Sicherheitsfachmann/-frau FA cheat sheet

Schutzziele (CIAN): Vertraulichkeit, Integrität, Verfügbarkeit; ergänzend Authentizität, Verbindlichkeit, Zurechenbarkeit.

Schutzobjekt = alles mit Schutzbedarf: Personen, Sachwerte, Informationen, Prozesse, Reputation, Infrastruktur.

Gefahr = konkrete Sachlage mit Schadenspotenzial; Risiko = Kombination aus Eintrittswahrscheinlichkeit und Schadensausmaß.

Restrisiko = Risiko nach Umsetzung aller Maßnahmen; es wird formal durch die Leitung akzeptiert (Risikoakzeptanz).

Defense in Depth: mehrere unabhängige Schichten (Perimeterschutz, Zutrittskontrolle, Detektion, Intervention, Resilienz).

Schutzbedarfsstufen üblich: normal – hoch – sehr hoch; Einstufung erfolgt je Schutzobjekt und Schadensszenario.

Kriminalitätsbezogene Gefährdung: Einbruch, Diebstahl, Raub, Vandalismus, Sabotage, Wirtschaftsspionage, Innentäter.

Sicherheitspyramide: Prävention vor Detektion vor Reaktion; je später die Stufe greift, desto höher das Restschadenrisiko.

Notwehr (z. B. § 32 StGB, AT) und Notstand (§ 34 StGB) rechtfertigen Handlungen nur bei Erforderlichkeit und Angemessenheit.

Jedermannsfestnahme: vorläufige Festnahme nur bei frischer Tat oder Verfolgung auf frischer Tat, Identität muss feststellbar sein.

Hausrecht: Eigentümer/Besitzer kann Aufenthalt gestatten und verweigern; Hausfriedensbruch bei Verstoß gegen erkennbares Verbot.

Datenschutz-Grundverordnung (DSGVO): Rechtsgrundlagen Art. 6, Verarbeitungsverzeichnis Art. 30, Meldung von Verletzungen binnen 72 Stunden (Art. 33).

Videoüberwachung: Erforderlichkeit, Zweckbindung, Speicherbegrenzung, Information der Betroffenen, Löschkonzept.

Arbeitnehmerschutz: Arbeitgeberpflichten zur Gefährdungsbeurteilung und Unterweisung; Sicherheitsdienst unterliegt denselben Schutzpflichten.

Normen sind nicht automatisch Gesetz: DIN/ISO/ÖNORM gelten als anerkannte Regeln der Technik, verbindlich bei Vereinbarung oder Verweis im Gesetz.

Verhältnismäßigkeit: geeignet, erforderlich, angemessen; jede Zwangsmaßnahme muss dokumentiert und begründet werden.

Risiko R = Eintrittswahrscheinlichkeit × Schadensausmaß (qualitativ als Matrix oder quantitativ als Erwartungswert).

Ablauf: Schutzobjekte erfassen → Gefährdungen identifizieren → bewerten → Maßnahmen ableiten → Restrisiko bewerten → dokumentieren und fortschreiben.

Methoden: Szenarioanalyse, Fehlerbaumanalyse (FTA), Ereignisbaumanalyse (ETA), FMEA, SWOT, Delphi, Checkfragebögen.

Wahrscheinlichkeitsklassen häufig: selten, unwahrscheinlich, möglich, wahrscheinlich, häufig; Schadensklassen: gering bis katastrophal.

Risikomatrix dient der Priorisierung; Maßnahmenreihenfolge: vermeiden, vermindern, übertragen, akzeptieren (Restrisiko).

Wirksamkeitskontrolle: Maßnahme muss technisch, organisatorisch oder personell greifen; Kontrollmaßnahmen sind selbst zu überwachen.

Innentäterrisiko gesondert bewerten: Zugriffsrechte, Kenntnisstand, Motivlagen, Vier-Augen-Prinzip.

Dokumentation muss nachvollziehbar sein: Annahmen, Datenquellen, Bewertungsmaßstab, Verantwortliche, Termine.

Sicherheitskonzept enthält: Schutzziele, Schutzobjekte, Gefährdungsanalyse, Maßnahmen (Mensch/Technik/Organisation), Kosten, Verantwortlichkeiten, Wirksamkeitsprüfung.

