08.09.2026 | 5 min read
Sicherheitsberatung wird häufig dann angefragt, wenn bereits eine konkrete Lösung gesucht wird: Welche Zutrittskontrolle brauchen wir? Wie sollte der Perimeter geschützt werden? Müssen zusätzliche Kameras installiert werden?
Damit beginnt die Beratung jedoch häufig eine Frage zu spät.
Bevor über einzelne Maßnahmen entschieden werden kann, muss geklärt sein, was geschützt werden soll, welche Bedrohungen und Abhängigkeiten relevant sind und welche Auswirkungen ein Sicherheitsvorfall auf den Betrieb hätte. Erst daraus lässt sich ableiten, welches Sicherheitsniveau angemessen ist.
Der eigentliche Wert einer Sicherheitsberatung liegt deshalb nicht in möglichst vielen Empfehlungen. Er liegt darin, Schutzziele und Risiken in nachvollziehbare Entscheidungen zu übersetzen.
Für Unternehmen bedeutet das: Eine gute Sicherheitsberatung liefert nicht einfach ein Maßnahmenpaket. Sie macht transparent, warum eine Maßnahme erforderlich ist, welche Alternativen bestehen, welche Abhängigkeiten berücksichtigt werden müssen und welches Restrisiko verbleibt.
Sicherheitsberatung bezeichnet die strukturierte Analyse von Schutzbedarf, Risiken, bestehenden Sicherheitsmaßnahmen und betrieblichen Rahmenbedingungen mit dem Ziel, belastbare Entscheidungen für die physische Sicherheit vorzubereiten.
Je nach Fragestellung kann der Umfang sehr unterschiedlich sein. Sicherheitsberatung kann beispielsweise eine bestehende Sicherheitsarchitektur bewerten, Risiken systematisch untersuchen, ein übergeordnetes Sicherheitskonzept entwickeln oder Entscheidungen für eine spätere Fachplanung vorbereiten.
Entscheidend ist deshalb weniger die Bezeichnung der Dienstleistung als der konkrete Auftrag.
Vor Beginn sollte klar sein:
Diese Abgrenzung ist wichtig, weil der Begriff Sicherheitsberatung am Markt sehr unterschiedliche Leistungen umfasst – von einer kompakten Standortanalyse bis zur mehrjährigen Begleitung komplexer Sicherheitsprogramme.
Nicht jede Sicherheitsfrage erfordert sofort ein umfassendes Beratungsprojekt. Gleichzeitig ist es häufig zu spät, erst dann über das Sicherheitskonzept nachzudenken, wenn konkrete Systeme bereits ausgewählt wurden.
Typischerweise entsteht Beratungsbedarf in vier Situationen.
Sicherheitskonzepte entwickeln sich häufig über Jahre. Gebäude werden erweitert, Kameras ergänzt, Zutrittsbereiche verändert, neue Dienstleister eingebunden und Prozesse angepasst.
Jede einzelne Veränderung kann sinnvoll gewesen sein. Das bedeutet jedoch nicht automatisch, dass das Gesamtsystem weiterhin zum aktuellen Schutzbedarf passt.
Typische Fragen sind dann:
Wenn zunächst nur geklärt werden soll, wo Schwachstellen und weiterer Prüfbedarf bestehen, kann ein Resilienz Health Check als strukturierte Sicherheitsanalyse mit definiertem Prüfrahmen sinnvoll sein. Ein umfassendes Beratungsprojekt ist nicht automatisch der erste Schritt.
Neubauten und größere Umbauten sind offensichtliche Beratungsanlässe. Aber auch organisatorische Veränderungen können bestehende Schutzkonzepte beeinflussen.
Dazu gehören beispielsweise:
Eine frühzeitige Sicherheitsberatung kann helfen, Anforderungen in Planung und Betrieb zu integrieren, bevor technische oder bauliche Entscheidungen schwer veränderbar werden.
Das bedeutet nicht, dass frühe Beratung grundsätzlich wirtschaftlicher ist. Ihr Nutzen hängt von Komplexität, Schutzbedarf und Investitionsumfang ab. Bei sicherheitskritischen Vorhaben kann sie jedoch dazu beitragen, spätere Umplanungen und isolierte Einzellösungen zu vermeiden.
Einbruch, Diebstahl oder Sabotage sind offensichtliche Auslöser. Beratungsbedarf kann aber bereits bei wiederkehrenden Abweichungen entstehen:
Nach einem Vorfall sollte deshalb nicht nur die unmittelbar sichtbare Schwachstelle betrachtet werden. Entscheidend ist die Frage, ob dahinter ein systemisches Problem liegt.
