Präsentation

Unternehmenssicherheit im Facility Management umfasst alle Maßnahmen zum Schutz von Personen, Gebäuden, Anlagen, Informationen, Prozessen und Vermögenswerten. Dazu gehören Objektschutz, Zutrittskontrolle, Empfang, Videoüberwachung, Sicherheitsdienst, Notfallmanagement, Informationssicherheit, Cybersecurity, Fremdfirmensteuerung, Krisenmanagement und Business Continuity. FM-Connect beschreibt Unternehmenssicherheitsmanagement als Schutz von Mitarbeitenden, Sachwerten, Informationen und Prozessen.

Security schützt vor absichtlichen oder vorsätzlichen Bedrohungen wie Einbruch, Sabotage, Diebstahl, Spionage, Gewalt oder Angriffen. Safety schützt vor unbeabsichtigten Gefährdungen wie Arbeitsunfällen, technischen Defekten, Bränden, Gefahrstoffen oder betrieblichen Risiken. Im Facility Management überschneiden sich beide Bereiche, etwa bei Evakuierung, Notfallorganisation, Arbeitsschutz, Brandschutz und Sicherheitstechnik.

Weil viele Sicherheitsmaßnahmen im Gebäude und im laufenden Betrieb verankert sind: Türen, Schleusen, Schließanlagen, Zutrittskontrolle, Video, Perimeter, Empfang, Besucher, Fremdfirmen, Technikräume, Parkflächen, Service Desk und Notfallorganisation. FM-Connect beschreibt Security und Facility Management als eng verbunden, weil beide an einem sicheren und störungsarmen Umfeld arbeiten.

Typische Schutzgüter sind Menschen, Gebäude, Grundstücke, Anlagen, Produktionsmittel, Rechenzentren, Labore, Gefahrstoffbereiche, Informationen, Zutrittsmedien, Geschäftsgeheimnisse, Prozesse, Lieferketten, Reputation und kritische Dienstleistungen. Die Schutzbedarfsfeststellung dient dazu, diese Schutzgüter nach Kritikalität und Schadenswirkung zu bewerten.

Eine Bedrohungsanalyse identifiziert mögliche interne und externe Bedrohungen. Dazu gehören Einbruch, Diebstahl, Sabotage, Wirtschaftsspionage, Gewalt, Vandalismus, Cyberangriffe, Insiderhandlungen, Lieferkettenrisiken oder Natur- und Krisenereignisse. FM-Connect beschreibt die Bedrohungsanalyse als Teil der Bedrohungs- und Risikoanalyse.

Eine Schwachstellenanalyse untersucht, wo ein Standort, Gebäude, Prozess oder System verwundbar ist. Beispiele sind ungesicherte Nebeneingänge, veraltete Zutrittsrechte, fehlende Besucherprozesse, schlecht beleuchtete Außenbereiche, unklare Dienstanweisungen, ungesicherte Technikräume oder mangelhafte Alarmweiterleitung.

Die Schutzbedarfsfeststellung bestimmt, welchen Schutzgrad bestimmte Assets, Prozesse, Bereiche oder Informationen benötigen. Sie bildet die Grundlage für angemessene Sicherheitsmaßnahmen und verhindert, dass überall gleichermaßen viel oder zu wenig geschützt wird. FM-Connect beschreibt sie als lebendes Instrument, das bei Veränderungen zu aktualisieren ist.

FM-Connect beschreibt Schutzbedarfskategorien wie gering, normal, hoch und sehr hoch. Die Einstufung richtet sich nach möglichen Schäden, Auswirkungen auf Personen, Betrieb, Finanzen, Reputation, Compliance und kritische Prozesse.

Ein Sicherheitskonzept beschreibt Schutzziele, Bedrohungen, Schwachstellen, Schutzmaßnahmen, Zuständigkeiten, technische Systeme, organisatorische Regeln und Notfallprozesse. FM-Connect nennt dafür unter anderem Zutrittskonzept, bauliche Sicherung, Videoüberwachung, Einbruchmeldeanlage, Empfang, Bewachung und Alarmierungskonzept.

Ein Sicherheitskonzept sollte Schutzobjekte, Schutzziele, Risikoanalyse, Schutzbedarfe, Sicherheitszonen, Perimeterschutz, Zutrittsregeln, Besuchermanagement, Video, Einbruchmeldung, Interventionsprozesse, Sicherheitsdienst, Service Desk, Datenschutz, Mitbestimmung, Notfallorganisation, Dokumentation, KPI und Auditprozesse enthalten.

