Anatomie eines versagenden Projekt-Risikomanagements

Das Zentrum für Ressourcen und Energie sollte ein Vorzeigeprojekt der Hamburger Wärme- und Energiewende werden. Stattdessen steht es für eine Kostenprognose von inzwischen 720 bis 780 Mio. Euro, jahrelange Verzögerungen und den Vorwurf, die Kontrollgremien seien über die wahre Lage nicht rechtzeitig informiert worden. Der Fall zeigt: Die entscheidende Schwachstelle öffentlicher Großprojekte ist häufig nicht das einzelne technische Problem, sondern ein Governance-System, das Risiken zu spät erkennt, Planabweichungen beschönigt und Kontrolle mit Berichtsentgegennahme verwechselt.

Das Zentrum für Ressourcen und Energie am Hamburger Volkspark, kurz ZRE, ist mehr als eine neue Müllverbrennungsanlage. Es soll Abfälle energetisch verwerten, Fernwärme und Strom liefern und damit ein Baustein der städtischen Wärme- und Energiewende werden. Gerade diese strategische Bedeutung erklärt, warum der aktuelle Befund weit über eine gewöhnliche Baustellenkrise hinausreicht: Ein Projekt der Daseinsvorsorge hat sich zu einem Testfall für die Steuerungsfähigkeit eines öffentlichen Unternehmens und seiner Aufsicht entwickelt.

Nach der im Juli 2026 veröffentlichten Berichterstattung über eine Prüfung der Wirtschaftsprüfungsgesellschaft Deloitte lagen die Schwächen nicht nur in einzelnen Gewerken oder in schwierigen Marktbedingungen. Kritisiert wurden vielmehr Mängel in Projektplanung, Projektüberwachung und im Risikomanagement. In der Folge seien die zuständigen Gremien über erwartbare Mehrkosten und Terminverzögerungen nicht angemessen und nicht rechtzeitig informiert worden. Diese Diagnose trifft den Kern wirksamer Corporate Governance: Ein Risiko, das erst sichtbar wird, wenn es bereits zum Schaden geworden ist, wurde nicht gesteuert, sondern lediglich nachträglich verbucht. 

Die Zahlen sind außergewöhnlich. Aus einem ursprünglichen Ansatz von rund 234 Mio. Euro wurde zunächst eine Kostenprognose von 534 Mio. Euro. Inzwischen liegt die Bandbreite bei 720 bis 780 Mio. Euro. Gegenüber dem Ausgangswert entspricht das einer Erhöhung um 486 bis 546 Mio. Euro beziehungsweise um rund 208 bis 233 Prozent. Das Projekt wäre damit mehr als dreimal so teuer wie zu Beginn angenommen. Zugleich ist der ursprünglich für 2025 vorgesehene Abschluss nicht erreichbar; weitere mehrjährige Verzögerungen gelten als sicher. 

Risikomanagement soll Unsicherheit in Entscheidungswissen übersetzen

Eine wissenschaftlich und rechtlich belastbare Analyse muss zunächst unterscheiden: Kostensteigerungen sind bei komplexen Bauprojekten nicht automatisch ein Beweis für Pflichtverletzungen. Preissteigerungen, Lieferkettenstörungen, Genehmigungsauflagen, unvorhergesehene Baugrund- oder Bestandsrisiken, technische Innovationen und nachträgliche politische Anforderungen können auch bei professioneller Steuerung eintreten. Ein Risikomanagement verhindert Unsicherheit nicht. Es soll Unsicherheit in Entscheidungswissen übersetzen.

Der kritische Punkt beim ZRE ist deshalb nicht allein die Höhe der Mehrkosten. Entscheidend ist die Kombination aus drei Befunden: Die Ausgangsplanung erwies sich als nicht belastbar, die Überwachung erkannte oder eskalierte Abweichungen nicht rechtzeitig, und die Kontrollgremien erhielten nach den Prüfungsfeststellungen über längere Zeit kein realistisches Gesamtbild. Damit geht es nicht mehr nur um Bauökonomie, sondern um Informationsqualität, Verantwortungsarchitektur und die Wirksamkeit der zweiten Verteidigungslinie.

Der Aufsichtsrat gab zur Fortführung zunächst nur eine begrenzte Tranche von 97 Mio. Euro frei und kündigte ein externes Monitoring an. Das ist mehr als eine finanzielle Vorsichtsmaßnahme. Es signalisiert, dass die bisherige Informations- und Kontrollarchitektur nicht mehr als ausreichend angesehen wird. Die Freigabe in Tranchen kann ein sinnvoller Neustart sein, wenn sie an nachprüfbare Meilensteine, eine unabhängige Fortschrittsmessung und eindeutige Abbruch- oder Neuplanungsentscheidungen gekoppelt wird. Ohne solche Bedingungen wäre sie lediglich eine gestückelte Fortsetzung desselben Problems. 

Das eigentliche Defizit: Risiken wurden nicht zu Entscheidungen

Projekt-Risikomanagement wird in der Praxis häufig mit einer Risikoliste verwechselt. Dort stehen dann Begriffe wie Lieferverzug, Fachkräftemangel, Preissteigerung oder technische Schnittstelle, ergänzt um eine Ampelfarbe und eine verantwortliche Person. Ein solches Register kann nützlich sein, ist aber noch kein wirksames System. Wirksam wird Risikomanagement erst dann, wenn Risiken quantifiziert, aggregiert, mit Termin- und Kostenplanung verknüpft und über definierte Schwellenwerte in Entscheidungen übersetzt werden.

