17. Juli 2026

Sicherheitskonzept für kritische Infrastruktur erstellen

Ein ungesicherter Zufahrtsbereich, ein verdeckter Zaunabschnitt oder ein Ausfall der Leitstelle kann bei kritischen Infrastrukturen weit mehr auslösen als einen Sachschaden. Wer ein Sicherheitskonzept für kritische Infrastruktur erstellen will, muss daher Schutzbedarf, Betriebsabläufe, Technik und regulatorische Pflichten in ein belastbares Gesamtsystem überführen. Einzelne Kameras oder Zutrittsleser reichen nicht aus, wenn Zuständigkeiten, Reaktionszeiten und der langfristige Betrieb ungeklärt bleiben.

Für Betreiber von Energie- und Wasserversorgung, Gesundheitseinrichtungen, kommunalen Anlagen, Rechenzentren oder Logistikstandorten ist physische Sicherheit Teil der Betriebsresilienz. Sie schützt nicht nur Gebäude und Gelände, sondern Verfügbarkeit, Personal, Prozesse und sensible Informationen. Ein Konzept muss deshalb mit der tatsächlichen Gefährdungslage beginnen - nicht mit einer Produktliste.

Sicherheitskonzept für kritische Infrastruktur erstellen: Der Ausgangspunkt

Am Anfang steht eine präzise Bestandsaufnahme. Welche Anlagen, Räume, Datenwege und Betriebsprozesse sind für die Versorgung oder Leistungserbringung unverzichtbar? Welche Ausfälle wären tolerierbar, welche hätten unmittelbare Auswirkungen auf Sicherheit, Versorgung oder Patientenwohl? Diese Fragen legen fest, welche Bereiche besonders geschützt, überwacht oder redundant ausgelegt werden müssen.

Eine sinnvolle Schutzbedarfsanalyse unterscheidet dabei mindestens zwischen Personen, Sachwerten, Informationen und Betriebsfähigkeit. In einem Krankenhaus kann etwa die Apotheke einen anderen Schutzbedarf haben als die technische Gebäudezentrale, die Notaufnahme oder ein Bereich mit medizinischen Gasen. Bei einem Wasserversorger stehen häufig Brunnenanlagen, Pumpwerke, Steuerungstechnik und abgelegene Außenstandorte im Fokus. Die Maßnahmen müssen zur jeweiligen Funktion passen.

Ebenso entscheidend ist die Abgrenzung des Geltungsbereichs. Ein Sicherheitskonzept sollte klar benennen, welche Standorte, Gebäude, Außenflächen, IT-Schnittstellen und Dienstleister erfasst sind. Gerade verteilte Liegenschaften werden häufig unterschiedlich gut geschützt. Was am Hauptstandort funktioniert, lässt sich nicht automatisch auf eine unbesetzte technische Anlage übertragen.

Risiken nachvollziehbar bewerten statt pauschal absichern

Eine Risikoanalyse bewertet nicht nur die Wahrscheinlichkeit eines Ereignisses, sondern auch dessen Folgen. Relevante Szenarien reichen von unbefugtem Zutritt, Diebstahl und Vandalismus über Sabotage bis zu gezielten Ausspähversuchen, Drohnenüberflügen oder dem Missbrauch von Lieferantenzugängen. Auch organisatorische Fehler gehören dazu: offen stehende Türen, fehlende Besuchererfassung oder unklare Übergaben zwischen Schichten.

Für jedes Szenario sollten Sicherheitsverantwortliche festlegen, was erkannt werden muss, wie schnell eine Prüfung erfolgen soll und welche Reaktion folgt. Die entscheidende Frage lautet nicht nur: Ist ein Bereich per Kamera sichtbar? Sie lautet: Erkennt das System ein relevantes Ereignis rechtzeitig, lässt es sich verifizieren und kann eine verantwortliche Stelle wirksam handeln?

