Fragen Sie einmal in Ihrem Haus nach, wo das Sicherheitskonzept liegt. In den meisten Fällen weiß es genau eine Person, und diese Person ist gerade im Urlaub. Das Dokument existiert, es hat einmal Geld gekostet, und seit der Abnahme durch die Behörde hat es niemand mehr geöffnet.
Das ist kein Vorwurf. Sicherheitskonzepte entstehen fast immer unter Druck – weil eine Genehmigungsbehörde nachfragt, weil ein Versicherer es zur Bedingung macht, weil eine Ausschreibung es fordert oder weil nach einem Vorfall plötzlich alle darauf schauen. Unter diesen Umständen entsteht ein Dokument, das vorliegt. Ob es trägt, stellt sich erst heraus, wenn etwas passiert.
Wir sehen bei der Prüfung bestehender Konzepte immer wieder dieselben fünf Schwachstellen. Sie sind alle bekannt, und keine von ihnen kostet viel Geld in der Vermeidung. Man muss nur rechtzeitig hinsehen.
Vorweg: Wovon hier die Rede ist
Der Begriff ist unscharf, und das führt regelmäßig zu Missverständnissen. Gemeint ist in diesem Beitrag ein objektbezogenes Konzept zum Schutz von Menschen, Gebäuden, Betriebsmitteln und Abläufen vor physischen Gefährdungen: Übergriffe, Einbruch, Vandalismus, Sabotage, unberechtigter Zutritt.
Nicht gemeint sind das veranstaltungsbezogene Sicherheitskonzept, das Besucherströme, Ordnungsdienst und Räumung regelt, der Brandschutz, der eigenen Regelwerken folgt, und die Informationssicherheit. Alle drei bilden Schnittstellen, und eine saubere Abstimmung mit ihnen gehört dazu. Ersetzen können sie das Objektkonzept nicht, und umgekehrt gilt dasselbe.
Wann ein Sicherheitskonzept gefordert ist
Eine allgemeine gesetzliche Pflicht, für jedes Gebäude ein Sicherheitskonzept vorzuhalten, gibt es in Deutschland nicht. Dafür sind die einzelnen Anlässe umso konkreter:
Versammlungsstätten. § 43 der Muster-Versammlungsstättenverordnung verlangt ein Sicherheitskonzept, wenn die Art der Veranstaltung es erfordert. Ab mehr als 5.000 Besucherplätzen ist es Pflicht, und zwar im Einvernehmen mit den zuständigen Sicherheits- und Ordnungsbehörden. Die Länder haben das weitgehend übernommen; im Detail lohnt der Blick in die jeweilige Landesfassung.
Arbeitsschutz. § 5 Arbeitsschutzgesetz verpflichtet jeden Arbeitgeber zur Gefährdungsbeurteilung. Ein Dokument mit der Bezeichnung Sicherheitskonzept folgt daraus rechtlich nicht. Fachlich betrachtet läuft es dort, wo Beschäftigte in Alleinarbeit tätig sind, mit konfliktbereitem Publikum zu tun haben oder in Randzeiten arbeiten, auf dieselben Fragen hinaus: welche Gefährdung besteht, welcher Zustand soll erreicht werden, welche Maßnahme führt dorthin.
Kritische Infrastruktur. Seit dem 17. März 2026 gilt das KRITIS-Dachgesetz. Anders als das NIS2-Umsetzungsgesetz, das die digitale Seite regelt, adressiert es die physische Resilienz kritischer Anlagen: Schutz vor Sabotage, Naturereignissen, Infrastrukturausfällen. Ob eine Organisation in den Anwendungsbereich fällt, hängt von Sektor, Anlageneinstufung, Schwellenwerten und ergänzenden Rechtsverordnungen ab und ist im Einzelfall zu prüfen. Wer betroffen ist, hat damit einen Anlass, über den nicht verhandelt wird.
Versicherer und Auftraggeber. Beide verlangen Konzepte vertraglich, ohne dass ein Gesetz dahintersteht. Bei Ausschreibungen von Sicherheitsdienstleistungen ist ein Konzept inzwischen häufiger Bestandteil der Anforderungen als nicht.