Für ein Großprojekt wie das ZRE müsste die zentrale Steuerungsfrage nicht lauten: Welche Risiken kennen wir? Sie müsste lauten: Welche Bandbreite der Endkosten und des Fertigstellungstermins ergibt sich aus allen bekannten Unsicherheiten, Abhängigkeiten und Korrelationen – und welche Entscheidungen sind bei welcher Schwellenüberschreitung zwingend? Diese Frage führt weg von der scheinpräzisen Punktprognose hin zu einem belastbaren probabilistischen Bild.

Jedes Projektcontrolling misst Abweichungen gegen eine Baseline. Ist diese Ausgangsbasis unvollständig, politisch geglättet oder auf einem zu frühen Planungsstand aufgebaut, produziert das Controlling präzise Zahlen über eine falsche Referenz. Typische Ursachen sind fehlende Ausführungsplanung, unklare Schnittstellen, unvollständige Leistungsbilder, nicht eingepreiste Genehmigungsauflagen, unterschätzte Inbetriebnahmephasen und zu geringe Reserven für Nachträge.

Die Megaprojektforschung beschreibt dieses Muster als Optimismusverzerrung. Menschen und Organisationen betrachten den eigenen Fall aus der Innenperspektive: Sie erklären detailliert, warum gerade dieses Projekt gelingen werde, statt die Verteilung tatsächlicher Ergebnisse vergleichbarer Vorhaben heranzuziehen. Hinzu kann strategische Verzerrung treten, wenn niedrige Kosten und frühe Termine die Wahrscheinlichkeit politischer Zustimmung erhöhen. Flyvbjerg und andere Forscher zeigen, dass lange Realisierungsphasen statistisch eng mit Kostensteigerungen verbunden sind und dass die Art der Rechenschaftspflicht oft wichtiger ist als die öffentliche oder private Eigentümerschaft.

Punktwerte verschleiern Unsicherheit

Die Angabe, ein Projekt koste 534 Mio. Euro und werde 2027 fertig, suggeriert eine Genauigkeit, die bei einem komplexen Anlagenbau kaum existiert. Professionelle Steuerung arbeitet deshalb mit Bandbreiten und Eintrittswahrscheinlichkeiten. Eine quantitative Kostenrisikoanalyse modelliert beispielsweise Preisrisiken, Mengenabweichungen, Nachtragsvolumen, technische Änderungen, Terminfolgekosten und Lieferantenrisiken als Verteilungen. Eine Stochastische Simulation erzeugt daraus eine Verteilung der möglichen Endkosten oder der Projektrendite. Die zentrale Entscheidung wird dann sichtbar: Soll das Budget nur mit 50-prozentiger, 80-prozentiger oder 95-prozentiger Wahrscheinlichkeit ausreichen?

Diese Wahrscheinlichkeitslogik trennt die technische Erwartung von der Risikobereitschaft des Auftraggebers. Ein Projekt kann im Erwartungswert 600 Mio. Euro kosten, aber für eine 80-prozentige Budgetsicherheit 700 Mio. Euro benötigen. Wer nur einen (theoretischen) Erwartungswert kommuniziert, versteckt das Risiko in der Zukunft und agiert mit Scheingenauigkeiten. Wer eine belastbare Reserve ausweist, macht den Preis der Sicherheit transparent.

Bei Großprojekten werden Zeit und Geld häufig getrennt berichtet. Das ist methodisch falsch. Verzögerungen verlängern Baustellengemeinkosten, binden Personal, erhöhen Finanzierungs- und Preisrisiken, verschieben Erlöse oder Einsparungen und erzeugen Nachtragsansprüche. Umgekehrt können Sparmaßnahmen, Neuvergaben oder Umplanungen den Terminplan zusätzlich belasten. Ein wirksames System verbindet daher den kritischen Pfad mit den Kostenfolgen einzelner Verzögerungsszenarien.

Die empirische Forschung von Flyvbjerg et al. an 258 Verkehrsprojekten zeigt mit hoher statistischer Signifikanz, dass längere Implementierungsphasen mit stärkeren Kostensteigerungen einhergehen. Für Aufsichtsgremien folgt daraus eine einfache Regel: Eine Terminverschiebung ist nie nur ein Kalenderproblem. Sie ist eine neue finanzielle Risikobewertung. 

Schnittstellen und Nachträge

Anlagenbau scheitert selten an einem einzelnen Bauteil. Kritisch sind die Übergänge: zwischen Planung und Ausführung, Bau und Verfahrenstechnik, Leittechnik und mechanischen Gewerken, Betreiberanforderungen und Generalunternehmer, Genehmigung und Inbetriebnahme. Jede Schnittstelle erzeugt Unklarheiten über Verantwortung, Daten, Fristen und Abnahmebedingungen. Werden diese Abhängigkeiten nicht in einem integrierten Termin- und Risikomodell abgebildet, entsteht ein Projekt, dessen Einzelteile scheinbar im Plan liegen, während das Gesamtsystem nicht fertigstellbar ist.