Drei Säulen: personelle, technische und organisatorische Sicherheitsmaßnahmen; sie müssen aufeinander abgestimmt sein.

Zonenkonzept: von außen nach innen steigende Schutzstufen (Perimeter → Gebäude → Bereich → Sicherheitsbereich).

Zutrittskontrolle: wer, wann, wohin, mit welcher Berechtigung; Erfassung und Protokollierung von Zutritten.

Detektion (Einbruchmeldeanlage, Video, Sensorik) muss mit Intervention (eigener Dienst, Polizei, Notruf) verknüpft sein.

Redundanz und Diversität erhöhen Ausfallsicherheit; Single Point of Failure ist zu vermeiden.

Sicherheitskonzept ist lebendes Dokument: Anlassbezogene Überprüfung bei Umbau, neuen Mietern, Vorfällen, Änderungen der Bedrohungslage.

Schnittstellen zu Brandschutz, Arbeitssicherheit, IT-Sicherheit und Facility Management klar definieren.

Dienstanweisung regelt Auftrag, Befugnisse, Meldewege, Verhalten in Sonderlagen, Dokumentationspflichten.

Wachdienstleistungen: Streifendienst, Pfortendienst, Empfang, Leitstelle, Interventionsdienst; Aufgabenprofile klar trennen.

Dokumentation: Wachbuch, Vorfallbericht, Übergabeprotokoll; wesentlich sind Zeit, Ort, Beteiligte, Maßnahme, Zeugen.

Mechanische Sicherung: Widerstandsklassen und Zertifizierungen (z. B. RC-Klassen, EN 1627) bestimmen Einbruchwiderstand.

Perimeterschutz: Zaun, Beleuchtung, Sichtfreiheit, Freiflächengestaltung; Beleuchtungsstärke und Gleichmäßigkeit sind planbar.

Schließmittelverwaltung: Ausgabe, Rückgabe, Verlustmeldung, Schließanlagen-Sperrplan, Nachschlüsselkontrolle.

Schlüsselverlust löst definierte Eskalation aus (Sperrung, Umrüstung, Information der Versicherung).

Objektschutz unterscheidet offene, halboffene und geschlossene Objekte; Schutzmaßnahmen richten sich nach Schutzbedarf und Publikumsverkehr.

Veranstaltungssicherheit beginnt mit Genehmigungs- und Behördenabstimmung (Behörde, Feuerwehr, Rettungsdienst, Polizei).

Besucherkapazität ergibt sich aus Fluchtwegbreite, Ausgängen und Rettungswegkonzept; Überbelegung ist unzulässig.

Einlasskontrolle: Ticketprüfung, Taschenkontrolle, Verbot gefährlicher Gegenstände, klare Hausordnung.

Sicherheitspersonal bei Veranstaltungen braucht Rollen- und Eskalationskonzept (Ordner, Einsatzleitung, Verbindungsmann zur Polizei).

Personenschutz: Aufklärung, Routenplanung, Nähe-Distanz-Verhalten, Notfallkommunikation, Vermeidung von Routine.

Massenphänomene: Gedränge, Panik, Crowd-Crush; Entzerrung durch Zu- und Abstromsteuerung, Wellenbrecher, Kommunikation.

Evakuierung und Räumung unterscheiden: Evakuierung = geordnetes Verlassen, Räumung = sofortiges Verlassen; Alarmierung vorbereiten.

Nachbereitung: Vorfallauswertung, Besucherzahlen, Maßnahmenwirksamkeit, Anpassung des Sicherheitskonzepts.

Schutzziele der Informationssicherheit: Vertraulichkeit, Integrität, Verfügbarkeit; ergänzt um Authentizität und Verbindlichkeit.

ISMS nach ISO/IEC 27001: Kontext, Risikobewertung, SoA (Statement of Applicability), Maßnahmen, interne Audits, Managementbewertung.

Maßnahmenkatalog ISO/IEC 27002: organisatorisch, personell, physisch, technisch; Zugriffskontrolle nach Need-to-know und Least Privilege.

DSGVO-Grundsätze Art. 5: Rechtmäßigkeit, Zweckbindung, Datenminimierung, Richtigkeit, Speicherbegrenzung, Integrität/Vertraulichkeit, Rechenschaftspflicht.

