Offiziell dokumentierter Realfall mit praxisnaher Bow-Tie-Vollausarbeitung: 10 Bedrohungen und präventive Barrieren, 8 Folgen und reaktive Barrieren, 6 Eskalationsfaktoren, 8 Sicherungen, 20 abgeleitete Maßnahmen inkl. Rollen und Wirksamkeitsnachweis. Umsetzungsvorschläge klar als hypothetisch gekennzeichnet.

Bow-Tie AI · Tool

Öffentliches Beispiel · schreibgeschützt

Bow-Tie-
Analyseblatt

Gefahr / Gefahrenquelle: Elektronisch geregelte Infusionspumpe für intravenöse Medikamenten- und Flüssigkeitsgabe an teilweise kritisch kranke Patienten.
Top-Event (Kontrollverlust): Infusionspumpe gibt wegen Software-/Alarmfehler keine vorgesehene Infusionsmenge ab oder stoppt unbemerkt die Therapie.
Beeinträchtigung / Schaden: Mögliche Unterdosierung, verzögerter Therapiebeginn, unerkannter Infusionsstopp oder lebensbedrohliche Beeinträchtigung bei Hochrisikomedikation. FDA beschreibt Risiko, nicht pauschal eingetretene Todesfälle.

Analyst / Team: Didaktisch simuliertes interdisziplinäres Expertenteam
Datum / Revision: 2026-10-25
Umfang: 10 Bedrohungen · 10+8 Barrieren · 8 Konsequenzen

Bow-Tie-Diagramm

Bedrohungen (Threats)

▸ U1 | Softwarefehlercode 255-XX-XXX blockiert Anpassung der Pumpeneinstellungen. Fallorientierter Gefährdungspfad, historische Bestätigung differenziert laut Quelle.

▸ U2 | Delay-Option verhindert erforderliche KVO-Funktion. Fallorientierter Gefährdungspfad, historische Bestätigung differenziert laut Quelle.

▸ U3 | Low-Battery-Alarm wird nicht ausgelöst und Therapie stoppt. Fallorientierter Gefährdungspfad, historische Bestätigung differenziert laut Quelle.

▸ U4 | End-of-Infusion-/KVO-Alarm besitzt zu niedrige Priorität. Fallorientierter Gefährdungspfad, historische Bestätigung differenziert laut Quelle.

▸ U5 | Kundenspezifische Konzentration weicht von ärztlicher Verordnung ab. Fallorientierter Gefährdungspfad, historische Bestätigung differenziert laut Quelle.

▸ U6 | Pumpe wird trotz bekannter betroffener Firmwareversion eingesetzt. Fallorientierter Gefährdungspfad, historische Bestätigung differenziert laut Quelle.

▸ U7 | Personal interpretiert falsche Alarmpriorität als weniger kritisch. Fallorientierter Gefährdungspfad, historische Bestätigung differenziert laut Quelle.

▸ U8 | Stromversorgung wird ohne ausreichende Restlaufzeitanzeige getrennt. Fallorientierter Gefährdungspfad, historische Bestätigung differenziert laut Quelle.

▸ U9 | Softwareupdate verursacht unerwartete Wechselwirkung mit lokalen Konfigurationen. Fallorientierter Gefährdungspfad, historische Bestätigung differenziert laut Quelle.

▸ U10 | Therapieunterbrechung bleibt mangels unabhängiger Beobachtung unentdeckt. Fallorientierter Gefährdungspfad, historische Bestätigung differenziert laut Quelle.

Präventive Barrieren

▸ P1 | Fehlerzustand reproduzieren, sichere Bedienbarkeit und Ersatzpumpenwechsel mit Testmatrix validieren. Didaktische Soll-Barriere bzw. plausible Folge mit künftigem Nachweisbedarf.

▸ P2 | Infusionsmodus und KVO-Anforderung vor Freigabe eindeutig konfigurieren und softwareseitig sperren. Didaktische Soll-Barriere bzw. plausible Folge mit künftigem Nachweisbedarf.

▸ P3 | Akku-/Alarmkette mit realistischen Entladeprofilen in Verifikation und Feldkontrolle testen. Didaktische Soll-Barriere bzw. plausible Folge mit künftigem Nachweisbedarf.

▸ P4 | Alarmprioritäten nach klinischer Gefährdung evaluieren, Human-Factors-Test am Stationsarbeitsplatz. Didaktische Soll-Barriere bzw. plausible Folge mit künftigem Nachweisbedarf.

▸ P5 | Drug-Library-Eingabe mit Grenzprüfung, Vier-Augen-Prinzip und Änderungsfreigabe absichern. Didaktische Soll-Barriere bzw. plausible Folge mit künftigem Nachweisbedarf.