Auch Nachträge werden in öffentlichen Debatten oft als überraschende Forderungen von Bauunternehmen dargestellt. Tatsächlich entstehen sie häufig aus unklaren Leistungsbeschreibungen, verspäteten Entscheidungen, Planänderungen, gestörten Bauabläufen und unzureichend dokumentierten Schnittstellen. Ein belastbares Claim-Management beginnt deshalb vor der Vergabe: mit klarer Risikozuordnung, prüfbaren Leistungsgrenzen, realistischen Terminpflichten und einer Dokumentation, die Ursache, Verantwortung und Kostenfolge jeder Abweichung nachvollziehbar macht.

Der Aufsichtsrat darf nicht auf die Wahrheit warten

Die Stadtreinigung Hamburg ist eine Anstalt des öffentlichen Rechts. Deshalb dürfen gesellschaftsrechtliche Regeln für Aktiengesellschaften oder GmbHs nicht schematisch übertragen werden. Unmittelbar maßgeblich sind das Stadtreinigungsgesetz, die Satzung, Geschäftsordnungen und die Regeln für Hamburgs öffentliche Unternehmen. Gleichwohl formuliert der Hamburger Corporate Governance Kodex, der unabhängig von der Rechtsform als Steuerungsstandard dient, die Verantwortung sehr klar: Die Geschäftsführung hat für ein angemessenes und wirksames Risikomanagement und Risikocontrolling zu sorgen; der Aufsichtsrat überwacht insbesondere die Wirksamkeit von Risikomanagementsystem, internem Kontrollsystem und interner Revision.

Ebenso wichtig ist die Informationspflicht. Der HCGK verlangt eine regelmäßige, zeitnahe und umfassende Unterrichtung über Strategie, Planung, Geschäftsentwicklung, Risikolage, Kontroll- und Risikomanagementsystem sowie Compliance. Planabweichungen sind mit kausalen Ursachen zu erläutern. Zugleich weist der Kodex die Vorstellung zurück, der Aufsichtsrat sei nur Empfänger: Zwar ist die Informationsversorgung Aufgabe der Geschäftsführung, doch das Kontrollorgan muss selbst sicherstellen, angemessen informiert zu sein, Berichtspflichten konkretisieren und auf rechtzeitige und ordnungsgemäße Berichterstattung hinwirken.

Kontrolle beginnt mit der Qualität der Fragen

Ein Aufsichtsrat kann nicht jedes technische Detail eines Müllheizkraftwerks selbst prüfen. Er muss aber beurteilen können, ob das Management über ein System verfügt, das wesentliche Risiken erkennt, quantifiziert und wirksam steuert. Hierfür genügt in vielen Fällen "ein gesunder Menschenverstand" als Frühwarnsystem [vgl. Romeike 2008]. Dazu braucht das Gremium keine Parallelprojektleitung, wohl aber eine belastbare Kontrollarchitektur. Bei einem Projekt dieser Größenordnung wären unter anderem folgende Fragen zwingend:

• Wie hoch ist die aktuelle Endkostenprognose einschließlich aller bekannten Risiken, Nachträge und Terminfolgekosten?
• Welche Bandbreite ergibt sich bei einer 80- oder 90-prozentigen Budgetsicherheit?
• Welche Annahmen haben sich seit der letzten Sitzung verändert, und wer hat die Veränderung wann erkannt?
• Welche Meilensteine liegen auf dem kritischen Pfad, und wie unabhängig wird ihr Erfüllungsgrad gemessen?
• Welche Risiken überschreiten festgelegte Schwellenwerte, und welche Entscheidungen sind daraus abzuleiten?
• Sind Risikoreserven tatsächlich frei verfügbar oder bereits durch eingetretene Sachverhalte verbraucht?
• Welche Nachträge sind angemeldet, wahrscheinlich oder noch nicht beziffert?
• Welche Lieferanten, technischen Schnittstellen oder Genehmigungen können die Inbetriebnahme blockieren?
• Welche Gegenprognose liefern interne Revision, Projektprüfer oder unabhängige Sachverständige?
• Welche Informationen fehlen – und warum fehlen sie?

Der HCGK sieht für größere öffentliche Unternehmen einen Prüfungs- oder entsprechend beauftragten Finanzausschuss vor, der sich mit Rechnungslegung, internem Kontrollsystem, Risikomanagementsystem, interner Revision, Abschlussprüfung und Compliance befasst. Mindestens ein Mitglied soll über einschlägigen Sachverstand verfügen und mit Finanzvorstand, Abschlussprüfern sowie Leitungen von Revision, Controlling und Compliance auf Augenhöhe verhandeln können. 

Bei einem technischen Milliardenrisiko reicht Finanzexpertise allein dennoch nicht aus. Das Gremium benötigt als Kollektiv zusätzlich Kompetenzen in Anlagenbau, Projektsteuerung, Vergaberecht, Vertrags- und Claim-Management sowie quantitativer Risikoanalyse. Wo diese Expertise intern fehlt, muss sie unabhängig eingekauft werden. Entscheidend ist, dass externe Berater nicht nur dem operativen Management berichten, sondern dem Aufsichtsrat einen eigenen, ungefilterten Zugang zu Erkenntnissen ermöglichen.

Öffentliche Aufsichtsräte sind häufig mit politischen Amtsträgern und Verwaltungsvertretern besetzt. Das sichert demokratische Rückbindung, erzeugt aber ein strukturelles Spannungsfeld: Die Mitglieder müssen gleichzeitig politische Ziele vertreten und im Interesse des Unternehmens kontrollieren. Der HCGK verlangt ausdrücklich Kenntnisse, Fähigkeiten, fachliche Erfahrung und ausreichende Zeit. Das Mandat ist persönlich wahrzunehmen. Politische Legitimation kann deshalb Fachkunde ergänzen, aber nicht ersetzen.

