Warum physischer Schutz wieder im Mittelpunkt steht
Lange drehte sich die Diskussion um kritische Infrastrukturen vor allem um IT-Sicherheit. Sabotage an Bahnkabeln, Angriffe auf Umspannwerke oder Drohnen über Energieanlagen haben gezeigt, dass Zäune, Tore, Schlösser und Menschen ebenso wichtig sind. Ein Stromausfall ist für die Versorgung gleich schlimm, ob er durch Schadsoftware oder durch einen Bolzenschneider entsteht.
Mit dem KRITIS-Dachgesetz, das die EU-Richtlinie 2022/2557 über die Resilienz kritischer Einrichtungen umsetzt und seit März 2026 gilt, hat der Gesetzgeber den physischen Schutz erstmals sektorübergreifend geregelt. Betroffen sind Betreiber kritischer Anlagen unter anderem aus Energie, Wasser und Abwasser, Ernährung, Gesundheit, Transport und Verkehr, Finanzwesen, Siedlungsabfallentsorgung und Teilen der öffentlichen Verwaltung.
Für die rechtliche Einordnung im Einzelfall sind die zuständigen Behörden und Fachverbände der richtige Ansprechpartner. Dieser Beitrag beschreibt, wie die physische Seite praktisch aussehen kann. Hintergründe zum Gesetz finden Sie im Beitrag zum KRITIS-Dachgesetz.
Was Betreiber im Kern tun müssen
Die Einzelheiten ergeben sich aus dem Gesetz und den dazugehörigen Verordnungen; ob eine Anlage erfasst ist, hängt von Sektor und Schwellenwerten ab. Im Kern verlangt das Gesetz einen Kreislauf, der aus dem Qualitätsmanagement bekannt ist:
- Risiken analysieren und bewerten: Naturgefahren, technisches Versagen, Sabotage, Terrorismus, Insider, Ausfall von Zulieferern
- Geeignete und verhältnismäßige Maßnahmen technischer, organisatorischer und personeller Art nach dem Stand der Technik treffen
- Resilienzplan erstellen, der die Maßnahmen beschreibt und nachvollziehbar macht
- Vorfälle melden, die den Betrieb erheblich stören oder stören können
- Regelmäßig überprüfen und anpassen, wenn sich Lage oder Anlage ändern
Schutz in Schichten denken
Kein einzelnes Element hält einen entschlossenen Täter dauerhaft auf. Wirksamer Schutz entsteht aus mehreren Schichten, die einander ergänzen. Jede Schicht soll abschrecken, erkennen, verzögern und eine Reaktion ermöglichen, bevor der Täter sein Ziel erreicht.
| Schicht | Beispiele | Aufgabe |
|---|---|---|
| Umfeld | Beobachtung des Vorfelds, Zusammenarbeit mit Polizei und Nachbarn | Auffälligkeiten früh bemerken |
| Perimeter | Zaun, Übersteigschutz, Tore, Detektion am Zaun, Beleuchtung | Eindringen erschweren und melden |
| Gelände | Videoanalyse, Bestreifung, Freiflächen ohne Sichtschutz | Bewegungen erkennen und verfolgen |
| Gebäudehülle | einbruchhemmende Türen und Fenster, Einbruchmeldeanlage | Zeit gewinnen bis zur Intervention |
| Kernbereich | Zutritt nur für Berechtigte, Vier-Augen-Prinzip, gesonderte Schließung | sensible Technik zuletzt erreichbar machen |
Der Faktor Zeit: Verzögerung muss zur Reaktion passen
Die wichtigste Rechnung beim physischen Schutz ist einfach: Die Zeit, die ein Täter vom Erkennen bis zum Ziel braucht, muss länger sein als die Zeit, bis eine Reaktion vor Ort ist. Ein hochwertiger Zaun nützt wenig, wenn er nicht detektiert ist und der Einbruch erst morgens bemerkt wird. Umgekehrt nützt die beste Detektion nichts, wenn die nächste Interventionskraft weit entfernt ist und der Täter in kurzer Zeit am Ziel.