Sicherheitszonen sind Bereiche mit unterschiedlichem Schutzbedarf. Beispiele sind öffentliche Bereiche, halböffentliche Bereiche, interne Bereiche, Technikräume, Serverräume, Labore, Gefahrstoffbereiche und Hochsicherheitszonen. FM-Connect unterscheidet öffentlich, semi-öffentlich, privat, Hochsicherheitszone und Außenbereich.

Perimeterschutz sichert die Außengrenze einer Liegenschaft. Dazu gehören Zäune, Tore, Schranken, Poller, Beleuchtung, Videoüberwachung, Bewegungsmelder, Einbruchmeldetechnik, Zugangsbeschränkung und Parkplatzsteuerung. FM-Connect beschreibt diese Elemente als typische Perimeterschutzmaßnahmen.

Objektschutz ist der Schutz eines Gebäudes, Standorts oder Areals gegen unbefugtes Betreten, Beschädigung, Diebstahl, Sabotage und sicherheitsrelevante Ereignisse. Er kombiniert bauliche Sicherung, Technik, Bewachung, Zutrittskontrolle, Kontrollgänge und Reaktionsprozesse.

Werkschutz ist eine Sicherheitsorganisation zum Schutz von Betrieb, Personen, Sachwerten, Produktionsprozessen und Unternehmensinteressen. FM-Connect beschreibt Werkschutz als Schutz vor Diebstahl, Vandalismus, Spionage und als Beitrag zur Produktionskontinuität.

§ 34a GewO gilt, wenn gewerbsmäßig Leben oder Eigentum fremder Personen bewacht wird. Dann benötigt das Bewachungsunternehmen eine behördliche Erlaubnis. Das ist relevant, wenn Empfangs-, Pforten- oder Sicherheitsdienste Bewachungsaufgaben übernehmen.

Die Bewachungsverordnung konkretisiert Anforderungen an das Bewachungsgewerbe, unter anderem zu Unterrichtung, Sachkunde, Zuverlässigkeit und Organisation. Je nach Tätigkeit sind Unterrichtung oder Sachkundeprüfung erforderlich.

Die IHK-Unterrichtung vermittelt Grundlagen zu rechtlichen und fachlichen Anforderungen im Bewachungsgewerbe. Nach IHK-Angaben umfasst sie typischerweise 40 Unterrichtsstunden. Sie ist nicht mit der Sachkundeprüfung gleichzusetzen.

Eine Sachkundeprüfung ist für bestimmte Bewachungstätigkeiten erforderlich, etwa besonders sensible oder öffentlichkeitsnahe Tätigkeiten. Die genaue Einordnung hängt von Tätigkeit und Rechtslage ab. Der DIHK-Rahmenplan verweist auf Tätigkeiten, bei denen die GewO eine Sachkundeprüfung verlangt.

DIN 77200-1 ist ein Qualitätsstandard für Sicherungsdienstleistungen. Sie eignet sich für Anbieter, Auftragnehmer, Auftraggeber und Bewertungsstellen von Sicherheitsdienstleistungen. Im FM kann sie für Ausschreibungen, Dienstleisterbewertung und Qualitätsmanagement genutzt werden.

DIN EN 17483-1 behandelt private Sicherheitsdienstleistungen zum Schutz kritischer Infrastrukturen. Sie ist besonders relevant, wenn Sicherheitsdienstleister für KRITIS-Standorte oder kritische Anlagen eingesetzt werden.

Zutrittskontrolle regelt, wer zu welchem Bereich, zu welcher Zeit und unter welchen Bedingungen Zugang erhält. Dazu gehören Berechtigungen, Ausweise, Karten, PIN, biometrische Verfahren, Schleusen, Türen, Drehkreuze, Besucherregelungen und Protokollierung.

Zugang bezeichnet häufig die grundsätzliche Möglichkeit, ein Gelände oder Gebäude zu erreichen. Zutritt ist die konkrete Berechtigung, einen geschützten Bereich zu betreten. Im Sicherheitskonzept sollten beide Ebenen getrennt betrachtet werden: Perimeter, Gebäudezugang, Bereichszutritt und Hochsicherheitszutritt.

Besuchermanagement steuert Voranmeldung, Identitätsprüfung, Check-in, Besucherausweis, Gastgeberbenachrichtigung, Sicherheitsunterweisung, Zutrittsberechtigung, Begleitung, Check-out und Dokumentation. FM-Connect nennt Besucherregistrierung und Zutrittskontrolle als typische Sicherheitsaufgaben.

Der Empfang ist erste Sicherheitslinie und Servicepunkt zugleich. Dort werden Besucher empfangen, Identitäten geprüft, Ausweise ausgegeben, Fremdfirmen angemeldet, verdächtige Situationen erkannt und Notfälle weitergeleitet. FM-Connect beschreibt Empfang und Service Desk als zentrale Schnittstellen für sicherheitsrelevante Meldungen.

