Ein Sicherheitskonzept für Unternehmen ist die dokumentierte Grundlage aller Schutzmaßnahmen eines Standorts: Es legt fest, was geschützt werden soll, welche Gefahren drohen, wie groß die Risiken sind und welche Maßnahmen sie auf ein tragbares Maß senken. Herzstück ist die Gefährdungsanalyse. Sie bewertet jede Gefahr nach Eintrittswahrscheinlichkeit und Schadensausmaß. Daraus leiten Sie einen Mix aus baulichen, technischen, organisatorischen und personellen Maßnahmen ab. Was übrig bleibt, ist das Restrisiko, das die Geschäftsleitung bewusst akzeptiert. Wie groß der Handlungsdruck ist, zeigt die Bitkom-Studie 2026: 96 Prozent der Unternehmen waren von Diebstahl, Industriespionage oder Sabotage betroffen oder vermuten es.
Viele Betriebe haben Schlösser, eine Alarmanlage und vielleicht einige Kameras. Was oft fehlt, ist der Zusammenhang. Niemand hat festgehalten, wogegen die Technik eigentlich schützen soll, wer im Alarmfall reagiert und ob die Maßnahmen zum tatsächlichen Risiko passen. Ein Sicherheitskonzept schließt diese Lücke. Es ordnet jedem Risiko konkrete Maßnahmen zu und regelt Zuständigkeiten, Abläufe und Notfallpläne.
Die Zahlen zeigen, warum das mehr ist als eine Formalie. Nach der Studie Wirtschaftsschutz 2026 des Digitalverbands Bitkom, für die 1.003 Unternehmen ab zehn Beschäftigten befragt wurden, lag der Schaden durch Diebstahl, Industriespionage und Sabotage 2026 zwischen 211 und 270,8 Milliarden Euro. 2025 waren es 289,2 Milliarden Euro, 2024 noch 266,6 Milliarden Euro. 76 Prozent des Schadens entfallen inzwischen auf Cyberangriffe; 2021 waren es 59 Prozent. Der Rest entsteht durch analoge Taten wie den Diebstahl von Geräten, Dokumenten oder Mustern und durch physische Sabotage.
Jährliche Schadenssumme der deutschen Wirtschaft in Milliarden Euro. Für 2026 ist die Untergrenze des Korridors dargestellt.
Quelle: Bitkom, Studienberichte Wirtschaftsschutz 2025 und 2026 (Bitkom Research, Unternehmen ab 10 Beschäftigten). 2026: Korridor 211,0 bis 270,8 Milliarden Euro.
Auf Ebene des einzelnen Standorts helfen die Daten der Polizei. Nach der Polizeilichen Kriminalstatistik Berlin 2025 verursachte ein Büro- oder Betriebseinbruch im Schnitt einen Schaden von 6.651 Euro, nach 5.049 Euro im Jahr davor. Dazu kommen Folgekosten, die die Statistik nicht erfasst: Betriebsunterbrechung, Datenverlust, Wiederbeschaffung und Aufwand für die Versicherung. Bemerkenswert ist auch die Aufklärungsquote: Bei Diebstählen insgesamt lag sie in Berlin 2025 bei 21,1 Prozent. In vier von fünf Fällen bleibt der Täter also unbekannt, der Schaden beim Unternehmen.
Ein weiterer Grund ist die Nachweisbarkeit. Wer Risiken dokumentiert bewertet und Maßnahmen begründet ausgewählt hat, steht gegenüber Versicherern, Auditoren und im Haftungsfall deutlich besser da. Die bewusste Freigabe des Restrisikos durch die Geschäftsleitung zeigt, dass Sicherheit eine Leitungsentscheidung war und kein Zufall.
Wir stehen für alle Anliegen zur Verfügung und freuen uns darauf, Sie beraten zu dürfen. Kontaktieren Sie uns gerne - per Anruf, Mail, oder Kontaktformular.
Am Anfang steht eine scheinbar einfache Frage: Wofür gilt das Konzept? Legen Sie den Geltungsbereich fest, also Standort, Gebäude, Freiflächen, Zeiten und gegebenenfalls externe Lager oder Baustellen. Auch die Grundlagen des Bundesamts für Sicherheit in der Informationstechnik verlangen für ein Sicherheitskonzept einen klar definierten Geltungsbereich. Ohne ihn verliert sich die Analyse in Details oder übersieht ganze Bereiche.