Besonders gefährlich ist eine Kultur, in der kritische Nachfragen als Illoyalität gegenüber einem politisch wichtigen Projekt gelten. Großprojekte benötigen das Gegenteil: institutionalisierte Skepsis. Ein guter Aufsichtsrat belohnt schlechte Nachrichten, sofern sie früh und belastbar kommen. Er sanktioniert nicht die Abweichung, sondern deren Verschleierung.

Warum eine Risikoliste keine Krisenfrüherkennung ist

In einem aktuellen Beitrag zur "Krisenfrüherkennung in Kommunen" hatte ich mit meinen Koautoren Josef Scherer und Sascha Seehaus vor statischen Ampellisten gewarnt und integrierte Planungen, Bandbreiten, Szenarien und verbindliche Schwellenwerte gefordert. Einzelrisiken müssten identifiziert, quantifiziert, überwacht und in ihrer Kombination analysiert werden; bei größeren oder komplexeren Projekten sind auch stochastische Simulationen und Risikoaggregationen angezeigt. 

Der entscheidende Punkt ist die Verbindung zur Steuerung. Ein System muss festlegen, ab welcher Planabweichung, Liquiditätslücke, Gefährdungswahrscheinlichkeit oder Kostenüberschreitung Gegenmaßnahmen einzuleiten und Überwachungsorgane unverzüglich zu informieren sind. Ohne solche Trigger bleibt Risikomanagement verhandelbar. Optimistische Einzelannahmen können dann immer wieder dazu dienen, ein Warnsignal auf die nächste Berichtsperiode zu verschieben.

§ 1 StaRUG verpflichtet die Geschäftsleiter haftungsbeschränkter Unternehmensträger, bestandsgefährdende Entwicklungen fortlaufend zu überwachen, geeignete Gegenmaßnahmen zu ergreifen und die Überwachungsorgane unverzüglich zu informieren. Ob und in welcher Form diese Vorschrift auf eine konkrete Anstalt des öffentlichen Rechts unmittelbar anwendbar ist, muss rechtsformspezifisch geprüft werden. Als Governance-Referenzpunkt ist die Logik gleichwohl eindeutig: Früherkennung ist eine laufende Leitungsaufgabe und keine jährliche Dokumentationsübung.

Bei einem kommunalen Infrastrukturprojekt darf die Analyse nicht an der Projektgrenze enden. Mehrkosten wirken auf Finanzierung, Gebühren, Liquidität, Kreditlinien, andere Investitionen und gegebenenfalls auf den Haushalt der öffentlichen Eigentümerin. Deshalb ist zu prüfen, wie viel Risiko das Unternehmen und sein Träger tatsächlich tragen können. Ein isoliertes Projektbudget beantwortet diese Frage nicht.

Risikotragfähigkeit verlangt die Aggregation aller wesentlichen Unternehmensrisiken und den Abgleich mit verfügbarem Eigenkapital, Liquidität und belastbaren Finanzierungszusagen. Gerade bei einem Projekt mit mehreren hundert Millionen Euro zusätzlichem Kapitalbedarf können scheinbar getrennte Risiken zusammenwirken: Bauverzug, steigende Finanzierungskosten, geringere Energieerlöse, Nachträge, Lieferantenausfall und zusätzliche regulatorische Anforderungen. Die relevante Frage lautet nicht, ob jedes Einzelrisiko beherrschbar erscheint, sondern ob ihre Kombination die Handlungsfähigkeit des Unternehmens überfordert.

Die wiederkehrende Anatomie öffentlicher Großprojektkrisen

Das ZRE ist kein isolierter Ausreißer. Elbphilharmonie, BER und Stuttgart 21 unterscheiden sich technisch, organisatorisch und rechtlich erheblich. Dennoch zeigen sie wiederkehrende Muster: zu frühe politische Festlegung, unvollständige Planung, optimistische Basiswerte, instabile Schnittstellen, fehlende oder unwirksame Risikosteuerung, fragmentierte Verantwortung und Kontrollgremien, die entscheidende Informationen zu spät oder in nicht entscheidungsfähiger Form erhalten.

Elbphilharmonie: Hamburgs teuer vergessene Lektion

Die Elbphilharmonie ist heute ein kultureller und touristischer Erfolg. Ihre Baugeschichte bleibt dennoch ein Lehrstück misslungener Projektgovernance. Eine Machbarkeitsstudie aus dem Jahr 2005 ging von 186 Mio. Euro Gesamtkosten und einem städtischen Anteil von 77 Mio. Euro aus. Am Ende beliefen sich die Kosten für die Stadt auf 789 Mio. Euro. Die Eröffnung erfolgte 2017 nach wiederholten Terminverschiebungen.

Der parlamentarische Untersuchungsausschuss dokumentierte ein Bündel bekannter Risikotreiber: Vergabe auf nicht hinreichend ausgereifter Planungsgrundlage, unklare Risikozuordnung, unzureichende Informationsversorgung und eine Projektgesellschaft, die der Komplexität nicht gewachsen war. Warnungen aus der Planung wurden nicht konsequent in politische Entscheidungspunkte übersetzt. Das Projekt zeigt exemplarisch, wie ein prestigeträchtiges Ziel kritische Distanz verdrängen kann. Der spätere Projekterfolg widerlegt diese Governance-Kritik nicht; er macht nur sichtbar, dass ein wertvolles Ergebnis und ein ineffizienter Entstehungsprozess gleichzeitig möglich sind. 