Videoüberwachung dient der Abschreckung, Lagebeurteilung, Ereignisverifikation, Dokumentation und Unterstützung von Interventionen. Sie muss zweckgebunden, verhältnismäßig, technisch geeignet, datenschutzkonform und organisatorisch eingebunden sein.

Videoüberwachung muss mit DSGVO-Grundsätzen, Transparenz, Zweckbindung, Datenminimierung, angemessener Speicherdauer, Zugriffsbeschränkung und Interessenabwägung vereinbar sein. Die EDPB-Leitlinien 3/2019 geben dafür eine europäische Orientierung.

§ 4 BDSG enthält besondere Regelungen zur Videoüberwachung öffentlich zugänglicher Räume. In der Praxis müssen zusätzlich DSGVO-Anforderungen, Informationspflichten, Löschfristen und Zugriffskonzepte beachtet werden.

Der Betriebsrat ist einzubeziehen, wenn technische Einrichtungen eingesetzt werden, die Verhalten oder Leistung von Beschäftigten überwachen können. Das betrifft häufig Video, Zutrittsprotokolle, Kontrollgangsysteme, GPS, Service-Desk-Auswertungen oder Alarmplattformen. § 87 Abs. 1 Nr. 6 BetrVG ist hierfür zentral.

Ein Security Service Desk ist eine zentrale Stelle zur Aufnahme, Bewertung, Weiterleitung und Dokumentation sicherheitsrelevanter Meldungen. Er kann Zutrittsstörungen, Ausweisverlust, Alarmmeldungen, verdächtige Beobachtungen, technische Störungen und Notfälle koordinieren. FM-Connect beschreibt den Service Desk als zentrale Unterstützungsfunktion im Sicherheitsprozess.

Ereignismanagement beschreibt die strukturierte Bearbeitung sicherheitsrelevanter Vorfälle: Meldung, Bewertung, Priorisierung, Eskalation, Intervention, Dokumentation, Ursachenanalyse und Maßnahmenverfolgung. Beispiele sind Einbruchalarm, Ausweisverlust, unbefugter Zutritt, verdächtige Sendung, Videoereignis, Drohung oder Cybervorfall.

Geeignete KPI sind Pünktlichkeit, Schichtbesetzung, Kontrollgangquote, Reaktionszeit, Interventionszeit, Vorfallabschlusszeit, Berichtqualität, SLA-Erfüllung, Falschalarmquote, Zutrittsverstöße, offene Sicherheitsvorfälle und Dokumentationsvollständigkeit. FM-Connect nennt mehrere dieser KPI explizit.

SLA definieren messbare Leistungsversprechen für Sicherheitsleistungen. Beispiele sind Besetzungszeiten, Reaktionszeiten, Kontrollrunden, Berichtspflichten, Alarmverfolgung, Eskalationszeiten, Interventionszeiten und Mindestqualifikationen. FM-Connect beschreibt SLA als Grundlage transparenter, prüfbarer und risikoorientierter Sicherheitsdienstleistung.

XLA, Experience Level Agreements, bewerten die erlebte Qualität der Sicherheitsleistung. Im Security-Kontext geht es etwa um Sicherheitsgefühl, Höflichkeit am Empfang, Verständlichkeit von Anweisungen, Professionalität bei Kontrollen und Wahrnehmung der Reaktionsfähigkeit.

Eine Dienstanweisung sollte Aufgaben, Posten, Kontrollgänge, Meldewege, Verhalten bei Vorfällen, Zutrittsregeln, Besucherprozesse, Schlüssel- und Ausweismanagement, Alarmreaktionen, Notfälle, Datenschutz, Dokumentation, Eskalation, Verhalten gegenüber Beschäftigten und Umgang mit Behörden regeln.

Eine Security-Ausschreibung sollte Schutzbedarf, Objektbeschreibung, Sicherheitszonen, Leistungsumfang, Posten, Zeiten, Qualifikationen, technische Schnittstellen, Dienstanweisungen, SLA, KPI, Berichtswesen, Datenschutz, Mitbestimmung, Qualitätskontrolle, Reaktionsanforderungen und Vertragsstrafen beziehungsweise Eskalationen enthalten.

Inhouse-Security wird durch eigenes Personal erbracht und kann stärker in Unternehmenskultur, Prozesse und interne Sicherheitslage eingebunden sein. Outsourcing nutzt externe Sicherheitsdienstleister und kann Flexibilität, Personalreserve und Spezialisierung bringen. In beiden Fällen bleiben Steuerung, Schutzbedarfe, Kontrollen und Betreiberorganisation beim Unternehmen beziehungsweise Auftraggeber.

