Bow-Tie-Analysen und Bayesian Networks 

In einem produzierenden Unternehmen läuft eine zentrale Fertigungslinie seit Jahren zuverlässig. Gerade diese Stabilität erzeugt Trägheit. Wartungsintervalle werden verschoben, um Auftragsspitzen zu bedienen. Ersatzteile werden später bestellt. Inspektionen finden zwar formal statt, aber ihre technische Tiefe nimmt ab. Im Risikobericht erscheint das Thema als allgemeines "Betriebsrisiko" – ohne klare Trennung von Ursache, Ereignis, Wirkung und Maßnahmen.

Dann fällt plötzlich ein kritisches Aggregat aus. Die Fertigungslinie steht. Zunächst wirkt der Schaden begrenzt: ein technisches Problem, eine Reparatur, einige Überstunden. Erst nach und nach wird sichtbar, dass der eigentliche Schaden jenseits der Werkhalle entsteht. Liefertermine werden gerissen. Eiltransporte verteuern die Auslieferung. Kunden verschieben Abrufe. Die Wiederherstellungskosten steigen, und der Vertrieb muss die Umsatzprognose korrigieren. Aus einem Wartungsmangel wird eine Betriebsunterbrechung; aus der Betriebsunterbrechung wird ein unternehmensweites Steuerungsproblem.

Genau an dieser Stelle stoßen viele klassische Risikoinventare an Grenzen. Sie benennen das Risiko, aber sie erklären die Logik nicht sauber: Welche Ursachen treiben das Ereignis? Welche Maßnahmen bzw. Barrieren sollten den Übergang verhindern? Welche Folgen treten ein, wenn Wiederherstellungsmaßnahmen nicht oder nur teilweise greifen? Für diese Strukturierung eignet sich die Bow-Tie-Analyse. Für die probabilistische Auswertung eignet sich ein Bayesian Network.

Die Anatomie einer Bow-Tie-Analyse

Die Bow-Tie-Analyse ist eine szenariobasierte Strukturierungsmethode. Im Zentrum steht das Top Event: der Moment, in dem die Kontrolle über einen kritischen Prozess verloren geht. Links davon liegen Ursachen oder Threats, rechts davon die Konsequenzen. Zwischen Ursachen und Top Event liegen präventive Barrieren, zwischen Top Event und Konsequenzen mitigierende oder recovery-orientierte Barrieren. Die grafische Form ähnelt einer Fliege – daher der Name "Bow-Tie".

Methodisch wichtig ist die saubere Trennung von drei Ebenen: Ursache, Ereignis und Wirkung. Diese Trennung ist keineswegs trivial. In der Praxis werden dieselben Begriffe häufig auf mehreren Ebenen verwendet. "Betriebsunterbrechung" wird etwa einmal als Ursache, dann wieder als Ereignis und später als Folge bezeichnet. Die Bow-Tie erzwingt dagegen begriffliche Disziplin. Das verbessert nicht nur die Verständlichkeit, sondern auch die spätere Quantifizierung.

Abb. 01: Anatomie einer Bow-Tie-Analyse am Beispiel eines Produktionsausfalls [Quelle: eigene Darstellung]

Die Stärke der Bow-Tie liegt in ihrer Anschaulichkeit und ihrer Workshopfähigkeit. Fachbereich, Instandhaltung, Controlling, Risikomanagement und Interne Revision können an einem gemeinsamen Modell diskutieren. Die Methode eignet sich besonders gut, um präventive und reaktive Barrieren sichtbar zu machen. Sie zeigt nicht nur, dass ein Risiko existiert, sondern auf welcher Stufe es verhindert oder in seiner Wirkung begrenzt werden soll.

Ihre Grenze liegt dort, wo Wahrscheinlichkeiten, Abhängigkeiten und Evidenzaktualisierungen relevant werden. Eine Bow-Tie kann zwar andeuten, dass das Versagen mehrerer Barrieren kritisch ist; sie rechnet aber nicht automatisch aus, wie stark sich dadurch die Eintrittswahrscheinlichkeit des Top Events verändert. Ebenso bleibt offen, wie neue Informationen – etwa überfällige Wartungsaufträge oder ein nicht getesteter Notfallplan – das Bild verändern. Genau hier setzen Bayesian Networks an.

Die Anatomie eines Bayesian Networks

Bayesian Networks – auch Bayes Netze oder Bayesian Belief Networks – sind probabilistische graphische Modelle. Formal bestehen sie aus Knoten und gerichteten Kanten. Die Struktur ist ein gerichteter azyklischer Graph (Directed Acyclic Graph, DAG). "Gerichtet" bedeutet: Die Kanten besitzen eine Einflussrichtung. "Azyklisch" bedeutet: Es gibt keine geschlossenen Schleifen innerhalb der Graphstruktur.

