Sicherheits-Risikoanalyse: so wird sie erstellt

Zuerst wird der Geltungsbereich festgelegt: welche Gebäude, Außengrenzen, Schichten und Abläufe die Analyse umfasst. Dann werden die Werte erfasst — alles, dessen Verlust, Beschädigung oder Ausfall der Organisation schaden würde.

• Menschen: Beschäftigte, Besucher, Kunden, Fremdfirmen.
• Anlagen und Ausrüstung: Gebäude, Tore, Maschinen, Fahrzeuge.
• Waren und Bestände: was gelagert oder bewegt wird.
• Informationen: Dokumente, Videoaufnahmen, Zutrittsprotokolle.
• Betrieb: die Prozesse, deren Ausfall das Unternehmen stoppt.

Der internationale Bezugsrahmen für Risikomanagement ist ISO 31000:2018. Die Norm gibt Grundsätze und Leitlinien, um Risiken zu identifizieren, zu analysieren, zu bewerten, zu behandeln, zu überwachen und zu kommunizieren. Die folgende Methode folgt derselben Logik.

Die Unterscheidung ist praktisch: Bedrohungen beeinflussen Sie selten, Schwachstellen schon. Deshalb erfasst die Analyse beides getrennt und verknüpft es dann zu Szenarien: „Bedrohung X nutzt Schwachstelle Y und trifft Wert Z“.

• Quellen für Bedrohungen: die Vorfallhistorie des Standorts, Schichtberichte, Gespräche mit Personal und Nachbarn, die Art der Tätigkeit.
• Quellen für Schwachstellen: eine Begehung bei Tag und bei Nacht, Prüfung von Zugängen, Kameraabdeckung, Beleuchtung, Schlüsseln und Schichtabläufen.
• Test: ein Szenario wird praktisch erprobt — etwa wie schnell die Schicht auf eine offene Tür reagiert.

Begehen Sie den Standort auch nachts. Viele Schwachstellen — Beleuchtung, Lücken im Rundgang, Zugang von Fremdfirmen — zeigen sich erst, wenn das Gelände leer ist.

Eine qualitative Matrix braucht keine Beträge. Sie braucht vorab vereinbarte Definitionen, damit zwei Personen demselben Szenario dieselbe Stufe geben.

1. Wahrscheinlichkeit: 1 selten (nie vorgekommen, kein Hinweis) · 2 unwahrscheinlich · 3 möglich (an vergleichbarem Standort vorgekommen) · 4 wahrscheinlich (hier vorgekommen) · 5 fast sicher (wiederholt sich).
2. Auswirkung: 1 unbedeutend · 2 gering (örtliche Störung) · 3 erheblich (ein Ablauf steht stundenlang) · 4 schwer (Verletzung, tagelanger Ausfall, rechtliches Risiko) · 5 kritisch (Gefahr für Leben oder für den Fortbestand des Betriebs).
3. Auswirkungskategorien: Sicherheit von Menschen, Betriebskontinuität, Sachwerte, Informationen, rechtliche und regulatorische Exposition, Reputation. Es zählt die schwerste.

Beispiel: Ladetor eines Lagers, nachts unkontrolliert, zwei Vorfälle im letzten Jahr. Wahrscheinlichkeit 4, Auswirkung 4 (Auslieferungen gestört, Ware verloren), Wert 16: hohes Risiko, das im Maßnahmenplan ganz oben steht.

• Personal: fester Posten oder Rundgang, Aufsicht, Schulung für das konkrete Szenario. Wie viele Kräfte nötig sind, ist eine Frage der Abdeckungsstunden — siehe wie viele Sicherheitskräfte brauche ich.
• Abläufe: schriftliche Dienstanweisungen, Schlüsselverwaltung, Kontrolle von Besuchern und Fremdfirmen, Eskalationsregeln.
• Technik: Kameras, Zutrittskontrolle, Alarmanlagen, Beleuchtung, Kontrollpunkte für Rundgänge. Für Kameras gelten Datenschutzregeln — siehe Videoüberwachung und DSGVO.

Jede Maßnahme ist dem Szenario zugeordnet, das sie senkt, und sagt, was sie verändert: die Wahrscheinlichkeit (eine kontrollierte Tür), die Auswirkung (schnellere Erkennung) oder beides. Eine Maßnahme, die keinen Wert verändert, gehört nicht in die Analyse. Wann ein System reicht und wann ein Mensch nötig ist, zeigt Sicherheitskraft oder Sicherheitstechnik.

Keine Maßnahme senkt das Risiko auf null. Jedes Szenario trägt daher zwei Werte: vor und nach den Maßnahmen. Der zweite ist das Restrisiko, und jemand mit Entscheidungsbefugnis muss unterschreiben, dass er es trägt — sonst ist nichts entschieden.

• Planmäßige Überprüfung: mindestens einmal im Jahr.
• Anlassbezogene Überprüfung: nach einem schweren Vorfall, einer geänderten Nutzung oder Aufteilung des Standorts, einem neuen Schichtmodell oder einer neuen Tätigkeit.
• Laufende Rückmeldung: Schicht- und Vorfallberichte zeigen, ob die Wahrscheinlichkeiten richtig eingeschätzt waren.

1. Eine einseitige Zusammenfassung für die Leitung: die kritischen und hohen Risiken.
2. Geltungsbereich, Begehungsdaten und Bewertungsmethode (die Definitionen der Matrix).
3. Werte, Bedrohungen und Schwachstellen, mit Fotos und Markierungen im Lageplan.
4. Das Risikoregister: jedes Szenario mit Wert vorher, Maßnahmen, Wert nachher.
5. Der Maßnahmenplan: was, wer, bis wann, und welcher Nachweis die Erledigung belegt.
6. Das Restrisiko, wer es trägt und wann die nächste Überprüfung stattfindet.

Die Sicherheitsberatung von OVIT verläuft in vier Phasen: Festlegung des Geltungsbereichs; Begehung vor Ort mit Prüfung von Außengrenze, Zugängen, Sensorabdeckung und Einhaltung der Abläufe durch das Personal; ein Ergebnis mit priorisiertem Risikoregister und herstellerneutralen technischen Spezifikationen; und Begleitung der Umsetzung.