Prioritäten entstehen aus dem Zusammenspiel von Schadenshöhe, Eintrittswahrscheinlichkeit und vorhandenen Schwachstellen. Ein abgelegener Technikcontainer mit schwer einsehbarem Zugang kann eine höhere Priorität besitzen als ein zentraler Bereich mit permanentem Personalverkehr. Daraus folgt eine wichtige Abwägung: Nicht jede Fläche benötigt dieselbe Überwachungstiefe. Kritische Zonen brauchen jedoch nachvollziehbar wirksame Maßnahmen und möglichst wenige blinde Flecken.

Schutzmaßnahmen als abgestimmte Sicherheitskette planen

Wirksame physische Sicherheit folgt einer Kette aus Abschreckung, Verzögerung, Detektion, Verifikation und Reaktion. Reine Detektion ohne geregelte Intervention schafft zwar Meldungen, senkt das Risiko aber nur begrenzt. Umgekehrt kann ein hochwertiger Zaun Schwachstellen nicht ausgleichen, wenn Zugänge offen bleiben oder Vorfälle zu spät bemerkt werden.

Das Konzept sollte deshalb bauliche, technische und organisatorische Maßnahmen gemeinsam beschreiben. Dazu gehören beispielsweise die Geländeabgrenzung, Beleuchtung, Schleusen, Zutrittskontrolle, Besuchermanagement, Einbruchmeldetechnik, Videoüberwachung sowie Alarmierungs- und Eskalationsprozesse. Für besonders sensible Bereiche kann eine Mehrfachabsicherung erforderlich sein, etwa durch Zutrittsrechte, Türzustandsüberwachung und kameragestützte Verifikation.

Videoüberwachung nach Aufgabe auslegen

Bei professioneller Videoüberwachung entscheidet der Anwendungsfall über Kameraart, Positionierung und Auswertung. Eine Übersichtskamera am Tor erfüllt eine andere Aufgabe als die gerichtsfeste Erfassung eines Einfahrtsbereichs oder die Beobachtung eines weitläufigen Zaunverlaufs bei Dunkelheit. Wärmebildkameras können Außenbereiche auch bei schlechten Lichtverhältnissen überwachen und Bewegungen früh erfassen. Für die eindeutige Zuordnung von Fahrzeugen kann eine Nummernschilderkennung sinnvoll sein, sofern Zweck, technische Rahmenbedingungen und Datenschutz sauber definiert sind.

Die Kameraplanung muss Sichtachsen, Brennweiten, Gegenlicht, Witterung, Vandalismusschutz und verfügbare Netzwerkinfrastruktur berücksichtigen. Ebenso wichtig ist die Frage, wer Bilder wann sieht und wie Alarmbilder in der Leitstelle oder beim Sicherheitsdienst bewertet werden. Fehlalarme sind nicht nur störend. Häufen sie sich, sinkt die Aufmerksamkeit im Betrieb.

Drohnen als separates Risikoszenario behandeln

Drohnen können Gelände ausspähen, Betriebsabläufe beobachten oder unbefugt in sensible Bereiche eindringen. Bei Anlagen mit großen Außenflächen, Sicherheitszonen oder erhöhtem Schutzbedarf sollte die Gefährdungsanalyse deshalb prüfen, ob eine Drohnendetektion erforderlich ist. Maßgeblich sind Lage, Sichtbarkeit, bisherige Vorfälle und die Bedeutung der Anlage.

Detektion allein ist auch hier nicht ausreichend. Das Sicherheitskonzept braucht definierte Meldewege, eine fachliche Bewertung des Ereignisses und rechtssichere Handlungsoptionen. Welche Stelle wird informiert? Wann erfolgt die Einbindung von Behörden? Wer dokumentiert den Vorfall? Diese Fragen müssen vor dem Ernstfall beantwortet sein.

NIS2, KRITIS und Datenschutz in die Umsetzung einbinden

Regulatorische Anforderungen ersetzen kein Sicherheitskonzept, sie erhöhen aber die Anforderungen an dessen Nachweisbarkeit. Je nach Einstufung und Branche sind Vorgaben aus dem KRITIS-Umfeld, NIS2-Umsetzung, Datenschutzrecht, Arbeitsrecht und gegebenenfalls branchenspezifischen Regeln zu berücksichtigen. Besonders an den Schnittstellen von physischer Sicherheit und IT entstehen häufig Lücken: Kameras, Zutrittscontroller und Leitstellensoftware sind vernetzte Systeme und müssen entsprechend geschützt betrieben werden.

