Physischer Schutz kritischer Infrastruktur

Der physische Schutz kritischer Infrastruktur umfasst alle baulichen, technischen, personellen und organisatorischen Maßnahmen, die Anlagen der Daseinsvorsorge gegen unbefugten Zutritt, Einwirkung von außen, Sabotage und Naturereignisse absichern. Er ist das Gegenstück zur IT-Sicherheit und adressiert die Frage, wer sich einer Anlage physisch nähern, sie betreten oder auf sie einwirken kann.

Lange Zeit stand bei kritischen Infrastrukturen die IT-Sicherheit im Vordergrund. Mit dem KRITIS-Dachgesetz hat der Gesetzgeber die physische Seite auf eine eigene, bundeseinheitliche Grundlage gestellt. Für Betreiber bedeutet das: Der Zaun, die Kamera und der Interventionsdienst sind keine freiwillige Zugabe mehr, sondern Bestandteil eines nachweispflichtigen Resilienzkonzepts.

Abgrenzung zur IT-Sicherheit

Beide Disziplinen verfolgen dasselbe Ziel – die Funktionsfähigkeit der Versorgung – setzen aber an unterschiedlichen Stellen an:

• IT-Sicherheit schützt Netze, Systeme und Daten vor unbefugtem Zugriff und Manipulation über digitale Wege
• Physischer Schutz schützt Liegenschaften, Betriebsmittel und Personal vor Annäherung, Zutritt und Einwirkung

Die Trennung ist in der Praxis weniger scharf, als sie klingt. Wer physisch in einen Technikraum gelangt, umgeht praktisch jede logische Zugangskontrolle. Umgekehrt kann eine kompromittierte Leittechnik Türen öffnen oder Alarme unterdrücken. Belastbare Konzepte behandeln beide Seiten deshalb nicht getrennt, sondern verzahnt – mit gemeinsamer Risikobetrachtung und abgestimmten Meldewegen.

Rechtliche Grundlage

Mit dem KRITIS-Dachgesetz existiert erstmals ein sektorübergreifender Rahmen für die physische Resilienz kritischer Anlagen in Deutschland. Zwei Vorschriften prägen die Praxis:

Risikoanalyse und -bewertung: Betreiber haben die Risiken für ihre kritischen Anlagen systematisch zu ermitteln und zu bewerten, in wiederkehrenden Abständen zu aktualisieren und dabei alle relevanten Gefährdungen einzubeziehen – natürliche Ereignisse ebenso wie vorsätzliche menschliche Einwirkung.

Resilienzmaßnahmen einschließlich physischem Schutz: Auf Grundlage der Risikoanalyse sind angemessene und verhältnismäßige Maßnahmen zu treffen. Der Gesetzgeber nennt dabei ausdrücklich unter anderem bauliche und technische Sicherung, die Überwachung der Umgebung, Detektionseinrichtungen sowie Zugangskontrollen und Regelungen für den Ereignisfall.

Ergänzend gelten die Anforderungen aus der NIS-2-Richtlinie und ihrer nationalen Umsetzung an das Risikomanagement, in dem physische Sicherheit als Bestandteil des Gesamtkonzepts adressiert wird, sowie sektorspezifische Sicherheitsstandards, die den Stand der Technik konkretisieren.

Wichtig für die Einordnung: Welche Anlagen im Einzelnen als kritische Anlagen gelten, wird über Schwellenwerte in einer Rechtsverordnung bestimmt. Solange diese Konkretisierung aussteht, bestehen die daran anknüpfenden formalen Pflichten – etwa zur Registrierung – noch nicht in vollem Umfang. Die sicherheitsfachliche Notwendigkeit angemessenen Schutzes wird davon nicht berührt, und Betreiber tun gut daran, die Vorbereitungszeit zu nutzen statt abzuwarten.

Die vier Wirkebenen

Fachlich lässt sich physischer Schutz auf vier Wirkungen zurückführen, die zusammen ein Schutzniveau ergeben. Jede Maßnahme sollte einer dieser Ebenen eindeutig zuzuordnen sein – wer das nicht kann, hat meist eine Lücke oder eine Doppelung:

Abschrecken: Sichtbare Sicherung senkt die Attraktivität eines Ziels. Dazu zählen Umfriedung mit Übersteigschutz, Beleuchtung, erkennbare Kameratechnik, Beschilderung und wahrnehmbare Präsenz.

Verzögern: Barrieren verschaffen Zeit. Ihre Wirkung bemisst sich nicht daran, ob sie überwunden werden können, sondern wie lange das dauert – und ob diese Zeit ausreicht, damit eine Reaktion greift.

