Die erste Frage lautet fast immer: Haben Sie eine Vorlage? Wir haben eine, und wir geben sie ungern heraus. Das hat keinen geheimniskrämerischen Grund. Eine Gliederung beantwortet ausgerechnet die Frage nicht, an der Sicherheitskonzepte scheitern, nämlich wie die Kapitel auseinander hervorgehen.
Der Aufbau ist im Kern einfach. Drei Schritte, die aufeinander aufbauen: Sie erheben, was gefährdet ist. Sie legen fest, was geschützt werden soll. Sie beschreiben, wie. Jeder Schritt setzt den vorherigen voraus. Wer bei den Maßnahmen anfängt, produziert eine Einkaufsliste statt eines Konzepts. Es kommt trotzdem häufig vor, weil dort die greifbaren Dinge stehen und weil sich damit am schnellsten etwas vorzeigen lässt.
Dieser Beitrag beschreibt die drei Schritte im Detail und, weil das erfahrungsgemäß die schwierigste Frage ist, wie man von einem zum nächsten kommt.
Schritt 1: Die Gefährdungsanalyse
Was tatsächlich erhoben wird
Eine Gefährdungsanalyse entsteht vor Ort. Man sollte meinen, dass sich das von selbst versteht. Von den Konzepten, die uns zur Prüfung vorgelegt werden, ist ein erheblicher Teil ohne Begehung entstanden.
Erhoben wird in vier Richtungen. Baulich: Bauart, Zugänge, Geschosse, Zustand, die Stellen, an denen die Gebäudestruktur Angriffsflächen bietet. Umfeld: Lage, Einsehbarkeit, Nachbarschaft, Anbindung, Auffälligkeiten im Quartier. Publikum: Welche Personengruppen nutzen den Bereich, wie viele, welche Anliegen bringen sie mit und welche Konfliktanlässe entstehen daraus regelmäßig. Historie: Was ist in den letzten Jahren tatsächlich vorgefallen. Übergriffe, Einbrüche, Sachbeschädigung, Beinahe-Ereignisse.
Je nach Objekt kommen weitere Richtungen dazu, und sie werden häufiger vergessen als die vier genannten: Betriebsprozesse und kritische Zeitfenster, Zugänge von Lieferanten und Fremdfirmen, das Schlüssel- und Berechtigungsmanagement, technische Abhängigkeiten und die Frage, welche Räume sensible Informationen enthalten.
Der vierte Punkt wird am häufigsten übersprungen und liefert oft die wichtigsten Hinweise. Nicht, weil Vergangenes sich wiederholt, sondern weil sich an dokumentierten Vorfällen ablesen lässt, wo die Schwachstellen tatsächlich liegen, im Unterschied dazu, wo man sie vermutet.
Warum das Objekt bestimmt, welche Fragen gestellt werden
Ein Bauhof und eine Ausländerbehörde haben beide Publikumsverkehr. Sie haben nicht denselben Publikumsverkehr, und es wäre unsinnig, beide nach denselben Dingen zu fragen.
In SCVeridit, unserem Erhebungswerkzeug, entscheidet deshalb das Objektprofil darüber, welcher Fragenkatalog überhaupt zur Anwendung kommt. Objekttyp und Sondersituationen wie Sozialamt, Justiz, Bargeldführung, permanenter Nachtbetrieb oder gesetzliche Bewachungspflicht steuern, welche Fragen erscheinen und wie schwer eine identische Antwort anschließend wiegt. Eine Checkliste stellt allen dieselben Fragen und behandelt jede Antwort gleich. Ein Erhebungsmodell berücksichtigt, dass ein hoher Publikumsdruck in einer Ausländerbehörde etwas anderes bedeutet als auf einem Bauhof.
Dazu kommt eine zweite Ebene, die häufig fehlt. Ein Gebäude ist kein einheitlicher Raum. Das Bürgerbüro im Erdgeschoss, der Empfang, die Technikzentrale, das Sozialamt im zweiten Obergeschoss – das sind Bereiche mit unterschiedlichen Betriebszeiten, unterschiedlichem Zugang und unterschiedlichen Risiken. Wir erfassen sie einzeln als Nutzungseinheiten, mit eigenen Zusatzfragen je Typ. Ein Serverraum wird nach anderen Dingen gefragt als ein Wartebereich, und was auf Objektebene unsichtbar bleibt, wird hier sichtbar.
