AM 6. JULI 1988 zerfetzt eine Serie von Explosionen die Ölplattform Piper Alpha vor der schottischen Küste. 167 Arbeiter werden getötet; einige Männer überleben, weil sie den Sprung aus 25 Meter Höhe in die Nordsee gewagt haben. Der Versicherungsschaden beläuft sich auf 1,5 Milliarden Dollar - ein neuer Rekord für einen technischen Einzelschaden. Die spärlichen Überreste der Anlage und Zeugenaussagen lassen als Katastrophenursache eine Kette schwerster Nachlässigkeiten vermuten: Um eine der Kondensatpumpen zu warten, hatte man ein Überdruckventil entfernt. Als sich dann im Leitungssystem aus unbekanntem Grund ein Überdruck aufbaute, nahm das Verhängnis seinen Lauf - die Rohrleitungen platzten, und das austretende Öl entzündete sich. Jetzt hätten automatisch zwei mächtige Löschwasserpumpen starten müssen. Da aber just an diesem Tag an der Plattform auch unterhalb des Wasserspiegels Wartungsarbeiten im Gange waren und die Taucher bei einem Start der Löschpumpen durch die Saugstutzen gefährdet gewesen wären, hatte man die Löschpumpen auf Handbetrieb geschaltet. Im dichten Rauch der Katastrophe konnten die Arbeiter auf der Plattform die Handstarter nicht mehr erreichen. Und da die Explosionen den Kontrollraum in Trümmer legten, war jegliche zentrale Intervention blockiert.
Eine ähnliche Kette technischer Pannen und fehlerhafter Entscheide liess nur wenig später in Texas eine Chemiefabrik in die Luft fliegen. Am 23. Oktober 1989 zerstörten mehrere Explosionen und ein nachfolgender Grossbrand eine Polyolefin-Anlage der Phillips Petroleum in Pasadena, nur 20 Kilometer entfernt von der Grossstadt Houston. 23 Arbeiter kamen ums Leben, 125 wurden schwer verletzt, Teile der Fabrik flogen kilometerweit durch die Gegend. Der Schaden erreichte wiederum Milliardenhöhe. Da dieses Werk zehn Prozent des weltweiten Marktes an High-Density-Polyethylen (HDPE) abdeckte, erwuchs dem Unternehmen ein Ertragsausfall von einer halben Milliarde Dollar.
Auch hier stand am Anfang der Katastrophe ein scheinbar harmloser Defekt. In den Transportleitungen für das produzierte HDPE bilden sich mit der Zeit Klumpen, die regelmässig entfernt werden müssen. Während solcher Wartungsarbeit läuft die Anlage weiter; lediglich der betreffende Rohrabschnitt wird mittels Ventilen abgetrennt und für die Reinigung geöffnet. Wartungsarbeiten an der laufenden Anlage sind in der Petrochemie üblich, denn selbst ein kurzzeitiger Produktionsunterbruch bewirkt hohe Ausfallkosten.
Da die Verwüstung in Pasadena ähnlich gründlich wie auf der «Piper Alpha» war, liess sich auch hier der genaue Unglücksverlauf nicht mehr rekonstruieren. Das wahrscheinlichste Szenario: Während der Wartungsarbeit wurde das pneumatische Ventil, das den unter hohem Druck stehenden Reaktorinhalt von der Reparaturstelle trennte, regelwidrig geöffnet. Zwar war die Druckluftleitung zum Steuern des Ventils gemäss der Sicherheitsvorschrift abgekuppelt worden, doch hatte man entweder die Schläuche für die Steuerluft verwechselt, oder jemand war auf die Idee gekommen, einen der störenden Klumpen mit Hilfe des Reaktordruckes aus der Leitung zu pusten. Die Ventilmanipulation setzte innert Sekunden den gesamten Reaktorinhalt von 40 Tonnen leicht entzündlicher Gase im Werksgelände frei. Es dauerte keine zwei Minuten, bis irgendein Funke die tödliche Wolke zündete.
