Unternehmensschutz im Mittelstand: Wo anfangen?

Konzerne haben Sicherheitsabteilungen – der Mittelstand hat den Geschäftsführer, der sich „auch darum” kümmert. Genau deshalb braucht Unternehmensschutz hier vor allem eines: Struktur statt Aktionismus. Vier Fragen ordnen das Feld.

Die vier Fragen

1. Menschen: Sind Mitarbeiter und Besucher geschützt – auch in Randzeiten, bei Alleinarbeit, bei Konflikten am Empfang?
2. Werte: Wo liegen Waren, Geräte und Unterlagen – und wer kommt tatsächlich heran?
3. Betrieb: Läuft das Unternehmen nach einem Einbruch, Brand oder Stromausfall weiter – oder steht es?
4. Wissen: Welche Informationen dürfen das Haus nicht verlassen – und wie wird das sichergestellt?

Warum der Mittelstand anders schützen muss als der Konzern

Die Sicherheitsliteratur ist für Konzerne geschrieben: Werkschutz, Leitstellen, Sicherheitsabteilungen mit eigenem Budget. Der Mittelstand lebt in einer anderen Realität – und die hat zwei Seiten. Die unbequeme: Es gibt keinen Apparat, der sich kümmert. Sicherheitsaufgaben landen bei der Geschäftsführung, beim Prokuristen oder „bei dem Kollegen, der sich mit sowas auskennt”, und konkurrieren dort täglich mit dem operativen Geschäft. Gleichzeitig ist die Fallhöhe größer, nicht kleiner: Wer nur einen Standort, eine Fertigungslinie und eine Handvoll Schlüsselpersonen hat, dem fehlt nach einem Vorfall nicht ein Prozent der Kapazität – ihm fehlt der Betrieb.

Die angenehme Seite: Der Mittelstand kann etwas, das Konzernen schwerfällt – entscheiden. Kurze Wege, ein Inhaber, der unterschreibt, und eine Belegschaft, die Veränderungen mitträgt, wenn sie erklärt werden. Ein Sicherheitskonzept, das diese Stärke nutzt, sieht anders aus als ein Konzernhandbuch: weniger Gremien, mehr klare Zuständigkeiten; weniger Regelwerk, mehr Routinen, die in den Alltag passen. Genau darauf zielt der strukturierte Einstieg über eine ehrliche Bestandsaufnahme – etwa im Rahmen eines Sicherheitsgutachtens, das die Prioritäten festlegt, bevor Geld ausgegeben wird.

Typische Befunde aus der Praxis

Bereich	Häufiger Befund	Richtung der Lösung
Zutritt	Ein Generalschlüssel, viele Kopien, keine Übersicht	Zutrittskonzept, elektronische Schließung
Empfang	Jeder kommt bis ins Büro durch	Besucherprozess, klare Zonen
Lager	Video vorhanden, aber niemand reagiert	Meldekette statt Aufzeichnung
IT-Raum	Offen „weil praktisch”	Zutrittskontrolle, Protokoll
Notfall	Kein Plan, nur Improvisationstalent	Notfallplanung mit Verantwortlichkeiten

Unternehmensschutz beginnt nicht mit Technik – er beginnt mit der Frage, was den Betrieb wirklich stoppen würde.

Menschen schützen: Empfang, Randzeiten, Alleinarbeit

Die erste der vier Fragen ist im Mittelstand oft die am wenigsten bearbeitete – nicht aus Gleichgültigkeit, sondern weil sie sich hinter Alltagsroutine versteckt. Drei Situationen verdienen besondere Aufmerksamkeit. Der Empfang: Er ist Visitenkarte und Kontrollpunkt zugleich, und meist gewinnt die Visitenkarte. Ein guter Besucherprozess ist keine Schleuse mit Drehkreuz, sondern eine klare Abfolge – Besucher werden angemeldet, empfangen, begleitet und wieder verabschiedet, und Mitarbeiter dürfen Unbekannte im Flur freundlich ansprechen, ohne sich unhöflich zu fühlen. Dieses „Dürfen” ist eine Führungsentscheidung, keine technische.

Die Randzeiten: Früh morgens und spät abends sind Gebäude oft offen wie zur Mittagszeit, aber leer wie nachts. Wer schließt auf, wer schließt ab, wer ist dann allein im Haus? Ein einfacher, schriftlicher Schließdienst mit Vertretungsregel kostet nichts und beseitigt eine der häufigsten Lücken. Und die Alleinarbeit: die Buchhalterin am Monatsende, der Lagerist bei der Spätanlieferung, die Reinigungskraft nach Feierabend. Für diese Situationen braucht es erreichbare Ansprechpersonen, klare Meldewege und die Gewissheit, dass jemand bemerkt, wenn etwas nicht stimmt. Nichts davon erfordert große Technik – aber alles davon erfordert, dass es einmal durchdacht und festgelegt wurde.