Im zweiten Schritt klären Sie, was geschützt werden soll. Bewährt hat sich die Einteilung in vier Gruppen:
Aus den Schutzgütern werden Schutzziele. Sie beschreiben, was erreicht werden soll, etwa: „Unbefugte gelangen nicht in die Entwicklungsabteilung“ oder „Ein Einbruch ins Lager wird innerhalb weniger Minuten erkannt und verfolgt“. Gute Schutzziele sind konkret, überprüfbar und priorisiert. Klare Prioritäten verhindern, dass Budget in Maßnahmen fließt, die am eigentlichen Risiko vorbeigehen. In der Praxis eignet sich ein Workshop mit Geschäftsleitung, Standortleitung, IT, Facility Management und Arbeitsschutz. Jede dieser Funktionen sieht andere Schwachstellen.
Die Gefährdungsanalyse erfasst alle Ereignisse, die ein Schutzziel verletzen können. Halten Sie dabei jedes Risiko schriftlich fest, auch solche, die zunächst unwahrscheinlich wirken. Aussortiert wird erst bei der Bewertung.
| Gefährdungsgruppe | Beispiele | Einordnung aus Statistik |
|---|---|---|
| Einbruch und Diebstahl durch Außentäter | Büro- und Betriebseinbruch, Diebstahl aus Lagern und Fahrzeugen | Berlin 2025: Ø 6.651 € je Büro-/Betriebseinbruch; Ø 1.304 € je Diebstahl an/aus Kfz |
| Diebstahl von Fahrzeugen | Firmenwagen, Transporter | Berlin 2025: 6.054 Fälle, Ø 23.682 € Schaden |
| Sachbeschädigung und Brandstiftung | Vandalismus, Graffiti, Brandanschläge | Berlin 2025: 44.693 Sachbeschädigungen; 855 vorsätzliche Brandstiftungen (+12,1 %) |
| Innentäter | Mitnahme von Material, Weitergabe von Daten | Teil der Bitkom-Schadenssumme; keine separate Zahl für Berlin |
| Spionage und Sabotage | Ausspähen, Manipulation von Anlagen | Bitkom 2026: 37 % der Betroffenen ordnen mind. einen Angriff einem ausländischen Nachrichtendienst zu |
| Cyberangriffe mit physischem Anteil | Zugang über offene Serverräume, gestohlene Geräte | Bitkom 2026: 76 % des Gesamtschadens durch Cyberangriffe |
Nicht zu verwechseln ist die sicherheitsbezogene Gefährdungsanalyse mit der Gefährdungsbeurteilung nach § 5 Arbeitsschutzgesetz. Diese ist für jeden Arbeitgeber Pflicht und betrifft Gefahren für Beschäftigte am Arbeitsplatz, etwa durch Maschinen, Stoffe oder psychische Belastung. Die Security-Analyse fragt zusätzlich nach vorsätzlichen Taten Dritter, nach Besuchern und nach Informationen. Beide Analysen überschneiden sich, etwa bei Alleinarbeit in der Nacht oder bei Überfällen auf Kassenbereiche. Es lohnt sich, sie aufeinander abzustimmen.
Nicht jede Gefahr verdient dieselbe Aufmerksamkeit. Die Risikobewertung sortiert deshalb nach zwei Größen: der Eintrittswahrscheinlichkeit und dem Schadensausmaß. Verbreitet ist eine Matrix mit je fünf Stufen, etwa von „sehr unwahrscheinlich“ bis „sehr wahrscheinlich“ und von „vernachlässigbar“ bis „katastrophal“. Das Produkt beider Stufen ergibt eine Risikokennzahl zwischen 1 und 25.
| Risikokennzahl (Wahrscheinlichkeit × Ausmaß) | Zone | Umgang |
|---|---|---|
| 1 bis 4 | grün | akzeptabel, beobachten |
| 5 bis 12 | gelb | so weit reduzieren, wie wirtschaftlich vertretbar |
| 15 bis 25 | rot | nicht akzeptabel, Maßnahmen mit Vorrang |
Die Grenzen der Zonen sind ein Beispiel. Jedes Unternehmen legt sie nach seiner Risikobereitschaft selbst fest. Hinter der gelben Zone steht das sogenannte ALARP-Prinzip: Risiken werden so weit gesenkt, wie es vernünftigerweise machbar ist.
Ein Lager am Stadtrand hatte in drei Jahren zwei Einbruchsversuche. Die Wahrscheinlichkeit eines weiteren Versuchs wird mit 4 bewertet. Weil dort Ware im Wert eines Monatsumsatzes liegt und ein Brand nach einem Einbruch den Betrieb stilllegen würde, erhält das Schadensausmaß ebenfalls eine 4. Ergebnis: 16, rote Zone. Der Serverraum im Verwaltungsgebäude ist dagegen gut gesichert, aber ein Ausfall wäre katastrophal. Wahrscheinlichkeit 2, Ausmaß 5, Ergebnis 10: gelbe Zone mit Handlungsbedarf, aber nachrangig.