Je nach Unternehmenskontext können Sicherheitsmaßnahmen auch mit regulatorischen, normativen, versicherungsbezogenen oder vertraglichen Anforderungen verbunden sein.
Diese Anforderungen dürfen nicht miteinander vermischt werden.
ISO/IEC 27001 definiert Anforderungen an ein Informationssicherheitsmanagementsystem und basiert auf einem risikoorientierten Ansatz. Anforderungen aus BSIG beziehungsweise NIS2 adressieren insbesondere Cybersicherheit und organisatorisches Risikomanagement. Das KRITIS-Dachgesetz betrachtet dagegen die physische Resilienz kritischer Anlagen und sieht abhängig von der konkreten Betroffenheit unter anderem Risikoanalysen und angemessene Resilienzmaßnahmen vor.
Für Kritische Infrastrukturen ist diese Trennung besonders wichtig: Es gibt nicht „den einen KRITIS-Nachweis“. Welches Regelwerk Anwendung findet und welche Anforderungen daraus entstehen, muss anhand der konkreten Einrichtung, Anlage und Rechtsgrundlage geprüft werden.
Sicherheitsberatung kann dabei helfen, fachliche Anforderungen in einen Sicherheits- und Betriebskontext zu übersetzen. Sie ersetzt jedoch weder eine Rechtsberatung noch eine formale regulatorische oder zertifizierungsbezogene Prüfung.
Sicherheitsberatung ist kein standardisiertes Gesamtpaket. Je nach Entscheidungsbedarf können unterschiedliche Leistungen erforderlich sein.
Eine Sicherheitsanalyse untersucht den bestehenden Zustand und identifiziert Schwachstellen, Risiken und Abhängigkeiten innerhalb eines definierten Prüfrahmens.
Sie kann als kompakte Standortbestimmung oder als Ausgangspunkt einer weiterführenden Beratung dienen.
Hier werden relevante Gefährdungen, Bedrohungsszenarien, Schwachstellen und mögliche Auswirkungen systematisch untersucht.
Ziel ist nicht, möglichst viele denkbare Szenarien aufzulisten. Entscheidend ist, diejenigen Risiken zu identifizieren und zu bewerten, die für die betrachteten Schutzobjekte und Prozesse tatsächlich relevant sind.
Aus Schutzzielen und Risikobewertung lässt sich ein angestrebter Soll-Zustand ableiten.
Ein Sicherheitskonzept beschreibt beispielsweise:
Es beantwortet damit zunächst die Frage, welche Schutzwirkung erforderlich ist – nicht, welches konkrete Produkt eingesetzt werden muss.
Wie sich diese Elemente für ein konkretes Objekt zusammenfügen, zeigt unser Artikel zur Gebäudesicherheit.
Die Fachplanung setzt konzeptionelle Anforderungen in eine konkret umsetzbare technische oder bauliche Lösung um.
Dazu können abhängig vom Projekt beispielsweise Funktionsbeschreibungen, Systemarchitekturen, Schnittstellen, Planunterlagen, Mengen, Leistungsbeschreibungen oder Abnahmekriterien gehören.
Konzeptberatung und Fachplanung stehen damit in engem Zusammenhang, erfüllen aber unterschiedliche Aufgaben: Das Sicherheitskonzept definiert die erforderliche Schutzwirkung. Die Fachplanung konkretisiert deren Umsetzung.
Der konkrete Umfang planerischer Leistungen muss projektspezifisch vereinbart werden.
Eine Beratung kann Unternehmen außerdem bei der technischen Beschreibung benötigter Leistungen und bei der fachlichen Bewertung eingehender Angebote unterstützen.
Wichtig ist dabei eine klare Grenze: Die fachliche Unterstützung bei einer Ausschreibung oder Angebotsbewertung ersetzt keine vergaberechtliche Beratung. Insbesondere bei öffentlichen Auftraggebern müssen rechtliche Vergabeanforderungen separat berücksichtigt werden.
Abhängig vom Projekt kann eine Sicherheitsberatung auch die Umsetzung begleiten.
Dazu können gehören:
Eine solche Begleitung kann gerade bei komplexen Projekten sinnvoll sein. Sie ist jedoch kein zwingendes Merkmal professioneller Sicherheitsberatung.