BER: Risiken, die aus dem System verschwanden

Beim Flughafen Berlin Brandenburg wurde die Kosten- und Terminkrise über Jahre zum Symbol einer dysfunktionalen Projektorganisation. Der zweite Untersuchungsausschuss des Berliner Abgeordnetenhauses arbeitete heraus, dass interne Kontroll- und Risikomanagementsysteme über lange Zeit nicht projektangemessen waren. Der Landesrechnungshof Brandenburg hatte eine externe Tiefenprüfung unter anderem von Projektmanagement, Unternehmenskultur, Steuerung, Controlling, Risikomanagement, Vertragsmanagement und interner Revision gefordert. 

Besonders gravierend ist ein im Bericht beschriebenes Muster: Termin- und Kostenrisiken wurden zeitweise nicht mehr vollständig im Risikomanagement erfasst. Dadurch gelangten Kosten erst nach Eintritt in die Prognosen – also überraschend statt vorausschauend. Genau darin liegt der Unterschied zwischen Buchhaltung und Risikomanagement. Buchhaltung erklärt, was geschehen ist. Risikomanagement muss zeigen, was mit welcher Wahrscheinlichkeit geschehen könnte.

Der BER-Fall macht außerdem deutlich, dass ein politisch geprägtes Kontrollgremium ohne hinreichende fachliche und zeitliche Ressourcen schnell in Abhängigkeit von der Darstellung des Managements gerät. Ein Aufsichtsrat kann seine Kontrollpflicht nur erfüllen, wenn er über alternative Informationskanäle, sachverständige Ausschüsse und die Möglichkeit unabhängiger Prüfungen verfügt.

Stuttgart 21: Die Kosten langer Realisierungszeiten

Stuttgart 21 ist ein aktuelles Beispiel für die Dynamik langlaufender Infrastrukturprojekte. Der Finanzierungsvertrag von 2009 basierte auf gut 4,5 Mrd. Euro. Im Juni 2026 erhöhte die Deutsche Bahn die Gesamtwertprognose auf 14,5 Mrd. Euro und verschob die Inbetriebnahme des neuen Hauptbahnhofs auf Ende 2031. Nach Angaben der Bahn kam ein Revisionsbericht zu dem Ergebnis, dass der zuvor geplante Termin Ende 2026 auf Basis der zugrunde gelegten Prämissen und identifizierten Risiken realistisch nicht erreichbar war.

Der Fall illustriert zwei wissenschaftlich gut belegte Effekte. Erstens erhöht jeder zusätzliche Realisierungsmonat die Exposition gegenüber Preis-, Technik-, Schnittstellen- und Änderungsrisiken. Zweitens erzeugt ein einmal weit fortgeschrittenes Projekt einen starken Fortsetzungsdruck. In der Organisationsforschung wird dies als Eskalation des Commitments beschrieben: Frühere Ausgaben und politische Festlegungen beeinflussen Entscheidungen, obwohl sie für die nüchterne Bewertung der künftigen Kosten und Nutzen eigentlich versunkene Kosten sind.

Die Lehre ist nicht, Großprojekte grundsätzlich zu vermeiden. Sie lautet, Entscheidungspunkte so zu gestalten, dass Alternativen, Teilinbetriebnahmen, Scope-Reduktionen oder Neuplanungen auch nach Projektstart real geprüft werden können. Ein Stage Gate, an dem nur die Fortsetzung bestätigt werden darf, ist kein Gate.

Tab. 01: Vier Projekte, vier Varianten desselben Steuerungsproblems

Warum Großprojekte systematisch blind für Risiken sind

Die Forschung zu Megaprojekten liefert keine einfache Einzelerklärung. Sie unterscheidet technische, ökonomische, psychologische und politisch-institutionelle Ursachen. Technische Erklärungen verweisen auf Prognosefehler, Datenmangel und unerwartete Ereignisse. Psychologische Ansätze betonen Planungsfehlschluss und Optimismusverzerrung. Politisch-ökonomische Modelle analysieren Anreize, Kosten niedrig und Nutzen hoch erscheinen zu lassen, um ein Projekt genehmigungsfähig zu machen. In der Praxis wirken diese Faktoren häufig zusammen.

Optimismusverzerrung: Die Innenperspektive überschätzt Kontrolle

Planer und Entscheider kennen die Besonderheiten ihres Projekts so gut, dass sie gerade dadurch den Blick für statistische Normalität verlieren. Jede Abweichung von Vergleichsprojekten lässt sich plausibel erklären: bessere Technik, erfahrenere Teams, modernere Verträge, stärkere politische Unterstützung. Diese Innenperspektive unterschätzt, dass auch frühere Projekte ihre Besonderheiten hatten und dennoch scheiterten. Die Gegenmethode ist der Outside View: Zuerst wird betrachtet, wie vergleichbare Projekte tatsächlich abgeschnitten haben; erst danach werden projektspezifische Unterschiede berücksichtigt.