▸ P6 | Gerätebestand über UDI/Seriennummer und Softwareversion mit Rückrufliste abgleichen. Didaktische Soll-Barriere bzw. plausible Folge mit künftigem Nachweisbedarf.

▸ P7 | Alarmkommunikation und praktische Einweisung mit realen Therapieabbruchszenarien trainieren. Didaktische Soll-Barriere bzw. plausible Folge mit künftigem Nachweisbedarf.

▸ P8 | Akku-Restlaufzeit und Reservebetrieb vor patientenkritischem Transport testen. Didaktische Soll-Barriere bzw. plausible Folge mit künftigem Nachweisbedarf.

▸ P9 | Regressionsprüfung vor Rollout mit repräsentativer Drug Library und Infusionsprotokollen. Didaktische Soll-Barriere bzw. plausible Folge mit künftigem Nachweisbedarf.

▸ P10 | Patientenbezogene Überwachung und unabhängige Therapieplausibilisierung definieren. Didaktische Soll-Barriere bzw. plausible Folge mit künftigem Nachweisbedarf.

TOP-EVENT · KONTROLLVERLUST

Infusionspumpe gibt wegen Software-/Alarmfehler keine vorgesehene Infusionsmenge ab oder stoppt unbemerkt die Therapie.

Gefahr / AusgangssituationElektronisch geregelte Infusionspumpe für intravenöse Medikamenten- und Flüssigkeitsgabe an teilweise kritisch kranke Patienten.

Reaktive Barrieren

▸ R1 | Ersatzpumpe mit dokumentiertem Umschaltverfahren bereitstellen. Didaktische Soll-Barriere bzw. plausible Folge mit künftigem Nachweisbedarf.

▸ R2 | Patientenzustand und Infusionsfortschritt gegen Therapieplan überwachen. Didaktische Soll-Barriere bzw. plausible Folge mit künftigem Nachweisbedarf.

▸ R3 | Dose-Error-Reduction und klinisches Eskalationsschema anwenden. Didaktische Soll-Barriere bzw. plausible Folge mit künftigem Nachweisbedarf.

▸ R4 | Alarmierung, ärztliche Bewertung und geeignetes Notfallmanagement vorhalten. Didaktische Soll-Barriere bzw. plausible Folge mit künftigem Nachweisbedarf.

▸ R5 | Risikobezogener Transportcheck und redundante Energieversorgung. Didaktische Soll-Barriere bzw. plausible Folge mit künftigem Nachweisbedarf.

▸ R6 | Seriennummernregister, Ersatzstrategie und Abstellnachweise führen. Didaktische Soll-Barriere bzw. plausible Folge mit künftigem Nachweisbedarf.

▸ R7 | Usability-Validierung sowie klinisches Störfalltraining. Didaktische Soll-Barriere bzw. plausible Folge mit künftigem Nachweisbedarf.

▸ R8 | Flottenübergreifendes Post-Market-Signalmanagement und CAPA. Didaktische Soll-Barriere bzw. plausible Folge mit künftigem Nachweisbedarf.

Konsequenzen

▸ K1 | Therapie beginnt verzögert oder wird unterbrochen. Didaktische Soll-Barriere bzw. plausible Folge mit künftigem Nachweisbedarf.

▸ K2 | Vorgeschriebene Medikamentendosis wird unterschritten. Didaktische Soll-Barriere bzw. plausible Folge mit künftigem Nachweisbedarf.

▸ K3 | Medikament wird unbeabsichtigt überdosiert. Didaktische Soll-Barriere bzw. plausible Folge mit künftigem Nachweisbedarf.

▸ K4 | Kritisch kranker Patient dekompensiert während Therapieunterbrechung. Didaktische Soll-Barriere bzw. plausible Folge mit künftigem Nachweisbedarf.

▸ K5 | Batteriefehler führt im Transport zu Infusionsstopp. Didaktische Soll-Barriere bzw. plausible Folge mit künftigem Nachweisbedarf.

▸ K6 | Rückruf muss für verteilte Geräte umgesetzt werden. Didaktische Soll-Barriere bzw. plausible Folge mit künftigem Nachweisbedarf.

▸ K7 | Station verzögert Behandlung durch unklare Benutzerführung. Didaktische Soll-Barriere bzw. plausible Folge mit künftigem Nachweisbedarf.

▸ K8 | Ähnliche Firmwarefehler gefährden weitere Geräte. Didaktische Soll-Barriere bzw. plausible Folge mit künftigem Nachweisbedarf.

Eskalationsfaktoren – was schwächt eine Barriere?

