UX in der Leitwarte: Vertrauen vor dem Handeln

Eine Leitwarte ist kein Büro. Wer hier sitzt, arbeitet unter Bedingungen, die eine normale Oberfläche nicht vorsieht: Schichtbetrieb, Alarme, die jederzeit kommen können, Anlagen, deren Zustand in Sekunden erfasst sein will. Wer hier UX gestaltet, gestaltet nicht für Bequemlichkeit, sondern für Sicherheit. Eine Oberfläche, die im Normalfall gut aussieht, aber im Störfall unklar ist, ist in der Leitwarte keine gute Oberfläche.

Dieser Text beschreibt, warum Vertrauen zwischen Bediener und System die Voraussetzung für Handeln ist, und was UX beiträgt, damit dieses Vertrauen entsteht.

Die Leitwarte als Umgebung hoher Last

Wer eine normale Arbeitsumgebung kennt — ruhig, unterbrechbar, mit klaren Aufgaben —, unterschätzt die Leitwarte. Hier ist die Last anders verteilt: lange Phasen der Beobachtung, unterbrochen von kurzen Phasen hoher Dichte. In diesen kurzen Phasen muss der Bediener erkennen, entscheiden und handeln — oft parallel, oft mit Folgen, die nicht zurückrollbar sind.

Unter dieser Last funktioniert kein „vielleicht“. Ein Bediener, der nicht vertraut, dass die Oberfläche ihm den Zustand korrekt zeigt, fängt an, sich abzusichern. Er ruft einen Kollegen an, er schaut auf eine zweite Anzeige, er greift auf Notizen zurück. Das ist kein Zeichen von Sorgfalt, sondern ein Zeichen dafür, dass die Oberfläche das Vertrauen nicht trägt.

Alarmflut und Bildschirme, die alles zeigen

Zwei klassische Symptome einer Leitwarte, deren UX nicht mitgedacht wurde, sind Alarmflut und Vollständigkeitsoptik. Alarmflut bedeutet: bei einer Störung melden sich viele Melder gleichzeitig, ohne dass klar ist, welcher der Ursprungsmelder ist und welche nur Folge sind. Die Folge ist nicht mehr Information, sondern weniger — der Bediener muss erst mühsam herausfiltern, was überhaupt handlungsweisend ist.

Vollständigkeitsoptik bedeutet: ein Bildschirm, der alles zeigt, weil niemand sich getraut hat, etwas wegzulassen. Das Ergebnis ist eine Oberfläche, in der das Wichtige nicht vom Unwichtigen zu unterscheiden ist. Wer alles zeigt, zeigt nichts. In der Leitwarte ist Reduktion keine Designfrage, sondern eine Frage der Handlungsfähigkeit.

Was die Richtlinien sagen

Zum Glück muss UX in der Leitwarte nicht bei null anfangen. Es gibt etablierte Richtlinien, die aus Jahrzehnten Praxis entstanden sind. Drei davon sind besonders relevant.

ISA-101 (International Society of Automation) behandelt die Gestaltung von Bedienoberflächen in der Prozessindustrie — von der Hierarchie der Anzeige über den Umgang mit Alarmen bis zur Lesbarkeit unter den Lichtbedingungen einer Warte. Die Richtlinie ist über die ISA direkt beziehbar: https://www.isa.org/standards-and-publications/isa-standards/isa-standards-committees/isa101 .

VDI/VDE 3699 (Verein Deutscher Ingenieure) legt fest, wie Prozessleitsysteme und Visualisierungen zu gestalten sind, und ist im deutschsprachigen Raum der etablierte Bezug. Die Richtlinie ist über den VDI beziehbar: https://www.vdi.de/richtlinien/details/vdivde-3699 .

EEMUA 191 (Engineering Equipment and Materials Users Association) ist der internationale Standard für Alarmmanagement — also für den Umgang mit Alarmflut, Priorisierung und die Frage, was überhaupt ein Alarm sein sollte. Bezug über EEMUA: https://www.eemua.org/Products/Publications/EEMUA-191 .

Diese drei Quellen sind nicht Geschmackssache. Sie sind das Ergebnis vieler Unfälle und vieler Beobachtungen. Wer in der Leitwarte UX gestaltet, ohne sie zu kennen, wiederholt Fehler, die schon andere gemacht und dokumentiert haben.

Beobachten, bevor man zeichnet

Der häufigste Fehler in Leitwarte-Projekten ist, am Schreibtisch zu beginnen. Wer eine Oberfläche für eine Leitwarte zeichnet, ohne je in einer Warte gesessen zu haben, zeichnet für eine Umgebung, die er sich nur vorstellt. Die Vorstellung ist meist falsch.