Je nach Governance, Investitionsvolumen und Schutzbedarf kann eine bewusste Trennung zwischen Beratung, Planung, Errichtung und unabhängiger Prüfung sinnvoll sein.
Ein allgemeingültiges Phasenmodell gibt es nicht. Methodik und Tiefe müssen zur konkreten Fragestellung passen.
Ein belastbarer Beratungsprozess folgt jedoch typischerweise einer nachvollziehbaren Entscheidungslogik.
Am Anfang steht nicht die Begehung, sondern die Klärung des Auftrags.
Welche Entscheidung soll vorbereitet werden?
Beispielsweise:
Anschließend wird definiert, welche Standorte, Gebäude, Prozesse, Systeme und Schnittstellen Bestandteil der Untersuchung sind.
Diese Scope-Definition verhindert, dass umfangreiche Informationen erhoben werden, ohne eine konkrete Entscheidung vorzubereiten.
Der nächste Schritt lautet: Was muss tatsächlich geschützt werden?
Mögliche Schutzinteressen sind:
Nicht jedes Schutzobjekt benötigt dasselbe Sicherheitsniveau.
Gerade für Betreiber kritischer Anlagen wird diese funktionale Betrachtung wichtiger: Entscheidend ist nicht nur die Anlage selbst, sondern auch die Dienstleistung oder der Prozess, dessen Ausfall erhebliche Auswirkungen verursachen kann. Der bestehende KRITIS-Artikel der Wissensplattform vertieft diese funktionale Perspektive.
Die Bestandsaufnahme kombiniert abhängig vom Projekt unterschiedliche Informationsquellen.
Dazu können gehören:
Entscheidend ist der Vergleich zwischen dokumentierter und gelebter Sicherheit.
Ein formal sauberer Prozess ist wenig belastbar, wenn er im Alltag nicht umgesetzt wird. Umgekehrt können funktionierende informelle Abläufe Risiken erzeugen, wenn Verantwortlichkeiten und Entscheidungswege nicht dokumentiert sind.
Ein belastbares Risikomanagement umfasst mehr als eine einfache Einstufung nach Eintrittswahrscheinlichkeit und Schadenshöhe.
ISO 31000 beschreibt Risikomanagement als einen systematischen Prozess, der unter anderem Identifikation, Analyse, Bewertung, Behandlung, Überwachung und Kommunikation von Risiken umfasst. Die konkrete Anwendung soll dabei an Kontext und Organisation angepasst werden.
Für physische Sicherheit können abhängig vom Bedrohungsbild insbesondere relevant sein:
Bei vorsätzlichen Angriffen lässt sich Risiko nicht immer sinnvoll auf eine statistische Eintrittswahrscheinlichkeit reduzieren. Angreifer können Ziele, Vorgehen und Zeitpunkt gezielt wählen. Deshalb muss die Bewertungsmethode zum jeweiligen Bedrohungsbild und Entscheidungszweck passen.
Für Kritische Infrastrukturen gewinnt zudem die Betrachtung von Abhängigkeiten an Bedeutung. Sowohl die europäische CER-Richtlinie als auch das deutsche KRITIS-Dachgesetz folgen einer risikobasierten Resilienzlogik, bei der relevante natürliche und menschengemachte Risiken sowie Abhängigkeiten berücksichtigt werden.
Aus der Risikoanalyse folgt nicht automatisch eine technische Lösung.
Zunächst muss geklärt werden, welche Schutzfunktion verbessert werden soll.
Mögliche Handlungsoptionen können beispielsweise sein:
Sicherheitsplanung ist damit grundsätzlich systemisch.
ISO 22340 beschreibt Protective Security entsprechend als Zusammenspiel von Governance, Personal-, Informations-, Cyber- und physischer Sicherheit. ISO 22342 stellt wiederum die Entwicklung von Sicherheitsplänen in den Zusammenhang des organisatorischen Risikomanagements.
Welche Maßnahmen geeignet sind, hängt vom jeweiligen Schutzbedarf und Einsatzkontext ab.
Nicht jede Schwachstelle besitzt dieselbe Bedeutung und nicht jede Verbesserung muss sofort umgesetzt werden.
Ein belastbarer Maßnahmenplan sollte deshalb nachvollziehbar unterscheiden zwischen:
Für jede relevante Maßnahme sollten mindestens Ziel, Priorität, Verantwortlichkeit und weiterer Entscheidungsbedarf erkennbar sein.
