Citation: BGE 143 II 518 E. 5.21

oder Anhang B verwiesen werde; die Norm enthalte daher eine Schutzlücke. Zudem sei in Anhang B die Aufnahme oder Ankoppelung der SWE mit keinem Wort erwähnt; die Anforderungen verhinderten eine unkorrekte Verriegelung nicht. Mit einer umfassenden Risikobeurteilung wäre diese Schutzlücke zum Vorschein gekommen. Da aber praktisch nur die Norm angewendet worden sei, ohne eine umfassende Risikobeurteilung vorzunehmen, sei die Schutzlücke nicht erkannt worden. Die in der Norm enthaltenen Anforderungen verhinderten eine unkorrekte Verriegelung nicht; der Maschinenführer könne von der Führerkabine aus zwar die Verriegelung anhand des Anzeigestabs überprüfen, der Anzeigestab sei jedoch nicht geeignet, die vollständige und korrekte Verriegelung zu dokumentieren. Die weiter vorgesehene Massnahme, nach dem Ankuppelungsvorgang einen Gegendrucktest auszuführen, der erkennen lasse, ob die Ankuppelung vollständig und korrekt erfolgt sei, sei eine rein organisatorische Massnahme, welche erst zulässig sei, wenn technische Massnahmen nicht möglich seien. Es sei vorhersehbar, dass ein Maschinenführer unter Stress den Fehler begehe, die vollständige Verriegelung nicht zu überprüfen. Diese Gefährdung durch menschliches Fehlverhalten unter Berücksichtigung psychischer Aspekte sei in der Norm nicht abgedeckt. Die Ziff.