Beobachtung am Arbeitsplatz — mehrere Schichten, unterschiedliche Lastphasen, Tag und Nacht — verändert das Ergebnis. Man sieht, welche Anzeige der Bediener tatsächlich nutzt und welche er übergeht. Man sieht, wo er sich Notizen macht und warum. Man sieht, wie erfahrene Kollegen Neuen erklären, was die Oberfläche nicht hergibt. All das ist Material für eine Oberfläche, die trägt.

Wer diesen Schritt überspringt, baut eine Oberfläche, die formal richtig ist und in der Praxis ignoriert wird. Eine Oberfläche, die ignoriert wird, ist aber keine Oberfläche — sie ist Dekoration mit Risiko.

Modernisieren, ohne alles zu wechseln

Viele Leitwarten brauchen eine Modernisierung, nicht einen Neubau. Wer alles wechselt, wechselt auch das implizite Wissen der Bediener aus — und das ist das teuerste, was eine Warte hat. Eine gute Modernisierung erhält, was funktioniert, und ersetzt nur, was nicht trägt.

Drei Hebel haben sich bewährt, ohne die Anlage von Grund auf neu zu denken.

• Alarmstruktur aufräumen: Ursprungsmelder von Folgemeldern trennen, Priorisierung prüfen, nicht-eigentliche Alarme aus der Alarmliste herausnehmen.
• Anzeigehierarchie klarlegen: eine Übersicht, die den Zustand zeigt, und Detailbilder, die erst aufgerufen werden, wenn sie gebraucht werden — nicht alles auf einer Ebene.
• Vertrauenspunkte setzen: an den Stellen, an denen der Bediener heute zögert, die Anzeige so gestalten, dass der Zustand eindeutig ist — nicht mehrdeutig, nicht „vielleicht“.

Wer diese Hebel ansetzt, modernisiert eine Warte, ohne das Wissen der Bediener zu entwerten. Das Ziel ist nicht eine neue Oberfläche, sondern eine Oberfläche, der im Störfall vertraut wird.

Was der erfahrene Bediener dem Neuen erklärt

Ein gutes Indiz dafür, wo eine Oberfläche nicht trägt, ist das, was erfahrene Bediener Neuen erklären. Oft beginnt die Einweisung nicht bei der Bedienung, sondern bei den Umwegen: „Auf diesem Bild musst du aufpassen, der Wert steht unten nicht aktuell.“ „Wenn hier mehr als drei Alarme kommen, ignoriere die unteren beiden.“ „Den echten Zustand siehst du besser im Trendbild, nicht in der Übersicht.“ Jeder dieser Sätze ist eine Stelle, an der die Oberfläche das Vertrauen nicht selbst hergibt.

Wer diese Sätze sammelt, bekommt eine Landkarte der Schwachstellen — ohne Umfrage, ohne Auswertung, einfach durch Zuhören in der Schicht. Das Material ist wertvoller als jede Anforderungsliste, weil es aus der echten Arbeit stammt und nicht aus der Vorstellung davon.

Daraus folgt eine klare Priorität für die Modernisierung: Wer die Stellen, die der erfahrene Bediener erklärt, zuerst aufräumt, gewinnt schnell Vertrauen. Wer stattdessen die Oberfläche nach Optik modernisiert und die erklärten Stellen stehen lässt, verliert es. Der Bediener merkt, dass die Stellen, die er jahrelang umschifft hat, nicht verstanden wurden — und das Vertrauen in das Projekt sinkt, bevor es richtig begonnen hat.

Vertrauen in der Leitwarte ist also kein weicher Wert, sondern ein konkreter: Er misst sich daran, wie viele dieser Umwege nach einer Modernisierung noch nötig sind. Sinkt die Zahl, trägt die Oberfläche. Bleibt sie gleich, hat sich nur das Aussehen geändert.

Was wir daraus lernen

UX in der Leitwarte ist keine Frage der Optik, sondern der Betriebssicherheit. Vertrauen zwischen Bediener und System ist die Voraussetzung für Handeln — und Vertrauen entsteht nicht durch Design, sondern durch eine Oberfläche, die den Zustand verlässlich zeigt, auch wenn es schwierig wird.

Wer eine Leitwarte modernisiert oder neu gestaltet, sollte mit Beobachtung beginnen, nicht mit dem Werkzeug. Die Richtlinien geben den Rahmen, die Beobachtung gibt den konkreten Fall. Wer beide ernst nimmt, baut Oberflächen, die im Störfall tragen.

Wenn Sie vor der Modernisierung einer Leitwarte stehen — oder vor dem Aufbau einer neuen Visualisierung —, lohnt sich ein Erstgespräch. Wir schauen uns an, wo die heutige Oberfläche das Vertrauen nicht trägt und was es braucht, damit der Bediener im entscheidenden Moment handeln kann.