Sicherheitsbewertung: Was ein Gutachter sieht, den andere übersehen

Eine Liegenschaft wirkt sicher, bis jemand genau hinschaut. Das Problem: Die meisten Bewertungen kratzen an der Oberfläche. Sie prüfen, ob ein Zaun steht, ob Kameras hängen, ob ein Wachdienst patrouilliert. Was sie nicht prüfen, ist, ob diese Maßnahmen tatsächlich das tun, wofür sie bezahlt werden. Die Unterscheidung zwischen vorhanden und wirksam ist der Kern jeder ernsthaften Sicherheitsbewertung – und genau hier beginnt die Arbeit eines Gutachters.

Was eine Sicherheitsbewertung leisten muss

Eine Sicherheitsbewertung ist kein TÜV-Stempel. Sie ist ein strukturierter Erkenntnisprozess, der offenlegt, wo ein Objekt verwundbar ist, warum es verwundbar ist und was dagegen getan werden kann – in dieser Reihenfolge. Das klingt selbstverständlich, ist es aber nicht. In der Praxis werden Maßnahmen oft ohne vorherige Analyse beschlossen. Da wird eine Videoanlage installiert, weil der Nachbar auch eine hat. Da wird ein Sicherheitsdienst beauftragt, weil es einen Vorfall gab. Da wird ein Zaun erhöht, weil jemand ein ungutes Gefühl hatte. All das kann richtig sein. Aber ohne Bewertung bleibt es Zufall.

Der Unterschied zwischen einer Maßnahme und einer wirksamen Maßnahme ist die Analyse, die ihr vorausgeht. Eine Bewertung liefert diese Analyse. Sie ersetzt kein Sicherheitskonzept, aber sie ist dessen Fundament. Ohne sie baut man auf Sand.

Am Anfang steht das Schutzziel

Bevor eine einzige Kamera geprüft oder ein einziger Zaun begutachtet wird, steht eine Frage: Was soll eigentlich geschützt werden? Die Antwort bestimmt alles Weitere. Ein Rechenzentrum hat andere Prioritäten als ein Produktionsstandort. Ein Verwaltungsgebäude andere als ein Lager mit hochwertiger Ware. Personen, Sachwerte, Informationen, Prozesse – oder eine Kombination. Die Schutzziele definieren, welche Bedrohungen relevant sind und welche Maßnahmen überhaupt Sinn ergeben.

Dieser Schritt wird erstaunlich oft übersprungen. Nicht aus Unwissen, sondern aus Ungeduld. Der Auftraggeber will Ergebnisse sehen, keine Grundsatzdiskussionen führen. Aber genau diese Grundsatzdiskussion entscheidet darüber, ob die Bewertung am Ende nützlich ist oder nur ein weiteres Dokument im Ordner. Ein Gutachter, der sofort mit der Begehung beginnt, ohne die Schutzziele geklärt zu haben, arbeitet blind. Er wird Schwachstellen finden. Aber er kann nicht sagen, welche davon relevant sind.

Phase 1: Dokumentenanalyse

Die erste Phase einer Bewertung findet am Schreibtisch statt. Bestandspläne, vorhandene Sicherheitskonzepte, Dienstanweisungen, Alarmpläne, Schlüsselprotokolle, Wartungsnachweise – alles, was auf Papier oder digital existiert, wird gesichtet. Der Zweck ist nicht, Dokumente abzuhaken. Der Zweck ist, zu verstehen, was der Auftraggeber glaubt, bereits geregelt zu haben.

Die Diskrepanz zwischen Dokumentation und Realität ist oft der erste Befund. Ein Alarmplan, der seit vier Jahren nicht aktualisiert wurde, enthält Telefonnummern von Mitarbeitern, die längst nicht mehr im Unternehmen sind. Eine Dienstanweisung für den Wachdienst beschreibt Rundgänge, die in der Praxis seit zwei Jahren nicht mehr stattfinden, weil ein Gebäudeteil umgenutzt wurde. Ein Schlüsselprotokoll weist 14 Generalschlüssel aus, von denen drei „vermutlich bei ehemaligen Mitarbeitern" sind.

Diese Diskrepanzen sind keine Banalitäten. Sie zeigen ein Muster: Sicherheitsmaßnahmen werden eingeführt, aber nicht gepflegt. Sie veralten, und mit dem Veralten verlieren sie ihre Wirkung – oft ohne dass es jemand bemerkt. Die Dokumentenanalyse macht diesen Verfall sichtbar, bevor der Gutachter das Gelände überhaupt betreten hat.

Phase 2: Die Begehung

Die Begehung ist das Herzstück der Bewertung. Sie findet nicht einmal statt, sondern mindestens zweimal: bei Tag und bei Nacht, bei normalem Betrieb und außerhalb der Betriebszeiten. Eine Zutrittskontrolle, die tagsüber funktioniert, kann nachts wertlos sein. Eine Beleuchtung, die bei Tageslicht unauffällig ist, lässt nach Einbruch der Dunkelheit ganze Bereiche im Schatten. Ein Tor, das während der Arbeitszeit überwacht wird, steht am Wochenende offen, weil der Lieferdienst für die Kantine einen Schlüssel hat.

Die Begehung folgt dem Weg eines potenziellen Angreifers – vom Perimeter über die Zugangspunkte bis zu den kritischen Bereichen. Das ist keine Dramatisierung, sondern Methodik. Wer denkt wie ein Angreifer, sieht, was ein Verteidiger übersieht. Wo sind die Übergänge zwischen öffentlichem und nicht-öffentlichem Bereich? Wo fehlt Kontrolle? Wo vertraut man auf Technik, die niemand überwacht? Wo gibt es Gewohnheiten, die Sicherheitsmaßnahmen aushebeln?

