Das Verhaltensmuster potenzieller Attentäter hat sich geändert. Die Bundessicherheitsbehörden stellen in einem Sonderbericht Wirtschaftsschutz zu den jüngsten Anschlägen fest: „Bei den angegriffenen Zielen in Paris handelt es sich um klassische „weiche Ziele“, deren Angriff in besonderem Maße geeignet ist, in der Bevölkerung Angst und Schrecken zu verbreiten. Hinsichtlich der Tatbegehung stellt der Einsatz von gleich mehreren Selbstmordattentätern ein Novum für Westeuropa dar.“ Wie können Firmen ihre Mitarbeiter und Standorte zukünftig schützen und mit vergleichbaren Krisensituationen umgehen?
Historisch richteten sich die meisten Terroranschläge gegen ausgewählte Ziele – die der Täterideologie. Insbesondere die in Westeuropa aktiven Terrorgruppen der siebziger und achtziger Jahre führten intensive Diskussionen darüber, wer in ihrem „bewaffneten Kampf“ legitimes Ziel sei – nach der Logik der Täter würden die „richtigen“ Opfer die Sympathie für die Sache steigern, bis politische Legitimität erreicht wäre. Eine Vielzahl unschuldiger Opfer wurde von vielen Gruppen als eher kontraproduktiv betrachtet.
Über den Autor
Christoph Rojahn ist Direktor Forensic bei der Wirtschaftsprüfungsgesellschaft Deloitte & Touche in Hamburg.
Die Pariser Anschläge ähneln denen auf Touristen im Nahen Osten und im asiatischen Raum, wobei scheinbar eine möglichst hohe Opferanzahl im Vordergrund stand. Auch bei den jüngsten Attentaten liegen keine Hinweise darauf vor, dass die Täter ihre Ziele nach speziellen Kriterien ausgewählt hätten, so dass die Vorkommnisse nicht präzise vorhersehbar waren. Die Taten unterscheiden sich insofern grundsätzlich vom Anschlag auf die Redaktion des Satiremagazins "Charlie Hebdo" im Januar 2015. Hier war die Gefährdung der Redaktion bekannt: Die französische Polizei hatte seit der Publikation der Mohammed-Karikaturen 2012 Schutzmaßnahmen eingeleitet, die allerdings nicht für einen Angriff durch mehrere schwer bewaffnete Täter ausreichend waren.
Firmen achten vor allem auf die Prävention
Islamistische Attentäter haben jedoch bislang, abgesehen von der "Charlie Hebdo"-Redaktion, keine westeuropäischen Unternehmen gezielt angegriffen. Dennoch ist anzunehmen, dass Angriffsmuster zukünftig variieren werden und Risiken schwieriger vorhersehbar sind. Das stellt Konzernsicherheitsabteilungen vor die grundsätzliche Frage, inwieweit vorhandene Maßnahmen zum Schutz von Mitarbeitern und Standorten geeignet sind, diesen Gefahren zu begegnen.
Viele Firmen haben ihre bisherige Vorgehensweise überwiegend auf Kriminalitätsprävention und -bekämpfung ausgerichtet. Unternehmenssicherheit zielt im Sinne der Drei-Stufen-Prävention, frühestmöglicher Entdeckung und Reduzierung der negativen Auswirkungen darauf ab, Kriminellen die Tat zu erschweren. Das Entdeckungsrisiko soll so weit wie möglich erhöht (und damit abschrecken) und die Auswirkungen auf das Unternehmen begrenzt werden.
Die Erfahrung zeigt, dass sich durch Maßnahmenkombination die Gefahr für Mitarbeiter und Unternehmenswerte in vielen Fällen wirksam reduzieren lässt. Voraussetzung für einen effektiven und effizienten Schutz von Firmen und ihren Mitarbeitern ist allerdings, dass potentielle Täter rational vorgehen, indem sie lediglich bestimmte (leitende) Mitarbeiter oder finanziell attraktive Unternehmenswerte angreifen, und gleichzeitig nach der Tat entkommen wollen. Bei den großangelegten Anschlägen islamistischer Täter waren diese Einschränkungen aber anscheinend nicht gegeben. Das Verhalten der Pariser Täter deutet darauf hin, dass diese von vornherein davon ausgingen, von Sicherheitskräften gestellt zu werden.