Erkennen: Detektion wandelt Verzögerung in Handlungsfähigkeit. Ohne sie ist Verzögerung wirkungslos, weil niemand die Zeit nutzt.

Reagieren: Verifikation, Eskalation und Intervention führen die Erkennung zu einer Maßnahme. Diese Ebene entscheidet, ob aus einem Signal eine Wirkung wird.

Hinzu tritt als Querschnittsaufgabe der Nachweis: die nachvollziehbare Dokumentation von Ereignissen, Bewertungen und Maßnahmen. Sie ist zugleich Aufsichts-, Beweis- und Steuerungsinstrument.

Warum eine einzelne Maßnahme nie ausreicht

Der häufigste Fehler in der Praxis ist die isolierte Maßnahme: ein höherer Zaun ohne Detektion, eine Kamera ohne Aufschaltung, eine Aufschaltung ohne definierte Interventionskette. Jedes dieser Elemente ist für sich sinnvoll und in der Wirkung dennoch begrenzt, weil die Kette an der schwächsten Stelle reißt.

Die tragfähige Reihenfolge lautet: Barriere verzögert, Sensorik erkennt, die Leitstelle verifiziert, die Intervention wirkt, die Dokumentation belegt. Ein Konzept ist dann belastbar, wenn für jedes Glied benannt ist, wer es verantwortet, wie lange es braucht und was geschieht, wenn es ausfällt.

Typische Maßnahmen im Überblick

• Baulich: Umfriedung, Übersteig- und Untergrabschutz, Tore und Schleusen, Anfahrschutz, gesicherte Technikräume, freigehaltene Sichtachsen
• Technisch: Zaundetektion, Videoüberwachung mit Videoanalyse, mobile Kameratürme, Beleuchtung, Zutrittskontrolle, Einbruch- und Brandmeldetechnik, autonome Systeme und Drohnen
• Personell: Objekt- und Werkschutz, Revierdienst, Interventionsdienst, Empfangs- und Zutrittsdienste, Begleitung von Fremdfirmen
• Organisatorisch: Risikoanalyse, Sicherheitskonzept, Berechtigungsmanagement, Schlüssel- und Schließkonzept, Alarm- und Eskalationspläne, Übungen, Zuverlässigkeitsüberprüfung, Ereignisdokumentation

Besonderheiten unbesetzter und weitläufiger Anlagen

Anlagen der Energie- und Wasserversorgung, Verkehrsinfrastruktur und Telekommunikation sind häufig dauerhaft unbesetzt, weiträumig und abgelegen. Für sie gelten besondere Anforderungen:

• Die Detektion muss vor dem Perimeter beginnen, nicht erst am Zaun, weil Reaktionszeiten durch Anfahrtswege bestimmt werden
• Fehlalarme sind kein Komfortproblem, sondern ein Sicherheitsproblem: Sie binden Kapazität und senken die Aufmerksamkeit für echte Ereignisse
• Die Sicherheitstechnik braucht eine eigene Rückfallebene für Strom- und Kommunikationsausfall, sonst fällt sie genau dann aus, wenn sie gebraucht wird
• Bau-, Wartungs- und Revisionsphasen sind eigenständige Risikozeiträume mit eigenem Schutzkonzept

Verantwortung und Vergabe

Betreiber können die fachliche Durchführung nahezu aller Maßnahmen an spezialisierte Dienstleister vergeben – von der Unterstützung bei der Risikoanalyse über Technik und Aufschaltung bis zur Intervention. Die gesetzliche Verantwortung dafür, dass das Schutzniveau angemessen ist und die Nachweise vorliegen, bleibt beim Betreiber und lässt sich nicht mitvergeben.

Für die Auswahl eines Dienstleisters sind deshalb weniger Einzelleistungen entscheidend als die Fähigkeit, die gesamte Kette abzudecken und sie prüfbar zu dokumentieren.

Weiterführende Themen und Leistungen

Vertiefende Informationen zu angrenzenden Aspekten:

• KRITIS-Schutz: Vernetzte Sicherheitsarchitektur für kritische Infrastrukturen
• KRITIS-Dachgesetz: Rechtsrahmen für die physische Resilienz kritischer Anlagen
• Perimeterschutz: Sicherung der Außengrenze als erste Detektions- und Verzögerungslinie
• Objektschutz: Personelle und technische Sicherung von Liegenschaften und Anlagen
• Interventionsdienst: Qualifizierte Reaktion nach verifiziertem Alarm

Der physische Schutz kritischer Infrastruktur ist keine Summe von Einzelmaßnahmen, sondern eine bewusst gestaltete Kette aus Abschreckung, Verzögerung, Erkennung, Reaktion und Nachweis – begründet durch eine aktuelle Risikoanalyse und getragen von der Verantwortung des Betreibers.