Produkthaftung bei Maschinenfehlern

Wenn in einer Fertigungshalle eine Maschine versagt und dadurch Personen zu Schaden kommen oder hohe Sachwerte vernichtet werden, schlägt die Stunde der Juristen. Für technische Leiter und Geschäftsführer ist dies oft ein Albtraumszenario, da die Grenzen zwischen technischem Versagen, menschlichem Fehlverhalten und organisatorischen Mängeln im Nachhinein oft schwer zu ziehen sind. Die Produkthaftung ist dabei weit mehr als eine reine Versicherungsfrage; sie greift tief in die Konstruktionsprozesse, die Beschaffung und vor allem in den täglichen Betrieb ein. Viele Unternehmen unterschätzen, wie schnell sie durch Umbauten oder mangelhafte Dokumentation selbst in die Herstellerrolle rutschen und damit vollumfänglich haften.

Verschiebung der Verantwortungsgrenzen zwischen Hersteller und Betreiber

Die klassische Rollenverteilung scheint eindeutig: Der Maschinenbauer liefert ein sicheres Produkt, der Betreiber nutzt es. In der industriellen Praxis verschwimmen diese Grenzen jedoch zunehmend. Sobald eine Maschine die Werkshallen des Kunden erreicht, beginnt eine Grauzone, die durch Installation, kundenspezifische Anpassungen und die Integration in bestehende Fertigungslinien definiert wird. Ein häufiges Missverständnis in der Produktion ist die Annahme, dass die CE-Kennzeichnung des Herstellers ein ewiger Freibrief für die Sicherheit der Anlage sei. Diese Haftung endet jedoch dort, wo der Betreiber die Einsatzbedingungen ändert oder die Maschine zweckentfremdet. Wird beispielsweise eine Fräsmaschine, die für Aluminium ausgelegt ist, dauerhaft für hochfesten Stahl unter Überlast gefahren, verlässt der Betreiber den Bereich der bestimmungsgemäßen Verwendung.

Kritisch wird es insbesondere an den Schnittstellen der Verantwortlichkeiten. Wenn ein Betreiber Sicherheitseinrichtungen überbrückt, um die Taktzeit zu erhöhen, oder Wartungsintervalle eigenmächtig streckt, geht die Haftung für daraus resultierende Unfälle fast vollständig auf ihn über. Der Hersteller ist nur dann noch im Boot, wenn er eine vernünftige Vorhersehbarkeit solchen Fehlverhaltens (Fehlgebrauch) bei der Konstruktion nicht berücksichtigt hat – etwa durch das Fehlen manipulationssicherer Schalter. Diese Dynamik erfordert, dass Einkäufer und Technikverantwortliche nicht nur auf die technische Leistungsfähigkeit schauen, sondern die vertraglich fixierten Einsatzgrenzen exakt mit der betrieblichen Realität abgleichen.

Die rechtliche Bewertung eines Unfalls hängt oft davon ab, wer die letzte entscheidungserhebliche Gewalt über den technischen Zustand hatte. Es genügt nicht, eine sichere Maschine zu kaufen; der Zustand muss durch den Betreiber aktiv erhalten werden. Versäumt er dies, greift nicht mehr primär die Produkthaftung des Herstellers, sondern die Betriebssicherheitsverordnung, die den Arbeitgeber in die Pflicht nimmt. Der Übergang ist fließend, weshalb eine klare dokumentarische Abgrenzung bei der Inbetriebnahme (SAT – Site Acceptance Test) zwingend erforderlich ist, um im Schadensfall nicht in Beweisnot zu geraten.

