Totmannknopf und Zustimmungstaster: Die Ethik der Zweihandbedienung

Technikphilosophie eines sicherheitsgerichteten Interfaces

Zusammenfassung: Der Übergang vom mechanischen Totmannschalter zur softwaredefinierten Zweihandsteuerung und weiter zum kollaborativen Zustimmungstaster markiert nicht nur eine evolutionäre Stufe der Sicherheitstechnik, sondern einen fundamentalen Wandel im Mensch-Maschine-Verhältnis. Dieser Artikel untersucht die normative Tiefenstruktur industrieller Bedienelemente. Ausgehend von einer technikphilosophischen Analyse der DIN EN ISO 13849-1 wird gezeigt, dass Sicherheitsschaltungen stets auch soziale Ordnungen codieren: Der Totmannknopf institutionalisiert Misstrauen, die Zweihandsteuerung erzwingt Intentionalität, und der Zustimmungstaster in der Mensch-Roboter-Kollaboration etabliert eine neue Form der geteilten Handlungsmacht. Die These lautet, dass die zunehmende Softwaredefinierung sicherheitsgerichteter Funktionen das klassische Modell des „Zwangs“ durch ein Modell der „Aushandlung“ ersetzt – mit weitreichenden Konsequenzen für Verantwortungszuschreibung und Subjektkonstitution.

1. Einleitung: Das Bauteil als Philosophikum

Industrielle Sicherheitstechnik erscheint auf den ersten Blick als ein striktes Ingenieurproblem: Risikobeurteilungen, Performance Level, Kategorien, Wahrscheinlichkeitsrechnungen. Die DIN EN ISO 13849-1 formuliert mathematisch operationalisierbare Anforderungen an den „Mean Time to Dangerous Failure“ und die „Diagnostic Coverage“ . Doch unter dieser technischen Oberfläche operiert eine tiefere, normative Schicht.

Jeder Sicherheitsschalter, jedes Zweihand-Bedienteil, jeder Zustimmungstaster ist materialisierte Ethik. Er codiert eine Antwort auf die Frage: Wem trauen wir – und wem nicht? Er definiert Handlungsspielräume und entzieht sie zugleich. Er verteilt Handlungsmacht zwischen Mensch und Maschine, zwischen Individuum und Organisation. Die Technikphilosophie hat dies für große Infrastrukturen längst erkannt; für das einzelne Bauteil, den „Totmannknopf“ oder den „Zustimmungstaster“, steht eine systematische Analyse noch aus.

Dieser Artikel unternimmt den Versuch, eine solche Analyse am konkreten Gegenstand zu leisten. Dazu werden drei historisch und funktional aufeinander aufbauende Konfigurationen untersucht: der Totmannschalter als Negativkontrolle, die Zweihandsteuerung als Intentionalitätserzwingung und der Zustimmungstaster als Interface geteilter Autonomie in der Mensch-Roboter-Kollaboration.

2. Der Totmannknopf: Institutionalisierte Präsenzpflicht

2.1 Genealogie eines Misstrauensapparats

Die Begriffsgeschichte ist aufschlussreich. „Totmann“ – ein volkssprachlicher, fast zynischer Terminus für eine Einrichtung, die den Ausfall des Bedieners antizipiert. Patentschriften belegen die Verwendung bereits in den 1910er Jahren; ein US-Patent für Geschütztürme beschrieb 1942 explizit einen „dead man‘s switch“ . Der technische Kern ist einfach: Ein Schalter, der dauerhaft betätigt werden muss und beim Loslassen eine Sicherheitsfunktion auslöst.

Die sozialphilosophische Pointe liegt im Zeitregime. Der Totmannschalter operiert nicht ereignis-, sondern zustandsbasiert. Nicht der Befehl, sondern dessen permanentes Aufrechterhalten ist der Betriebsmodus. Die Maschine geht vom Worst Case aus: Sie unterstellt, dass der Bediener jeden Moment handlungsunfähig werden könnte. Dies ist mehr als Vorsicht – es ist eine epistemische Grundsatzentscheidung. Das System traut dem Menschen nicht.