Dazu zählen segmentierte Netze, sichere Administrationszugänge, aktuelle Softwarestände, rollenbasierte Berechtigungen und nachvollziehbare Protokollierung. Auch die Verfügbarkeit verdient Aufmerksamkeit. Fallen zentrale Aufzeichnung, Stromversorgung oder Netzwerkverbindung aus, muss feststehen, welche Funktionen lokal weiterlaufen, wie lange Daten vorgehalten werden und wie Störungen erkannt werden.

Beim Datenschutz gilt das Prinzip der Erforderlichkeit. Kamerastandorte, Erfassungsbereiche, Speicherdauer, Zugriffsrechte und Löschkonzepte müssen sich aus einem konkreten Sicherheitszweck ableiten lassen. Bereiche mit besonders sensiblen Personenbezügen verlangen eine besonders sorgfältige Planung. In Gesundheitseinrichtungen betrifft das etwa Patientenbereiche, Wartezonen und Arbeitsplätze. Technische Möglichkeiten dürfen nicht automatisch zum Einsatzumfang werden.

Betrieb, Verantwortlichkeiten und Tests fest verankern

Ein Sicherheitskonzept ist erst dann belastbar, wenn es im Alltag funktioniert. Dafür benötigt es eine klare Betriebsorganisation: Wer verantwortet die Sicherheitsstrategie? Wer administriert Systeme? Wer prüft Alarme außerhalb der Geschäftszeiten? Wer entscheidet bei einem kritischen Ereignis über Eskalation, Abschaltung oder die Hinzuziehung externer Stellen?

Diese Rollen sollten mit Vertretungen, Kontaktwegen und Reaktionsfristen dokumentiert sein. Dienstleister sind dabei nicht nur Lieferanten, sondern Teil der Sicherheitskette. Wartungszugänge, Fernzugriffe, Schlüsselverwaltung und Meldepflichten müssen vertraglich und technisch geregelt werden. Besonders bei älteren Anlagen lohnt eine Prüfung, ob Komponenten noch sicher supportbar sind oder ob eine schrittweise Modernisierung die bessere Option ist.

Regelmäßige Funktionsprüfungen und Übungen zeigen, ob die Planung trägt. Dabei geht es nicht allein um die Kamerafunktion. Testen Sie die gesamte Meldekette: Wird ein Ereignis erkannt, kommt die Meldung an, kann sie bewertet werden und erfolgt die vorgesehene Reaktion innerhalb der benötigten Zeit? Nach einem Test oder realen Vorfall sollten Erkenntnisse direkt in das Konzept einfließen.

Dokumentation, die Entscheidungen nachvollziehbar macht

Eine gute Dokumentation ist kein Ablageprodukt für Audits. Sie ermöglicht es, Veränderungen kontrolliert zu bewerten und Entscheidungen gegenüber Geschäftsführung, Aufsicht oder Prüfern zu begründen. Sie sollte Schutzgüter, Risiken, Zonenkonzepte, technische Maßnahmen, Zuständigkeiten, Alarmabläufe, Wartungsintervalle und offene Restrisiken enthalten.

Wichtig ist auch ein geregelter Aktualisierungsprozess. Neue Gebäude, geänderte Lieferwege, Personalwechsel, IT-Migrationen oder eine veränderte Bedrohungslage können Annahmen des ursprünglichen Konzepts entwerten. Mindestens bei wesentlichen Änderungen und in festen Intervallen gehört das Konzept auf den Prüfstand.

Für anspruchsvolle Standorte lohnt sich eine Planung, die Sicherheitsarchitektur und späteren Betrieb von Beginn an zusammenführt. Erfahrene Fachpartner wie IBC Raif unterstützen dabei, technische Möglichkeiten mit konkreten Schutzzielen, Datenschutz und belastbaren Prozessen abzugleichen. Entscheidend bleibt: Die beste Sicherheitslösung ist diejenige, die im kritischen Moment verständlich alarmiert, verlässlich funktioniert und eine klare Handlung auslöst.