik stehen gesetzliche Pflichten, und die werden im Audit zuerst geprüft.
Ein Arbeitsunfall ist dem Unfallversicherungsträger anzuzeigen, wenn er zu einer Arbeitsunfähigkeit von mehr als drei Tagen führt oder tödlich verläuft; die Anzeige hat binnen dreier Tage zu erfolgen. Die Fristfalle steckt in der Zählung: Maßgeblich ist die Kenntnis des Unternehmens, und die entsteht oft erst, wenn die Krankmeldung länger wird als zunächst erwartet. Wer den internen Meldeweg so gestaltet, dass die Personalabteilung eine Rückmeldung an den Arbeitsschutz gibt, sobald eine unfallbedingte Arbeitsunfähigkeit den dritten Tag überschreitet, hält die Frist. Wer sich auf die erste Einschätzung am Unfalltag verlässt, versäumt sie regelmäßig.
Die zweite Pflicht betrifft jede Erste-Hilfe-Leistung, auch das Pflaster. Sie ist zu dokumentieren und fünf Jahre aufzubewahren. Da diese Aufzeichnungen Gesundheitsdaten enthalten, gehören sie nicht in ein Buch, das offen neben dem Verbandkasten liegt.
Der Meldeweg entscheidet über die Meldezahl
Ein Formular mit vierzehn Feldern, das im Intranet drei Klicks entfernt liegt und den Namen des Meldenden verlangt, erzeugt zuverlässig wenige Meldungen. Vier Gestaltungsentscheidungen haben in der Praxis den größten Einfluss:
- Erfassung dort, wo das Ereignis passiert. Karte am Arbeitsplatz, QR-Code an der Anlage, Meldung per Telefon an eine feste Nummer. Wer erst zum Büro-PC laufen muss, meldet nicht.
- Wenige Pflichtfelder. Was, wo, wann, was hätte passieren können. Alles Weitere klärt die Rückfrage.
- Anonyme Meldung möglich, namentliche erwünscht. Anonymität kostet Rückfragemöglichkeit, ist aber die einzige Option für Ereignisse mit eigener Beteiligung. Ein System ohne anonymen Kanal erfasst die kritischsten Fälle nicht.
- Rückmeldung an den Melder. Was aus der Meldung geworden ist, muss zurückkommen — auch dann, wenn nichts geändert wird. Meldungen ohne erkennbare Folge trocknen ein System innerhalb weniger Monate aus.
Der wichtigste Punkt steht nicht in der Liste: Eine Meldung darf für den Melder keine Konsequenz haben. Sobald in einem Betrieb ein einziges Mal eine Beinaheunfallmeldung zu einer Ermahnung geführt hat, ist das System für Jahre beschädigt. Das spricht sich schneller herum als jede Kampagne.
Was mit den Meldungen geschieht
Erfassen allein ist keine Anforderung, sondern eine Vorstufe. Gefordert ist die Untersuchung und die Ableitung von Maßnahmen. Praktisch bewährt hat sich eine zweistufige Bearbeitung: Alle Meldungen werden gesichtet und kategorisiert, aber nur die mit relevantem Schadenspotenzial durchlaufen eine vollständige Ursachenanalyse. Die übrigen fließen in die Häufigkeitsauswertung.
Für diese Auswertung reicht eine einfache Strichliste nach Ort, Tätigkeit und Gefährdungsart — im Kern eine Fehlersammelkarte. Ihr Zweck ist nicht die Statistik, sondern die Häufung: Drei Beinaheunfälle am selben Übergang zwischen Fahrweg und Arbeitsbereich sind ein klarer Hinweis, den einzelne Meldungen nicht liefern. Mit einer Pareto-Analyse lässt sich anschließend begründen, welcher Bereich zuerst bearbeitet wird.
Die Ergebnisse gehören zurück in die Gefährdungsbeurteilung. Ein Beinaheunfall, der eine Gefährdung offenlegt, die dort nicht steht, macht die Aktualisierung erforderlich. Dieser Rückfluss ist der Punkt, an dem ein Auditor prüft, ob das Meldesystem mit dem Rest des Systems verbunden ist oder daneben läuft.
Sicherheitsvorfälle in der Informationssicherheit folgen derselben Logik
Der Aufbau ist übertragbar, drei Punkte unterscheiden sich. Erstens die Abgrenzung: Ein Sicherheitsvorfall ist ein Ereignis, das Vertraulichkeit, Integrität oder Verfügbarkeit tatsächlich beeinträchtigt hat. Davor liegt das Sicherheitsereignis — die auffällige Anmeldung, die verdächtige Mail —, das erst bewertet werden muss. Wer beides gleich behandelt, erzeugt entweder Alarmmüdigkeit oder übersieht den Ernstfall.
Zweitens die Frist. Für die Meldung einer Verletzung des Schutzes personenbezogener Daten an die Aufsichtsbehörde bleiben nach Art. 33 DSGVO 72 Stunden ab Kenntnis. Der interne Weg von der ersten Beobachtung bis zur Entscheidung muss deutlich kürzer sein — das gelingt nur mit einer benannten, außerhalb der Bürozeiten erreichbaren Stelle. Ein Meldeweg, der freitagnachmittags in einem unbeobachteten Postfach endet, verbraucht die Frist am Wochenende.
Drittens die Beweissicherung. Wer ein betroffenes System sofort neu aufsetzt, beseitigt den Vorfall und die Spuren gleichzeitig. In einem System nach ISO 27001 gehört deshalb zur Reaktionsanweisung eine Regel, welche Daten vor der Wiederherstellung gesichert werden.
Warum eine steigende Meldezahl ein gutes Zeichen ist
Wer die Anzahl der Meldungen als Kennzahl mit Zielwert „möglichst niedrig“ führt, hat die Kennzahl falsch herum aufgehängt. Die Zahl der gemeldeten Beinaheunfälle misst die Aufmerksamkeit und das Vertrauen im Betrieb, nicht die Gefahrenlage. Sie sollte im ersten Jahr nach Einführung deutlich steigen.
Sinnvoll gegenübergestellt wird sie einer zweiten Größe: dem Anteil der Meldungen, aus denen eine Maßnahme entstanden ist, und der Bearbeitungsdauer bis zur Rückmeldung. Diese beiden Werte beschreiben, ob das System arbeitet. Die reine Meldezahl beschreibt nur, ob es benutzt wird.
Der häufigste Fehler
Der häufigste Fehler ist die Zuständigkeit. Meldesysteme werden gern der Sicherheitsbeauftragten oder der Fachkraft für Arbeitssicherheit allein übertragen — beide haben keine Weisungsbefugnis und kein Budget. Die Maßnahme, die aus einer Meldung folgt, muss aber der Bereichsverantwortliche entscheiden.
Ergebnis: Meldungen sammeln sich, Maßnahmen entstehen nicht, die Meldebereitschaft sinkt, die Zahlen sehen ein Jahr später besser aus. Wer diese Entwicklung als Erfolg berichtet, hat den Zweck des Systems in sein Gegenteil verkehrt. Legen Sie die Bearbeitung deshalb beim Bereich ab, in dem das Ereignis stattgefunden hat, und die Auswertung bei der Sicherheitsfunktion. In einem System nach ISO 45001 kommt hinzu, dass Beschäftigte an Untersuchung und Maßnahmenfestlegung zu beteiligen sind — nicht nur zu informieren.