Entscheidend ist die Begründung jeder Einstufung. Wenn Sie festhalten, warum eine Gefahr als wahrscheinlich gilt, bleibt die Bewertung bei der nächsten Überprüfung nachvollziehbar.
Für jedes nicht tragbare Risiko legen Sie Maßnahmen fest. Sie stammen aus vier Bereichen, die sich gegenseitig ergänzen. Jede Kategorie deckt Schwachstellen ab, an denen die anderen an Grenzen stoßen. Eine Alarmanlage ohne jemanden, der reagiert, schützt ebenso wenig wie eine Streife vor einem offenen Tor.
| Bereich | Wirkung | Beispiele |
|---|---|---|
| Baulich und mechanisch | Widerstand, räumliche Trennung, Zeitgewinn | Zäune, Tore, einbruchhemmende Türen und Fenster (Widerstandsklassen RC 2 bis RC 4 nach DIN EN 1627), Schließsysteme, Beleuchtung |
| Technisch und elektronisch | Erkennen, Melden, Dokumentieren | Einbruch- und Gefahrenmeldetechnik, Zutrittskontrolle, Videoüberwachung, Perimeterüberwachung |
| Organisatorisch | Regeln, Zuständigkeiten, Abläufe | Schlüssel- und Besuchermanagement, Meldewege, Notfallpläne, Aufschaltung auf eine Leitstelle mit Intervention |
| Personell | Präsenz, Kontrolle, Reaktion | Empfang, Werkschutz, Streifen- oder Revierdienst, Schulung und Sensibilisierung der Belegschaft |
Prävention geht vor Detektion. Was einen Täter gar nicht erst aufs Gelände lässt, ist meist wirksamer als eine Kamera, die ihn später zeigt. Staffeln Sie die Maßnahmen in Zonen, von außen nach innen: Perimeter, Gebäudehülle, sensible Räume. Achten Sie darauf, dass die Maßnahmen gleichwertig sind; eine Sicherheitstür neben einem ungesicherten Fenster ist verschenktes Geld. Und prüfen Sie Praktikabilität und Akzeptanz. Eine Regel, die im Alltag umgangen wird, erzeugt nur Scheinsicherheit.
Technik und Personal wirken am besten zusammen. Eine Einbruchmeldeanlage erkennt den Einbruch, ein Sicherheitsdienst fährt hin. Elektronische Zugangskontrollen steuern Berechtigungen, ein Empfang prüft Besucher. Auf größeren Betriebsgeländen übernimmt ein Werkschutz für Betriebsgelände Tor, Streife und Alarmverfolgung aus einer Hand.
Tipp: Ordnen Sie in einer Tabelle jedem roten und gelben Risiko mindestens eine Maßnahme zu, mit Verantwortlichem, Termin und Kosten. Risiken ohne Maßnahme fallen so sofort auf, ebenso Maßnahmen ohne Risiko.
Kein Konzept senkt das Risiko auf null. Was nach allen Maßnahmen übrig bleibt, ist das Restrisiko. Dafür gibt es drei Wege: Sie akzeptieren es bewusst, überwälzen es vertraglich auf Dritte oder versichern es. Wichtig ist, dass diese Entscheidung dokumentiert und von der Geschäftsleitung mit Unterschrift freigegeben wird. Damit ist klar, wer das Risiko trägt.
Die Umsetzung braucht einen Plan mit Prioritäten. Maßnahmen gegen rote Risiken kommen zuerst. Kurzfristig wirksame organisatorische Schritte, etwa ein geregeltes Schlüsselmanagement, lassen sich oft in Wochen umsetzen. Bauliche Maßnahmen dauern länger und sollten mit Investitionsplanung und Instandhaltung verknüpft werden. Werden Sicherheitsdienstleistungen vergeben, übernehmen Sie die Schutzziele und Anforderungen aus dem Konzept direkt in die Leistungsbeschreibung. Wie ein belastbares Leistungsverzeichnis aussieht, zeigt der Ratgeber Sicherheitsdienst ausschreiben.
Ein Sicherheitskonzept ist kein Dokument für den Schrank. Überprüfen Sie es regelmäßig, mindestens jährlich, und zusätzlich bei jedem Anlass: nach einem Vorfall, bei Umbauten, neuen Produkten, neuen Mietern im Umfeld oder veränderten Arbeitszeiten. Testen Sie Abläufe in Übungen, etwa einen Alarm außerhalb der Geschäftszeiten. Werten Sie Vorfälle und Beinahe-Ereignisse aus. Die Kriminalitätslage ändert sich ebenfalls; in Berlin stieg die Zahl der vorsätzlichen Brandstiftungen 2025 um 12,1 Prozent, während die Sachbeschädigungen zurückgingen.