Vier Begriffe, die auseinandergehalten gehören
Ohne diese Unterscheidung ist später nicht nachvollziehbar, was eine Zahl im Bericht eigentlich abbildet.
Das Schutzgut ist das, was geschützt werden soll: Menschen, Sachwerte, betriebliche Abläufe, sensible Informationen. Die Gefährdung ist das Ereignis, das eintreten kann. Die Schwachstelle ist die Eigenschaft des Objekts, die den Eintritt erleichtert oder die Wirkung vergrößert, etwa ein unbeobachteter Nebeneingang. Das Risiko ist die Kombination aus beidem unter Berücksichtigung dessen, was an Schutz bereits vorhanden ist.
Wer diese Ebenen vermischt, bekommt eine Bewertung, die einmal die Bedrohungslage und einmal den Zustand des Gebäudes beschreibt, ohne dass erkennbar wäre, welche gerade gemeint ist.
Die Bewertung selbst
Jeder Gefährdungsfaktor wird auf einer Skala von 0 bis 4 bewertet, von „nicht relevant" bis „kritisch". Drei Regeln machen den Unterschied zwischen einer belastbaren und einer beliebigen Bewertung:
Jede Stufe ist beschrieben. Zu jeder Stufe gehört ein Satz, was sie für diesen konkreten Faktor bedeutet, statt einer nackten Zahl von 0 bis 4. Die Unterschiede zwischen zwei Bewertenden verschwinden dadurch nicht, sie werden aber deutlich kleiner, und die Einstufung bleibt später überprüfbar.
Jeder Wert wird begründet. Die Begründung steht später im Bericht neben der Zahl. Wer das Konzept liest, sieht nicht nur die Einstufung, sondern auch die Überlegung dahinter. Und kann ihr widersprechen.
Nicht bewertet ist nicht dasselbe wie mit null bewertet. Ein übersprungener Faktor fällt aus der Rechnung, statt als „unproblematisch" durchzugehen. Wo überall Nullen stehen, weil niemand hingesehen hat, fällt das Ergebnis systematisch zu gut aus.
Die Perspektive, die dem Berater fehlt
Ein Berater ist einen Tag im Objekt. Die Beschäftigten sind es jeden Tag. Sie wissen, welche Tür klemmt, an welchem Wochentag es unangenehm wird und welcher Zugang nach Feierabend offen steht, obwohl er es nicht sollte.
Diese Perspektive holen wir über eine strukturierte Befragung ein: als Link ohne Anmeldung, zeitlich befristet, an die Ansprechpartner des Auftraggebers, an die Verantwortlichen der einzelnen Bereiche und über einen offenen Sammellink an Beschäftigte aus Bereichen, die noch gar nicht erfasst sind. Gerade der letzte Kanal fördert regelmäßig Bereiche zutage, an die bei der Objektaufnahme niemand gedacht hat.
Ein Punkt, der uns wichtig ist: Nicht jede Antwort wird in eine Zahl übersetzt. Skalenfragen fließen in die Bewertung ein. Ja/Nein-Antworten und Freitexte werden fachlich gewürdigt und nicht verrechnet, weil es Scheingenauigkeit wäre, eine Ja/Nein-Antwort in einen Score zu pressen.
Freitexte brauchen dabei eine eigene Behandlung. Beschäftigte schreiben dort auf, was sie erlebt haben, samt Namen, Vorwürfen und gelegentlich Angaben zur eigenen Gesundheit. In einen Bericht, der im Haus zirkuliert, gehört das nicht unverändert. Wir werten sie fachlich aus, geben sie zusammengefasst und ohne personenbezogene Angaben wieder und zitieren nur dort wörtlich, wo der Wortlaut trägt und niemanden identifizierbar macht. Zweck, Freiwilligkeit, Zugriff und Speicherdauer stehen vorher fest, und je nach Ausgestaltung sind Datenschutzbeauftragte und Personalvertretung zu beteiligen.