Eskalationsfaktor	Eskalationsfaktor-Barriere	Seite
E1 | Unkritisches Routine-Override wird zur Normalpraxis	Override-/Abweichungstrends überwachen	links (präventiv)
E2 | Softwarealarm oder Prüfung wird im Alltag übergangen	Gezielte Bedien- und Alarm-Challenge-Tests	links (präventiv)
E3 | Knappe Zeit und parallele Aufgaben verkürzen Kontrollschritte	Personal- und Eskalationsregel für kritische Arbeitssituationen	links (präventiv)
E4 | Warnung erreicht zuständige Rolle zu spät	Direktalarmkette im realistischen Szenario messen	rechts (reaktiv)
E5 | Patientenzustand verschlechtert sich ohne unabhängige Beobachtung	Überwachungsplan mit verbindlichem Frühwarnkriterium	rechts (reaktiv)
E6 | Gleicher Fehler betrifft zusätzliche Fälle	UDI-/Medikationssystem-weite CAPA-Nachverfolgung	rechts (reaktiv)

Übergreifende Sicherungsmaßnahmen

▸ S1 | Fallakte und technische/klinische Systemgrenze dokumentieren. Didaktische Soll-Barriere bzw. plausible Folge mit künftigem Nachweisbedarf.

▸ S2 | Jede Bedrohung einer expliziten Barriere und Testakte zuordnen. Didaktische Soll-Barriere bzw. plausible Folge mit künftigem Nachweisbedarf.

▸ S3 | Gemeinsame Ausfallursachen und menschliche Faktoren gezielt überprüfen. Didaktische Soll-Barriere bzw. plausible Folge mit künftigem Nachweisbedarf.

▸ S4 | Warnmeldungs- und Störfallprozess unter echter Arbeitslast simulieren. Didaktische Soll-Barriere bzw. plausible Folge mit künftigem Nachweisbedarf.

▸ S5 | Unabhängige technische und klinische Freigabe von Korrekturmaßnahmen verlangen. Didaktische Soll-Barriere bzw. plausible Folge mit künftigem Nachweisbedarf.

▸ S6 | Hochrisikoanwendungen und Sonderzustände gesondert validieren. Didaktische Soll-Barriere bzw. plausible Folge mit künftigem Nachweisbedarf.

▸ S7 | CAPA-Status und Wirksamkeit nach Implementierung auditieren. Didaktische Soll-Barriere bzw. plausible Folge mit künftigem Nachweisbedarf.

▸ S8 | Fakten des realen Falles von didaktischen Soll-Maßnahmen sichtbar unterscheiden. Didaktische Soll-Barriere bzw. plausible Folge mit künftigem Nachweisbedarf.

Bow-Tie-Analyse (Barrieren-basiertes Risikomanagement) · Gefahr → Top-Event → Bedrohungen/Barrieren → Konsequenzen → Eskalationsfaktoren → Maßnahmen5.11.2026

Bow-Tie · Maßnahmen und Abschluss

Top-Event: Infusionspumpe gibt wegen Software-/Alarmfehler keine vorgesehene Infusionsmenge ab oder stoppt unbemerkt die Therapie.