Betroffenenrechte: Auskunft, Berichtigung, Löschung, Einschränkung, Datenübertragbarkeit, Widerspruch.

Meldepflicht bei Datenschutzverletzung: an Aufsichtsbehörde binnen 72 Stunden, an Betroffene bei hohem Risiko.

Physische Informationssicherheit: Aktenvernichtung, Clean-Desk, Besucherregelung, Schutz tragbarer Datenträger.

Social Engineering und Innentäter sind organisatorisch zu adressieren: Sensibilisierung, Vier-Augen-Prinzip, Meldewege.

Notfallmanagement: Erkennen, Alarmieren, Handeln, Dokumentieren; Krisenstab wird bei definierten Schwellen aktiviert.

Business Impact Analyse (BIA): kritische Prozesse, Ausfalltoleranz (RTO), Datenverlusttoleranz (RPO), Abhängigkeiten.

Notfallhandbuch enthält Alarmpläne, Rufketten, Ressourcen, Szenarien, Entscheidungsbefugnisse, Checklisten.

Krisenstab: feste Rollen (Leitung, Lage, Kommunikation, Dokumentation, Verbindung zu Behörden), klare Vertretungsregelung.

Business Continuity Management (BCM) nach ISO 22301: Analyse, Strategie, Pläne, Übungen, Bewertung, Verbesserung.

Übungen: Stabsrahmenübung, Vollübung, Alarmtest; Ziel ist Prüfung von Plänen, nicht Selbstdarstellung.

Krisenkommunikation: eine Stimme, vorbereitete Statements, definierte Sprecher, regelmäßige Lageinformationen.

Nachbereitung mit Lessons Learned und Maßnahmenverfolgung bis zur Wirksamkeitsbestätigung.

Führungsstile: autoritär, kooperativ, situativ; im Sicherheitsdienst überwiegt in Einsätzen die aufgabenorientierte Führung.

Führungsgrundsätze: klare Aufträge, definierte Verantwortung, Rückmeldung, Fürsorgepflicht, Vorbildfunktion.

Delegation erfordert Aufgabe, Kompetenz, Verantwortung und Kontrolle; Verantwortung bleibt beim Delegierenden.

Kommunikationsmodell: Sender – Botschaft – Kanal – Empfänger – Rückmeldung; Missverständnisse durch aktives Zuhören und Rückfragen reduzieren.

Lagemeldung strukturiert: Wer, Was, Wo, Wann, Wie viel, Maßnahmen, Bedarf; kurze, sachliche Sprache.

Behördenzusammenarbeit: Polizei, Feuerwehr, Gewerbe-/Verwaltungsbehörde, Datenschutzaufsicht; Ansprechpartner und Erreichbarkeiten pflegen.

Schnittstellen definieren: Wer entscheidet, wer informiert, wer dokumentiert; Doppelzuständigkeiten vermeiden.

Konfliktmanagement: Trennung von Person und Sache, Interessen klären, Lösungen dokumentieren.

Wirtschaftlichkeit = Verhältnis von Nutzen zu Kosten; Sicherheitsmaßnahmen sind mit Kosten und Risikoreduktion zu bewerten.

Kennzahlen: Sicherheitskosten je Schutzobjekt, Vorfälle je Periode, Interventionszeiten, Ausfallzeiten, Schulungsquote.

Make-or-Buy: Eigen- oder Fremddienstleistung nach Kosten, Qualität, Steuerbarkeit, Haftung und Flexibilität entscheiden.

Dienstleistungsvertrag: Leistungsverzeichnis, Schichtplan, Qualifikationen, Reaktionszeiten, Vertragsstrafen, Datenschutz.

Qualitätsmanagement nach ISO 9001: Prozessorientierung, PDCA-Zyklus, Dokumentenlenkung, interne Audits, Korrekturmaßnahmen.

PDCA: Plan (Planen), Do (Umsetzen), Check (Prüfen), Act (Verbessern) als Grundmuster für kontinuierliche Verbesserung.

Dokumentenlenkung: Version, Freigabe, Gültigkeit, Zugriffsrechte, Aufbewahrungsfristen.

Qualitätskennzahlen und Auditergebnisse fließen in Managementbewertung und Maßnahmenplanung ein.