Sieben Punkte der Risikoanalyse
Auch zukünftig werden weder staatliche noch privatwirtschaftliche Sicherheitsmaßnahmen Anschläge komplett verhindern. Die im Folgenden dargestellten Schritte können Unternehmen aber dabei helfen, potenzielle Gefahrensituationen zu analysieren und sich bestmöglich vor Risiken zu schützen. Grundlage sollte dabei in jedem Fall eine detaillierte Risikoanalyse sein:
1. Entsprechende Szenarien in der Krisen- und Notfallplanung
Obwohl sich zahlreiche Unternehmen mit unterschiedlichen Szenarien auseinandersetzen, ist die Analyse möglicher Terrorrisiken häufig auf die Theorie beschränkt. Gerade bei größeren Standorten empfiehlt es sich, auch Angriffsszenarien zu entwickeln und „durchzuspielen“, um Sicherheitsmaßnahmen abzuleiten. Hierbei ist besonders zu berücksichtigen, dass die klassischen Instrumente des Krisenmanagements aufgrund der Kurzfristigkeit der Ereignisse allenfalls im Nachgang zu einem bewaffneten Angriff wirksam werden. Ein gut ausgebildeter Krisenstab auf Leitungsebene ist für den Umgang mit dem Ereignis wichtig, er wird aber erst bei der Aufarbeitung des Angriffs wirksam – in der tatsächlichen Situation müssen die Mitarbeiter vor Ort wissen, wie sie handeln sollen.
Forum IT-Sicherheit
Der Hackerangriff auf den Deutschen Bundestag hat auch dem letzten Vorstand die Augen geöffnet. Kein Unternehmen ist gefeit vor Cyberangriffen. Jede noch so kleine Sicherheitslücke in den IT-Systemen kann zum Einfallstor für Spionage- oder Sabotageattacken werden und Schäden in Millionenhöhe verursachen. Die Verunsicherung in den Unternehmen ist jedenfalls groß. Sind die Sicherheitsvorkehrungen wirklich auf dem allerneusten Stand, um die Kronjuwelen des Unternehmens zu schützen? Kennen die Mitarbeiter alle Indizien, die auf einen Angriff hindeuten? Wie lange brauchen die Alarmsysteme, um einen Angriff zu erkennen? Es gibt viele Fragen, aber nur wenige Experten, die fundierte Antworten liefern können. Zusammen mit Bernd-Oliver Bühler, geschäftsführender Gesellschafter der Janus Consulting und Spezialist für IT-Sicherheit, hat die WirtschaftsWoche die Sicherheitsverantwortlichen in deutschen Unternehmen gebeten, aus ihrer Sicht die größten Probleme und mögliche Lösungen vorzustellen.
Alle Beiträge finden Sie auf www.wiwo.de/it-forum
2. Anpassung von Einlass- und Zutrittskontrollen
In vielen Unternehmen existiert ein mehr oder weniger ausgeprägter Perimeterschutz, bei dem das Betreten und Verlassen der Standorte durch den Sicherheitsbereich geregelt und überwacht wird. Hierzu gehört sowohl die Bewachung durch eigenes oder durch Dienstleister gestelltes Personal als auch die Zugangskontrolle mit technischen Mitteln wie etwa Schleusen, Ausweislesegeräten etc. Bei erhöhter Risikosituation kann man je nach der Gestaltung des Standortes die Zahl der Zutrittspunkte reduzieren und so die Kontrolldichte erhöhen (beispielsweise durch flächendeckende Taschenkontrollen). Das wird zwar einen Anschlag nicht verhindern, kann aber zu einer Entdeckung der Täter schon im Zugangsbereich führen, wo die Auswirkungen geringer sind.
