Fehlertoleranz (Error Tolerance) beschreibt die Eigenschaft einer Benutzungsschnittstelle, Anwendungsfehler zu verhindern, sie unmittelbar abzufangen oder ihre Konsequenzen zu begrenzen. Sie gehört zu den wirksamsten Risikominderungsmaßnahmen im Usability Engineering, weil sie unabhängig von Sorgfalt und Aufmerksamkeit des Nutzers wirkt – anders als Warnhinweise oder Schulung.
Einordnung in die Sicherheitshierarchie
Im Risikomanagement gilt eine feste Rangfolge der Risikobeherrschung: An erster Stelle steht inhärent sichere Gestaltung, die einen Fehler von vornherein unmöglich macht. An zweiter Stelle stehen Schutzmaßnahmen, die einen Fehler zwar zulassen, seine Auswirkung aber begrenzen oder abfangen – genau hier ist Fehlertoleranz verortet. Erst an dritter und letzter Stelle steht Information für die Sicherheit, etwa Warnhinweise und Schulung.
Diese Rangfolge ist keine willkürliche Ordnung, sondern spiegelt empirische Wirksamkeit: Warnhinweise und Schulung setzen voraus, dass ein Nutzer sie im entscheidenden Moment erinnert und befolgt – eine Annahme, die unter Zeitdruck, Routine oder hoher kognitiver Belastung nachweislich häufig nicht zutrifft. Fehlertoleranz wirkt dagegen unabhängig davon, ob der Nutzer in diesem Moment aufmerksam ist.
Drei Ebenen der Fehlertoleranz
Fehlertolerante Gestaltung lässt sich in drei zeitliche Wirkebenen unterteilen, die jeweils unterschiedliche Gestaltungsmittel erfordern:
- Fehlervermeidung – der Fehler wird gar nicht erst möglich, etwa durch physische Zwangsführung oder Plausibilitätsprüfungen, die eine unsinnige Eingabe von vornherein verhindern.
- Fehlerentdeckung – ein bereits begangener Fehler wird dem Nutzer unmittelbar zurückgemeldet, bevor er sich auswirkt, etwa durch eine Bestätigungsabfrage vor einer kritischen Aktion.
- Fehlerbehebung – die Folgen eines Fehlers werden begrenzt oder rückgängig gemacht, etwa durch eine Undo-Funktion oder eine automatische Sicherheitsabschaltung.
Diese drei Ebenen schließen einander nicht aus, sondern wirken idealerweise gestaffelt: Wo Fehlervermeidung technisch nicht vollständig möglich ist, sollte Fehlerentdeckung greifen; wo auch das nicht gelingt, sollte zumindest die Fehlerbehebung die Konsequenz begrenzen.
Konkrete Gestaltungsmechanismen
- Physische Kodierung – unterschiedliche Steckerformen oder Anschlussgeometrien, die eine falsche Verbindung mechanisch ausschließen.
- Plausibilitätsprüfungen – das System weist Eingaben zurück, die außerhalb eines sinnvollen Wertebereichs liegen, statt sie unkommentiert zu übernehmen.
- Bestätigungsdialoge – vor irreversiblen oder sicherheitsrelevanten Aktionen wird eine zusätzliche Bestätigung verlangt, gezielt eingesetzt und nicht inflationär, da zu viele Bestätigungen zu reflexhaftem Wegklicken führen.
- Rückgängig machbare Aktionen – Einstellungen lassen sich innerhalb eines definierten Zeitfensters folgenlos korrigieren.
- Sichere Ausgangs- und Ruhezustände – ein Gerät kehrt nach Unterbrechung oder Fehlfunktion in einen Zustand zurück, der keinen Schaden verursachen kann.
- Redundante Bestätigung kritischer Werte – etwa die getrennte Eingabe und Anzeige eines Therapieparameters vor dessen Aktivierung.
Abwägung: Fehlertoleranz gegen Bedienaufwand
Fehlertoleranz ist kein Selbstzweck, der beliebig gesteigert werden sollte. Zu viele Bestätigungsdialoge, übermäßig strenge Plausibilitätsprüfungen oder ständige Rückfragen erhöhen die kognitive Belastung und führen paradoxerweise zu neuen Fehlern: Nutzer entwickeln reflexhafte Bestätigungsmuster, die genau die Schutzwirkung untergraben, die die Maßnahme eigentlich erzielen sollte.