Szenariokatalog typisch: Brand, Einbruch, Raub, IT-Ausfall, Stromausfall, Personenschaden, Bombendrohung, Pandemie, Naturgefahr.

Alarm- und Meldekette: Entdecker → Leitstelle → Einsatzleitung → Behörden → Geschäftsführung; Zeiten je Stufe definieren.

Evakuierungszeiten hängen von Wegstrecken, Ausgangsbreiten und Personenströmen ab; regelmäßige Räumungsübung erforderlich.

Kritische Infrastruktur: Abhängigkeiten (Strom, Wasser, Telekom, Lieferanten) in der BIA erfassen.

Wiederanlauf: Prioritätenliste für Prozesse, benötigte Ressourcen, Wiederherstellungszeiten, Notfallarbeitsplätze.

Dokumentation im Ereignis: Zeitstempel, Entscheidungen, Maßnahmen, Kommunikation, Kosten; dient Beweiszwecken und Auswertung.

Rechtliche Pflichten bei Ereignissen: Meldung an Behörden, Versicherung, ggf. Datenschutzaufsicht, Arbeitsschutzbehörde.

Krisenübung mit externen Partnern (Feuerwehr, Polizei, Rettungsdienst) verbessert Schnittstellen und Rollenklarheit.

Bedrohungsarten unterscheiden: vorsätzlich (Kriminalität, Terror) versus fahrlässig (Fehler, Nachlässigkeit) versus technisch (Ausfall, Störung).

Tätermodell: Gelegenheitstäter, professioneller Täter, Innentäter, ideologisch motivierter Täter; Schutzmaßnahmen je Modell.

Gelegenheitsstruktur: Ziel, Mittel, Zeit; Reduktion von Gelegenheit senkt die Wahrscheinlichkeit eines Angriffs.

Schutzwirkung = Verzögerungszeit + Detektionszeit + Interventionszeit; Ziel ist Verzögerung > Interventionszeit.

Sicherheitskultur: Regeln, Vorbild, Meldeverhalten, Fehlerkultur; messbar über Meldequote und Schulungsbeteiligung.

Sicherheitsrelevante Bereiche nach Schutzbedarf klassifizieren und mit Zugangsregeln versehen.

Sicherheitsdienst ist Teil des Gesamtsystems, nicht Ersatz für bauliche und technische Maßnahmen.

Wirksamkeitsprüfung durch Tests, Audits, Übungen und Auswertung realer Vorfälle.

Haftung: deliktische Haftung bei Schädigung Dritter; Arbeitgeber haftet für Mitarbeiter nach Organisationsverschulden.

Sorgfaltspflichtverletzung: mangelhafte Organisation, fehlende Einweisung, unzureichende Kontrolle begründen Haftung.

Dokumentationspflichten dienen der Beweissicherung; fehlende Dokumentation wirkt im Streitfall nachteilig.

Befugnisse des Sicherheitsdienstes sind privatrechtlich: Hausrecht, Notwehr, Notstand, Jedermannsfestnahme, keine hoheitlichen Rechte.

Festgehaltene Person: Verhältnismäßigkeit, keine Durchsuchung ohne Rechtsgrundlage, unverzügliche Übergabe an die Polizei.

Videoüberwachung öffentlich zugänglicher Räume: Kennzeichnung, Zweckbindung, Löschfristen, Interessenabwägung.

Arbeitsrecht: Dienstanweisung, Weisungsrecht, Fürsorgepflicht, Persönlichkeitsrechte der Beschäftigten.

Normenhierarchie: Verfassung > Gesetz > Verordnung > Satzung; Normen und Verträge unterhalb der Gesetze.

Kostenarten: Personalkosten, Technikkosten, Wartung, Versicherung, Schulung, Ausfallkosten.

Vergleich von Maßnahmen über Kosten-Nutzen-Verhältnis und Risikoreduktion je investierter Einheit.

Service-Level: Reaktionszeit, Interventionszeit, Verfügbarkeit, Dokumentationsqualität; messbar und vertraglich fixiert.

Personalplanung: Schichtmodelle, Ausfallquote, Urlaubs- und Krankheitsreserve, Qualifikationsmatrix.

Qualitätsregelkreis: Ziel setzen, messen, abweichen, Ursache analysieren, korrigieren, Wirksamkeit prüfen.