Der gemeinsame Nenner dieser drei Situationen: Sie werden nicht durch Anschaffungen gelöst, sondern durch Festlegungen – wer darf was, wer meldet wem, wer ist wann erreichbar. Solche Regeln wirken allerdings nur, wenn sie kommuniziert und gelegentlich durchgespielt werden. Eine kurze, ruhige Unterweisung neuer Mitarbeiter und ein jährliches Durchsprechen der Abläufe kosten kaum Zeit – und entscheiden im Ernstfall darüber, ob das Konzept auf dem Papier bleibt oder funktioniert.

Schlüssel und Zutritt: wer kommt wirklich hinein?

Die Zutrittsfrage beginnt fast immer mit einer Inventur, die unangenehm wird: Wie viele Schlüssel existieren, wer besitzt sie – und stimmt die Liste noch, nachdem Mitarbeiter gegangen, Dienstleister gewechselt und Kopien „für den Notfall” gezogen wurden? Der klassische Generalschlüsselbestand wächst über Jahre und wird nie zurückgebaut. Das Ergebnis ist ein Gebäude, dessen Zutrittsrealität niemand mehr kennt.

Der Weg heraus führt über zwei Stufen. Zuerst Ordnung im Bestand: dokumentierte Ausgabe, Rückgabe bei Austritt als fester Bestandteil des Offboardings, Zylindertausch nach Verlust kritischer Schlüssel. Dann, wo es sich trägt, der Wechsel auf elektronische Schließung: Verlorene Medien werden gesperrt statt Zylinder getauscht, Rechte lassen sich nach Bereich und Zeit vergeben, und sensible Zonen – IT-Raum, Personalakten, Lagerbereiche mit Diebstahlrisiko – bekommen eine eigene, engere Rechtevergabe. Wichtig dabei: Protokollierung mit Augenmaß und im Einklang mit dem Beschäftigtendatenschutz – das Ziel ist Nachvollziehbarkeit im Ereignisfall, keine Überwachung des Arbeitstags. Wie ein solches Projekt strukturiert aufgesetzt wird, zeigt unsere Objektplanung.

Video und Datenschutz: was erlaubt ist – und was nicht

Videotechnik ist im Unternehmen schnell beschafft – und fast ebenso schnell falsch eingesetzt. Das ist doppelt ärgerlich, weil sie dann nicht nur wirkungslos ist, sondern selbst zum Risiko wird: rechtlich, finanziell und für das Vertrauen der Belegschaft. Die Grundregeln sind klar: Überwacht werden darf das eigene Betriebsgelände, nicht aber öffentliche Wege oder Nachbargrundstücke, und auf die Videoüberwachung muss deutlich hingewiesen werden. Innerhalb des Betriebs kommt der Beschäftigtendatenschutz dazu: Kameras gehören auf Zugänge, Außenhaut und besonders gefährdete Bereiche – nicht auf Arbeitsplätze, und erst recht nicht in Sozialräume.

Ebenso wichtig wie das „Wohin” ist das „Was dann”: Wer darf Aufnahmen einsehen, unter welchen Umständen, wie lange wird gespeichert, und wer gibt im Ereignisfall Material an die Polizei weiter? Diese Fragen lassen sich sauber beantworten – aber nur, wenn sie vor der Installation gestellt werden. Ein nachträglich legalisiertes Videosystem ist fast immer teurer als ein von Anfang an datenschutzkonform geplantes. Deshalb gehört die rechtliche Dimension bei uns in jedes Zutritts- und Videokonzept von der ersten Skizze an – als Planungsgrundlage, nicht als Nachtrag.

Betriebskontinuität: die Frage nach dem Weiterlaufen

Die dritte der vier Fragen entscheidet am Ende über alles andere: Läuft der Betrieb weiter? Einbruch, Brand, Wasserschaden, Stromausfall, IT-Ausfall – die Ursachen sind verschieden, die Folgefrage ist immer dieselbe. Betriebskontinuität ist dabei kein Konzernthema mit dickem Handbuch, sondern im Kern eine Handvoll geklärter Punkte:

• Verantwortlichkeiten: Wer entscheidet im Ereignisfall – und wer vertritt, wenn diese Person nicht erreichbar ist?
• Meldeketten: Wer wird in welcher Reihenfolge informiert – intern, Dienstleister, Behörden, Kunden?
• Kritische Systeme: Ohne welche Anlage, welchen Server, welchen Raum steht der Betrieb – und was ist deren Ausweichlösung?
• Datensicherung: Existiert eine aktuelle Sicherung außerhalb des Standorts, und wurde die Wiederherstellung je geprobt? Grundlagen dazu stellt das BSI unter bsi.bund.de bereit.
• Erreichbarkeiten und Unterlagen: Notfallkontakte, Verträge und Pläne dort, wo man im Ereignisfall auch herankommt.