Die US-amerikanische Bergwerkbehörde kodifizierte dies normativ: „Each handheld tool shall be provided with a two-pole switch of the ‚dead-man-control‘ type that must be held closed by hand and will open when hand pressure is released“ (30 CFR § 18.48(d)) . Die Formulierung „must be held closed“ ist bemerkenswert. Sie beschreibt nicht nur eine technische Eigenschaft, sondern einen sozialen Zwang, materialisiert in Kupfer und Federstahl.

2.2 Die Dialektik des Loslassens

Der Totmannschalter erzeugt eine paradoxe Subjektposition. Einerseits ist der Bediener souverän: Er initiiert den Betrieb, er beendet ihn. Andererseits wird diese Souveränität negativ definiert. Die Maschine gehorcht nicht dem aktiven Befehl, sondern suspendiert den Betrieb erst beim Ausbleiben des Befehls. Der Bediener wird zum Gefangenen seiner eigenen Anwesenheit.

Dies ist kein technisches, sondern ein anthropologisches Problem. In der Eisenbahntechnik, einem der frühesten Anwendungsfelder, hat man dies erkannt. Die klassische Sicherheitsfahrschaltung (Sifa) verlangte vom Triebfahrzeugführer das permanente Durchdrücken eines Pedals oder das Drücken einer Wachsamkeitstaste in kurzen Intervallen . Die psychophysische Belastung dieser Dauerüberwachung war erheblich. Moderne Systeme arbeiten daher mit wegabhängiger oder zeitlich gestaffelter Abfrage – ein implizites Eingeständnis, dass der permanente Überwachungszwang inhuman ist.

Die Übertragung dieses Prinzips auf den privaten Werkstattbereich, etwa durch bewegungsgesteuerte Steckdosen für Lötkolben, offenbart eine weitere Dimension . Hier wird die industrielle Logistik der Misstrauenskultur in den häuslichen Kontext importiert. Der Heimwerker, so die implizite Annahme, ist ebenso unzuverlässig wie der Industriearbeiter. Die Technik ersetzt die abwesende Tugend der Aufmerksamkeit.

3. Die Zweihandsteuerung: Intentionalität als Sicherheitskriterium

3.1 Der technische Kompromiss

Historisch und funktional schließt die Zweihandsteuerung an den Totmannschalter an, transformiert dessen Logik jedoch grundlegend. Sie adressiert ein spezifisches Gefährdungsproblem: Presse, Stanze, Schermaschine – Arbeitsmittel, bei denen ein versehentliches Auslösen katastrophale Verletzungen der oberen Extremitäten zur Folge haben kann.

Die technische Lösung ist ebenso einfach wie folgenreich: Die Maschine darf nur dann einen gefährlichen Bewegungszyklus ausführen, wenn der Bediener gleichzeitig zwei voneinander entfernte Taster betätigt . Die räumliche Distanz der Taster erzwingt den Gebrauch beider Hände und entzieht diese damit zwangsläufig dem Gefahrenbereich.

Die DIN EN ISO 13851 normiert dieses Verfahren präzise. Das Sicherheitsrelais prüft nicht nur die Gleichzeitigkeit, sondern auch die Synchronizität (maximal 500 ms Toleranz), die Voraussetzung beider Taster in Ruhelage vor dem Start und den sofortigen Stopp bei Loslassen auch nur eines Tasters . Die Kategorie 3 nach EN ISO 13849-1 verlangt darüber hinaus Einfehlersicherheit und eine weitgehende Fehlererkennung .

3.2 Der Zwang zur Intentionalität

Philosophisch bedeutsam ist der Übergang vom „Ob“ zum „Wie“ der Bedienung. Der Totmannschalter fragt: Ist der Bediener noch da? Die Zweihandsteuerung fragt: Handelt der Bediener absichtsvoll?

Dies ist eine qualitative Verschiebung. Die Zweihandsteuerung kann nicht durch Zufall, durch einen herabfallenden Gegenstand oder durch eine unbewusste Bewegung ausgelöst werden. Sie verlangt die simultane, intentionale Koordination beider Hände. Sie erzeugt damit ein Zeitfenster, in dem der Bediener seinen Handlungsentschluss reflexiv einholen kann.