Die beiden Katastrophen stehen stellvertretend für eine Vielzahl von Explosionen und Bränden, die sich fast täglich irgendwo auf der Welt in Industriebetrieben ereignen. Seit Mitte der achtziger Jahre sind die Versicherungsschäden durch Grossbrände (ab 30 Millionen Dollar) markant gestiegen und liegen jetzt Jahr für Jahr gesamthaft über der Milliardengrenze. In der traurigen Rangliste stehen die Chemiebetriebe an vorderster Stelle. Es wäre allerdings falsch zu vermuten, diese Branche nehme es mit der Sicherheit nicht so genau, denn hier passieren weniger Arbeitsunfälle als in den meisten andern Industriezweigen. Wenn aber dann doch eine gravierende Panne auftritt, eskaliert das Geschehen häufiger als anderswo zur Katastrophe.
Denn in der Chemie und vor allem in der Petrochemie werden die Prozesse derart nahe am physikalischen und chemischen Limit betrieben, dass im Störfall nur wenig Spielraum bleibt, bis die Sache aus dem Ruder läuft. So werden in den Reaktoren und Rohrleitungen riesige Mengen leicht entzündlicher Substanzen aus Gründen der Effizienz bei hohem Druck und hohen Temperaturen gespeichert. Ein Ammoniakreaktor etwa synthetisiert täglich 1500 Tonnen explosives Gasgemisch bei 200 bis 400 Grad Celsius und einem 300fachen Überdruck - ein Energiepotential mit einer Zerstörungskraft von 1000 Kilogramm des Sprengstoffs TNT. Gerät nun durch eine Panne der Prozess ausser Kontrolle, wird nach einer ersten Explosion im Dominoeffekt nicht selten die gesamte Grossanlage zerstört - wie ein Schnellzug in voller Fahrt, der bei einem Geleiseschaden unhaltbar ins Verderben rast.
Der Versicherungswirtschaft bereiten solche potentiellen Bomben grosse Sorgen. Seit den achtziger Jahren rutscht das Geschäft mit der Öl- und Petrochemie immer wieder in die roten Zahlen, weil die versicherten Schäden das Prämienvolumen übersteigen. So mussten 1989 mit lediglich einer Milliarde Prämieneinnahmen in der Kasse weltweit 3,5 Milliarden Dollar vergütet werden. Von dieser Entwicklung besonders betroffen sind die grossen Rückversicherer, denn sie sind praktisch bei jedem Grossunfall finanziell involviert - allen voran der Branchenleader Münchener Rück (8,1 Milliarden Dollar Nettoprämien im Jahre 1993) und als weltweit zweitgrösstes Unternehmen die Schweizer Rück.
Um im Petrochemiegeschäft auf festeren Boden zu kommen, hat die Schweizer Rück mit Computerhilfe Höchstschaden-Szenarien für Explosionen entwickelt. Anstoss dazu war die Katastrophe in einem Nylonwerk in England im Jahre 1974, wo nach dem Bruch einer improvisierten Leitung aus dem Reaktor leicht brennbares Cyclohexan verdampfte. Die Gaswolke explodierte. Die Detonation machte nicht nur das Werk dem Erdboden gleich, sondern richtete auch im Umkreis von sechs Kilometern schwere Schäden an zahllosen Häusern an. Da frühere Gaswolkenexplosionen die Werksgrenzen nie überschritten hatten, war man mit der Gefahr allzu sorglos umgegangen. Die Katastrophe veranlasste die britische Regierung, eine entsprechende Störfallverordnung einzuführen. Und bei der Schweizer Rück machte man sich an die Entwicklung mathematischer Modelle solcher Explosionen.