Der Maßstab ist nüchtern: Nicht jedes Szenario braucht einen Plan, aber jedes plausible Szenario braucht eine Antwort auf die Frage „Und dann?”. Für Unternehmen mit erhöhten Anforderungen an die bauliche Robustheit – vom Werteschutz bis zum Schutzraum – arbeiten wir mit unserem Geschäftsbereich Dr. Weigl Schutzräume zusammen.

Häufige Missverständnisse im Unternehmensschutz

Ein Teil der Sicherheitsarbeit besteht darin, falsche Gewissheiten auszuräumen. Die häufigsten:

• „Sicherheit ist Sache der IT.” Die beste Firewall schützt keinen Serverraum, dessen Tür offensteht. Physischer Zutritt und Informationsschutz gehören zusammen gedacht.
• „Uns trifft das nicht, wir sind zu klein.” Gelegenheit schlägt Größe: Angegriffen wird, was erreichbar und verwertbar ist – nicht, was berühmt ist.
• „Die Versicherung regelt das.” Sie ersetzt versicherte Sachwerte. Sie ersetzt keine Liefertermine, keine Kundenbeziehungen und keine Belegschaft, die improvisieren muss.
• „Wir haben doch Kameras.” Aufzeichnung ohne Meldekette dokumentiert den Schaden, statt ihn zu verhindern – die Kette aus Widerstand, Meldung und Reaktion gilt im Betrieb genauso wie am Wohnhaus.
• „Das haben wir vor Jahren mal geregelt.” Unternehmen verändern sich schneller als ihre Sicherheitskonzepte. Ein Konzept ohne Wiedervorlage ist ein Archivstück.

Die beste Technik scheitert an der Tür, die aus Bequemlichkeit offen bleibt.

Praxisszenarien: drei typische Ausgangslagen

Drei bewusst vereinfachte, typische Beispielsituationen – keine realen Kunden, aber Konstellationen, wie sie im Mittelstand immer wieder vorkommen – zeigen, wie unterschiedlich der Einstieg aussehen kann.

Der Handwerksbetrieb mit Materialschwund. Im Lager fehlt immer wieder etwas – Werkzeug, Maschinen, Material. Der Reflex wäre die Kamera über dem Regal. Die Bestandsaufnahme zeigt jedoch meist ein Bündel: viele Schlüssel im Umlauf, offene Tore während der Verladung, kein Ausgabeprozess für Werkzeug. Die Lösung beginnt bei Zutritt und Abläufen; Video kommt danach – als Ergänzung mit klarer Meldekette, nicht als Ersatz für Ordnung.

Die Kanzlei mit Diskretionspflicht. Hier lagern keine Waren, sondern Mandate. Die kritischen Fragen lauten: Wer gelangt unbegleitet in Besprechungs- und Aktenbereiche? Wie werden Unterlagen aufbewahrt, transportiert, vernichtet? Was sehen Besucher am Empfangstresen und auf Bildschirmen? Die Antworten kosten wenig Technik und viel Klarheit – Zonen, Clean-Desk-Routinen, definierte Besucherführung.

Der Produktionsbetrieb nach dem Beinahe-Stillstand. Ein Stromausfall hat gezeigt, wie knapp es werden kann: Anlagen fuhren unkontrolliert herunter, niemand wusste, wer entscheidet, die Notfallnummern lagen im ausgefallenen System. Hier beginnt die Arbeit nicht am Zaun, sondern bei der Betriebskontinuität – Verantwortliche, Meldeketten, kritische Systeme, geprobte Wiederanläufe. Die physische Sicherung folgt im zweiten Schritt.

Drei Ausgangslagen, drei völlig verschiedene erste Schritte – und genau das ist der Punkt: Nicht das Produktsortiment bestimmt die Reihenfolge, sondern der Befund.

Der strukturierte Einstieg

Der Weg, der sich bewährt hat: erst die Bestandsaufnahme über alle vier Fragen, dann eine Prioritätenliste, dann die Umsetzung in Etappen – mit klaren Verantwortlichkeiten und ohne die Organisation zu überfordern. Genau so ist unsere Leistung Unternehmensschutz aufgebaut; die Betriebskontinuität vertieft unser Geschäftsbereich Krisenvorsorge, die bauliche Dimension Dr. Weigl Schutzräume.

Zwei Grundsätze machen den Unterschied zwischen einem Konzept, das wirkt, und einem, das im Ordner altert. Erstens: Jede Maßnahme bekommt einen Namen – nicht „die Firma” kümmert sich um die Schließrunde, sondern eine benannte Person mit benannter Vertretung. Zweitens: Das Konzept bekommt eine Wiedervorlage – neue Standorte, neue Prozesse, neue Mitarbeiter und neue Risiken verändern die Lage schneller, als es sich anfühlt. Der Aufwand dafür ist klein; er besteht vor allem darin, die vier Fragen vom Anfang dieses Beitrags in ehrlichem Abstand erneut zu stellen.

Quellen und weiterführende Informationen

• Polizeiliche Kriminalprävention der Länder und des Bundes: polizei-beratung.de
• Bundesamt für Sicherheit in der Informationstechnik: bsi.bund.de