Objektsicherheit: Schritt für Schritt zur fundierten Sicherheitsbewertung

Sicherheit ist kein statischer Zustand, den man durch den einmaligen Kauf von Technik „erledigen“ kann. Vielmehr handelt es sich um einen dynamischen Prozess, der eine kontinuierliche Anpassung an neue Bedrohungslagen erfordert. In vielen Unternehmen herrscht jedoch noch immer eine gefährliche „Alibi-Mentalität“ vor: Es werden Kameras installiert, Zäune gezogen und Wachdienste beauftragt, ohne dass diesen Maßnahmen eine systematische Analyse zugrunde liegt.

In meiner täglichen Praxis als Sicherheitsgutachter erlebe ich oft, dass solche isolierten Investitionen im Ernstfall versagen. Echte Sicherheit entsteht nicht durch die Summe der installierten Geräte, sondern durch ein stimmiges Gesamtkonzept, das auf einer fundierten Bewertung basiert. Dieser Beitrag führt Sie tief in die Methodik ein, mit der Sie Ressourcen dort investieren, wo sie den maximalen Schutzwert erzielen.

1. Die Identifikation der Schutzziele: Den Kern des Unternehmens definieren

Der erste und kritischste Schritt jeder Sicherheitsbewertung ist die Klärung der Frage: Was genau wollen wir eigentlich schützen? Viele Verantwortliche neigen dazu, sofort an die physische Hülle – also das Gebäude und das Inventar – zu denken. Eine professionelle Bewertung geht jedoch weit darüber hinaus und betrachtet die Schutzziele in vier Dimensionen:

• Physische Sachwerte: Hierzu zählen nicht nur Gebäude und Fuhrpark, sondern insbesondere auch hochspezialisierte Maschinen, Rohstoffe oder Fertigerzeugnisse, deren Wiederbeschaffung mit langen Lieferzeiten verbunden ist.
• Immaterielle Werte und Know-how: In einer wissensbasierten Wirtschaft sind Patente, Konstruktionszeichnungen und Kundendaten oft wertvoller als der Maschinenpark. Ein physischer Einbruch dient heute oft nur als Mittel zum Zweck, um an IT-Hardware oder physische Unterlagen zu gelangen (Industrial Espionage).
• Prozessuale Werte (Business Continuity): Die Aufrechterhaltung der Lieferfähigkeit ist das höchste Gut. Ein Sicherheitsvorfall, der die Produktion für mehrere Tage lahmlegt, kann existenzbedrohende Konsequenzen haben, selbst wenn der Sachschaden am Gebäude gering ist. Hier schlägt die Brücke vom Objektschutz zum Risikomanagement.
• Personelle Werte: Der Schutz der Mitarbeiter, Besucher und Dienstleister vor Übergriffen, Diebstahl oder Unfällen ist nicht nur eine moralische Pflicht, sondern durch das Arbeitsschutzgesetz (ArbSchG) und die Betriebssicherheitsverordnung (BetrSichV) rechtlich strikt vorgegeben.

Erst wenn diese Prioritäten glasklar definiert sind, lassen sich Sicherheitsmaßnahmen wirtschaftlich rechtfertigen und zielgerichtet planen.

2. Die Bedrohungsanalyse: Wer sind die Akteure und was treibt sie an?

Sicherheit gegen „alles und jeden“ ist eine Illusion und wirtschaftlich nicht darstellbar. Eine effektive Bewertung muss spezifische Bedrohungsszenarien definieren, um die Abwehrmaßnahmen zu kalibrieren. Wir unterscheiden dabei zwischen verschiedenen Ursachen und Täterprofilen:

• Kriminelle Energie (Externe Täter): Hierunter fallen klassische Delikte wie Einbruchdiebstahl, Raub oder Vandalismus. Die Motivation ist meist rein finanzieller Natur oder – im Falle von Vandalismus – pure Zerstörungswut.
• Das Insider-Risiko (Innentäter): Eines der am meisten unterschätzten Risiken. (Ehemalige) Mitarbeiter oder Dienstleister verfügen über Insiderwissen, kennen Passwörter, Schwachstellen im Wachdienst und haben oft berechtigten Zugang. Die Motivation reicht von persönlicher Bereicherung bis hin zur Rache nach einer Kündigung.
• Wirtschaftsspionage und Sabotage: Diese Bedrohungen sind oft hochgradig organisiert. Ziel ist es, Wettbewerbsvorteile zu erlangen oder die Infrastruktur eines Konkurrenten gezielt zu schädigen. Hier verschmelzen physische Sicherheit und IT-Security zu einer hybriden Bedrohungslage.
• Elementarschäden und technisches Versagen: Feuer, Wasserschäden oder der Ausfall kritischer Infrastrukturen (Strom, Kühlung). Hier zeigt sich die untrennbare Verbindung zwischen Security (Schutz vor Angriffen) und Safety (Schutz vor Gefahren).