Und: Fragen haben eine Richtung. „Wie sicher fühlen Sie sich?" und „Wie hoch schätzen Sie das Risiko ein?" zeigen bei derselben Antwortzahl in entgegengesetzte Richtungen. Das ist im System hinterlegt und nicht dem Formulierungsglück überlassen.
Schritt 2: Die Schutzziele
Hier entscheidet sich, ob aus der Analyse ein Konzept wird.
Ein Schutzziel beantwortet die Frage: Was genau soll erreicht werden? „Mehr Sicherheit" beantwortet sie nicht. Gemeint ist ein Zustand, den man beschreiben und später überprüfen kann. Der Test dafür ist einfach: Können Sie in einem Jahr feststellen, ob das Ziel erreicht wurde? Wenn nein, haben Sie eine Absichtserklärung vor sich.
Aus der Gefährdungsanalyse ergeben sich die Schutzziele fast von selbst, wenn die Analyse gut ist. Ein hoch bewertetes Konfliktpotenzial im Bürgerbüro führt zu einem Ziel, das mit Reaktionszeit und Unterstützung zu tun hat. Ein hoch bewertetes Einbruchsrisiko in den Randzeiten führt zu einem Ziel, das mit Detektion und Intervention zu tun hat. Wo die Schutzziele sich nicht aus der Analyse ableiten lassen, war die Analyse zu unbestimmt.
Umgekehrt gilt: Schutzziele, zu denen es keine bewertete Gefährdung gibt, gehören nicht ins Konzept. Sie sind meistens aus einer Vorlage übrig geblieben.
Schritt 3: Die Maßnahmen
Erst jetzt geht es um Technik, Organisation und Personal, und zwar den Zielen nachgeordnet, nicht davor.
Technik wird nach Wirksamkeit bewertet, nicht nach Vorhandensein. Wir erfassen vierzehn Kategorien – Videotechnik innen und außen, Einbruchmeldeanlage, elektronische und mechanische Zutrittskontrolle, Notruf- und Überfallmeldesysteme, Beleuchtung, Perimeterschutz, Aufschaltung und weitere – jeweils vierstufig: nicht vorhanden, vorhanden aber nicht wirksam, eingeschränkt wirksam, wirksam.
Die ersten beiden Stufen bewerten wir bewusst gleich, und der Maßstab dafür ist immer das Schutzziel. Eine Kamera ohne Aufschaltung erzeugt Aufzeichnungen. Für die nachträgliche Aufklärung ist das etwas wert, für eine Intervention während des Vorfalls nichts, weil in diesem Moment niemand hinsieht. Steht sie im Konzept unter Gefahrenabwehr, ist sie dort falsch verbucht. Dasselbe gilt für eine Meldeanlage, die aus Bequemlichkeit nicht scharfgeschaltet wird. Anlagen, die nur auf dem Papier existieren, gehören in kein Sicherheitskonzept, jedenfalls nicht auf der Habenseite.
Zu jeder Kategorie gehört außerdem, welchen Bereich sie abdeckt und wann sie zuletzt geprüft wurde. Eine Einbruchmeldeanlage, deren letzte Prüfung sechs Jahre zurückliegt, ist eine andere Aussage als eine frisch abgenommene, auch wenn in beiden Fällen „vorhanden" im Formular steht.
Organisation und Personal schließen die Lücke, die Technik offen lässt. Unser Bewertungsmodell bildet das ausdrücklich ab: Auch ein technisch hervorragend ausgestattetes Objekt kann sein Risiko über Technik nur bis zu einer Grenze senken. Was darüber hinausgeht, ist eine Frage von Präsenz, Zuständigkeit und Reaktionsfähigkeit. Technik entlastet Personal, ersetzen kann sie es nicht.
Aus den Schutzzielen und der verbleibenden Lücke ergeben sich dann die konkreten Personalpositionen: je Bereich mit Aufgabe, erforderlicher Qualifikation und tatsächlichen Einsatzzeiten. Daraus wiederum lässt sich ein Kostenrahmen ableiten, der auf dem zum Bewertungsstichtag geltenden Tarif beruht und nicht auf einer Schätzung.