Strategische Verzerrung: Der günstige Einstiegspreis gewinnt

Wo Projekte um politische Aufmerksamkeit und knappe Haushaltsmittel konkurrieren, entsteht ein Selektionsproblem. Realistische Vorhaben wirken teurer und langsamer als optimistisch gerechnete Alternativen. Dadurch können ausgerechnet jene Projekte genehmigt werden, deren Ausgangsannahmen am wenigsten belastbar sind. Flyvbjerg bezeichnet dieses Phänomen als eine Form des "survival of the unfittest". Der Begriff ist zugespitzt, verweist aber auf einen wichtigen institutionellen Mechanismus: Ohne Sanktionen für unrealistische Prognosen belohnt das System Optimismus.

Informationsasymmetrie: Das Management weiß früher mehr

Projektleitung und Geschäftsführung verfügen regelmäßig über einen Informationsvorsprung gegenüber Aufsichtsrat, Parlament und Öffentlichkeit. Dieser Vorsprung ist unvermeidlich; problematisch wird er, wenn Berichtswege Risiken filtern. Der Principal-Agent-Ansatz erklärt, warum das geschehen kann: Das Management trägt Reputations- und Karrierefolgen schlechter Nachrichten, während ein früher Projektstopp politische und persönliche Kosten erzeugt. Das Kontrollsystem muss deshalb Anreize schaffen, negative Informationen früh zu melden, und unabhängige Quellen bereitstellen, die das Managementnarrativ überprüfen.

Reference Class Forecasting: Die Vergangenheit als Korrektiv

Reference Class Forecasting vergleicht ein neues Vorhaben mit der empirischen Verteilung ähnlicher abgeschlossener Projekte. Statt zu fragen, warum das eigene Projekt im Plan bleiben wird, wird gefragt, welche Kosten- und Terminüberschreitungen in der Referenzklasse typischerweise auftreten. Daraus lassen sich risikoadjustierte Zuschläge ableiten. Eine aktuelle Literaturübersicht bewertet die Methode als vielversprechend, betont aber, dass ihre Qualität von einer sachgerechten Referenzklasse und belastbaren Daten abhängt. Sie ersetzt daher nicht die projektspezifische Analyse, sondern korrigiert deren systematische Blindstellen.

Organhaftung: Kostenüberschreitung allein genügt nicht

Die öffentliche Forderung nach Haftung ist verständlich, muss aber rechtlich präzise bleiben. Für eine Organhaftung sind typischerweise eine konkrete Pflichtverletzung, Verschulden, Kausalität und ein bezifferbarer Schaden erforderlich. Zu prüfen ist außerdem, welche Rechtsgrundlagen für die Stadtreinigung als AöR gelten, welche Pflichten Satzung und Geschäftsordnungen vorsehen, wie Verantwortungsbereiche verteilt waren, welche Informationen zu welchem Zeitpunkt vorlagen und welche Entscheidungen bei pflichtgemäßem Verhalten möglich gewesen wären.

Der HCGK formuliert für Hamburgs öffentliche Unternehmen ausdrücklich, dass Geschäftsführung und Aufsichtsrat bei schuldhafter Verletzung der Sorgfalt eines ordentlichen und gewissenhaften Organmitglieds der Gesellschaft gegenüber auf Schadensersatz haften können. Die Business Judgment Rule schützt unternehmerische Entscheidungen nur, wenn das Organ vernünftigerweise annehmen durfte, auf Grundlage angemessener Information zum Wohl des Unternehmens zu handeln. Eine fehlende Informationsgrundlage ist damit nicht Entschuldigung, sondern kann gerade das Schutzschild entfallen lassen.

Für die Leitungsebene stehen drei Pflichtenkreise im Mittelpunkt. Erstens muss sie eine Organisation einrichten, die Planung, Controlling, Risikomanagement, Vertragsmanagement und interne Revision wirksam verzahnt. Zweitens muss sie den Aufsichtsrat vollständig, richtig und rechtzeitig informieren. Drittens muss sie auf erkannte Abweichungen reagieren. Ein Bericht, der Risiken formal erwähnt, aber deren finanzielle und zeitliche Bedeutung nicht erkennen lässt, kann inhaltlich unzureichend sein.

§ 43 GmbHG und die aktienrechtlichen Sorgfaltsmaßstäbe sind wegen der AöR-Rechtsform nicht ohne Prüfung unmittelbar anzuwenden. Sie bilden jedoch zusammen mit dem HCGK einen etablierten Referenzrahmen: Leitungsmacht ist mit der Pflicht verbunden, Entscheidungen auf angemessener Tatsachengrundlage zu treffen, Systeme zu organisieren und Vermögensschäden vom Unternehmen abzuwenden.

Der Aufsichtsrat kann sich nicht pauschal darauf berufen, getäuscht oder unvollständig informiert worden zu sein. Entscheidend ist, ob Warnsignale erkennbar waren, ob Berichte plausibilisiert wurden, ob Nachfragen ausreichend bestimmt waren und ob das Gremium seine Befugnisse ausgeschöpft hat. § 111 AktG bringt den allgemeinen Leitgedanken auf den Punkt: Der Aufsichtsrat hat die Geschäftsführung zu überwachen. Der HCGK überträgt diese Logik ausdrücklich auf Hamburgs öffentliche Unternehmen und verlangt die Überwachung der Wirksamkeit des Risikomanagementsystems.