Die kapazitive Weiterentwicklung dieses Prinzips, etwa durch Systeme wie Captrons „safeCAP“, potenziert diesen Effekt noch . Der drucklose, berührungssensitive Taster entkoppelt die Intentionalitätsprüfung vollständig von der Kraftanstrengung. Nicht mehr der physische Widerstand, sondern die reine Anwesenheit der Handfläche – erkannt durch die Veränderung eines elektrischen Feldes – wird zum Signaturmerkmal menschlicher Anwesenheit.

Dies ist Technikphilosophie in der Praxis. Was ist der Mensch? Nach Maßgabe dieses Bediensystems: ein Wesen, das zwei Hände gleichzeitig auf zwei definierte Flächen legen kann. Reduktionismus? Gewiss. Aber ein funktional notwendiger. Die Maschine kann Intentionalität nicht erkennen; sie kann nur ihre operationalisierbaren Surrogate erkennen.

3.3 Der Preis der Sicherheit

Die Zweihandsteuerung hat einen versteckten Preis: Sie individualisiert Sicherheit radikal. Der Bediener wird zum alleinigen Gatekeeper der Gefahrenfreigabe. Das System vertraut darauf, dass der Bediener seine Hände nicht in die Presse hält, während er die Taster betätigt. Es kann dies nicht verhindern, es kann nur das Auslösen an diese Handlung koppeln.

Dies ist die materialisierte Form des arbeitsrechtlichen Direktionsrechts. Der Bediener ist nicht nur berechtigt, sondern verpflichtet, auf diese Weise zu arbeiten. Die Zweihandsteuerung entzieht ihm die Möglichkeit, anders zu arbeiten – auch wenn dies produktiver wäre. Sie definiert nicht den Spielraum des Erlaubten, sondern den des technisch Möglichen. Das ist ihre normative Gewalt.

4. Der Zustimmungstaster: Geteilte Autonomie in der Mensch-Roboter-Kollaboration

4.1 Vom Schutzzaun zum Interface

Der Paradigmenwechsel der Industrie 4.0 ist auch ein sicherheitstechnischer Paradigmenwechsel. Die klassische Schutzzaun-Logik separierte Mensch und Maschine strikt: Entweder der Mensch ist im Gefahrenbereich – dann ist die Maschine ausgeschaltet – oder die Maschine arbeitet – dann ist der Mensch durch trennende Schutzeinrichtungen ferngehalten.

Die Mensch-Roboter-Kollaboration (MRK) hebt diese Trennung auf. Der Roboter arbeitet im selben Raum, am selben Werkstück, zeitgleich mit dem Menschen. Dies erzwingt eine Neuverteilung der sicherheitsgerichteten Verantwortung .

Hier tritt der Zustimmungstaster auf den Plan. Er ist weder Totmannschalter noch Zweihandsteuerung, obwohl er Elemente beider enthält. Er ist ein Interface der geteilten Autonomie. Der Roboter führt eine Bewegung aus – aber nur, solange der Mensch einen Taster drückt. Lässt der Mensch los, stoppt der Roboter sofort (sicherer Stopp). Drückt der Mensch wieder, setzt der Roboter die Bewegung fort.

4.2 Die Aufhebung der Asymmetrie

Die technikphilosophische Revolution liegt in der Asymmetrieaufhebung. Der Totmannschalter unterwarf den Menschen der Maschine (permanente Aufmerksamkeitspflicht). Die Zweihandsteuerung unterwarf die Maschine dem Menschen (Freigabe nur bei intentionaler Handlung). Der Zustimmungstaster stiftet eine neue Form der Kooperation.

Der Mensch gibt nicht mehr den Startbefehl, dem die Maschine dann gehorcht. Der Mensch begleitet die Maschinenbewegung. Er ist nicht mehr Befehlender, sondern Begleitender. Die Maschine führt die Bewegung aus, der Mensch autorisiert sie in Echtzeit. Dies ist eine vollständige Rekonfiguration der Handlungsrolle.

Die Forschungsliteratur spricht hier von „Level of Automation“ und „Human-Centered Systems“ . Die Frage ist nicht mehr, ob die Maschine dem Menschen gehorcht, sondern wie die Handlungsmacht zwischen beiden optimal verteilt wird. Die DLR-Arbeitsgruppe um Hajnorouzi formuliert dies als spieltheoretisches Problem: „investigating whether the automation‘s controller can be synthesized as a strategy considering human behavior“ .