Um verschiedene Schadenszenarien von Gaswolkenexplosionen oder auch die Explosion eines Hochdruckbehälters wirklichkeitsnah simulieren zu können, kombiniert man die Erfahrungen aus bisherigen Explosionen zu Computermodellen. Will man nun mit Hilfe solcher Modelle für eine Industrieanlage das Schadenpotential berechnen, muss zuerst vor Ort ermittelt werden, in welchen Anlagen des Werkes sich welche Mengen entzündlicher Stoffe unter kritischen Betriebsbedingungen befinden. Für die im Störfall freigesetzte Gaswolke wird dann das Sprengstoff-Äquivalent berechnet. Je nach Ausbreitungsart der Wolke und dem Zeitpunkt der Explosion nach Freisetzung der Gase ergibt sich an den einzelnen Orten im und um das Werkareal ein bestimmter Explosionsdruck. Indem der Computer alle möglichen Fälle durchrechnet, findet man schliesslich die Höchstschadenvariante. Die Erkenntnisse aus früheren Störfällen zeigen, dass eine freigesetzte Gaswolke schon bei leichtem Wind stark wandern kann und allenfalls erst Minuten später auf eine Zündquelle trifft. Der Höchstschaden resultiert in der Regel eher aus solchen verdrifteten als aus stationären Gaswolken.
In den letzten Jahren interessierte sich das Risk Management der Versicherungsbranche vermehrt auch für die Ausbreitungsdynamik von Grossbränden. Denn der Trend zu immer grösseren Fabrikhallen schuf für das Brandrisiko neue Dimensionen. Kilometerlang und etliche hundert Meter breit werden manche Werkshallen aus produktionstechnischen Gründen als gigantische Räume, ohne Unterteilungen, konzipiert. Da kann sich ein lokaler Brandherd sehr rasch zum Grossbrand entwickeln. Aber auch Lagerhäuser, obschon hier keine heiklen Produktionsprozesse ablaufen, können stark feuergefährdet sein. So geriet am 21. Juli 1982 in Pennsylvania eines der grössten Warenverteilzentren der Welt in Brand. Das als Brandschutz gewählte Konzept erwies sich als völlig untauglich, denn in den Gestellen lagerten mittlerweile Unmengen von Aerosoldosen mit brennbarem Treibmittel. Die vom Feuer erfassten Dosen zischten wie Raketen durch die Halle. Da nur Sprinklervorhänge und keine Brandschutztüren die Lagersektoren trennten, lag das Zentrum im Wert von über 100 Millionen Dollar innert kürzester Zeit in Schutt und Asche.
Auch schiere Unvernunft kann einen Störfall zur Katastrophe werden lassen. Am 18. Dezember 1982 signalisierte im Tanklager eines Elektrizitätswerkes im venezolanischen Tacoa die automatische Temperaturüberwachung im Öltank Nr. 8 ein Ansteigen der Temperatur über den Sollwert von 80 Grad. Die Bedienungsmannschaft vermutete einen Reglerdefekt an einem der Heizgeräte, mit denen das schwere Heizöl erwärmt wird, damit es besser durch die Leitungen ins Kraftwerk fliesst. Man reduzierte die Heizleistung und glaubte damit die Panne korrigiert zu haben. Ein weiterer Temperaturalarm einige Stunden später wurde ignoriert - die Bedienungsmannschaft war gerade an einer Weihnachtsfeier. Erst am frühen Morgen beauftragte man Arbeiter, den Tank zu inspizieren. Es lässt sich nur spekulieren, dass diese Mannschaft dort ein Feuerzeug benutzte, um die Instrumente besser ablesen zu können. Die heftige Explosion der beim überhitzten Tank angesammelten Öldämpfe tötete die gesamte Mannschaft und setzte den Tank in Brand. Die installierte Löschanlage funktionierte nicht. Und auch die Feuerwehr brachte den Brand nicht unter Kontrolle, weil die einzelnen Löschmannschaften im Alleingang zu löschen versuchten, während nur ein gemeinsamer Grossangriff Aussicht auf Erfolg gehabt hätte.
Das Ungeheuerliche geschah Stunden später. Nach Mittag standen 500 Zuschauer, Reporter und Helfer um den lichterloh brennenden Tank. Plötzlich verdampfte infolge der Hitze das auf dem Grund des Tanks unter dem schwimmenden Öl liegende Wasser und riss schlagartig 10 000 Tonnen Öl ins Freie, was sofort die gesamte Anlage in einen riesigen Feuerball hüllte. Innert Kürze waren 150 Personen tot, 17 Feuerwehrautos verkohlt, 40 Häuser in der Umgebung ausgebrannt.