Hilfreich ist ein fester Termin im Jahreskalender, an dem Sicherheitsverantwortliche, Standortleitung und externe Dienstleister das Konzept gemeinsam durchgehen. So wird die Überprüfung zur Routine.
Gut zu wissen: Ein allgemeines Gesetz, das jedem Unternehmen ein Sicherheitskonzept vorschreibt, gibt es nicht. Pflichten ergeben sich aber aus einzelnen Regelungen, etwa der Gefährdungsbeurteilung nach § 5 Arbeitsschutzgesetz, aus Versicherungsverträgen, aus Auflagen für Betreiber kritischer Infrastrukturen oder aus Kundenanforderungen.
Für das Sicherheitskonzept eines Unternehmens gibt es keine einzelne Pflichtnorm. Mehrere Regelwerke liefern aber Struktur und Maßstäbe.
Die internationale Norm für Risikomanagement ist branchenübergreifend angelegt. Sie beschreibt Grundsätze, ein Rahmenwerk und einen Prozess aus Risikoidentifikation, Risikoanalyse, Risikobewertung und Risikobehandlung. Konkrete Sicherungsmaßnahmen nennt sie nicht. Sie eignet sich deshalb als methodischer Rahmen, in den sich das Sicherheitskonzept einfügt, besonders wenn das Unternehmen bereits ein Risikomanagement betreibt.
Der IT-Grundschutz des Bundesamts für Sicherheit in der Informationstechnik ist ein Rahmenwerk für Informationssicherheit. Er betrachtet neben der Technik auch infrastrukturelle, organisatorische und personelle Themen, etwa die Einteilung von Gebäuden in Sicherheitszonen mit abgestufter Zutrittskontrolle. Für Unternehmen, deren wertvollstes Gut Informationen sind, verbindet er physische und digitale Sicherheit.
Für bauliche Maßnahmen legt die DIN EN 1627 Widerstandsklassen für einbruchhemmende Türen, Fenster und Abschlüsse fest. Für Meldeanlagen und mechanische Sicherungen stellen die Richtlinien der VdS Schadenverhütung Anforderungen auf, die viele Sachversicherer zur Bedingung machen. Klären Sie früh mit Ihrem Versicherer, welche Klassen und Anerkennungen er erwartet. Das vermeidet teure Nachrüstungen.
Wer diese Bausteine kombiniert, erhält ein Konzept, das methodisch sauber ist, sich an anerkannten Maßstäben orientiert und im Alltag funktioniert. Der Aufwand zahlt sich doppelt aus: im verhinderten Schaden und in der Sicherheit, im Ernstfall nachweisen zu können, dass das Unternehmen vorgesorgt hat.
Geltungsbereich, Schutzgüter und Schutzziele, die Gefährdungsanalyse mit Risikobewertung, ein Maßnahmenplan aus baulichen, technischen, organisatorischen und personellen Bausteinen, Zuständigkeiten, Notfallabläufe und die dokumentierte Freigabe des Restrisikos.
Sie beginnt mit Begehungen bei Tag und Nacht, der Auswertung früherer Vorfälle, einer Umfeldanalyse und Gesprächen mit Beschäftigten. Jede Gefahr wird schriftlich erfasst und anschließend nach Wahrscheinlichkeit und Schadensausmaß bewertet.
Eintrittswahrscheinlichkeit und Schadensausmaß werden meist auf je fünf Stufen bewertet. Das Produkt ergibt eine Kennzahl von 1 bis 25. Farbzonen von grün bis rot zeigen, welche Risiken akzeptabel sind und welche vorrangig Maßnahmen brauchen.
Eine allgemeine Pflicht gibt es nicht. Pflichten entstehen aus einzelnen Vorschriften wie § 5 Arbeitsschutzgesetz, aus Versicherungsverträgen, aus Vorgaben für kritische Infrastrukturen oder aus Anforderungen von Kunden und Auditoren.
Mindestens einmal im Jahr und zusätzlich bei jedem Anlass: nach Vorfällen, Umbauten, neuen Produkten oder geänderten Arbeitszeiten. Übungen und die Auswertung von Beinahe-Ereignissen zeigen, ob die Maßnahmen wirken.
DIN ISO 31000 liefert den methodischen Rahmen für Risikomanagement, der BSI IT-Grundschutz verbindet physische und Informationssicherheit. Für Sicherungstechnik sind DIN EN 1627 und die VdS-Richtlinien der Versicherer wichtige Maßstäbe.
Wir stehen für alle Anliegen zur Verfügung und freuen uns darauf, Sie beraten zu dürfen. Kontaktieren Sie uns gerne - per Anruf, Mail, oder Kontaktformular.