Sofern es die baulichen Gegebenheiten zulassen, besteht die Möglichkeit, als Teil einer erhöhten Sicherheitsstufe eine interne Segmentierung vorzunehmen und den Zugang zu Teilen des Standortes durch technische Maßnahmen zu beschränken. Dies verlangsamt das Vordringen der Täter innerhalb des Standortes und kann dazu beitragen, die Zahl der Opfer zu reduzieren.
3. Alarmauslösung
Die kurzfristige Alarmierung des betroffenen Standortes ist von entscheidender Bedeutung – vielfach sind aber Empfangsbereiche oder Zufahrtskontrollpunkte lediglich mit normalen internen und externen Telefonsystemen ausgestattet. Speziallösungen (beispielsweise Alarmknöpfe zur Auslösung von Sirenen oder vorbereiteten Durchsagen über Lautsprechersysteme) verkürzen die Reaktionszeit, insbesondere, wenn die Möglichkeit besteht, zeitgleich die zuständigen Polizeidienststellen zu alarmieren. Hier ist allerdings zu beachten, dass diese Lösungen für die Mitarbeiter schnell erreichbar sein müssen, und dass ihre Benutzung im Rahmen von Einweisungen und Schulungen vermittelt werden muss. Gerade an Standorten, an denen das Pforten- und Empfangspersonal häufig wechselt, oder durch externe Dienstleister gestellt wird, ist es häufig eine Herausforderung, einen einheitlichen Standard zu gewährleisten, weil viele Mitarbeiter nur kurzfristig eingesetzt werden.
4. Abwägen von Evakuierung gegen Verbleib vor Ort
Erfahrungen aus den USA zeigen, dass es in bestimmten Fällen sinnvoller sein kann, wenn die Mitarbeiter in Amoksituationen an Ort und Stelle bleiben bzw. sich in möglichst geschützte Gebäudeteile zurückziehen. Die Vorbereitung von speziellen Schutzräumen, wie sie Privatpersonen bei erhöhter Gefährdung empfohlen wird, ist in der Mehrzahl der Fälle nur bedingt praktikabel, es ist aber möglich, geeignete Rückzugsräume zu bestimmen und die Mitarbeiter entsprechend zu instruieren.
Ergibt aber die Risikoanalyse, dass eine Evakuierung der bessere Ansatz wäre, sollten grundsätzlich zwei alternative Evakuierungsrouten geplant und entsprechend gekennzeichnet sein, um flexibel reagieren zu können. Auch diese Routen müssen den Mitarbeitern gegenüber kommuniziert werden und in die Krisenplanung des Unternehmens integriert sein.
5. Vorbereitende Abstimmung mit Polizeibehörden
Gerade bei großen und baulich komplexen Standorten kann eine Abstimmung im Vorfeld den Einsatzkräften die Arbeit erleichtern. Eine klare Zuweisung von Verantwortlichkeiten für die Kommunikation mit Polizeibehörden im Unternehmen ist ratsam, ebenso wie die Vorbereitung von Informationen, welche für Polizei und Rettungskräfte im Krisenfall kurzfristig verfügbar sein müssen. Falls das Unternehmen beispielsweise bei der Lagevorbereitung Rückzugsräume für Mitarbeiter definiert hat, sollten diese den Einsatzkräften bereits im Vorfeld bekannt sein, damit diese Bereiche im Ereignisfall mit Priorität gesichert werden können. Auch Informationen über festgelegte Evakuierungsrouten sind für die Einsatzkräfte bei großen Standorten wertvoll.