Je komplexer technische Systeme werden, desto schwieriger wird es, sie sicher zu beherrschen. Zwar lassen sich redundante Sicherheitssysteme planen, indem ein Öltanker doppelwandig, ein Motorfahrzeug mit zwei voneinander unabhängigen Bremssystemen gebaut wird. Zurzeit sind sogar «intelligente» Werkstoffsysteme in Entwicklung, die Materialermüdungen frühzeitig diagnostizieren, sich selber reparieren und sich an veränderte Umgebungsbedingungen anpassen. So hat die Nasa faseroptische Sensoren entwickelt, die, in den Flugzeugrumpf eingebettet, laufend die Spannungen im Material messen und Risse erkennen. Mit sogenannten Aktuatoren, etwa Metalllegierungen mit Formgedächtnis, hofft man Gebäude und Brücken zu konstruieren, die sich während eines Erdbebens selber verstärken und Risse schliessen. Auch der menschliche Risikofaktor lässt sich mindestens teilweise kompensieren, indem man Betriebskonzepte fehlertolerant auslegt. Ein Kernkraftwerk beispielsweise umfasst mehr als zehntausend Ein- und Ausgabegrössen. Drückt nun ein Operateur eine unsinnige und möglicherweise gefährliche Tastenkombination, «verzeiht» das System den Fehler, indem es den Befehl automatisch sperrt.
Bei aller technischen und menschlichen Sicherheitskultur stossen heutige Grossanlagen an prinzipielle Grenzen: Technische Systeme können derart komplex sein, dass sich zwar die einzelnen chemischen und physikalischen Vorgänge noch beschreiben lassen, das System als Ganzes aber nur noch mit begrenzter Wahrscheinlichkeit in seinem Verhalten vorhersagbar ist. Wie beim Wetter.
Für die Versicherungsbranche ergibt sich ein doppeltes Dilemma: Nicht nur klettern bei immer grösseren technischen Einrichtungen die Sachwerte ins Astronomische, auch ein realistisches Bewerten der Risiken wird weitgehend illusorisch, weil solche Giganten der Technik meist nur in einem oder wenigen Exemplaren existieren und somit statistische Erfahrungen über Schadenshäufigkeiten fehlen. Dies machte in neuerer Zeit etwa die Raumfahrt zum Sorgenkind der Versicherer, denn bei Versicherungssummen bis zu einer halben Milliarde Dollar pro Flugobjekt kann schon ein einziger Totalschaden die Kasse der Versicherer empfindlich schröpfen. Als 1984 in der Raumfahrt gleich mehrere Objekte verlorengingen, kostete dies die Erst- und Rückversicherer fast das Dreifache der Prämieneinnahmen, was dem betroffenen Markt für sechs Jahre rote Zahlen bescherte.
Trotzdem: Die Grosstechnik unserer Zeit ist nicht zuletzt möglich geworden, weil Versicherungen das finanzielle Risiko tragbar machen. Es gehört zur Ironie der Technikgeschichte, dass es jetzt auch die Versicherungen sind, die gewissen Entwicklungen Grenzen setzen. Denn für manche Mammutprojekte reicht selbst die weltweit zusammengefasste Kapazität des Versicherungsmarktes für eine adäquate Deckung nicht mehr aus. Ende der siebziger Jahre hatte ein solcher Deckungsnotstand zur Folge, dass in Japan ein Supertanker mit einer Rekordgrösse von einer Million Bruttoregistertonnen schliesslich nicht gebaut wurde. Und auch die geplante internationale Raumstation Alpha dürfte an die Grenzen des Weltmarktes für Raumfahrtversicherungen stossen.