Ob in Ihrem Fall eine Pflicht besteht, ist eine rechtliche Bewertung, die wir nicht vornehmen. Was wir beurteilen können: ob das Konzept, das Sie haben, seinen Zweck erfüllt.
1. Die Gefährdungen stammen aus einer Vorlage, nicht aus dem Objekt
Das ist der häufigste und der folgenreichste Fehler. Ein Konzept beginnt mit einer Gefährdungsanalyse – und wenn diese Analyse aus einem Musterdokument übernommen wird, ist alles Weitere auf Sand gebaut.
Man erkennt es an den Formulierungen. „Einbruchsgefahr besteht grundsätzlich." „Vandalismus ist nicht auszuschließen." Sätze, die für jedes Gebäude in Deutschland gelten und deshalb über kein einziges etwas aussagen. Wo eine echte Begehung stattgefunden hat, liest sich das anders: welcher Zugang nachts unbeobachtet ist, welcher Bereich vom Nachbargrundstück eingesehen werden kann, wo die Anlieferung so liegt, dass eine Tür regelmäßig verkeilt wird.
Ein zweites Problem kommt dazu, das seltener besprochen wird: Zwei Fachleute bewerten dieselbe Situation unterschiedlich. Wenn der eine ein Einbruchsrisiko als „mittel" einstuft und der andere als „hoch", ohne dass beide dieselbe Vorstellung davon haben, was diese Wörter bedeuten, ist die Bewertung nicht reproduzierbar.
Abhelfen lässt sich dem nur mit einer Skala, die für jede Stufe ausformuliert ist. Zu jedem Gefährdungsfaktor gehört ein Satz, was Stufe 2 bei genau diesem Faktor bedeutet und was Stufe 3 bedeutet. Damit verschwindet die Spannweite nicht, aber sie schrumpft erheblich, und vor allem lässt sich später nachvollziehen, was eine Zahl bedeuten sollte. Wir arbeiten aus diesem Grund mit SCVeridit, unserem eigenen Erhebungswerkzeug, in dem außerdem zu jedem Wert eine Begründung erfasst wird. Im Bericht steht sie später neben der Einstufung, sodass der Leser die Überlegung nachvollziehen und ihr auch widersprechen kann.
Dazu kommt eine Regel, die auf dem Papier unscheinbar wirkt und in der Praxis viel ausmacht: Ein nicht bewerteter Faktor zählt nicht als „kein Risiko". Er fällt aus der Rechnung heraus. Wer ehrlich sagt, dass er etwas nicht beurteilen kann, drückt das Ergebnis damit nicht künstlich nach unten. In Vorlagen, in denen überall Nullen stehen, weil niemand hingesehen hat, geschieht genau das, und das Gesamtbild fällt am Ende systematisch zu freundlich aus.
2. Die Schutzziele lassen sich nicht überprüfen
„Die Sicherheit der Beschäftigten ist zu gewährleisten." So oder ähnlich steht es in vielen Konzepten, und es ist die Sorte Satz, gegen die niemand etwas einwenden kann – weil er nichts behauptet.
Ein Schutzziel muss so formuliert sein, dass sich in einem Jahr feststellen lässt, ob es erreicht wurde. „Im Bürgerbüro ist während der Öffnungszeiten sichergestellt, dass ein Beschäftigter im Konfliktfall innerhalb von 60 Sekunden Unterstützung erhält." Das ist prüfbar. Man kann es testen, man kann es verfehlen, und man kann darüber reden.
Wer das für Wortklauberei hält, unterschätzt die Folgen. Aus prüfbaren Schutzzielen ergeben sich Maßnahmen fast von selbst. Aus unbestimmten ergibt sich gar nichts, und deshalb landet in solchen Konzepten regelmäßig eine Maßnahmenliste, die mit den Zielen darüber in keinem erkennbaren Zusammenhang steht.
3. Die Maßnahmen passen nicht zum Betriebsablauf
Eine Zutrittskontrolle, die den Lieferverkehr blockiert, wird nach zwei Wochen umgangen. Ein Meldeweg, der über eine Telefonnummer läuft, die nachts niemand abhört, ist kein Meldeweg. Eine Anweisung, den Empfang bei Konflikten nicht zu verlassen, hilft nicht, wenn dort nur eine Person sitzt und die Toilette am anderen Ende des Flurs liegt.