Risikoeinschätzung und Betroffenheit von Wirtschaftskriminalität
Betroffenheit 2014: 63 Prozent
Risikoeinschätzung 2014: 54 Prozent (Hoch/Sehr hoch)
Betroffenheit 2012: 74 Prozent (Unternehmen mit mehr als 50 Mitarbeitern)
Risikoeinschätzung 2012: 54 Prozent (Hoch/Sehr hoch; Unternehmen mit mehr als 50 Mitarbeitern)
Quelle: KPMG
Betroffenheit 2014: 54 Prozent
Risikoeinschätzung 2014: 49 Prozent (Hoch/Sehr hoch)
Betroffenheit 2012: 60 Prozent (Unternehmen mit mehr als 50 Mitarbeitern)
Risikoeinschätzung 2012: 54 Prozent (Hoch/Sehr hoch; Unternehmen mit mehr als 50 Mitarbeitern)
Quelle: KPMG
Betroffenheit 2014: 30 Prozent
Risikoeinschätzung 2014: 87 Prozent (Hoch/Sehr hoch)
Betroffenheit 2012: 24 Prozent (Unternehmen mit mehr als 50 Mitarbeitern)
Risikoeinschätzung 2012: 83 Prozent (Hoch/Sehr hoch; Unternehmen mit mehr als 50 Mitarbeitern)
Quelle: KPMG
Betroffenheit 2014: 22 Prozent
Risikoeinschätzung 2014: 52 Prozent (Hoch/Sehr hoch)
Betroffenheit 2012: 20 Prozent (Unternehmen mit mehr als 50 Mitarbeitern)
Risikoeinschätzung 2012: 57 Prozent (Hoch/Sehr hoch; Unternehmen mit mehr als 50 Mitarbeitern)
Quelle: KPMG
Betroffenheit 2014: 20 Prozent
Risikoeinschätzung 2014: 78 Prozent (Hoch/Sehr hoch)
Betroffenheit 2012: 18 Prozent (Unternehmen mit mehr als 50 Mitarbeitern)
Risikoeinschätzung 2012: 78 Prozent (Hoch/Sehr hoch; Unternehmen mit mehr als 50 Mitarbeitern)
Quelle: KPMG
Betroffenheit 2014: 19 Prozent
Risikoeinschätzung 2014: 69 Prozent (Hoch/Sehr hoch)
Betroffenheit 2012: 22 Prozent (Unternehmen mit mehr als 50 Mitarbeitern)
Risikoeinschätzung 2012: 63 Prozent (Hoch/Sehr hoch; Unternehmen mit mehr als 50 Mitarbeitern)
Quelle: KPMG
Betroffenheit 2014: 14 Prozent
Risikoeinschätzung 2014: 41 Prozent (Hoch/Sehr hoch)
Betroffenheit 2012: 10 Prozent (Unternehmen mit mehr als 50 Mitarbeitern)
Risikoeinschätzung 2012: 43 Prozent (Hoch/Sehr hoch; Unternehmen mit mehr als 50 Mitarbeitern)
Quelle: KPMG
Betroffenheit 2014: 4 Prozent
Risikoeinschätzung 2014: 32 Prozent (Hoch/Sehr hoch)
Betroffenheit 2012: 8 Prozent (Unternehmen mit mehr als 50 Mitarbeitern)
Risikoeinschätzung 2012: 31 Prozent (Hoch/Sehr hoch; Unternehmen mit mehr als 50 Mitarbeitern)
Quelle: KPMG
Betroffenheit 2014: 3 Prozent
Risikoeinschätzung 2014: 25 Prozent (Hoch/Sehr hoch)
Betroffenheit 2012: 4 Prozent (Unternehmen mit mehr als 50 Mitarbeitern)
Risikoeinschätzung 2012: 32 Prozent (Hoch/Sehr hoch; Unternehmen mit mehr als 50 Mitarbeitern)
Quelle: KPMG
6. Schulung von Mitarbeitern
Insbesondere bei Unternehmen mit erhöhtem Risikoprofil – sei es aufgrund der Standorte oder politischer und anderer Faktoren – sollte die Krisen- und Notfallplanung auch im Rahmen der Mitarbeiterschulung berücksichtigt werden. Öffentliche Stellen können hier beraten und unterstützen – so veröffentlichten beispielsweise die britischen Polizeibehörden im Dezember 2015 ein Video mit dem Titel „Stay Safe“ zum korrekten Verhalten in Situationen mit Schusswaffengebrauch, in dem unter anderem auch Themen wie Evakuierung und Alarmauslösung behandelt werden. Wenn das Unternehmen den Mitarbeitern (beispielsweise über das Intranet) aktuelle Hinweise zur Sicherheitslage zur Verfügung stellt, muss gewährleistet sein, dass diese zeitnah aktualisiert und mit öffentlich verfügbaren Informationen abgeglichen werden.