4.3 Die neue Verantwortungsethik

Diese technische Entwicklung hat eine ethische Kehrseite. Wenn der Mensch die Roboterbewegung in Echtzeit autorisiert, wem ist ein Unfall dann zuzurechnen? Der Mensch hat zugestimmt. Aber er konnte die komplexe kinematische Berechnung des Roboters nicht antizipieren. Er hat vertraut – und das Vertrauen wurde enttäuscht.

Der Zustimmungstaster individualisiert Verantwortung in einer Situation, die der Einzelne kognitiv nicht vollständig überblicken kann. Dies ist die Paradoxie der Mensch-Roboter-Kollaboration: Sie verlangt Vertrauen, aber sie institutionalisiert Kontrolle. Sie erweitert Handlungsspielräume, aber sie personalisiert Haftung.

Die Ingenieurwissenschaften reagieren darauf mit neuen Sicherheitsparadigmen. Die TU München hat Grundlagenforschung zu „human injury due to robot-human collisions as the underlying metric for ‚safe‘ behavior“ betrieben . Die Queen‘s University Belfast entwickelt „Control Barrier Functions“ und „Barrier Lyapunov Functions“, die mathematisch garantieren, dass der Roboter bestimmte Gefahrengrenzen nicht überschreitet . Dies ist die softwaredefinierte Fortschreibung des mechanischen Zwangs: nicht mehr der Kupferkontakt, sondern der Algorithmus setzt die Grenze.

5. Vom mechanischen Zwang zur softwaredefinierten Sicherheit: Eine normative Standortbestimmung

5.1 Drei Episteme der Sicherheitstechnik

Die historische Abfolge der drei Bedienkonzepte ist auch eine Abfolge dreier Episteme:

1. Das mechanische Epistem (Totmannschalter): Sicherheit durch permanenten physikalischen Kraftschluss. Der Zwang ist materialisiert, unmittelbar, nicht hintergehbar. Die Norm ist die geschlossene Hand, der Ruhestrom, der Kraftfluss.
2. Das logische Epistem (Zweihandsteuerung): Sicherheit durch diskrete Signalverknüpfung. Der Zwang ist verschaltet, verdrahtet, logisch. Die Norm ist die UND-Verknüpfung, die Synchronität, der exklusive ODER-Ausschluss.
3. Das kybernetische Epistem (Zustimmungstaster/Kollaboration): Sicherheit durch dynamische Grenzwertoptimierung. Der Zwang ist algorithmisch, parametrisiert, adaptiv. Die Norm ist die Barrierefunktion, der Performance Level, die Risikomatrix.

Jedes dieser Episteme produziert ein spezifisches Subjekt. Der Totmannschalter produziert den überwachten Arbeiter. Die Zweihandsteuerung produziert den verantwortlichen Arbeiter. Der Zustimmungstaster produziert den kooperierenden Arbeiter.

5.2 Die normative Lücke der Softwaredefinierung

Die Entwicklung zur softwaredefinierten Sicherheit ist unumkehrbar. Sie ermöglicht Flexibilität, Adaptivität, Produktivität. Aber sie erzeugt auch eine normative Lücke.

Die mechanische Sicherheitsschaltung war intransparent, aber eindeutig. Der Kupferkontakt trennt oder trennt nicht. Der Federkontakt öffnet oder schließt. Dies ist binäre Eindeutigkeit. Die softwaredefinierte Sicherheit ist hochgradig komplex. Die Barriere-Lyapunov-Funktion ist für den Bediener nicht einsehbar. Er muss vertrauen.

Damit verschiebt sich das Sicherheitsproblem von der Operationsebene auf die Designebene. Der Bediener kann die Sicherheit nicht mehr unmittelbar erfahren (der spürbare Widerstand des Totmannpedals, die gleichzeitige Druckausübung der Zweihandtaster). Er muss auf die Korrektheit des Systemdesigns vertrauen.