3. Das Schwachstellen-Audit: Die Methodik des Angreifers adaptieren

Nachdem wir wissen, was wir schützen wollen und wer die potenziellen Gegner sind, folgt das Audit. Hierbei nehme ich als Gutachter die Perspektive eines externen Angreifers oder eines illoyalen Insiders ein. Wir suchen systematisch nach den Pfaden des geringsten Widerstands.

Die drei kritischen Ebenen des Audits:

1. Baulich-technische Ebene: Wir prüfen nicht nur, ob eine Alarmanlage vorhanden ist, sondern wie sie projektiert wurde. Sind die Melder so platziert, dass sie tote Winkel abdecken? Entsprechen die mechanischen Widerstandsklassen (RC-Klassen) der Fenster und Türen dem tatsächlichen Risiko? Wie steht es um die Ausleuchtung des Geländes bei Nacht?
2. Organisatorische Ebene: Dies ist oft die Achillesferse. Ein zertifiziertes Schloss nützt nichts, wenn das Schlüsselmanagement lückenhaft ist oder Transponder nach dem Ausscheiden von Mitarbeitern nicht sofort gesperrt werden. Wir analysieren Besuchermanagement-Prozesse, Lieferantenprotokolle und die Reaktionszeiten von Interventionskräften.
3. Personelle Ebene und Sicherheitskultur: Hier untersuchen wir das „Security Awareness“. Lassen Mitarbeiter Fremde unkontrolliert durch die Tür schlüpfen („Piggybacking“)? Werden Sicherheitsvorschriften im stressigen Alltag durch „Workarounds“ umgangen? Eine schwache Sicherheitskultur hebelt die teuerste Technik mühelos aus.

4. Die Bewertung und das T-O-P-Prinzip: Strukturierte Maßnahmenplanung

Die gesammelten Erkenntnisse führen zu einer Risikomatrix: Wie hoch ist die Eintrittswahrscheinlichkeit eines Szenarios und wie massiv wären die Auswirkungen auf das Unternehmen? Basierend auf dieser Bewertung wird das Sicherheitskonzept nach dem bewährten T-O-P-Prinzip entwickelt. Die Reihenfolge ist hierbei entscheidend:

• T - Technisch: Mechanische Sicherungen (Zäune, Poller, Sicherheitstüren), elektronische Überwachung (EMA, ÜMA, Zutrittskontrolle) und Detektionssysteme. Die Technik bildet das Rückgrat, ist aber allein nicht resilient.
• O - Organisatorisch: Hier werden die „Spielregeln“ festgelegt. Dienstanweisungen für den Objektschutz, Notfallpläne für Krisenszenarien, klare Prozesse für die Schlüsselverwaltung und regelmäßige Revisionen der Berechtigungen.
• P - Personell: Die Ausbildung und Sensibilisierung der Menschen. Dies umfasst sowohl das Sicherheitspersonal vor Ort als auch die gesamte Belegschaft. Ziel ist es, jeden Mitarbeiter zu einem aufmerksamen Sensor im Sicherheitsgefüge zu machen.

Fazit: Sicherheit als strategische Managementleistung

Eine professionelle Sicherheitsbewertung ist kein lästiger Kostenfaktor, sondern eine Investition in die Stabilität und Haftungssicherheit Ihres Unternehmens. Wer als Geschäftsführer oder Sicherheitsverantwortlicher nachweisen kann, dass er sein Objekt nach dem Stand der Technik und auf Basis einer fundierten Analyse schützt, minimiert nicht nur Risiken, sondern sichert sich auch im Falle von Versicherungsprüfungen oder Haftungsfragen ab.

Bedenken Sie: Die Bedrohungen von morgen lassen sich nicht mit den Konzepten von gestern abwehren. Ein statisches Konzept veraltet in dem Moment, in dem es gedruckt wird.

Jörg Weidemann – Sicherheitsgutachter, Autor und Experte für ganzheitliche Resilienz.