Jeder Knoten repräsentiert eine Variable, etwa "Wartung mangelhaft", "Anlagenausfall" oder "Umsatzrückgang". Jeder Knoten besitzt Zustände, zum Beispiel ja/nein oder niedrig/mittel/hoch. Die Kanten modellieren gerichtete Abhängigkeiten. Für jeden Knoten wird eine bedingte Wahrscheinlichkeitsverteilung definiert. Bei Elternknoten ist dies eine Prior-Verteilung; bei abhängigen Knoten sind es Conditional Probability Tables (CPTs).

Abb. 02: Anatomie eines Bayesian Network [Quelle: eigene Darstellung]

Der methodische Kern eines Bayesian Network ist die Zerlegung einer komplexen Gesamtwahrscheinlichkeit in lokale bedingte Wahrscheinlichkeiten. Praktisch heißt das: Die Wahrscheinlichkeit eines Anlagenausfalls wird nicht als isolierter Punktwert behandelt, sondern als Funktion seiner Elternknoten, etwa mangelhafter Wartung, fehlender Inspektion und unzureichender Barrieren. Das Modell ist damit lokal spezifiziert und global interpretierbar.

Vereinfacht lässt sich die Logik so lesen: P(Anlagenausfall | Wartung, Inspektion, Barriere). Kommt neue Evidenz hinzu – etwa der Befund, dass mehrere Wartungsaufträge überfällig sind –, dann aktualisiert das Modell die posterioren Wahrscheinlichkeiten der abhängigen Knoten. Diese Aktualisierung ist der zentrale Mehrwert gegenüber statischen Risikobildern.

Typische Inferenzarten sind hierbei:

• Vorwärtsinferenz: Von bekannten Ursachen wird auf das Top Event und seine Folgen geschlossen.
• Rückwärtsdiagnose: Von beobachteten Schäden oder Ausfällen wird auf wahrscheinliche Ursachen oder Barriereversagen geschlossen.
• What-if-Analyse: Es wird geprüft, wie sich verbesserte oder verschlechterte Barrieren auf die Wirkungskette auswirken.
• Sensitivity-Analyse: Es wird untersucht, welche Knoten oder Barrieren die stärkste Wirkung auf das Gesamtrisiko haben.

Ein gutes Bayes Net beginnt nicht mit vielen Knoten, sondern mit einer sauberen Struktur. Modellierungsentscheidungen betreffen insbesondere die Granularität. Soll "Wartung" als ein Sammelknoten modelliert werden oder in Teilknoten wie Inspektion, Ersatzteilmanagement und Zustandsüberwachung zerlegt werden? Werden Zustände binär erfasst oder mehrstufig? Wie werden organisatorische Faktoren wie Budgetdruck oder Personalmangel modelliert? Diese Entscheidungen bestimmen, ob das Modell steuerungsfähig oder nur scheinpräzise wird.

Die methodische Verknüpfung: Die Bow-Tie wird zum Bayes Net

Der Zusammenhang ist methodisch klar: Die Bow-Tie liefert die inhaltliche Logik, das Bayes Net die probabilistische Formalisierung. Eine Bow-Tie kann in ein gerichtetes azyklisches Graphmodell übersetzt werden, indem ihre Elemente als Knoten und ihre Ursache-Wirkungs-Beziehungen als gerichtete Kanten modelliert werden. Diese Übersetzung ist keine bloße grafische Umzeichnung, sondern eine analytische Verdichtung.

Threats werden typischerweise zu Elternknoten. Präventive Barrieren werden als Zustandsknoten modelliert, deren Ausprägung die Wahrscheinlichkeit des Top Events beeinflusst. Das Top Event wird zum zentralen Ereignisknoten. Mitigierende Barrieren beeinflussen die Wahrscheinlichkeiten oder die Schwere der Konsequenzen. Konsequenzen werden zu Kindknoten. Eskalationsfaktoren können als zusätzliche Einflussknoten eingeführt werden, die Barriereversagen wahrscheinlicher machen oder die Schadenseite verstärken.