Kategorisierung technischer Fehlerarten in der Fertigung

Um Haftungsrisiken proaktiv zu managen, müssen Verantwortliche verstehen, was juristisch unter einem „Fehler“ verstanden wird, da dieser Begriff weiter gefasst ist als der rein technische Defekt. Im Kern unterscheidet man drei Hauptkategorien: Konstruktionsfehler, Fabrikationsfehler und Instruktionsfehler. Ein Konstruktionsfehler liegt vor, wenn das Produkt bereits auf dem Reißbrett hinter dem notwendigen Sicherheitsstandard zurückbleibt. In der Praxis bedeutet dies oft, dass bekannte technische Schutzmaßnahmen aus Kostengründen weggelassen wurden oder sicherheitskritische Bauteile unterdimensioniert sind. Ein solcher Fehler betrifft die gesamte Serie und führt fast zwangsläufig zu Rückrufaktionen und massiven Haftungsansprüchen.

Der Fabrikationsfehler hingegen ist der klassische „Ausreißer“. Hier ist die Konstruktion tadellos, aber bei der Herstellung eines einzelnen Exemplars ist etwas schiefgegangen – etwa eine kalte Lötstelle an einer Sicherheitssteuerung oder ein Lunker in einem Gussbauteil, der zum Bruch führt. Obwohl der Hersteller hier oft intern Qualitätskontrollen nachweisen kann, schützt ihn das im Außenverhältnis zum Geschädigten nach dem Produkthaftungsgesetz meist nicht. Für den Einkauf und die Qualitätssicherung im beziehenden Unternehmen bedeutet das: Wareneingangsprüfungen sind wichtig, können aber verdeckte Fabrikationsfehler im Inneren von Zukaufmaschinen selten aufdecken. Hier greifen vertragliche Regressansprüche.

Oft unterschätzt, aber in der Unfallstatistik weit vorne, ist der Instruktionsfehler. Eine Maschine kann technisch perfekt sein; wenn jedoch die Betriebsanleitung vor Restrisiken nicht warnen oder Fehlbedienungen nicht explizit verbieten, gilt das Produkt als fehlerhaft. Fehlt beispielsweise der Hinweis, dass bei Wartungsarbeiten an der Hydraulik der Druckspeicher manuell entlastet werden muss, und kommt es dadurch zu einem Unfall, haftet der Hersteller. Dies zeigt, dass technische Redaktion kein lästiges Anhängsel, sondern ein integraler Bestandteil der Produktsicherheit ist. Unklare Warnhinweise sind faktisch gleichbedeutend mit fehlenden Schutzgittern.

Haftungsrisiken bei Eigenbauten und wesentlichen Veränderungen

In vielen Betrieben werden Vorrichtungen, Handlingsysteme oder ganze Montageautomaten von der eigenen Instandhaltung oder dem Vorrichtungsbau gefertigt. Was operativ Flexibilität schafft, ist haftungsrechtlich ein Minenfeld. Wer für den Eigenbedarf baut, wird im Sinne der Maschinenrichtlinie zum Hersteller. Das bedeutet: Das Unternehmen muss für seinen Eigenbau das komplette Konformitätsbewertungsverfahren durchlaufen, eine technische Dokumentation erstellen, eine Risikobeurteilung durchführen und das CE-Zeichen anbringen. Viele Betriebe ignorieren dies und betreiben „graue“ Maschinen, für die im Schadensfall kein Versicherungsschutz besteht und bei denen die Geschäftsführung persönlich haftbar gemacht werden kann.

Entscheidungslogik: Wann wird der Betreiber zum Hersteller?

• Leistungssteigerung: Wurde die Leistung der Maschine so erhöht, dass neue Gefährdungen entstehen (z. B. höhere Fliehkräfte, die die bestehende Einhausung nicht mehr hält)? -> Herstellerpflichten prüfen.
• Funktionsänderung: Wird die Maschine für einen völlig neuen Zweck eingesetzt (z. B. Presse statt Stanze)? -> Hohe Wahrscheinlichkeit für Herstellerstatus.
• Sicherheitstechnik: Werden Schutzeinrichtungen verändert oder durch andere Systeme ersetzt, die tief in die Steuerung eingreifen? -> Risikobeurteilung zwingend neu.