Interne Audits prüfen Konformität und Wirksamkeit; Ergebnisse werden dokumentiert und nachverfolgt.

Beschaffung: Anforderungsprofil, Ausschreibung, Bewertung, Vertrag, Abnahme, Reklamation.

Wirtschaftlichkeitsnachweis für Sicherheit ist über vermiedene Schäden und reduzierte Ausfallzeiten zu begründen.

Besucherstromlenkung: Einlass, Wartezonen, Zu- und Abstrom, Fluchtwege freihalten, Kreuzungen von Strömen vermeiden.

Sicherheitsbeauftragter der Veranstaltung koordiniert alle Gewerke und hält Verbindung zu Behörden.

Hausordnung und Einlassbedingungen sind Grundlage für Platzverweise und Durchsetzung von Verboten.

Notfallkonzept bei Veranstaltungen: Alarmierung, Räumung, Sammelplätze, Rettungsdienst, Kommunikation an Besucher.

Kommunikation an Besucher: klare Ansagen, mehrsprachige Hinweise, sichtbare Fluchtwegkennzeichnung.

Risikobeurteilung vor Veranstaltung: Szenarien, Wahrscheinlichkeit, Maßnahmen, Restrisiko, Freigabe durch Verantwortliche.

Nachweis der Qualifikation des Sicherheitspersonals und der Einweisung in das Veranstaltungskonzept.

Zusammenarbeit mit Polizei: Ansprechpartner, Funkverbindung, gemeinsame Lagebilder, klare Zuständigkeiten.

Zugriffskontrolle: Authentisierung, Autorisierung, Protokollierung; Rollen- und Rechtekonzept mit regelmäßiger Rezertifizierung.

Kryptografie: Verschlüsselung bei Übertragung und Speicherung; Schlüsselverwaltung und -wechsel sind zu regeln.

Sicherheitsvorfälle: Erkennen, Melden, Bewerten, Eindämmen, Beheben, Nachbereiten; Meldepfade definieren.

Backup: 3-2-1-Regel (drei Kopien, zwei Medien, eine extern), regelmäßige Wiederherstellungstests.

Datenschutz-Folgenabschätzung bei hohem Risiko, insbesondere bei umfangreicher Überwachung oder sensiblen Daten.

Auftragsverarbeitung: Vertrag nach DSGVO, Weisungsbindung, Kontrolle der Subunternehmer.

Löschkonzept: Fristen, Verfahren, Nachweis der Löschung; Aufbewahrungspflichten beachten.

Sensibilisierung der Mitarbeitenden ist Pflichtmaßnahme; Wirksamkeit durch Tests und Schulungen prüfen.

Einsatzleitung: Lage feststellen, entscheiden, anordnen, kontrollieren; Rückmeldung aus allen Abschnitten einholen.

Führungsspanne begrenzen; bei großen Lagen Abschnittsbildung und klare Unterstellungsverhältnisse.

Funkdisziplin: kurze Meldungen, Priorität, Bestätigung, keine Spekulationen.

Konflikt mit Behörden vermeiden durch frühzeitige Information, abgestimmte Maßnahmen und gemeinsame Dokumentation.

Presse- und Öffentlichkeitsarbeit nur durch benannte Sprecher; keine Einzelaussagen.

Debriefing nach Einsätzen: Sachverhalt, Entscheidungen, Verbesserungen, Fürsorge für Einsatzkräfte.

Interkulturelle und ethische Kompetenz im Umgang mit Besuchern und Beschäftigten.

Führungskräfte müssen Befugnisse und Grenzen des Sicherheitsdienstes kennen und durchsetzen.

Schließanlagen: Generalhauptschlüssel, Hauptschlüssel, Gruppenschlüssel, Einzelschlüssel; Hierarchie definieren.

Zutrittskontrollsysteme: Karten, Codes, Biometrie; Verlust- und Missbrauchsfälle definieren Sperrprozesse.

Besuchermanagement: Anmeldung, Ausweis, Begleitung, Protokoll, Rückgabe des Ausweises.

Streifendienst: Routen, Zeitfenster, Kontrollpunkte, Dokumentation; Routenvariation gegen Vorhersehbarkeit.

Alarmverfolgung: Alarmursache klären, Maßnahmen einleiten, dokumentieren, Fehlalarme auswerten.