Tab. 01: Methodische Übersetzung von Bow-Tie-Elementen in ein Bayesian Network.
Abb. 03: Von der Bow-Tie-Struktur zum Bayesian Network [Quelle: eigene Darstellung]

Praktische Verknüpfung in fünf Schritten

Die Verbindung von Bow-Tie-Analyse und Bayesian Network sollte nicht als rein technische Modellierungsübung verstanden werden. Entscheidend ist ein schrittweises Vorgehen: Zunächst wird das Risikoszenario fachlich sauber strukturiert, anschließend wird diese Struktur in ein probabilistisches Modell überführt. Dadurch bleibt die Analyse für Fachbereiche nachvollziehbar und gewinnt zugleich eine quantitative Auswertungsebene. Die folgenden fünf Schritte zeigen, wie aus einer workshopfähigen Bow-Tie ein rechenbares Bayes-Netz entsteht. 

Abb. 04: Praktische Verknüpfung in fünf Schritten [Quelle: eigene Darstellung]

Schritt 1: Bow-Tie im Workshop erstellen: Am Anfang steht eine belastbare Bow-Tie-Analyse. Für das Praxisbeispiel lautet das Top Event nicht pauschal "Produktionsrisiko", sondern präzise "Ausfall der zentralen Fertigungslinie X200". Links werden die Ursachen erarbeitet: unzureichende Wartung, überfällige Inspektionen, fehlende Ersatzteile, überalterte Komponenten. Rechts werden die Wirkungsszenarien differenziert: hoher Recoveryaufwand, Lieferverzug, Umsatzrückgang, Kundenverlust. Bereits in diesem Schritt zeigt sich die methodische Qualität: Unscharfe Formulierungen werden aussortiert, Barrieren (Maßnahmen) konkret benannt und Eskalationsfaktoren identifiziert.

Schritt 2: Knoten ableiten: Aus der Bow-Tie werden die Knoten für das Bayesian Network abgeleitet. Ein bewusst reduziertes Startmodell kann aus sieben Knoten bestehen: Wartung mangelhaft, Inspektion fehlt, präventive Barriere versagt, Top Event "Anlagenausfall", mitigierende Barriere versagt, hoher Recoveryaufwand und Umsatzrückgang. Komplexere Modelle können später organisatorische Faktoren oder finanzielle Sekundäreffekte ergänzen.

Schritt 3: Zustände definieren: Jeder Knoten benötigt definierte Zustände. Für ein Einsteigermodell reichen binäre Zustände. In einem reiferen Modell können Zustände abgestuft werden, etwa "wirksam / eingeschränkt / unwirksam". Entscheidend ist die Beobachtbarkeit. "Wartung mangelhaft" sollte nicht nur ein Gefühl sein, sondern etwa durch überfällige Aufträge, fehlende Prüfprotokolle oder eine steigende Zahl wiederkehrender Störungen belegbar sein.

Schritt 4: CPTs kalibrieren: Die Conditional Probability Tables sind das Herz des Bayes Net. Sie legen fest, wie stark Elternknoten einen Zielknoten beeinflussen. Im Praxisbeispiel wird also modelliert, wie stark mangelnde Wartung, fehlende Inspektion und Barriereversagen die Wahrscheinlichkeit eines Anlagenausfalls erhöhen. Diese Wahrscheinlichkeiten können auf unterschiedliche Weise bestimmt werden: durch historische Wartungsdaten, frühere Schadensfälle, Einschätzungen von Fachleuten, technische Zuverlässigkeitskennzahlen oder durch eine Kombination dieser Informationsquellen.

Tab. 02: Vereinfachte illustrative CPT für den Knoten "Anlagenausfall". Die Werte sind selbstverständlich fiktiv und dienen nur der Methodendemonstration

Schritt 5: Evidenz und What-if-Analysen: Sobald das Modell steht, kann es operationalisiert werden. Neue Evidenz – zum Beispiel der Ausfall der Zustandsüberwachung oder überfällige Wartungspakete – wird eingespeist. Daraufhin ändern sich die posterioren Wahrscheinlichkeiten für Top Event und Konsequenzen. Ebenso können Maßnahmen verglichen werden: Senkt ein verbesserter Wartungsplan das Risiko stärker als zusätzliche Ersatzteillager? Hat ein getesteter Recoveryplan größeren Einfluss auf den Umsatzrückgang als eine generische Krisenkommunikation?

Abb. 05: Beispielhafte What-if-Auswertung eines einfachen Bayesian Network [Quelle: eigene Berechnung und Darstellung]

Datenqualität und Modellrisiko

Der wichtigste Warnhinweis lautet: Das Bayes Net macht eine schlechte Bow-Tie nicht gut. Es macht ihre Annahmen lediglich explizit und rechnerisch sichtbar. Wenn die Ausgangsstruktur unscharf ist, wird aus einer unscharfen Bow-Tie kein gutes Modell, sondern nur eine präzise aussehende Fehlmodellierung.