Diese sogenannte „wesentliche Veränderung“ ist der kritische Punkt. Fügt ein Betrieb einer bestehenden CNC-Maschine einen Roboterarm zur Bestückung hinzu und verbindet beide steuerungstechnisch, entsteht eine „Gesamtheit von Maschinen“. Ohne eine neue CE-Bewertung für das Gesamtsystem agiert der Betreiber fahrlässig. Es reicht nicht, dass Roboter und Maschine einzeln sicher sind; die Schnittstelle (z. B. der Zaun, die Übergabeposition, der Nothalt-Kreis) muss neu bewertet werden. Solche Projekte sollten daher niemals ohne Einbindung der Sicherheitsfachkraft oder externer CE-Koordinatoren freigegeben werden, da hier die Produkthaftung vom ursprünglichen Lieferanten auf den eigenen Betrieb überspringt.

Gefahrenübergang bei Retrofit-Maßnahmen und Umbauten

Ähnlich wie beim Eigenbau verhält es sich beim Retrofit, also der Modernisierung alter Anlagen. Wenn Steuerungen (SPS) ausgetauscht oder Antriebe erneuert werden, muss geprüft werden, ob das Sicherheitsniveau der ursprünglichen Maschine erhalten bleibt oder verbessert wird. Ein reiner 1:1-Austausch von Verschleißteilen ist unkritisch. Sobald aber neue Funktionen implementiert werden, steht die Frage im Raum, ob die alten Schutzeinrichtungen noch ausreichen. Eine neue, schnellere Steuerung an einer alten Presse kann dazu führen, dass die Nachlaufwege nicht mehr zu den Abständen der Lichtschranken passen. Passiert hier ein Unfall, argumentiert der ursprüngliche Pressenhersteller zu Recht, dass sein Produkt durch den Umbau verfälscht wurde.

Verantwortliche müssen hier sehr genau dokumentieren, warum sie eine Maßnahme nicht als wesentliche Veränderung einstufen, falls sie auf eine neue CE-Kennzeichnung verzichten wollen. Diese Dokumentation ist im Ernstfall die einzige Verteidigungslinie. Wer ein Retrofit an einen externen Dienstleister vergibt, sollte vertraglich fixieren, wer als Hersteller der umgebauten Maschine auftritt. Oft versuchen Dienstleister, diese Rolle abzulehnen und nur als „Verlängerte Werkbank“ zu agieren, wodurch die Herstellerverantwortung beim Auftraggeber (dem Betreiber) verbleibt. Eine klare Vertragsgestaltung vor Projektbeginn verhindert böse Überraschungen.

Ein unterschätztes Risiko beim Retrofit ist der Verlust des Bestandsschutzes. Alte Maschinen dürfen oft nach alten Normen betrieben werden, solange sie sicher sind. Ein tiefgreifender Umbau kann diesen Bestandsschutz aufheben und die Forderung nach dem aktuellen Stand der Technik auslösen. Dies kann enorme Folgekosten nach sich ziehen, wenn plötzlich Lärmschutz, Absaugung oder Energieeffizienz auf Neumaschinen-Niveau gebracht werden müssen. Eine technische Machbarkeitsanalyse muss daher immer eine juristische Bewertung der Betreiberpflichten beinhalten, bevor der erste Schraubenschlüssel angesetzt wird.

Beweislastführung durch lückenlose Technische Dokumentation

Im Produkthaftungsrecht gilt zwar grundsätzlich, dass der Geschädigte den Fehler, den Schaden und den ursächlichen Zusammenhang beweisen muss. Jedoch kommen Hersteller und Quasi-Hersteller (Betreiber bei Eigenbauten) schnell in die Situation, beweisen zu müssen, dass sie alles getan haben, um den Fehler zu vermeiden (Verkehrssicherungspflicht). Hier ist die technische Dokumentation die Währung der Verteidigung. Eine Risikobeurteilung nach ISO 12100 ist kein bürokratischer Akt, sondern der Nachweis, dass man sich vor dem Inverkehrbringen Gedanken über alle Lebensphasen der Maschine gemacht hat. Fehlt dieses Dokument, wird von Gerichten oft pauschal ein Organisationsverschulden angenommen.