Technische Störungen sofort melden und Ersatzmaßnahmen (z. B. personelle Bestreifung) anordnen.

Sicherheitsrelevante Bereiche kennzeichnen und Zutritt auf berechtigte Personen beschränken.

Zusammenarbeit mit Versicherung: Auflagen (z. B. Einbruchmeldetechnik, Schlüsselverwaltung) einhalten und nachweisen.

Qualitative Bewertung eignet sich bei Datenmangel; quantitative Bewertung erfordert belastbare Daten.

Szenariobaum: Ausgangsereignis, mögliche Verläufe, Auswirkungen, Eintrittsbedingungen.

Fehlerbaumanalyse (FTA) ermittelt Kombinationen von Ursachen für ein unerwünschtes Ereignis.

Ereignisbaumanalyse (ETA) bewertet Folgen eines Ausgangsereignisses über Wahrscheinlichkeiten.

FMEA bewertet Fehler nach Bedeutung, Auftretenswahrscheinlichkeit, Entdeckungswahrscheinlichkeit.

Risikoakzeptanzkriterien vor der Bewertung festlegen, um nachträgliche Anpassung zu vermeiden.

Maßnahmen müssen spezifisch, messbar, verantwortlich und terminiert sein (SMART).

Risikoregister: fortlaufende Liste mit Bewertung, Maßnahmen, Status, Verantwortlichen und Überprüfungsterminen.

Sicherheitskonzept muss von der Leitung freigegeben und mit Ressourcen hinterlegt sein.

Maßnahmenplan enthält Verantwortliche, Termine, Kosten, Wirksamkeitskriterien und Abhängigkeiten.

Schnittstellen zu Bau, Brandschutz, IT und Betrieb frühzeitig abstimmen.

Kennzeichnung und Besucherregelung sind organisatorische Maßnahmen mit geringen Kosten und hoher Wirkung.

Nachweis der Wirksamkeit durch Tests (Alarm, Zutritt, Video), Audits und Übungen.

Konzept bei Änderungen der Organisation, der Bedrohungslage oder nach Vorfällen aktualisieren.

Notfall- und Evakuierungspläne sind Bestandteil des Sicherheitskonzepts.

Sicherheitskonzept ist Grundlage für Versicherungsauflagen und behördliche Auflagen.

Krisenstab tagt nach festen Regeln: Lagevortrag, Entscheidungen, Aufgaben, nächster Termin.

Lagelagebild: einheitliche Darstellung von Lage, Maßnahmen, Ressourcen, offenen Punkten.

Kommunikationsmittel redundant vorhalten: Telefon, Mobilfunk, Funk, Boten, Notfalltreffpunkt.

Krisenkommunikation nach innen und außen trennen; Abstimmung mit Behörden und Betroffenen.

Kontinuitätsplan enthält Wiederanlaufreihenfolge, Ressourcen, Verantwortliche und Kommunikationswege.

Übungsplan: jährliche Stabsübung, Alarmtests, Evakuierungsübung, Wiederanlauftest.

Lessons Learned mit Maßnahmenverfolgung bis zur Wirksamkeitsbestätigung.

Krisenstab benötigt Vertretungsregelungen und Dokumentation aller Entscheidungen.

Zielvereinbarung: konkret, messbar, erreichbar, relevant, terminiert; regelmäßige Überprüfung.

Feedback: beobachtbares Verhalten, Wirkung, Erwartung, Vereinbarung.

Mitarbeitergespräch dient der Entwicklung, der Leistungsbewertung und der Konfliktklärung.

Führung in Krisen: Ruhe, Klarheit, Präsenz, Entscheidungsfreude, Fürsorge.

Schnittstelle zur Polizei: Anzeigen, Beweismittel, Zeugen, Übergabe von Personen und Sachen.

Schnittstelle zur Feuerwehr: Brandschutzordnung, Fluchtwege, Löschmittel, Räumung.

Schnittstelle zur Kommune: Gewerbe-, Ordnungs- und Bauaufsicht; Auflagen dokumentieren.

Interne Kommunikation: klare Kanäle, definierte Zuständigkeiten, nachvollziehbare Dokumentation.