Phase 3: Bewertung und Priorisierung

In der dritten Phase werden die Erkenntnisse aus Dokumentenanalyse und Begehung zusammengeführt und gegen die definierten Schutzziele geprüft. Das Ergebnis ist keine Mängelliste. Es ist eine priorisierte Einschätzung: Was ist kritisch? Was ist tolerierbar? Was ist Kosmetik?

Diese Priorisierung ist der eigentliche Wert eines Gutachtens. Ein Gutachten, das 47 Mängel auflistet, ohne sie zu gewichten, ist für den Auftraggeber wertlos. Er kann nicht alles gleichzeitig beheben, also muss er wissen, wo er anfangen soll. Die Priorisierung berücksichtigt die Eintrittswahrscheinlichkeit einer Bedrohung, die potenzielle Schadenshöhe, die Umsetzbarkeit der Gegenmaßnahme und das Verhältnis von Aufwand zu Wirkung.

Ein Beispiel: Eine fehlende Videoüberwachung am Hintereingang klingt kritisch. Wenn der Hintereingang allerdings nur zu einem umzäunten Innenhof führt, der ausschließlich über den Haupteingang erreichbar ist, ist die Priorität niedrig. Umgekehrt kann eine scheinbar kleine Schwachstelle – etwa ein nicht verriegeltes Fenster im Erdgeschoss neben dem Serverraum – die höchste Priorität haben, auch wenn sie auf den ersten Blick trivial wirkt.

Die typischen Schwachstellen: banal und deshalb gefährlich

Die Schwachstellen, die bei Bewertungen immer wieder auftauchen, sind selten spektakulär. Sie sind banal. Genau das macht sie gefährlich, denn Banalität erzeugt Gewöhnung, und Gewöhnung erzeugt Blindheit.

Der offene Lieferanteneingang

Nicht weil niemand daran gedacht hat, sondern weil der Betrieb ihn „praktisch" gemacht hat. Der Fahrer soll nicht warten müssen, also bleibt die Tür auf. Was als pragmatische Lösung begann, ist zum Dauerzustand geworden. Drei Jahre später weiß niemand mehr, wer die Entscheidung getroffen hat – aber die Tür steht immer noch offen.

Die Kamera mit dem toten Winkel

Sie wurde montiert, wo Platz war, nicht wo sie gebraucht wird. Der tote Winkel beträgt drei Meter – genau dort, wo die Seitentür ist. Niemand hat das bei der Installation geprüft, und niemand hat es seitdem bemerkt, weil niemand die Aufnahmen systematisch auswertet.

Der deaktivierte Bewegungsmelder

Er war so empfindlich eingestellt, dass er bei jedem Fuchs und jedem Windstoß Alarm schlug. Nach zwei Wochen nächtlicher Fehlalarme hat ihn der Hausmeister deaktiviert. Das war vor acht Monaten. Seitdem löst er keinen Alarm mehr aus – auch keinen echten.

Die Schlüsselverwaltung auf dem Zettel

Im Pförtnerhäuschen liegt eine handschriftliche Liste, wer welchen Schlüssel hat. Der letzte Eintrag ist von 2021. Seitdem sind sechs Mitarbeiter gegangen, zwei Schlösser wurden getauscht, drei Schlüssel sind „irgendwo". Das System funktioniert, solange nichts passiert. Wenn etwas passiert, funktioniert es nicht.

Der blinde Fleck: Technik ohne Prozess

Die vielleicht häufigste systematische Schwachstelle ist die fehlende Verbindung zwischen technischer Maßnahme und organisatorischem Prozess. Technik allein schützt nicht. Technik braucht Menschen, die sie bedienen, Regeln, die ihre Nutzung definieren, und Kontrolle, die sicherstellt, dass beides funktioniert.

Die beste Zutrittskontrolle nützt nichts, wenn niemand definiert hat, wer eigentlich Zutritt haben soll. Die aufwendigste Videoüberwachung ist wertlos, wenn die Aufnahmen nach 48 Stunden überschrieben werden und niemand sie je ansieht. Das teuerste Alarmsystem verliert seinen Zweck, wenn der Alarm zwar auslöst, aber niemand definiert hat, wer dann was tut. Investition ohne Prozess ist Investition ohne Wirkung.

Was eine Sicherheitsbewertung nicht ist

Eine Sicherheitsbewertung ist kein Freispruch und kein Schuldspruch. Sie ist eine Bestandsaufnahme mit Handlungsempfehlung. Sie sagt nicht „alles schlecht" und nicht „alles gut". Sie sagt: Das ist der Zustand, das sind die Risiken, das sind die sinnvollsten nächsten Schritte.

Sie ersetzt auch kein vollständiges Sicherheitskonzept. Die Bewertung liefert die Grundlage, auf der ein Konzept aufgebaut werden kann. Sie identifiziert die Probleme – das Konzept löst sie. Und eine Bewertung ist keine einmalige Angelegenheit: Liegenschaften verändern sich. Eine Bewertung, die vor drei Jahren erstellt wurde, bildet den heutigen Zustand nicht mehr ab.

Fazit

Eine professionelle Sicherheitsbewertung zeigt nicht nur, was fehlt – sie zeigt, was wirklich zählt. Sie trennt das Wesentliche vom Unwesentlichen, das Dringende vom Wünschenswerten, das Wirksame vom lediglich Vorhandenen. Sie ist der erste Schritt zu einem Sicherheitsniveau, das nicht auf Hoffnung basiert, sondern auf Erkenntnis.

Wer wissen will, wie seine Liegenschaft tatsächlich dasteht – nicht auf Basis einer Checkliste, sondern durch die Einschätzung eines Gutachters, dessen Honorar nicht davon abhängt, was er empfiehlt: Das Erstgespräch ist unverbindlich und kostenlos.