Wird die Einrichtung, Angemessenheit und Wirksamkeit der Krisenfrüherkennung nicht überwacht, kann ein eigenes Haftungsrisiko entstehen. Diese These ist auf die konkrete Rechtsform und den Einzelfall anzuwenden; als Kontrollmaßstab ist sie überzeugend: Ein Aufsichtsrat muss nicht jedes Risiko selbst berechnen, aber er muss die Funktionsfähigkeit des Systems prüfen, das diese Berechnung leisten soll.

Was beim ZRE jetzt geschehen muss

Die nachträgliche Aufarbeitung ist notwendig, löst aber das operative Problem nicht. Das ZRE muss unter veränderten Governance-Bedingungen fertiggestellt, reduziert, neu strukturiert oder in Teilen neu vergeben werden. Dafür braucht es einen transparenten Projektneustart. Die folgenden zehn Schritte bilden ein Mindestprogramm:

1. Neue belastbare Baseline: Kosten, Termine, Leistungsumfang und Inbetriebnahmestrategie müssen auf Basis des tatsächlichen Planungs- und Bauzustands neu aufgesetzt werden. Historische Sollwerte dürfen nicht länger als Steuerungsgrundlage dienen.
2. Unabhängige Endkosten- und Terminprognose: Ein vom Aufsichtsrat mandatierter Prüfer sollte eine eigene Estimate-at-Completion-Prognose einschließlich Bandbreiten, Nachträgen und Terminfolgekosten erstellen.
3. Quantitative Risikoaggregation: Einzelrisiken sind probabilistisch zu bewerten und unter Berücksichtigung von Abhängigkeiten zu aggregieren. Auszuweisen sind mindestens Erwartungswert, P90-Budget und P95-Budget sowie entsprechende Terminbandbreiten.
4. Verbindliche Eskalationsschwellen: Kosten-, Termin-, Qualitäts- und Liquiditätsschwellen müssen automatische Informations-, Beschluss- und Zustimmungspflichten auslösen. Eine Überschreitung darf nicht durch eine optimistische Neuprognose neutralisiert werden.
5. Monatliches integriertes Reporting: Der Bericht an Geschäftsführung und Aufsichtsrat muss Fortschritt, kritischen Pfad, Endkosten, Risikoverbrauch, Nachträge, Reserven und Entscheidungen in einer konsistenten Datenbasis zusammenführen.
6. Unabhängiges Project Assurance Office: Eine kleine, fachlich starke Einheit sollte direkt an den Aufsichtsrat beziehungsweise dessen Ausschuss berichten und Datenzugang, Plausibilisierung und Vor-Ort-Prüfung sicherstellen.
7. Neuordnung von Rollen und Entscheidungsrechten: Projektleitung, Betreiber, Geschäftsführung, Fachbehörde, Aufsichtsrat, Planer und Auftragnehmer benötigen eine eindeutige RACI-Matrix. Unklare Verantwortung ist selbst ein Risiko.
8. Konsequentes Vertrags- und Claim-Management: Alle bestehenden und potenziellen Nachträge sind nach Ursache, Rechtsgrund, Wahrscheinlichkeit, Betrag und Terminwirkung zu erfassen. Entscheidungen und Behinderungen müssen beweissicher dokumentiert werden.
9. Kompetenzmatrix und Ausschussstruktur: Der Aufsichtsrat sollte seine kollektive Expertise in Projektsteuerung, Anlagenbau, Risikomodellierung, Vergabe und Recht überprüfen und Lücken durch unabhängige Fachleute schließen.
10. Transparente öffentliche Rechenschaft: Bei einem Vorhaben dieser Größenordnung sollten Kostenbandbreite, Terminbandbreite, zentrale Risiken, verbrauchte Reserven und wesentliche Entscheidungen regelmäßig nachvollziehbar veröffentlicht werden - ohne laufende Vergaben oder Rechtspositionen zu gefährden.

Ein Standard für künftige öffentliche Großprojekte

Der ZRE-Fall sollte nicht mit einer einmaligen Sonderprüfung enden. Die öffentliche Hand benötigt einen verbindlichen Governance-Standard für Großprojekte oberhalb definierter Schwellenwerte. Dieser sollte bereits vor der politischen Grundsatzentscheidung greifen und mindestens eine unabhängige Bedarfs- und Variantenprüfung, eine quantitative Risikoanalyse, Risikoaggregation, dokumentierte Planungsreife, echte Stage Gates und ein fachlich besetztes Kontrollgremium vorsehen.

Besonders wichtig ist die Trennung von Basisbudget und Risikoreserve. Die Reserve darf nicht als frei verfügbare Projektkasse behandelt werden. Ihre Freigabe sollte an nachgewiesene Risikoeintritte und einen dokumentierten Beschluss gebunden sein. Zugleich muss öffentlich klar werden, dass eine realistische Reserve kein Zeichen schlechter Planung ist, sondern ehrlicher Planung. Die politisch attraktivste Zahl ist selten die risikoadäquate Zahl.

Auch Anreize müssen verändert werden. Projektverantwortliche sollten nicht daran gemessen werden, ob sie lange an einem überholten Termin festhalten, sondern wie früh und präzise sie Abweichungen erkennen. Aufsichtsräte sollten die Qualität der Risikoberichte regelmäßig evaluieren. Externe Prüfer sollten nicht nur Ordnungsmäßigkeit bestätigen, sondern die Prognosegüte, Datenqualität und Wirksamkeit der Steuerungsprozesse beurteilen.