Erforderlich sind je nach Aufgabe Unterrichtung oder Sachkunde nach Bewachungsrecht, objektbezogene Einweisung, Datenschutzschulung, Deeskalation, Notfallorganisation, Erste Hilfe, Brandschutzgrundlagen, Meldewesen, Technikbedienung, Fremdsprachenkompetenz und Kenntnis der Dienstanweisung.

Sicherheitsberichte sind Nachweise. Sie dokumentieren Ereignisse, Kontrollgänge, Abweichungen, Alarme, Maßnahmen und Übergaben. Schlechte Berichte reduzieren Nachvollziehbarkeit, erschweren Ursachenanalyse und schwächen Audit- und Haftungssicherheit.

Informationssicherheit schützt Vertraulichkeit, Integrität und Verfügbarkeit von Informationen. Im FM betrifft das unter anderem Zutrittsdaten, Gebäudepläne, Sicherheitskonzepte, CAFM-Daten, Dienstleisterzugriffe, Alarmpläne, personenbezogene Daten, technische Dokumentationen und Betriebsdaten.

ISO/IEC 27001 ist der zentrale Managementsystemstandard für Informationssicherheit. Sie definiert Anforderungen an Aufbau, Umsetzung, Aufrechterhaltung und kontinuierliche Verbesserung eines Informationssicherheitsmanagementsystems.

BSI IT-Grundschutz ist eine Methode mit Standards, Bausteinen und Hilfsmitteln zur systematischen Informationssicherheit. Das BSI beschreibt IT-Grundschutz als Anleitung und Hilfe zur Selbsthilfe für Informationssicherheit in Organisationen.

Gebäudeautomation, Zutrittskontrolle, Videoüberwachung, Brandmeldetechnik, CAFM, Energiemanagement, Leitstellen, Parkraumsysteme und Service Desk sind zunehmend vernetzt. Ein Cyberangriff kann daher auch physische Sicherheit und Gebäudebetrieb beeinträchtigen.

Nach BKA-Angaben stiegen DDoS-Angriffe im Bundeslagebild Cybercrime 2025 um 25 % auf 36.706 Fälle. Das BMI berichtete zudem für 2025 über 1.041 gemeldete Ransomware-Angriffe, ein Plus von 10 %, wobei Unternehmen und öffentliche Verwaltung besonders betroffen waren.

NIS-2 erhöht für betroffene wichtige und besonders wichtige Einrichtungen die Anforderungen an Cybersicherheit, Risikomanagement, Meldepflichten und Governance. Das deutsche Umsetzungsgesetz ist nach Bundesregierung am 6. Dezember 2025 in Kraft getreten.

Das KRITIS-Dachgesetz stärkt die physische Resilienz kritischer Anlagen. Es ist nach BBK-Angaben am 17. März 2026 in Kraft getreten und schafft bundesweit einheitliche Mindestanforderungen für Betreiber kritischer Infrastrukturen, soweit sie unter den Anwendungsbereich fallen.

Business Continuity Management stellt sicher, dass kritische Prozesse auch bei Störungen, Angriffen, Ausfällen oder Krisen fortgeführt oder schnell wiederhergestellt werden können. ISO 22301 bietet dafür einen Managementsystemrahmen.

Organisatorische Resilienz ist die Fähigkeit einer Organisation, Störungen zu antizipieren, darauf zu reagieren, sich anzupassen und sich zu erholen. ISO 22316 gibt Leitlinien zur Stärkung dieser Resilienz.

Supply-Chain-Security schützt Lieferketten, Lieferantenprozesse, Transporte, kritische Materialien, Dienstleisterzugänge und logistische Schnittstellen. ISO 28000:2022 bietet dafür Anforderungen an ein Sicherheitsmanagementsystem einschließlich Lieferkettenaspekten.

Wirtschaftsspionage betrifft den Zugriff auf Know-how, Geschäftsgeheimnisse, Forschungsdaten, Kalkulationen, Kundeninformationen oder strategische Informationen. Das Bundesamt für Verfassungsschutz unterscheidet Wirtschaftsspionage durch ausländische Staaten von Konkurrenz- beziehungsweise Industriespionage durch Unternehmen.

Fremdfirmen-Sicherheit regelt Zutritt, Unterweisung, Begleitung, Arbeitsfreigaben, Ausweise, Sicherheitszonen, Datenschutz, Arbeitsschutz, Geheimhaltung, Werkzeug- und Materialkontrollen sowie Notfallinformationen für externe Dienstleister. Gerade im FM ist das relevant, weil viele technische und infrastrukturelle Leistungen extern erbracht werden.