Solche Maßnahmen entstehen, wenn ein Konzept am Schreibtisch geschrieben wird. Sie sind fachlich nicht falsch – sie sind nur mit dem tatsächlichen Betrieb nicht vereinbar, und der Betrieb gewinnt immer.
Dasselbe gilt für die technische Seite. Wir erfassen in vierzehn Kategorien nicht, ob eine Anlage vorhanden ist, sondern ob sie für das jeweilige Schutzziel wirksam ist. Der Bezug auf das Schutzziel ist dabei entscheidend. Eine Kamera ohne Aufschaltung leistet für eine sofortige Intervention nichts, weil niemand hinsieht, während etwas geschieht. Für die nachträgliche Aufklärung kann sie durchaus taugen. Wo im Konzept steht, sie diene der Gefahrenabwehr, ist das Scheinschutz. Eine Einbruchmeldeanlage, die aus Bequemlichkeit nicht scharfgeschaltet wird, und eine Zutrittstür, die dauerhaft verkeilt ist, gehören in dieselbe Kategorie: Sie beruhigen die Aktenlage, ohne das Risiko zu senken, für das sie im Konzept stehen.
4. Es fehlt der Meldeweg
Fast jedes Konzept beschreibt, was zu tun ist. Deutlich weniger beschreiben, wer es tut. Und fast keines beantwortet die Frage, die im Ernstfall als erste auftaucht: Wer ruft an?
Bei einer Übung fällt das binnen Minuten auf. Alle wissen, dass geräumt werden muss – aber niemand weiß, ob die Räumung von der Leitstelle, vom Hausmeister oder von der Bereichsleitung ausgelöst wird, und ob der Sicherheitsdienst dafür eine eigene Berechtigung hat. Fünf Menschen greifen zum Telefon, und alle rufen jemand anderen an.
Alarm- und Notfallplanung gehört deshalb in den tragenden Teil des Konzepts und nicht in den Anhang: Meldewege, Zuständigkeiten, Vertretungsregelungen, das Zusammenwirken mit Feuerwehr und Rettungsdienst. Und dazu gehört, das Ganze mindestens einmal durchzuspielen, auch wenn sich dafür erfahrungsgemäß nie ein guter Termin findet.
5. Einmal erstellt, nie fortgeschrieben
Ein Sicherheitskonzept beschreibt ein Gebäude zu einem bestimmten Zeitpunkt. Gebäude ändern sich: Ein Bereich wird umgenutzt, die Öffnungszeiten verschieben sich, eine Abteilung zieht um, der Publikumsverkehr steigt. Nach drei Jahren beschreibt das Konzept ein Objekt, das es so nicht mehr gibt.
Das eigentliche Problem daran ist nicht die Ungenauigkeit. Es ist, dass ein veraltetes Konzept schwerer zu erkennen ist als gar keines. Es liegt vor, es sieht vollständig aus, und niemand fragt nach dem Datum.
Was ein Konzept gegenüber einer Aufsichtsbehörde oder einem Versicherer trägt, ist zuerst die nachvollziehbare Methodik, die belastbare Feststellung und die dokumentierte Freigabe. Damit das über Jahre erkennbar bleibt, behandeln wir eine Fortschreibung nicht als Korrektur, sondern als neue Version, die mit der vorherigen verkettet bleibt. Der alte Bericht bleibt unverändert lesbar, auch fünf Jahre später und auch dann, wenn sich Stammdaten längst geändert haben, und eine Prüfsumme belegt, dass er seit der Erstellung nicht angetastet wurde. Wer nach einem Vorfall in die Unterlagen schaut, findet dann den Stand, der damals galt, und nicht den, der heute besser aussieht.
Was daraus folgt
Wenn Sie ein bestehendes Konzept haben, lohnt sich ein Blick auf drei Stellen: Steht bei den Gefährdungen etwas, das nur auf Ihr Objekt zutrifft? Lassen sich die Schutzziele überprüfen? Und steht darin, wer im Ernstfall anruft?
Wenn eine dieser drei Fragen unbeantwortet bleibt, ist das kein Grund zur Panik. Es ist ein guter Zeitpunkt, das Dokument noch einmal aufzuschlagen, am besten bevor jemand anderes es tut.