Bei größeren Investitionen ist außerdem ein Vergleich von Handlungsoptionen sinnvoll. Dabei sollten nicht nur Investitionskosten betrachtet werden, sondern auch:
Der Wert einer Sicherheitsberatung zeigt sich nicht an der Seitenzahl des Abschlussberichts.
Entscheidend ist, ob der Auftraggeber anschließend bessere Entscheidungen treffen kann.
Je nach Auftrag können geeignete Ergebnisse beispielsweise umfassen:
Wichtig ist außerdem, Ergebnisse auf unterschiedlichen Entscheidungsebenen nutzbar zu machen.
Die Geschäftsleitung benötigt eine nachvollziehbare Grundlage für Prioritäten und Investitionen. Fachverantwortliche benötigen ausreichend konkrete Anforderungen für die weitere Umsetzung.
Die Qualität einer Beratung lässt sich weder aus dem Markenname noch aus einer einzelnen Zertifizierung ableiten.
Mehrere Kriterien sind entscheidend.
Bereits im Erstgespräch sollte deutlich werden, welche Fragestellung untersucht werden soll.
Konkrete Produktempfehlungen, bevor Schutzbedarf, Standort und Risiken verstanden wurden, sind zumindest erklärungsbedürftig.
Unternehmen sollten verstehen können:
Eine Methode muss nicht maximal komplex sein. Sie muss zum Entscheidungsbedarf passen und nachvollziehbar angewendet werden.
Eine Empfehlung sollte erkennen lassen:
Begriffe wie „Best Practice“ oder „Stand der Technik“ ersetzen diese Begründung nicht.
Referenzen können wertvoll sein, wenn sie mit dem eigenen Projekt tatsächlich vergleichbar sind.
Relevant sind beispielsweise:
Formale Qualifikationen und Zertifikate können zusätzliche Hinweise auf Kompetenz liefern. Sie ersetzen jedoch nicht die Prüfung, ob Erfahrung und Methodik zur konkreten Aufgabe passen.
Professionelle Beratung sollte klar benennen:
Gerade bei Schnittstellen zu Datenschutz, Brandschutz, Arbeitsschutz, IT-/OT-Sicherheit, Baurecht oder regulatorischen Spezialfragen kann ein interdisziplinärer Ansatz erforderlich sein.
Bei Videoüberwachung, biometrischer Zutrittskontrolle oder personenbezogenen Zutrittsdaten beispielsweise können zusätzlich datenschutzrechtliche Anforderungen entstehen. Eine physische Sicherheitsberatung ersetzt deshalb keine eigenständige datenschutzrechtliche Bewertung. Der bestehende Fachartikel zur biometrischen Zutrittskontrolle vertieft diese Schnittstelle.
Herstellerunabhängigkeit wird häufig als Qualitätsmerkmal einer Sicherheitsberatung genannt. Der Begriff allein reicht jedoch nicht aus.
Ein Unternehmen kann unabhängig von bestimmten Produkten oder Herstellern beraten und gleichzeitig ein wirtschaftliches Interesse daran besitzen, später Planung, Integration oder Betrieb zu übernehmen.
Das ist nicht grundsätzlich problematisch. Es muss aber transparent sein.
Auftraggeber sollten deshalb prüfen:
Ein integrales Leistungsmodell kann Vorteile haben, beispielsweise weniger Schnittstellen und durchgängige technische Verantwortung.
Bei hohen Investitionen oder besonders kritischem Schutzbedarf kann eine zusätzliche unabhängige Prüfung jedoch sinnvoll sein.
Entscheidend ist daher nicht, ob alle Leistungen aus einer Hand kommen. Entscheidend ist, ob Rollen, Interessen und Entscheidungen transparent geregelt sind.
Die verschiedenen Leistungen sollten bereits bei der Beauftragung klar voneinander abgegrenzt werden.
Sicherheitsberatung analysiert Schutzbedarf, Risiken und Handlungsoptionen und bereitet Entscheidungen vor.
Fachplanung konkretisiert Anforderungen so weit, dass technische oder bauliche Maßnahmen umgesetzt werden können.
Errichter und Integratoren realisieren die geplanten Systeme und stellen deren technische Funktion her.
Sicherheitsdienste übernehmen typischerweise operative Aufgaben wie Empfang, Kontrollgänge, Alarmverfolgung, Intervention oder Bewachung.
Prüfung beziehungsweise Audit bewertet abhängig vom jeweiligen Prüfrahmen, ob definierte Anforderungen eingehalten oder bestimmte Maßnahmen wirksam umgesetzt wurden.