Wer das Konzept später liest
Ein Sicherheitskonzept hat selten nur einen Adressaten, und die Adressaten haben unterschiedliche Erwartungen. Drei kommen besonders häufig vor.
Die Genehmigungsbehörde prüft, ob die Maßnahmen zu den beschriebenen Gefährdungen passen und ob die Zuständigkeiten geklärt sind. Sie liest den Zusammenhang, nicht die Details.
Der Versicherer interessiert sich für die technische Ausstattung und deren Zustand. Ein dokumentierter Prüfzeitpunkt zählt hier mehr als eine ausführliche Beschreibung.
Das Aufsichtsgremium – Rat, Aufsichtsrat, Rechnungsprüfung – prüft die Begründung. Warum diese Maßnahme, warum diese Kosten, warum nicht weniger. Hier entscheidet sich, ob die Herleitung nachvollziehbar dokumentiert wurde oder ob am Ende nur ein Ergebnis steht.
Je nach Objekt kommen weitere hinzu: die Fachkraft für Arbeitssicherheit, der Datenschutz, die Personalvertretung, das Gebäudemanagement, der beauftragte Dienstleister.
Für diesen dritten Fall haben sich in unserer Arbeit zwei Regeln bewährt. Die erste: Wo technische Ausstattung ein hohes Risiko deutlich nach unten zieht, gehört eine schriftliche Begründung dazu. Große Reduktionen sind die Stellen, an denen ein Rechnungsprüfer nachfragt, und ohne Begründung schließen wir eine Erhebung nicht ab. Die zweite: Eine dünne Datenbasis wird ausgewiesen. Wenn nur wenige Faktoren bewertet werden konnten, steht die eingeschränkte Aussagekraft im Bericht, statt hinter einer glatten Zahl zu verschwinden.
Zum Schluss: Der Bericht als Dokument
Wenn die Erhebung abgeschlossen wird, entsteht in einem Vorgang der vollständige Datenschnappschuss, der gerenderte Bericht und eine Prüfsumme darüber. Danach ist die Erhebung schreibgeschützt. Änderungen erzeugen eine neue Version, die mit der vorherigen verkettet bleibt.
Der praktische Nutzen zeigt sich Jahre später. Wer den Bericht 2031 aufschlägt, kann verifizieren, dass er unverändert ist. Spätere Änderungen an Stammdaten wirken nicht rückwirkend hinein. Und wenn ein Gefährdungsfaktor irgendwann aus dem Katalog genommen wird, verschwindet er nicht aus den Berichten, die ihn bewertet haben.
Was nach dem Dokument kommt
Ein abgeschlossener Bericht ist noch keine veränderte Sicherheitslage. Zwischen beidem liegt der Teil, der in Konzepten am häufigsten offen bleibt.
Die Maßnahmen brauchen eine Reihenfolge, weil sich selten alles gleichzeitig umsetzen lässt, und die Reihenfolge ergibt sich aus der Höhe des bewerteten Risikos und nicht aus der Höhe der Kosten. Jede Maßnahme braucht eine benannte verantwortliche Person und eine Frist. Was nicht umgesetzt wird, bleibt als Restrisiko bestehen, und dieses Restrisiko sollte ausdrücklich benannt und von der Leitung freigegeben werden, statt unausgesprochen mitzulaufen. Und die Wirksamkeit gehört überprüft, bei Meldewegen durch eine Übung, bei technischen Anlagen durch eine Auslösung mit Protokoll.
Der Auslöser für eine Fortschreibung ist dabei selten der Kalender. Umbauten, Nutzungsänderungen, veränderte Öffnungszeiten, ein neues Zutrittssystem, ein Vorfall oder auch nur ein Beinahe-Ereignis wiegen schwerer als der Ablauf von drei Jahren.
Der Maßstab für all das ist einfach. Ein Sicherheitskonzept ist ein Dokument, das im ungünstigsten Fall in einer Aufarbeitung liegt: nach einem Vorfall, in einer Prüfung, vor einem Gericht. In dieser Situation zählt weniger, ob es gut aussieht. Es zählt, ob nachvollziehbar bleibt, wer wann was auf welcher Grundlage entschieden hat.