In technische Projekte besonders stark involviert ist die Münchener Rück; sie ist mit einem Anteil von 18 Prozent der auf diesem Sektor weltweit pro Jahr bezahlten 7 Milliarden Dollar Versicherungsprämien denn auch entsprechend exponiert. In ihren jüngsten Veröffentlichungen schildert sie, was die Versicherungswirtschaft zurzeit an neuen Risiken trägt oder was erst noch auf die Branche zukommt. In Norwegen wurde die Troll-Gas-Plattform gebaut und im Mai 1995 zum Troll-Gasfeld in die Nordsee geschleppt. 370 Meter hoch, stehen die 700 000 Tonnen schweren Stahlbetontürme ohne Verankerung, allein durch ihr Eigengewicht, direkt auf dem 300 Meter tiefen Meeresboden. Das gesamte Projekt kostet 5 Milliarden Dollar; die Plattform ist jedoch bereits bei der Inbetriebnahme ein Dinosaurier. Obschon man ursprünglich 20 solcher Condeeps plante, wird dies die einzige Anlage bleiben - nicht zuletzt wegen der enormen Versicherungskosten, dann aber auch wegen der Probleme mit der späteren Entsorgung des Betonbergs.
Als viel kostengünstigere Lösung für das Erschliessen von Öl- und Gasvorkommen in der Tiefsee wurde die Tension Leg Platform (TLP) entwickelt: Die Plattformaufbauten werden von einem schwimmenden Halbtaucher getragen, der mit Zugrohren am Meeresboden verankert und dann einige Meter unter den Wasserspiegel gezogen wird. So liegt die Plattform, von Wind und Wellen kaum gestört, ruhig im Wasser. Im April 1994 nahm im Golf von Mexiko die TLP «Auger» ihren Betrieb auf. Zuvor hatten Projektverantwortliche und Versicherer allerdings einigen Schrecken zu überstehen. Der 20 000 Tonnen schwere Halbtaucher war in einen Sturm geraten, als man ihn von Italien über den Atlantik schleppte. Noch kritischer wurde die Montage des riesigen Decks. Denn wegen verspäteter Lieferung musste man die von Kähnen getragenen Aufbauten mitten in der Hurrikan-Saison auf den Halbtaucher montieren und die Anlage schliesslich im hier 870 Meter tiefen Meeresboden per Fernbedienung verankern. Ein sehr risikoreiches Unterfangen, das kein erfahrener Versicherer ein zweites Mal so akzeptieren wird.
Hochkonjunktur haben auch gigantische Verkehrsprojekte. Unlängst ist der Ärmelkanaltunnel in Betrieb genommen worden. War die siebenjährige Bauzeit mit 900 kleineren Schäden noch mässig risikoreich, besteht jetzt ein beachtliches Betriebsrisiko. An den Sachwerten und der Betriebsausfallversicherung ist die Münchener Rück mit 20 Prozent von insgesamt fast 5 Milliarden Dollar beteiligt. Und schon in der Bauphase von Grossschäden begleitet ist der Great Belt Link. Dieses Mammutprojekt soll die dänischen Inseln Fünen und Seeland mit einer 17,5 Kilometer langen Strassen- und Bahnverbindung verknüpfen; unter anderem werden ein Doppeltunnel unter Wasser und die längste Hängebrücke der Welt (1624 m) gebaut. Bereits haben ein Wassereinbruch und ein Grossbrand an den Tunnelbohrmaschinen und in den Stollen Schäden von gegen 50 Millionen Dollar verursacht und das Projekt um annähernd zwei Jahre verzögert. Immerhin hatten die Münchener Rück und andere Versicherer das Baurisiko so hoch eingeschätzt, dass sie sich nur sehr beschränkt beteiligten.
Ähnlich heikel ist der Trans-Tokyo-Bay-Highway, die seit 1987 gebaute Unter- und Überquerung der 15 Kilometer breiten Bucht von Tokio. Hier macht vor allem die hohe Erdbebengefahr das Projekt zum schwer berechenbaren Risiko. Und welche Risiken der jetzt von der japanischen Regierung geplante moderne Turm von Babel mit sich bringen dürfte, lässt sich nur erahnen: 1000 Meter hoch, soll er eine ganze Stadt mit Büros, Geschäften, Schulen, Wohnungen, Hotels, Theater und Krankenhaus unter einem Dach vereinen. Ob der Versicherungsmarkt solche Himmelsstürmerei mittragen wird, ist mehr als fraglich.
Herbert Cerutti ist Wissenschaftsredaktor der NZZ.