Diese Rollen können durch unterschiedliche Unternehmen oder innerhalb eines integrierten Leistungsmodells erbracht werden. Entscheidend ist nicht die Organisationsform, sondern die klare Definition von Leistungsumfang, Verantwortung und Schnittstellen.
Viele spätere Missverständnisse entstehen nicht während der Analyse, sondern durch einen unklar definierten Auftrag.
Vor Beauftragung sollten deshalb zumindest folgende Punkte geklärt werden:
Damit wird Sicherheitsberatung selbst zu einem kontrollierbaren Prozess.
Genau diese Punkte klären wir gemeinsam mit Ihnen: Ziel, Scope, Prüftiefe und erwartete Ergebnisse werden zusammen festgelegt, bevor über Leistungen oder Maßnahmen gesprochen wird. Kontaktieren Sie uns – wir beraten Sie unverbindlich.
Nicht jedes Unternehmen benötigt unmittelbar eine umfassende Risikoanalyse oder ein neues Sicherheitskonzept.
Wenn zunächst die Frage im Vordergrund steht, wie belastbar die vorhandene Sicherheitsarchitektur ist, kann ein Resilienz Health Check einen geeigneten Einstieg bilden.
Er untersucht innerhalb eines definierten Prüfrahmens die physische und organisatorische Sicherheit, identifiziert Schwachstellen, nimmt eine erste Risikoeinordnung vor und leitet priorisierte Handlungsempfehlungen ab.
Eine weiterführende Sicherheitsberatung ist typischerweise erforderlich, wenn:
Health Check und Sicherheitsberatung sind damit keine konkurrierenden Leistungen. Sie besitzen unterschiedliche Prüftiefen und können aufeinander aufbauen.
e-shelter security unterstützt Unternehmen bei der Analyse und Weiterentwicklung physischer Sicherheitsstrukturen.
Abhängig von Ausgangslage und Fragestellung kann der Einstieg über den Resilienz Health Check oder über eine vertiefende Sicherheitsberatung erfolgen. Ziel ist es, Schutzbedarf, Risiken und betriebliche Rahmenbedingungen in nachvollziehbare Anforderungen und Entscheidungsgrundlagen zu übersetzen.
Welche weiteren Leistungen daraus entstehen – beispielsweise Sicherheitskonzeption, Fachplanung oder Begleitung der Umsetzung – richtet sich nach dem jeweiligen Projekt und wird entsprechend abgegrenzt.
Die zentrale Frage einer Sicherheitsberatung lautet nicht: Welche Sicherheitstechnik sollten wir kaufen?
Sie lautet: Welche Risiken müssen wir beherrschen, welches Schutzniveau benötigen wir dafür und welche Maßnahmen sind unter unseren betrieblichen Bedingungen angemessen?
Erst auf dieser Grundlage lassen sich technische, bauliche, organisatorische und personelle Maßnahmen sinnvoll bewerten.
Eine belastbare Sicherheitsberatung macht deshalb nicht nur Empfehlungen. Sie legt offen, auf welchen Annahmen diese Empfehlungen beruhen, welche Alternativen bestehen, welche Interessen berücksichtigt werden und welche Restrisiken verbleiben.
Ihr eigentlicher Wert liegt damit in der Entscheidungsfähigkeit des Unternehmens.
Denn gute Sicherheitsberatung liefert nicht einfach eine Lösung. Sie macht nachvollziehbar, warum eine bestimmte Entscheidung zum jeweiligen Schutzbedarf passt.
e-shelter security plant, integriert und betreibt physische Sicherheitslösungen herstellerunabhängig – von der Risikoanalyse über die technische Planung bis zum zertifizierten Betrieb. Wenn zunächst offen ist, wie tief die Prüfung gehen muss, ist der Resilienz Health Check der schnellste Einstieg. Steht die Fragestellung bereits fest, sprechen Sie direkt mit unseren Experten.
Sie müssen den Inhalt von reCAPTCHA laden, um das Formular abzuschicken. Bitte beachten Sie, dass dabei Daten mit Drittanbietern ausgetauscht werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Turnstile. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Facebook. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von Instagram. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr InformationenSie sehen gerade einen Platzhalterinhalt von X. Um auf den eigentlichen Inhalt zuzugreifen, klicken Sie auf die Schaltfläche unten. Bitte beachten Sie, dass dabei Daten an Drittanbieter weitergegeben werden.
Mehr Informationen