Die Dokumentation muss „leben“. Eine Risikobeurteilung von 2010 hilft wenig, wenn die Maschine 2023 umgebaut wurde. Revisionsstände müssen nachvollziehbar sein. Besonders kritisch sind Änderungen an der Sicherheitssoftware (Safety-SPS). Jede Änderung im Code, jede Anpassung von Grenzwerten muss versioniert und archiviert werden. Wenn nach einem Unfall nicht mehr geklärt werden kann, welcher Softwarestand zum Zeitpunkt des Vorfalls aktiv war, hat das Unternehmen in der Beweisführung schlechte Karten. Validierungspläne und Checklisten für Sicherheitstests sind daher genauso wichtig wie die Konstruktionszeichnungen selbst.

Zudem muss die Dokumentation auch die Grenzen der Maschine aufzeigen. Wenn in der Betriebsanleitung nicht steht, dass ein Werkzeugwechsler maximal 5 kg tragen darf, und er bei 8 kg abreißt und jemanden verletzt, ist das ein Dokumentationsmangel. Die „bestimmungs-gemäße Verwendung“ und vor allem die „vernünftigerweise vorhersehbare Fehlanwendung“ müssen schriftlich fixiert sein. Juristen suchen im Schadensfall gezielt nach Lücken zwischen dem, was technisch möglich ist, und dem, was schriftlich erlaubt oder verboten wurde. Diese Lücke ist der Haftungsraum.

Organisationsverschulden durch fehlerhafte Unterweisung vermeiden

Selbst die sicherste Maschine mit perfekter Dokumentation schützt nicht vor Haftung, wenn das Personal nicht geschult ist. Das Management muss sicherstellen, dass nur qualifizierte Mitarbeiter die Anlagen bedienen. Geschieht ein Unfall durch Fehlbedienung, prüft die Staatsanwaltschaft sofort, ob eine Unterweisung stattgefunden hat und ob diese dokumentiert ist. Fehlt die Unterschrift unter der Sicherheitsunterweisung, wird aus dem individuellen Fehler des Mitarbeiters ein Organisationsverschulden der Führungskraft. Es reicht nicht, die Betriebsanleitung im Schrank zu haben; sie muss verstanden und angewendet werden.

Praxis-Szenario: Die ausgehebelte Schutztür

Ein Klassiker: An einer CNC-Maschine wird der Türkontaktschalter manipuliert, um bei offener Tür den Prozess besser beobachten zu können. Ein Mitarbeiter greift hinein und verletzt sich.
Fall A: Der Vorgesetzte hat die Manipulation geduldet oder sogar stillschweigend gefordert („Wir müssen die Quote schaffen“). Folge: Volle strafrechtliche und zivilrechtliche Haftung der Führungskraft.
Fall B: Der Vorgesetzte führt regelmäßige, dokumentierte Kontrollen der Schutzeinrichtungen durch und hat Manipulationen in der Vergangenheit sanktioniert. Die Manipulation geschah eigenmächtig durch den Mitarbeiter. Folge: Die Haftung verbleibt weitgehend beim Mitarbeiter (grobe Fahrlässigkeit), das Unternehmen ist exkulpierbar.

Dieses Szenario verdeutlicht, dass Produkthaftung und Arbeitsschutz eng verzahnt sind. Der Hersteller muss Manipulationen erschweren (z. B. durch codierte RFID-Schalter), aber der Betreiber muss organisatorisch sicherstellen, dass diese technischen Hürden nicht umgangen werden. Eine Kultur des Wegschauens ist in Haftungsprozessen oft das stärkste Argument gegen die Unternehmensleitung. Regelmäßige Audits der Maschinensicherheit sind daher Pflicht, nicht Kür.