Abgeleitete Maßnahmen zur Barrieren-Verbesserung

Maßnahme	Kategorie	Verantwortlich	Termin	Status
M01 | Fehlerzustand reproduzieren, sichere Bedienbarkeit und Ersatzpumpenwechsel mit Testmatrix validieren; adressiert B1: Softwarefehlercode 255-XX-XXX blockiert Anpassung der Pumpeneinstellungen.	Vorbeugende Maßnahme	Entwicklung Software		Vorgeschlagen
M02 | Infusionsmodus und KVO-Anforderung vor Freigabe eindeutig konfigurieren und softwareseitig sperren; adressiert B2: Delay-Option verhindert erforderliche KVO-Funktion.	Vorbeugende Maßnahme	Produktmanagement Software		Vorgeschlagen
M03 | Akku-/Alarmkette mit realistischen Entladeprofilen in Verifikation und Feldkontrolle testen; adressiert B3: Low-Battery-Alarm wird nicht ausgelöst und Therapie stoppt.	Vorbeugende Maßnahme	Elektronikentwicklung		Vorgeschlagen
M04 | Alarmprioritäten nach klinischer Gefährdung evaluieren, Human-Factors-Test am Stationsarbeitsplatz; adressiert B4: End-of-Infusion-/KVO-Alarm besitzt zu niedrige Priorität.	Vorbeugende Maßnahme	Clinical Engineering		Vorgeschlagen
M05 | Drug-Library-Eingabe mit Grenzprüfung, Vier-Augen-Prinzip und Änderungsfreigabe absichern; adressiert B5: Kundenspezifische Konzentration weicht von ärztlicher Verordnung ab.	Vorbeugende Maßnahme	Medikationsinformatik		Vorgeschlagen
M06 | Gerätebestand über UDI/Seriennummer und Softwareversion mit Rückrufliste abgleichen; adressiert B6: Pumpe wird trotz bekannter betroffener Firmwareversion eingesetzt.	Vorbeugende Maßnahme	Medizintechnikleitung		Vorgeschlagen
M07 | Alarmkommunikation und praktische Einweisung mit realen Therapieabbruchszenarien trainieren; adressiert B7: Personal interpretiert falsche Alarmpriorität als weniger kritisch.	Vorbeugende Maßnahme	Pflegedienstleitung		Vorgeschlagen
M08 | Akku-Restlaufzeit und Reservebetrieb vor patientenkritischem Transport testen; adressiert B8: Stromversorgung wird ohne ausreichende Restlaufzeitanzeige getrennt.	Vorbeugende Maßnahme	Biomedizinische Technik		Vorgeschlagen
M09 | Regressionsprüfung vor Rollout mit repräsentativer Drug Library und Infusionsprotokollen; adressiert B9: Softwareupdate verursacht unerwartete Wechselwirkung mit lokalen Konfigurationen.	Vorbeugende Maßnahme	Qualitätssicherung Software		Vorgeschlagen
M10 | Patientenbezogene Überwachung und unabhängige Therapieplausibilisierung definieren; adressiert B10: Therapieunterbrechung bleibt mangels unabhängiger Beobachtung unentdeckt.	Vorbeugende Maßnahme	Klinische Risikoleitung		Vorgeschlagen
M11 | Ersatzpumpe mit dokumentiertem Umschaltverfahren bereitstellen, zur Beherrschung K1: Therapie beginnt verzögert oder wird unterbrochen.	Schadensbegrenzung	Klinisches Risikomanagement		Vorgeschlagen
M12 | Patientenzustand und Infusionsfortschritt gegen Therapieplan überwachen, zur Beherrschung K2: Vorgeschriebene Medikamentendosis wird unterschritten.	Schadensbegrenzung	Klinisches Risikomanagement		Vorgeschlagen
M13 | Dose-Error-Reduction und klinisches Eskalationsschema anwenden, zur Beherrschung K3: Medikament wird unbeabsichtigt überdosiert.	Schadensbegrenzung	Klinisches Risikomanagement		Vorgeschlagen
M14 | Alarmierung, ärztliche Bewertung und geeignetes Notfallmanagement vorhalten, zur Beherrschung K4: Kritisch kranker Patient dekompensiert während Therapieunterbrechung.	Schadensbegrenzung	Klinisches Risikomanagement		Vorgeschlagen
M15 | Override-/Abweichungstrends überwachen; gegen E1 | Unkritisches Routine-Override wird zur Normalpraxis.	Sicherungsmaßnahme	Qualitäts- und Patientensicherheitsleitung		Vorgeschlagen
M16 | Gezielte Bedien- und Alarm-Challenge-Tests; gegen E2 | Softwarealarm oder Prüfung wird im Alltag übergangen.	Sicherungsmaßnahme	Qualitäts- und Patientensicherheitsleitung		Vorgeschlagen
M17 | Personal- und Eskalationsregel für kritische Arbeitssituationen; gegen E3 | Knappe Zeit und parallele Aufgaben verkürzen Kontrollschritte.	Sicherungsmaßnahme	Qualitäts- und Patientensicherheitsleitung		Vorgeschlagen
M18 | Direktalarmkette im realistischen Szenario messen; gegen E4 | Warnung erreicht zuständige Rolle zu spät.	Sicherungsmaßnahme	Qualitäts- und Patientensicherheitsleitung		Vorgeschlagen
M19 | Überwachungsplan mit verbindlichem Frühwarnkriterium; gegen E5 | Patientenzustand verschlechtert sich ohne unabhängige Beobachtung.	Sicherungsmaßnahme	Qualitäts- und Patientensicherheitsleitung		Vorgeschlagen
M20 | UDI-/Medikationssystem-weite CAPA-Nachverfolgung; gegen E6 | Gleicher Fehler betrifft zusätzliche Fälle.	Sicherungsmaßnahme	Qualitäts- und Patientensicherheitsleitung		Vorgeschlagen

Abschluss

Ergebnis: 20 Maßnahmen · 0 erledigt

Analyst / Unterschrift: Didaktisch simuliertes interdisziplinäres Expertenteam

Datum / Revision: 2026-10-25

Bow-Tie-Risikoanalyse AI · Maßnahmen / Abschluss2 / 2 · 5.11.2026