Im Praxisbeispiel beginnt das Problem oft bereits auf der Strukturebene. Wenn "Umsatzrückgang" als Ursache des Anlagenausfalls modelliert würde, wäre die Kausalrichtung falsch. Wenn "Wartung" nur pauschal als Barriere erfasst wird, ohne zwischen Wartungsplan, Zustandsüberwachung und Ersatzteilverfügbarkeit zu unterscheiden, bleibt unklar, welche Maßnahme überhaupt wirkt. Wenn im Instandhaltungssystem Maßnahmen formal als erledigt markiert sind, obwohl nur eine Sichtprüfung stattgefunden hat, überschätzt das Modell die Wirksamkeit der Barriere.

Besonders heikel sind Scheindaten. Ein Bayes Net reagiert empfindlich auf systematisch verzerrte Eingaben. Wenn der Notfallplan im Modell als "wirksam" codiert wird, obwohl noch nie ein echter Test stattgefunden hat, unterschätzt das Modell die Wahrscheinlichkeit hoher Recoverykosten und in der Folge auch den erwarteten Umsatzrückgang. Das Ergebnis ist trügerische Sicherheit. Gerade deshalb ist die Verzahnung von Risikomanagement mit Instandhaltung, Qualitätsmanagement und Notfallmanagement/BCM so wichtig.

Fazit

Bow-Tie-Analyse und Bayesian Networks sind keine konkurrierenden Methoden. Sie ergänzen sich. Die Bow-Tie schafft Transparenz, Disziplin bei der Szenariobeschreibung und konkrete präventive oder reaktive Maßnahmen. Das Bayesian Network ergänzt bedingte Wahrscheinlichkeiten, Abhängigkeitslogik, Evidenzaktualisierung und What-if-Analysen. Zusammengenommen entsteht aus einem Workshopbild ein belastbareres Entscheidungsmodell.

Der methodische Kern dieser Verbindung liegt in der systematischen Analyse von Ursache-Wirkungs-Beziehungen. Damit knüpft die Risikomodellierung an ein klassisches erkenntnistheoretisches Prinzip an, das Immanuel Kant in der "Kritik der reinen Vernunft" formulierte: Alle Veränderungen geschehen nach dem Gesetze der Verknüpfung von Ursache und Wirkung. Gerade für das Risikomanagement ist dieser Gedanke zentral: Risiken entstehen nicht zufällig im luftleeren Raum, sondern entlang von Kausalketten, Abhängigkeiten, Barrieren und Wirkmechanismen. Die Bow-Tie macht diese Kausalstruktur sichtbar; das Bayes Net macht sie probabilistisch auswertbar.

Der Nutzen liegt nicht in mathematischer Komplexität um ihrer selbst willen, sondern in besserer Risikointelligenz. Das Modell zwingt dazu, Annahmen offenzulegen: Welche Ursache wirkt wie stark? Welche Maßnahmen sind tatsächlich wirksam? Welche Folge tritt nur ein, wenn ursachen- oder wirkungsbezogene Maßnahmen versagen? Und wie gut sind die Daten, auf denen diese Einschätzung beruht? Genau diese Transparenz macht die Verknüpfung von Bow-Tie und Bayes Net für die Praxis so wertvoll.

Quellenverzeichnis und weiterführende Literaturhinweise

• Romeike, Frank (2019): Die Bow-Tie-Analyse (Toolbox), in: GRC aktuell, Ausgabe Februar 2019, 01/2019, S. 39-44.
• Badreddine, Ahmed / Ben Amor, Nahla (2013): A Bayesian approach to construct bow tie diagrams for risk evaluation, in: Process Safety and Environmental Protection, 91(3), S. 159-171.
• de Ruijter, Alex / Guldenmund, Frank (2016): The bowtie method: A review, in: Safety Science, Vol. 88, S. 211-218.
• Khakzad, Nima / Khan, Faisal / Amyotte, Paul (2013): Dynamic safety analysis of process systems by mapping bow-tie into Bayesian network, in: Process Safety and Environmental Protection, 91(1-2), S. 46-53.
• Koller, Daphne / Friedman, Nir (2009): Probabilistic Graphical Models. Principles and Techniques, MIT Press, Cambridge, Massachusetts/London 2009.
• Romeike, Frank / Wieczorek, Gabriele (2026): Data Analytics im Risikomanagement - Descriptive Analytics - Diagnostic Analytics - Predictive Analytics, Springer Verlag, Wiesbaden 2026.