Prozessmanagement: Prozesse beschreiben, Verantwortliche festlegen, Schnittstellen klären, Kennzahlen messen.

Risikomanagement im Unternehmen: Risikostrategie, Risikoinventar, Bewertung, Steuerung, Überwachung, Berichtswesen.

Internes Kontrollsystem (IKS): Kontrollen, Funktionstrennung, Vier-Augen-Prinzip, Dokumentation.

Qualitätsziele aus Kundenanforderungen und gesetzlichen Anforderungen ableiten.

Abweichungsmanagement: Ursache analysieren, Korrekturmaßnahme, Wirksamkeitsprüfung, Dokumentation.

Lieferantenbewertung: Qualität, Termine, Kosten, Sicherheitsstandards, Datenschutz.

Kennzahlen sollten vergleichbar, beeinflussbar und aussagekräftig sein.

Managementbewertung nutzt Kennzahlen, Auditergebnisse und Beschwerden zur Steuerung.

Normen und Standards schaffen Vergleichbarkeit: DIN, EN, ISO, ÖNORM, VdS-Richtlinien.

Zertifizierungen belegen Konformität, ersetzen aber keine objektspezifische Risikobewertung.

Sicherheitsdienstleistungen unterliegen Anforderungen an Qualifikation, Einweisung und Dokumentation.

Sicherheitszeichen und Kennzeichnung unterstützen die Orientierung und die Durchsetzung von Regeln.

Sicherheitsrelevante Vorfälle sind nach einheitlichem Schema zu erfassen, um Auswertbarkeit zu gewährleisten.

Schutzbedarfskategorien erleichtern die Priorisierung von Maßnahmen.

Sicherheitsorganisation: Rollen, Verantwortlichkeiten, Berichtswege, Vertretungen.

Sicherheitsaudit prüft Konformität mit Vorgaben und Wirksamkeit der Maßnahmen.

Arbeitsschutzgesetze verpflichten zur Gefährdungsbeurteilung, Unterweisung und Bereitstellung von Schutzausrüstung.

Brandschutzordnung regelt Verhalten bei Brand, Fluchtwege, Sammelplätze, Löschmittel.

Brandschutzbeauftragter und Sicherheitsfachkraft haben abgegrenzte Aufgaben; Schnittstellen definieren.

Flucht- und Rettungswege müssen frei, gekennzeichnet und beleuchtet sein.

Arbeitsmittel und Anlagen sind regelmäßig zu prüfen und zu dokumentieren.

Meldung von Arbeitsunfällen an die zuständige Behörde und Versicherung nach den gesetzlichen Fristen.

Unterweisungen sind zu dokumentieren und zu wiederholen.

Behördliche Auflagen sind umzusetzen und nachzuweisen.

Interventionsdienst: Alarmierung, Anfahrt, Lagefeststellung, Maßnahmen, Übergabe an Behörden.

Interventionszeit ist eine zentrale Kennzahl und vertraglich zu regeln.

Leitstelle: Alarmierung, Koordination, Dokumentation, Kommunikation mit Einsatzkräften.

Eskalationsstufen definieren: Information, Weisung, Zwangsmaßnahme, Übergabe an Behörden.

Eigenschutz geht vor: Einsatzkräfte dürfen sich nicht selbst gefährden.

Notruf und Behördenkontakte sind im Dienstplan und in der Dienstanweisung hinterlegt.

Vorfallbericht enthält Zeit, Ort, Beteiligte, Maßnahmen, Zeugen, Beweismittel.

Auswertung von Vorfällen dient der Verbesserung von Konzept und Einsatzplanung.

Personenschutz umfasst Aufklärung, Planung, Durchführung und Nachbereitung.

Schutzperson und Sicherheitspersonal benötigen abgestimmte Verhaltensregeln und Kommunikationsmittel.

Nähe und Distanz sind situativ zu wählen; Fluchtwege und Rückzugsräume einplanen.

Bedrohungslagen frühzeitig erkennen: Verhalten von Personen, Gegenstände, Fahrzeuge, Kommunikation.

Notfallplan für Schutzperson: Alarmierung, Verbringung an sicheren Ort, Übergabe an Behörden.

Verschwiegenheit und Datenschutz sind bei Personenschutzaufträgen besonders zu beachten.