Vertragliche Absicherung im Lastenheft und Abnahmeprozess

Viele Haftungsprobleme werden bereits bei der Bestellung der Maschine angelegt. Ein schwammiges Lastenheft ist der Nährboden für spätere Streitigkeiten. Wenn der Auftraggeber nicht präzise definiert, welche Materialien unter welchen Bedingungen verarbeitet werden sollen, kann sich der Hersteller im Schadensfall darauf berufen, dass die Maschine für den konkreten Einsatzfall nie ausgelegt war. Einkäufer und Technik müssen definieren: Welche Taktzeiten, welche Umgebungstemperaturen, welche Qualifikationsniveaus der Bediener sind vorgesehen? Je genauer die „vereinbarte Beschaffenheit“ im Vertrag steht, desto schwerer kann sich der Lieferant aus der Verantwortung stehlen.

Der Abnahmeprozess (Factory Acceptance Test – FAT und Site Acceptance Test – SAT) ist der letzte Moment, um offensichtliche Mängel zu rügen, bevor die Beweislast sich umkehrt. Nach der Abnahme muss der Käufer beweisen, dass ein Fehler schon von Anfang an da war. Vor der Abnahme muss der Lieferant beweisen, dass er fehlerfrei geliefert hat. Deshalb sollten Sicherheitsmängel bei der Abnahme niemals als „Restpunkte“ akzeptiert werden, die man später erledigt. Eine Maschine ohne vollständige Sicherheitsfunktionen und Dokumentation darf operativ nicht abgenommen werden. Wer hier aus Termindruck „Ja“ sagt, importiert sich das Haftungsrisiko ins eigene Haus.

Zusätzlich sollten Gewährleistungsfristen und Haftungsobergrenzen in den AGB kritisch geprüft werden. Standardklauseln schließen oft indirekte Schäden (Produktionsausfall) aus. Bei sicherheitskritischen Anlagen kann es sinnvoll sein, individuelle Haftungsvereinbarungen zu treffen, die über den Standard hinausgehen, insbesondere wenn die Maschine ein Engpassaggregat darstellt, dessen Ausfall oder Fehlfunktion die Existenz des Unternehmens gefährden könnte. Juristischer Beistand bei der Vertragsprüfung von Großanlagen ist eine Investition, die sich im Schadensfall vielfach bezahlt macht.

Regressketten bei Zukaufteilen und Komponentenversagen

Maschinenbauer fertigen heute nur noch einen Bruchteil der Komponenten selbst; der Rest wird zugekauft – von der Steuerung bis zum Hydraulikschlauch. Tritt ein Fehler an einem Zukaufteil auf, haftet gegenüber dem geschädigten Endkunden (dem Maschinenbetreiber oder dessen Mitarbeiter) zunächst der Hersteller der Gesamtmaschine. Nach dem Produkthaftungsgesetz kann sich der Endkunde aussuchen, wen er verklagt, meist trifft es den Inverkehrbringer des Endprodukts. Dieser muss dann versuchen, sich das Geld beim Zulieferer im Regressweg zurückzuholen. Das ist oft mühsam, besonders wenn Zulieferer in anderen Rechtsräumen (z. B. Asien) sitzen.

Für den Betreiber ist es wichtig zu wissen, dass er bei der Ersatzteilbeschaffung keine Fehler macht, die diese Kette unterbrechen. Werden statt der teuren OEM-Originalteile billige Nachbauten („Plagiate“ oder technisch minderwertige Alternativen) eingebaut, erlischt oft die Haftung des Maschinenherstellers für Folgeschäden. Wenn ein billiges Relais klebt und dadurch die Presse nicht stoppt, ist das alleiniges Problem des Betreibers. Die Instandhaltung muss hier strikte Vorgaben erhalten: Bei sicherheitsrelevanten Bauteilen (Safety-Komponenten) sind Experimente mit Alternativlieferanten tabu, es sei denn, die Gleichwertigkeit ist technisch zweifelsfrei nachgewiesen und dokumentiert.