Neben der Schulung des Personals am Standort sollten Unternehmen auch überprüfen, inwieweit die vor Ort für die Sicherheit verantwortlichen Mitarbeiter ausreichend qualifiziert sind. Der Umgang mit Hochrisikoszenarien gehört in den meisten Fällen nicht zu den Aufgaben lokaler Standortmanager, insbesondere, wenn deren Haupttätigkeit – wie leider noch häufig zu beobachten ist –in anderen Bereichen liegt und Unternehmenssicherheit allenfalls als zusätzliche Aufgabe wahrnehmen. Hier ist qualifizierte Hilfestellung bei der Planung und Umsetzung von geeigneten Sicherungsmaßnahmen zwingend erforderlich.
7. Lagebeobachtung
Mehr denn je müssen Unternehmen Risiken im Vorfeld erkennen: Eine kontinuierliche Beobachtung der Sicherheitslage einschließlich Meldungen in Social Media-Kanälen und der Austausch mit anderen Unternehmen und Sicherheitsbehörden ermöglicht die Erstellung eines aktuellen und risikoorientierten Lagebildes, um Sicherungsmaßnahmen flexibel an die Gefährdungslage anzupassen. Gerade angesichts globalisierter Tätergruppen aus dem Bereich des islamistischen Terrorismus sollte diese Risikobeobachtung neben den Standorten in Westeuropa auch diejenigen Märkte berücksichtigen, in denen das Unternehmen tätig ist.
Ein besonders problematischer Aspekt der Lagebeobachtung ist die Frage, inwieweit Firmen versuchen sollen, Radikalisierungstendenzen bei ihren eigenen Mitarbeitern zu identifizieren. Neben datenschutzrechtlichen Fragen besteht ein erhebliches Risiko, dass bereits der Versuch negative Konsequenzen für die Unternehmenskultur und die Außenwahrnehmung des Unternehmens hat. Bei günstigen Rahmenbedingungen können zwar bestehende Compliance-Strukturen wie etwa Hotlines und Awareness-Kampagnen genutzt werden, aber hier empfiehlt sich eine sorgfältige Bewertung aller Faktoren im Vorfeld.
Europäische Unternehmen können sich bei der Umsetzung geeigneter Maßnahmen teilweise an den Erfahrungen insbesondere amerikanischer Firmen mit Amokläufern orientieren. Vor dem Hintergrund der Vielzahl von Vorfällen mit Schusswaffengebrauch in den USA haben sich sowohl zahlreiche Firmen als auch viele Behörden mit der Frage auseinandergesetzt, wie sie mit Situationen umgehen sollen, in denen ein bewaffneter Täter darauf abzielt, möglichst viele Personen zu töten. Auch bei diesen Ereignissen lässt sich ein Angriff weder präzise vorhersagen noch vollständig verhindern. Es geht vielmehr darum, die Möglichkeiten des Täters so schnell wie möglich einzuschränken, um die Zahl der potentiellen Opfer bis zum Eintreffen der Sicherheitskräfte zu minimieren. Die Kombination aus Risikoanalyse, Schulung und Planung kann hier im wortwörtlichen Sinne überlebenswichtig werden.