Die öffentliche Hand braucht eine Kultur der frühen schlechten Nachricht

Großprojekte werden nicht dadurch besser, dass Risiken aus der politischen Kommunikation verschwinden. Im Gegenteil: Wo frühe Warnungen reputationsgefährdend sind, entstehen späte Katastrophenmeldungen. Eine resiliente Projektkultur behandelt Unsicherheit nicht als Schwäche, sondern als Entscheidungsgegenstand. Sie verlangt von Management und Aufsicht, Annahmen offenzulegen, Gegenmeinungen zuzulassen und unangenehme Szenarien zu berechnen.

Das ist auch eine Frage demokratischer Legitimation. Bürger können akzeptieren, dass komplexe Infrastruktur nicht exakt planbar ist. Schwerer vermittelbar ist, wenn belastbare Informationen erst nach milliardenschweren Fakten sichtbar werden. Transparenz bedeutet deshalb nicht, eine einzelne endgültige Zahl zu versprechen. Sie bedeutet, Bandbreiten, Unsicherheiten und Entscheidungsregeln offen zu legen.

Fazit und Ausblick: Test für die Lernfähigkeit

Das ZRE-Deaster und die dramatische Kostenentwicklung lässt sich nicht allein mit Marktpreisen oder der allgemeinen Schwierigkeit von Großprojekten erklären. Die Prüfungsfeststellungen weisen auf eine tiefere Störung hin: Planung, Überwachung, Risikomanagement und Gremieninformation waren nicht so wirksam, wie es die Größenordnung des Projekts erforderte.

Erforderlich ist ein Wechsel von reaktiver Kostenverwaltung zu vorausschauender Risikosteuerung. Dazu gehören probabilistische Prognosen, unabhängige Kontrollen, verbindliche Schwellenwerte, echte Stage Gates und ein Aufsichtsrat, der Informationen nicht nur erhält, sondern ihre Qualität aktiv einfordert.

Haftung ist dabei kein politisches Strafritual, sondern Teil funktionierender Governance. Sie setzt eine sorgfältige Einzelfallprüfung voraus und muss sowohl die Leitung als auch die Kontrolle in den Blick nehmen. Wo Pflichten verletzt und Schäden verursacht wurden, sind Konsequenzen notwendig. Ebenso notwendig ist die institutionelle Reform, damit sich dieselben Muster nicht beim nächsten Wärmenetz, Tunnel, Krankenhaus oder Verwaltungsbau wiederholen.

Hamburg hat mit der Elbphilharmonie bereits erlebt, wie ein faszinierendes Endprodukt eine desaströse Projektgeschichte überstrahlen kann. Beim ZRE sollte die Stadt nicht auf denselben nachträglichen Trost setzen. Der Maßstab für Erfolg ist nicht nur, dass die Anlage irgendwann funktioniert. Erfolg wäre, wenn Hamburg beweist, dass öffentliche Großprojekte auch unter Unsicherheit ehrlich, fachkundig und kontrollierbar geführt werden können.

Quellenverzeichnis sowie weiterführende Literaturhinweise:

• Baerenbold, Rebekka: Reducing risks in megaprojects: The potential of reference class forecasting. Project Leadership and Society 4 (2023), 100103, Internet: https://doi.org/10.1016/j.plas.2023.100103
• Bent Flyvbjerg, Mette K. Skamris Holm, Søren L. Buhl (2002): Underestimating Costs in Public Works Projects: Error or Lie?, in: Journal of the American Planning Association, vol. 68, no. 3, Summer 2002, pp. 279-295, https://doi.org/10.1080/01944360208976273
• Flyvbjerg, Bent / Holm, Mette K. Skamris / Buhl, Søren L. (2004): What Causes Cost Overrun in Transport Infrastructure Projects?, in: Transport Reviews, vol. 24, no. 1, January 2004, 3-18, Internet: https://arxiv.org/abs/1304.4476
• Flyvbjerg, Bent (2006): From Nobel Prize to Project Management: Getting Risks Right, in: Project Management Journal 37(3), 2006, Internet: https://doi.org/10.1177/875697280603700302
• Flyvbjerg, Bent (2009) Survival of the Unfittest: Why the Worst Infrastructure Gets Built, And What We Can Do about It, In: Oxford Review of Economic Policy, vol. 25, no. 3, 2009, doi.org/10.48550/arXiv.1303.6571. 
• Romeike, Frank (2008): Gesunder Menschenverstand als Frühwarnsystem (Gastkommentar), in: Der Aufsichtsrat, Ausgabe 05/2008, Seite 65.
• Romeike, Frank (2018): Stochastische Investitionssimulation. Seriöser Umgang mit Unsicherheit bei Investitionsplanungen, in: CFO aktuell, Ausgabe Juli 2018, S. 167-172.
• Romeike, Frank (2026): Wie Staaten bankrott gehen – Die Gesetzmäßigkeit der Risikotragfähigkeit, in: ZInsO FOKUS (Zeitschrift für das gesamte Insolvenz- und Sanierungsrecht), 29. Jahrgang, 5/2026, 29.01.2026, S. 183-195.
• Romeike, Frank / Scherer, Josef / Seehaus, Sascha (2026): StaRUG-Pflichten kommunaler Unternehmen und ihrer Aufsichtsorgane: Krisenfrüherkennung in Kommunen. RiskNET, 15. Juni 2026.