KRITIS-Dachgesetz: Rahmen ohne Detailtiefe
Die Illusion von Resilienz und das KRITIS-Dachgesetz: Wie verwundbar ist die Bundesrepublik?
Mit Blick auf das KRITIS-Dachgesetz zeigt sich derzeit eine offene Flanke, denn die Verordnung benennt nur das Was, nicht das Wie
Deutschland sieht sich seit einigen Jahren zunehmend mit geopolitischen Spannungen und einer hybriden Bedrohungslage konfrontiert. Dabei reichen die Gefahren von Cyberattacken über physische Sabotageakte bis hin zu verdeckter Einflussnahme. Infolge dieser veränderten Gefahrenlage gewinnt der Schutz kritischer Infrastrukturen zunehmend an Bedeutung. Mit dem kommenden KRITIS-Dachgesetz liegt nun ein rechtlicher Rahmen vor, der die Betreiber kritischer Infrastrukturen erstmals verpflichtet, physische Schutzmaßnahmen umzusetzen und Resilienzstrategien zu entwickeln.
"Zwischen politischem Willen, gesetzlicher Vorgabe und operativer Umsetzung besteht derzeit noch eine erhebliche Diskrepanz", weiß Markus Weidenauer, Geschäftsführer der SecCon Group mit Sitz in Unterschleißheim. "Unabhängig, davon, ob es sich um Strom, Wasser, Verkehr oder Kommunikation handelt, das Funktionieren moderner Gesellschaften hängt von der Verfügbarkeit dieser Systeme ab, weshalb es sie zu schützen gilt."
Strukturelle Sicherheitslücken trotz wachsender Bedrohungslage
Angriffe auf Infrastruktur erfolgen heutzutage hochgradig professionell, oftmals staatlich gesteuert und langfristig geplant. Bereits in der Vortatphase – also noch vor einem eigentlichen Angriff – verschaffen sich Täter Informationen über Schwachstellen, Zugangsmöglichkeiten und Betriebsabläufe. Diese Informationsbeschaffung erfolgt nicht nur online über öffentlich zugängliche Quellen wie Google Maps oder Street View, sondern auch durch persönliche Auskundschaftung vor Ort oder mithilfe rekrutierter Innentäter. Und obwohl prinzipiell ein Bewusstsein dafür besteht, zeigt sich in der Praxis vielerorts ein strukturelles Sicherheitsdefizit.
"Besonders in kommunal oder öffentlich betriebenen Infrastrukturen fehlt es an grundlegenden Konzepten, personellen Ressourcen und systematischer Aufklärung. Weder sind zentrale Lagebilder vorhanden noch existiert eine strukturierte Zusammenarbeit mit den Sicherheitsbehörden", so der Experte für den Schutz kritischer Infrastrukturen. Selten genutzt: verdeckte sicherheitsrelevante Aufklärungsmaßnahmen Bei der Abwehr von Angriffen liegt die größte Chance in der Früherkennung. Hier greift ein operativer und in Deutschland bislang selten genutzter Ansatz: verdeckte sicherheitsrelevante Aufklärungsmaßnahmen. Anders als der klassische Objektschutz mit sichtbarer Präsenz, bewegen sich dabei verdeckt operierende Kräfte im Hintergrund. Sie identifizieren auffällige Verhaltensmuster, erkennen Vortatphasen und beobachten Täter, bevor ein Schaden entsteht.
Das im Personenschutz und bei der Polizei angewandte Prinzip der ‚präventiven Verhaltenserkennung‘ lässt sich auf kritische Infrastrukturen übertragen. "Meldet beispielsweise ein Windpark wiederholte Sichtungen von Fahrzeugen mit ausländischen Kennzeichen, die zu ungewöhnlichen Tageszeiten durch das Gelände fahren, braucht es speziell geschultes Personal, das Bewegungsmuster erkennt, Verhaltensauffälligkeiten einordnet und relevante Hinweise liefert. Voraussetzung dafür ist jedoch eine hohe Qualifikation, psychologische Eignung und operative Erfahrung – keinesfalls lässt sich diese Aufgabe durch einfach geschultes Personal oder gar den Pförtner leisten", erklärt Markus Weidenauer.
KRITIS-Dachgesetz: Rahmen ohne Detailtiefe
Mit Blick auf das KRITIS-Dachgesetz zeigt sich derzeit eine offene Flanke, denn die Verordnung benennt nur das ‚Was‘, nicht das ‚Wie‘. Besonders für kleinere Unternehmen, die weder über spezialisierte Sicherheitsabteilungen noch über IT-Kompetenz verfügen, entstehen große Herausforderungen. Hinzu kommt: Viele Infrastrukturen fallen formal gar nicht unter das Gesetz, obwohl sie für die lokale Bevölkerung versorgungskritisch sind. Hier entsteht eine gefährliche Grauzone, in der die Sicherheitslage stark vom Engagement einzelner Akteure abhängt.
"Das größte Missverständnis besteht darin, technische Maßnahmen als Allheilmittel zu betrachten. Kamerasysteme, Zugangskontrollen oder Notfallpläne sind notwendig, aber nicht ausreichend. Sabotage, Spionage und hybride Bedrohungen erfordern ein mehrdimensionales Denken: unauffällige, systematische Präsenz. Nicht jeder Angriff lässt sich verhindern, aber viele sind erkennbar – wenn man weiß, worauf zu achten ist", erklärt der Geschäftsführer der SecCon Group abschließend.
Checkliste: Erste Schritte zur Umsetzung des KRITIS-Dachgesetzes
1. Kritische Bereiche identifizieren: Unternehmen müssen prüfen, welche Betriebsteile unter die KRITIS-Definition fallen – etwa anhand von Kundenzahlen. Wer die gesetzlichen Schwellenwerte überschreitet, gilt als KRITIS-Betreiber und muss die neuen Vorgaben erfüllen.
2. Risikoanalyse: Potenzielle Gefahren gilt es verpflichtend zu erfassen, dazu zählen Naturereignisse genauso wie gezielte physische Angriffe. Die Analyse muss individuell zugeschnitten sein. Externe Experten sollten dabei unterstützen.
3. Schutzkonzept: Basierend auf der Analyse werden technische, organisatorische und personelle Schutzmaßnahmen konzipiert. Auch die Zusammenarbeit mit Behörden sollte berücksichtigt werden.
4. Maßnahmen: Das Konzept wird technisch und organisatorisch systematisch umgesetzt. Lücken in bestehenden Schutzmaßnahmen müssen geschlossen, Mitarbeitende sensibilisiert und alle Schritte dokumentiert werden.
5. Überwachen: Sicherheitsrelevante Vorfälle müssen erkannt, dokumentiert und gemeldet werden. Zudem werden regelmäßige Audits erforderlich. (SecCon Group: ra)
eingetragen: 13.07.25
mip Consult: Kontakt und Steckbrief
Der Informationsanbieter hat seinen Kontakt leider noch nicht freigeschaltet.