Die richtige Kalibrierung ergibt sich aus der Nutzungsrisikoanalyse: Fehlertolerante Maßnahmen sollten dort konzentriert werden, wo ein Fehler tatsächlich zu ernstem Schaden führen könnte – bei kritischen Aufgaben –, während folgenlose Routinehandlungen nicht mit unnötigen Absicherungen belastet werden sollten.
Wo Fehlertoleranz am wichtigsten ist
Am wirksamsten ist Fehlertoleranz dort, wo die drei ungünstigsten Bedingungen zusammentreffen: hohe Schadensschwere, geringe Wahrscheinlichkeit rechtzeitiger Entdeckung durch den Nutzer selbst und ein Nutzungskontext mit erhöhter Fehleranfälligkeit – etwa Notfallnutzung unter Zeitdruck oder Bedienung durch wenig geübte Anwender.
Für genau diese Fälle liefert die Kombination aus Fehlervermeidung und Fehlerentdeckung den größten Sicherheitsgewinn, weil sie nicht von der Aufmerksamkeit des Nutzers im entscheidenden Moment abhängt. Eine reine Fehlerbehebung im Nachhinein ist dort unzureichend, wo der Schaden bereits eingetreten ist, bevor eine Korrektur möglich wird.
Regulatorischer Bezug
Nach ISO 14971 sind inhärent sichere Gestaltung und Schutzmaßnahmen – zu denen Fehlertoleranz zählt – gegenüber Information für die Sicherheit vorrangig zu prüfen und umzusetzen. Diese Rangfolge ist ein zentrales Prinzip des Risikomanagements und wirkt unmittelbar auf die Bewertung von Risikokontrollmaßnahmen in der Nutzungsrisikoanalyse nach IEC 62366-1.
Wird ein Anwendungsfehler ausschließlich durch einen Warnhinweis statt durch eine fehlertolerante Gestaltung adressiert, obwohl Letztere technisch möglich wäre, muss dies in der Risikoanalyse begründet werden – eine Begründung, die vor einer Benannten Stelle oder der FDA nicht immer Bestand hat.
Häufige Fragen (FAQ)
Ist Fehlertoleranz dasselbe wie ein Warnhinweis?
Nein, im Gegenteil. Fehlertoleranz gehört zu den Schutzmaßnahmen und wirkt unabhängig von der Aufmerksamkeit des Nutzers. Ein Warnhinweis gehört zur Information für die Sicherheit und steht in der Rangfolge der Risikobeherrschung an letzter, schwächster Stelle, weil er auf Sorgfalt im entscheidenden Moment angewiesen ist.
Kann zu viel Fehlertoleranz schaden?
Ja. Zu viele Bestätigungsdialoge oder übermäßig strenge Prüfungen erhöhen die kognitive Belastung und führen zu reflexhaftem Wegklicken, das die eigentliche Schutzwirkung untergräbt. Fehlertolerante Maßnahmen sollten gezielt bei kritischen Aufgaben eingesetzt werden, nicht pauschal überall.
Welche Ebene der Fehlertoleranz ist am wichtigsten?
Es gibt keine pauschale Rangfolge zwischen Fehlervermeidung, -entdeckung und -behebung – idealerweise wirken sie gestaffelt. Bei kritischen Aufgaben mit hoher Schadensschwere sind Fehlervermeidung und -entdeckung besonders wichtig, weil eine reine Behebung im Nachhinein zu spät kommen kann.
Muss jede fehlertolerante Maßnahme in der Nutzungsrisikoanalyse dokumentiert werden?
Ja, insbesondere wenn sie als Risikokontrollmaßnahme für einen identifizierten Anwendungsfehler dient. Ihre Wirksamkeit muss zudem in der formativen oder summativen Evaluation nachgewiesen werden – eine geplante, aber ungetestete Maßnahme gilt regulatorisch nicht als belegt.
Fehlertoleranz verhindert, entdeckt oder begrenzt Anwendungsfehler unabhängig von der Aufmerksamkeit des Nutzers – und ist damit wirksamer als Warnhinweise oder Schulung, die genau darauf angewiesen sind. Sie steht in der Sicherheitshierarchie des Risikomanagements bewusst an zweiter Stelle, direkt nach inhärent sicherer Gestaltung.
Konzentriert werden sollte sie dort, wo es zählt: bei kritischen Aufgaben mit hoher Schadensschwere, nicht pauschal bei jeder Bedienhandlung.
Sie wollen Anwendungsfehler durch Gestaltung verhindern statt durch Warnhinweise zu kompensieren? Wir identifizieren, wo fehlertolerante Maßnahmen den größten Sicherheitsgewinn bringen.
Mehr zu unserem Usability Engineering