Dies ist der Übergang von der Erfahrungssicherheit zur Systemvertrauenssicherheit. Er ist technisch unvermeidlich, aber sozial voraussetzungsvoll.

6. Schluss: Zur Ethik des Interfaces

Die Analyse des Totmannknopfs, der Zweihandsteuerung und des Zustimmungstasters führt zu einem überraschenden Befund: Die vermeintlich rein technische Normierung industrieller Sicherheitstechnik ist in Wirklichkeit eine fortlaufende ethische Grundlagendebatte in materialisierter Form.

Jede Generation von Sicherheitsbauteilen antwortet auf die Frage: Wie viel Autonomie geben wir dem Menschen, wie viel Kontrolle geben wir der Maschine? Die Antworten fallen unterschiedlich aus, aber sie sind niemals neutral. Sie codieren Menschenbilder, Verantwortungszuschreibungen und Machtverhältnisse.

Der Totmannknopf materialisiert Misstrauen. Die Zweihandsteuerung materialisiert Intentionalitätsverpflichtung. Der Zustimmungstaster materialisiert geteilte Handlungsmacht. Wer diese Bauteile liest wie Texte, kann die normative Verfassung der Arbeitswelt rekonstruieren.

Die weitere Entwicklung wird zeigen, ob die softwaredefinierte Sicherheit diesen Ethos der Materialisierung aufrechterhalten kann. Wenn Sicherheitsfunktionen zu unsichtbaren Algorithmen werden, die im Hintergrund optimieren, droht der Verlust der Erfahrbarkeit von Sicherheit. Dann wäre der Bediener nicht mehr Subjekt, sondern nur noch Objekt der Sicherheitstechnik.

Die Alternative ist ein Interface-Design, das die normative Tiefenstruktur der Sicherheitstechnik bewusst gestaltet. Das Bauteil als Philosophikum – nicht als bloßes Mittel zum Zweck, sondern als Ausdruck einer Ethik der Kooperation. Die DIN EN ISO 13849-1 normiert die technischen Parameter. Die Philosophie muss darüber wachen, dass diese Parameter menschenwürdig sind.

Literatur- und Quellenverzeichnis

Normen und Rechtsquellen:

• DIN EN ISO 13849-1: Sicherheit von Maschinen – Sicherheitsbezogene Teile von Steuerungen
• DIN EN ISO 13851: Sicherheit von Maschinen – Zweihandschaltungen
• DIN EN ISO 12100: Sicherheit von Maschinen – Allgemeine Gestaltungsleitsätze
• 30 CFR § 18.48: US-Bundesrecht, Circuit-interrupting devices for mining equipment 

Fachliteratur und technische Dokumentation:

• Captron (2020): Ohne ‚Druck‘ arbeiten – Kapazitive Zweihandsteuerungen. Computer & Automation 
• Festo (2024): Safety engineering guidelines. Pneumatic and electric solutions 
• PLCnext Engineer (2025): Umsetzung der Sicherheitsanforderungen aus anzuwendenden Normen 
• Rayzeek (2025): The Deadman‘s Bench: Engineering Safety for the Forgotten Soldering Iron 

Wissenschaftliche Publikationen:

• Hajnorouzi, M., Rakow, A., Bairy, A., Osterloh, J.-P., Fränzle, M. (2024): What Level of Power Should We Give an Automation? Adjusting the Level of Automation in HCPS. In: Dependable Computing – EDCC 2024 Workshops. Springer 
• Haddadin, S., Parusel, S., Belder, R., Albu-Schäffer, A. (2013): It is (almost) all about human safety: A novel paradigm for robot design, control, and planning. SAFECOMP 2013, LNCS 8153 
• Sun, Y. (2025): Control and learning for human-robot collaboration: a focus on safety and adaptability. Queen‘s University Belfast 

Enzyklopädische Quellen:

• Wikipedia (2025): Totmanneinrichtung 

*Anmerkung: Die technischen Normen EN ISO 13849-1, EN ISO 13851 und EN ISO 12100 wurden aus den Fachquellen  synthetisiert und durch eigene Kenntnis des Autors ergänzt. Die philosophische Interpretation und normative Analyse stellen eigenständige wissenschaftliche Leistungen des Autors dar.*