Die Rückverfolgbarkeit (Traceability) von Chargen wird hier immer wichtiger. Wenn ein Zulieferer einen Rückruf für eine Charge von Sensoren startet, muss der Maschinenbauer wissen, in welchen Seriennummern seiner Maschinen diese verbaut wurden. Informiert er die Betreiber nicht rechtzeitig und passiert ein Unfall, liegt ein Produktbeobachtungsfehler vor. Diese Pflicht zur Produktbeobachtung endet nicht mit dem Verkauf, sondern besteht über die gesamte durchschnittliche Lebensdauer des Produktes fort. Ein effizientes CRM-System im Service ist daher auch ein Instrument der Risikominimierung.

Sicherheitslücken in Steuerungssoftware und Vernetzung

Die Digitalisierung bringt eine neue Dimension in die Produkthaftung: Cyber-Security. Früher war eine Maschine sicher, wenn niemand hineingreifen konnte. Heute kann eine Maschine durch einen Cyber-Angriff oder ein fehlerhaftes Software-Update physischen Schaden anrichten (z. B. Überdrehen einer Turbine, Abschalten von Kühlungen). Wenn durch eine Sicherheitslücke in der Fernwartung Malware eindringt und die Safety-Parameter manipuliert, stellt sich die Frage: Ist das ein Produktfehler? Nach neuerer Rechtsauffassung und kommendem Cyber Resilience Act: Ja. Software ist ein Produkt, und fehlende IT-Sicherheit ist ein Konstruktionsfehler.

Für Betreiber bedeutet das, dass sie Updates (Patches) des Herstellers zeitnah einspielen müssen. Ignoriert die IT-Abteilung des Betreibers Sicherheitswarnungen des Maschinenbauers, geht die Haftung über. Umgekehrt muss der Maschinenbauer sicherstellen, dass seine Softwarearchitektur „Secure by Design“ ist. Offene Ports oder Standard-Passwörter sind heute als grobe Fahrlässigkeit zu werten. Die Trennung von Office-IT und Produktions-IT (OT) wird damit zur haftungsrelevanten Notwendigkeit, um ein Übergreifen von Angriffen zu verhindern.

Herausfordernd ist die Beweisführung bei Softwarefehlern, die nur sporadisch auftreten (Race Conditions). Hier helfen oft nur detaillierte Log-Files der Maschinensteuerung. Betreiber sollten darauf achten, dass sie Zugriff auf diese Daten haben und diese nicht nur verschlüsselt beim Hersteller liegen. Im Schadensfall sind diese Daten die „Black Box“ des Unfalls. Wer die Datenhoheit hat, hat oft auch die Deutungshoheit über die Unfallursache – ein strategischer Aspekt, der in Cloud-Verträgen oft übersehen wird.

Fazit: Rechtssicherheit als aktiver Prozess der Instandhaltung

Produkthaftung bei Maschinenfehlern ist kein Thema, das man einmalig beim Kauf abhakt. Es ist ein dynamischer Prozess, der den gesamten Lebenszyklus einer Anlage begleitet. Die Verschiebung vom reinen Hardware-Fehler hin zu Instruktions-, Software- und Organisationsmängeln zeigt, dass Technik und Recht nicht mehr getrennt betrachtet werden können. Wer heute eine Maschine betreibt oder baut, muss akzeptieren, dass Dokumentation, Schulung und Softwarepflege genauso kritisch für die Sicherheit sind wie der Not-Halt-Schalter selbst.

Für die betriebliche Praxis bedeutet dies: Weg von der „Grauzonen-Mentalität“ bei Umbauten und Eigenbauten. Die Kosten für eine saubere CE-Konformitätsbewertung oder eine externe Sicherheitsprüfung sind minimal im Vergleich zu den existenzbedrohenden Risiken eines Personenschadens mit anschließender Haftungsklage. Rechtssicherheit entsteht nicht durch das Hoffen auf den Glücksfall, sondern durch definierte Prozesse, klare Verantwortlichkeiten und den Mut, unsichere Zustände in der Produktion sofort abzustellen – auch wenn es kurzfristig Geld kostet. Am Ende ist die sicherste Maschine immer auch die wirtschaftlichste, da sie ungeplante Stillstände und juristische Nachspiele vermeidet.