Herzlich willkommen bei INSIPLAN. Bei uns bilden Innovation, Kommunikation und Zusammenarbeit die Grundlagen unserer täglichen Arbeit.

Die neuen, alten Gefahren lokalisieren, erkennen, verstehen und Schutzziele entwickeln. Sicherheit im Zeitalter des Wandels.

In der aktuellen Zeit ändern sich viele grundlegende Prozesse. Umso wichtiger sind nun (wieder) sinnvolle Schutzkonzepte, die auf die heutigen Bedürfnisse und die neuen Gefahren.

Der „kalte Krieg“ ist vorbei? Wie wird man die neuen, hybride und geopolitischen Bedrohungen nennen?

Sicher haben Sie sich mit Ihrem Gebäude, Ihrer Liegenschaft und Ihrer Organisation bereits beschäftigt, sei es aus gesetzlichen Vorgaben (KRITIS, NIS-2, DIN EN 50600), Anforderungen, seitens des Versicherers, unternehmensinternen Anforderungen und policies oder aus Gründen des Wettbewerbschutzes und Produktionssicherheit.

Doch wir stellen immer wieder fest, dass dieses zumeist vor geraumer Zeit geschah und eine Anpassung an die neuen Anforderungen vernachlässigt wurden. In den zurückliegenden Jahren war dies aufgrund ruhiger Zeiten auch nicht zwingend notwendig. Doch haben Sie sich mit der heutigen Zeit beschäftigt? Sind die Schutzziele noch ausreichend erfüllt? Passen diese zu den aktuellen Bedrohungen?

Es gibt immer wieder gravierende Schwachstellen in Schutzkonzepten. Oft liegen diese nicht unbedingt in einzelnen Umsetzungen, sondern viel mehr in grundsätzlichen, nicht schlüssigen und durchgehenden Konzepten. Es ist nicht zielführend, partiell gute und teure Systeme zu verwenden, wenn entweder die Organisation nicht darauf abgestimmt ist oder daneben technisch oder bauliche „Lücken“ existieren. Jedes Schutzkonzept ist nur so gut, wie die Organisation, die sie nutzt.

Identifikation, Analyse und Behebung. Das Erfolgsrezept, um Schwachstellen nachhaltig zu vermeiden oder abzustellen.

Ein effektives Schutzkonzept setzt voraus, dass potenzielle Schwachstellen frühzeitig erkannt, analysiert und gezielt behoben werden.

1. Schwachstellen identifizieren (Auszug)

Physische Schwachstellen:

• Unzureichende Zäune oder Mauern, niedrige oder beschädigte Barrieren, fehlender Übersteigschutz und Unterkriechschutz
• Offene oder schlecht gesicherte Zufahrten, fehlende Schranken, unkontrollierte Tore, keine Zugangs- /Zufahrtsregelung
• Fehlender Schutz vor Fahrzeugangriffen, keine oder falsche Poller, keine crash zertifizierte Barrieren an benötigten Stellen, einfache Schranken ohne Schutz
• Fassadenhärtung aus architektonischen Gründen vernachlässigt oder nicht schlüssig
• Zugänglichkeiten nicht vollumfänglich betrachtet, Zutrittskontrollkonzept harmoniert nicht mit der realen Organisation
• Lüftungskonzept bei Hitze im Sommer ist in Sicherheitsbetrachtung nicht ausreichend berücksichtigt

Technische Schwachstellen:

• Alarmsysteme ohne Redundanz, manipulierbare, fehleranfällige oder defekte Zentralen oder Komponenten
• Unzureichende Kamerasysteme, veraltete oder angreifbare Technik, niedrige Auflösung, keine Nachtsicht, blinde Flecken in der Überwachung, Kameras mit toten Winkeln, fehlende Ausleuchtung
• Schlecht gesicherte Netzwerke, unverschlüsselte Datenübertragung, keine Firewall, oberflächliches Augenmerk auf cybersecurity, OT-Systeme (Operational Technology) nicht berücksichtigt
• Zutrittskontrollmedien nicht auf Stand der Technik, Mischsysteme im Einsatz, Zutrittsmedien und deren Ausgabekonzept nicht schlüssig oder wird nicht ausreichend verfolgt
• öffentliche Gebäude: Sicherheitssysteme kollidieren in der Ablauf-Logik (Brandalarm vs. Amokalarm)

Organisatorische Schwachstellen:

• Mangelnde oder komplizierte Prozesse („keep it simple“)
• unklare Zuständigkeiten bei Alarmen
• Fehlende oder unzureichende Mitarbeiterschulung und Mitarbeitersensibilisierung
• Sicherheitsprotokolle werden nicht eingehalten
• hoher bürokratischer Aufwand blockiert das Verständnis und die Prozesse
• Zutrittskontrollen nicht konsequent durchgesetzt, unkontrollierter Zugang für Dritte
• organisatorische Trennung zwischen Sicherheitspersonal und Mitarbeitenden zu gering