Nachbereitung: Vorfallauswertung, Anpassung der Maßnahmen, Information der Verantwortlichen.

Zusammenarbeit mit Polizei bei konkreten Bedrohungen frühzeitig abstimmen.

Berechtigungskonzept: Wer darf welche Informationen in welcher Form nutzen; regelmäßige Überprüfung.

Clean-Desk und Clean-Screen reduzieren unbefugte Einsichtnahme.

Akten- und Datenträgervernichtung nach definierten Standards und mit Nachweis.

Besucher- und Lieferantenregelung verhindert unkontrollierten Zutritt zu informationsverarbeitenden Bereichen.

Sensibilisierung und Schulung sind Pflichtmaßnahmen und zu dokumentieren.

Meldewege für Sicherheitsvorfälle und Datenschutzverletzungen sind bekannt zu machen.

Datenschutzorganisation: Verantwortlicher, Datenschutzbeauftragter, Beschäftigte, Auftragsverarbeiter.

Verzeichnis von Verarbeitungstätigkeiten ist zu führen und aktuell zu halten.

Wiederanlaufzeit (RTO) und Datenverlusttoleranz (RPO) sind je Prozess zu bestimmen.

Notfallarbeitsplätze und Ausweichstandorte sind vorzuhalten und zu testen.

Backup- und Wiederherstellungstests sind regelmäßig durchzuführen und zu dokumentieren.

Krisenstab benötigt Lagekarten, Kontaktlisten, Ressourcenübersicht und Entscheidungsvorlagen.

Externe Dienstleister (z. B. Wachdienst, IT, Facility) sind in Notfallpläne einzubinden.

Übungen sind zu planen, durchzuführen, auszuwerten und zu dokumentieren.

Krisenkommunikation muss mit Behörden und Betroffenen abgestimmt werden.

Kontinuitätsmanagement ist Teil des Risikomanagements und der Unternehmensführung.

Berichte sind sachlich, vollständig, wahrheitsgemäß und nachvollziehbar zu erstellen.

Trennung von Beobachtung und Bewertung im Bericht.

Zeitangaben, Örtlichkeiten, Beteiligte und Maßnahmen sind exakt zu erfassen.

Berichte dienen Beweiszwecken und der Auswertung; Aufbewahrungsfristen beachten.

Behördenberichte sind mit der Unternehmensleitung abzustimmen.

Datenschutz gilt auch für Berichte: nur erforderliche personenbezogene Daten erfassen.

Berichtskultur: Fehler offen melden, um Lernprozesse zu ermöglichen.

Auswertung von Berichten liefert Kennzahlen für das Sicherheitsmanagement.

Aufbauorganisation: Stellen, Abteilungen, Weisungsbeziehungen, Vertretungen.

Ablauforganisation: Prozesse, Verfahren, Schnittstellen, Dokumentation.

Stellenbeschreibung enthält Aufgaben, Kompetenzen, Verantwortung, Qualifikation.

Qualifikationsmatrix zeigt erforderliche und vorhandene Qualifikationen.

Personalplanung berücksichtigt Schichtmodelle, Ausfallzeiten, Urlaub und Schulungen.

Einarbeitung neuer Mitarbeitender ist zu planen und zu dokumentieren.

Führungskräfte benötigen Kenntnisse in Arbeitssicherheit, Datenschutz und Notfallmanagement.

Kontinuierliche Verbesserung durch Kennzahlen, Audits und Feedback.

Zonenkonzept: Perimeter, Gebäudehülle, Gebäudeinneres, Sicherheitsbereiche, besonders sensible Bereiche.

Schutzstufen steigen von außen nach innen; Zutrittsregeln werden je Zone definiert.

Mechanische, elektronische und organisatorische Maßnahmen sind je Zone zu kombinieren.

Zutrittskontrolle: Identifikation, Authentisierung, Protokollierung, Berechtigungsprüfung.

Detektion: Einbruchmeldeanlage, Video, Sensorik; Detektion ohne Intervention ist wirkungslos.

Intervention: eigener Dienst, externer Dienst, Polizei; Zeiten und Zuständigkeiten regeln.

Kennzeichnung von Zonen und Wegen unterstützt die Orientierung und die Durchsetzung von Regeln.

Konzept regelmäßig prüfen und an veränderte Schutzbedarfe anpassen.