Reisesicherheit schützt Beschäftigte bei Dienstreisen, Auslandseinsätzen oder Einsätzen an kritischen Standorten. Dazu gehören Lageinformationen, Freigaben, Notfallkontakte, Versicherungen, medizinische Unterstützung, Kommunikationswege, Krisenmanagement und Rückholprozesse.

Arbeitsschutz und Security überschneiden sich bei Evakuierung, Gewaltprävention, Alleinarbeit, Notfallorganisation, Empfangssituationen, Bedrohungslagen und Gefährdungsbeurteilungen. § 5 ArbSchG verlangt die Beurteilung der mit der Arbeit verbundenen Gefährdungen.

Evakuierung ist eine Sicherheits- und Arbeitsschutzaufgabe. § 10 ArbSchG verlangt Maßnahmen zur Ersten Hilfe, Brandbekämpfung und Evakuierung sowie die Benennung geeigneter Beschäftigter. Security, Empfang, Service Desk und Facility Management müssen hier eng zusammenarbeiten.

Fluchtwege und Notausgänge müssen sicher nutzbar, gekennzeichnet und freigehalten sein. ASR A2.3 konkretisiert Anforderungen an Fluchtwege, Notausgänge, Sicherheitsbeleuchtung, optische Sicherheitsleitsysteme und Flucht- und Rettungspläne.

Brandschutz ist Teil der Sicherheitsarchitektur. Brandereignisse können Evakuierung, Zutrittssteuerung, Feuerwehrzugang, Alarmierung, Video, Service Desk, Sicherheitsdienst und Krisenkommunikation betreffen. ASR A2.2 konkretisiert Maßnahmen gegen Brände in Arbeitsstätten.

Erforderlich sind Schutzbedarfsanalyse, Risikoanalyse, Sicherheitskonzept, Sicherheitszonenplan, Dienstanweisungen, Postenbeschreibungen, Revierpläne, Besucherdokumentation, Zutrittsberechtigungen, Alarmprotokolle, Wachberichte, Vorfallberichte, Datenschutzunterlagen, Betriebsvereinbarungen, Wartungsnachweise, SLA-/KPI-Reports und Auditberichte.

Ein Security-Audit prüft, ob Sicherheitsorganisation, Schutzmaßnahmen, Dienstleister, Technik, Prozesse und Dokumentation den Anforderungen entsprechen. Es kann physische Sicherheit, Zutrittskontrolle, Video, Werkschutz, Dienstanweisungen, Notfallprozesse, Informationssicherheit und Compliance betrachten.

Managementrelevant sind Sicherheitsvorfälle, kritische Ereignisse, Reaktionszeiten, offene Maßnahmen, Zutrittsverstöße, Falschalarmquote, Kontrollgangquote, SLA-Erfüllung, Berichtqualität, Auditabweichungen, Systemverfügbarkeit, Schulungsquote, Datenschutzvorfälle und KRITIS-/NIS-2-relevante Risiken.

Typische Fehler sind fehlende Schutzbedarfsfeststellung, unklare Sicherheitszonen, veraltete Zutrittsrechte, unpräzise Dienstanweisungen, schwache Besucherkontrolle, nicht geregelte Videoüberwachung, fehlende Mitbestimmung, mangelhafte Dienstleistersteuerung, schlechte Berichtqualität, keine KPI und fehlende Verbindung von physischer Sicherheit und Cybersecurity.

Ein Betriebskonzept Security sollte Schutzziele, Schutzbedarfe, Sicherheitszonen, Organisation, Rollen, Service Desk, Empfang, Werkschutz, technische Systeme, Zutrittsprozesse, Besuchermanagement, Datenschutz, Mitbestimmung, SLA, KPI, Berichtswesen, Notfallprozesse, Schulung, Dienstleistersteuerung und KVP beschreiben.

FM-Connect unterstützt bei Bedrohungs- und Risikoanalyse, Schutzbedarfsfeststellung, Sicherheitskonzept, Sicherheitszonen, Perimeterschutz, Zutritts- und Besuchermanagement, Service-Desk-Einbindung, Werkschutz- und Bewachungskonzepten, SLA/KPI-Systemen, Ausschreibungen, Dienstleistersteuerung, Notfallmanagement, Informationssicherheit, KRITIS-/NIS-2-Bezug, Dokumentation, Audits und kontinuierlicher Verbesserung. Der Schwerpunkt liegt darauf, Unternehmenssicherheit als integriertes, messbares und betreibbares FM-System aufzubauen.