Gerade bei abgelegenen Anlagen – einem Pumpwerk im Kreis Rendsburg-Eckernförde, einem Umspannwerk in Brandenburg, einer Funkstation auf freiem Feld – lohnt es sich, diese Rechnung für jede Anlage einzeln aufzumachen. Daraus ergibt sich, ob mehr Verzögerung (mechanischer Widerstand), schnellere Erkennung (Detektion am Perimeter) oder eine nähere Reaktion (Bewachung vor Ort, kürzere Interventionswege) der richtige Hebel ist. Mehr zu Zaun und Gelände lesen Sie im Beitrag zum Perimeterschutz.
Zutritt und Innentäter
Ein großer Teil der Risiken kommt nicht über den Zaun, sondern durch das Tor. Fremdfirmen, Wartungsdienste, Lieferanten und eigene Beschäftigte haben legitimen Zugang – und damit Gelegenheit. Ein belastbares Zutrittskonzept regelt, wer wann wohin darf, wie Besucher angemeldet und begleitet werden, wie Ausweise und Schlüssel ausgegeben und zurückgenommen werden und wie Berechtigungen bei Personalwechsel gelöscht werden.
Für Personal mit Zugang zu sensiblen Bereichen kommen Zuverlässigkeitsprüfungen in Betracht, soweit sie rechtlich zulässig sind. Für das Sicherheitspersonal selbst gelten bereits die Anforderungen des § 34a GewO: Unterrichtung oder Sachkundeprüfung und die Zuverlässigkeitsprüfung über das Bewacherregister.
Rolle des Sicherheitsdienstes
Sicherheitspersonal ist in KRITIS-Anlagen oft die Schicht, die Technik und Organisation zusammenhält. Typische Aufgaben sind:
- Torkontrolle und Besuchermanagement mit Ausweisprüfung
- Bestreifung von Gelände und Perimeter zu wechselnden Zeiten
- Bewertung von Alarmen aus Zaundetektion und Videoanalyse
- Intervention an abgelegenen Anlagen über einen Revier- oder Interventionsdienst
- Begleitung von Fremdfirmen in sensiblen Bereichen
- lückenlose Dokumentation als Nachweis gegenüber Behörden und Prüfern
Worauf es beim Personal ankommt
Entscheidend ist, dass das Personal die Anlage kennt, klare Dienstanweisungen hat und seine Beobachtungen verlässlich weitergibt. Ein Bericht über ein beschädigtes Zaunfeld oder ein fremdes Fahrzeug, das mehrfach am Tor auftaucht, kann der erste Hinweis auf eine Ausspähung sein.
Dazu gehört eine Kultur, in der Meldungen ernst genommen werden. Wer nach einem Hinweis auf ein auffälliges Fahrzeug nie wieder etwas hört, meldet beim nächsten Mal vielleicht nicht mehr. Bewährt hat sich ein fester Ansprechpartner beim Betreiber, der Hinweise aus dem Sicherheitsdienst sammelt, bewertet und Rückmeldung gibt. Ebenso wichtig ist Vertraulichkeit: Pläne, Schwachstellen und Dienstzeiten gehören nicht in offene Gruppen oder auf private Geräte.
Melden, üben, nachweisen
Ein Resilienzplan ist nur so gut wie seine Umsetzung. Legen Sie fest, welche Vorfälle intern und an die Behörde gemeldet werden und wer das tut – auch nachts und am Wochenende. Üben Sie Szenarien wie Einbruch in einen Technikraum, Sabotageverdacht, Drohnensichtung oder Bombendrohung mit allen Beteiligten, einschließlich des Sicherheitsdienstes.
Bewahren Sie Nachweise auf: Kontrollberichte, Zutrittsprotokolle, Übungsauswertungen, Prüfberichte der Technik. Sie zeigen, dass die Maßnahmen nicht nur geplant, sondern gelebt werden.
Planen Sie außerdem für den Fall, dass Ihre eigenen Schutzmaßnahmen ausfallen. Was geschieht, wenn bei einem Stromausfall Zaundetektion und Kameras stehen, wenn ein Sturm Zaunfelder umwirft oder wenn die Zufahrt durch Hochwasser abgeschnitten ist? Für solche Lagen sollte feststehen, wer kurzfristig zusätzliches Personal stellt und wie die Anlage übergangsweise bewacht wird.
Staffsec ist nach DIN EN ISO 9001 und DIN 77200 zertifiziert und schützt Anlagen in Schleswig-Holstein, Hamburg und Berlin. Mehr zu unserem Angebot finden Sie auf der Seite KRITIS-Schutz; für ein Gespräch nutzen Sie die Kontaktseite.