2. Schwachstellen analysieren (Auszug)

• Risikoabschätzung: Wie wahrscheinlich ist eine Bedrohung?
• Impact-Analyse: Welche Folgen hätte eine Sicherheitslücke?
• Angriffsvektoren simulieren: Penetrationstests durchführen
• Überprüfung durch Audits: Regelmäßige Sicherheitsüberprüfungen und Schwachstellen-Scans

3. Schwachstellen beheben (Beispiele und Möglichkeiten)

Maßnahmenkatalog erstellen:

• Die Maßnahmen müssen individuell je nach Objektnutzung und Objektart erarbeitet werden. Ebenso müssen die vorhandenen organisatorischen Prozesse berücksichtigt werden.

• Ein Schutzkonzept muss wirtschaftlich zu der Nutzung stehen. Das KRITIS-Dachgesetz kann als „Leitfaden“ für die eigene Sicherheitsgedanken dienen, auch wenn der Betrieb formal nicht unter die relevanten Betriebe / Organisationen fallen.
• Je resilienter ein Betrieb ist, desto weniger anfällig ist dieser in der (nahen) Zukunft. Mit Blick auf die geopolitische Entwicklung ist von einer zeitnahen Bedrohung für jeden grundsätzlich auszugehen. Bei einer längerfristigen Betrachtung werden sich augenscheinlich Gewinneinbußen durch Investitionen aller Wahrscheinlichkeit nach zeitnah auszahlen. Die Resilienz muss ganzheitlich betrachtet werden. Ein Sicherheitskonzept ist ein zentraler Baustein eines resilienten Unternehmens.

 

Sicherheitskonzepte und deren Ziel

Allen Sicherheitskonzepten gemeinsam ist die grundlegend strukturierte Vorgehensweise:

• Bestimmung des zu schützenden Objektes und der Schutzziele
• Analyse der Bedrohungen / Schadensszenarien / Gefahren
• Bewertung von Eintrittswahrscheinlichkeit und potentieller Schadensschwere sowie Ermittlung des Schadenserwartungswerts
• Entwicklung von Maßnahmen zur Reduzierung der Eintrittswahrscheinlichkeit/Schadenshöhe
• Planung von Maßnahmen und Bereitstellung von Mitteln zur Schadensbekämpfung und -eindämmung
• Festlegung, Genehmigung und – falls nötig und möglich – versicherungstechnische Absicherung des akzeptablen Restrisikos

„Ein Sicherheitskonzept stellt im Allgemeinen eine Analyse möglicher Angriffs- und Schadenszenarien mit dem Ziel, ein definiertes Schutzniveau zu erreichen, dar. Unterschieden werden muss dabei die Sicherheit gegenüber böswilligen Angriffen (Security) und die Sicherheit gegenüber menschlichem und technischem Versagen (Safety).“ (Quelle: wikipedia)

Ein funktionierendes Schutzkonzept erfordert eine Kombination aus technischen, physischen und organisatorischen Maßnahmen. Regelmäßige Überprüfungen, moderne, mitwachsende Technologien und geschultes Personal minimieren das Risiko erheblich. Schwachstellen lassen sich zumeist nicht „zwischendurch“ beheben, hier wird ein schlüssiges Konzept erforderlich, welches die Schwachstellen nach logischen, wirtschaftlichen und zeitlichen Abläufen darstellt und die Umsetzbarkeit im Auge behält.

Zielführende Sicherheit kann nur durch eine ganzheitliche Betrachtung baulicher, technischer und betrieblicher Aspekte erreicht werden. Neuen Bedrohungen muss konsequent entgegnet werden. 

Auch ein ausgefeiltes Sicherheitskonzept ist nicht in der Lage, das Restrisiko komplett auszuschließen. Aus diesem Grund sollten regelmäßige Kontrollen und die Darstellung von Verbesserungsvorschlägen oder Anpassungen ebenfalls zu einem schlüssigen Konzept gehören.

ganzheitliches Konzept bis zur Vollendung

Ganzheitlich von Anfang bis zum Ende. Das ist das Kredo der INSIPLAN GmbH. Hierzu gehören, Schwachstellenanalysen, Schutz- und Sicherheitskonzepte ebenso wie fachspezifische Planungen im technischen und baulichen Umfeld, aber auch die Definition und Festlegung organisatorischen Maßnahmen und Überprüfung auf deren Machbarkeit und Umsetzung.