WiWo App 1 Monat für nur 0,99 €
Anzeigen

Terroranschläge auf Unternehmen Unberechenbare Täter erhöhen das Risiko

Seite 2/2

Sieben Punkte der Risikoanalyse

Auch zukünftig werden weder staatliche noch privatwirtschaftliche Sicherheitsmaßnahmen Anschläge komplett verhindern. Die im Folgenden dargestellten Schritte können Unternehmen aber dabei helfen, potenzielle Gefahrensituationen zu analysieren und sich bestmöglich vor Risiken zu schützen. Grundlage sollte dabei in jedem Fall eine detaillierte Risikoanalyse sein:

1. Entsprechende Szenarien in der Krisen- und Notfallplanung

Obwohl sich zahlreiche Unternehmen mit unterschiedlichen Szenarien auseinandersetzen, ist die Analyse möglicher Terrorrisiken häufig auf die Theorie beschränkt. Gerade bei größeren Standorten empfiehlt es sich, auch Angriffsszenarien zu entwickeln und „durchzuspielen“, um Sicherheitsmaßnahmen abzuleiten. Hierbei ist besonders zu berücksichtigen, dass die klassischen Instrumente des Krisenmanagements aufgrund der Kurzfristigkeit der Ereignisse allenfalls im Nachgang zu einem bewaffneten Angriff wirksam werden. Ein gut ausgebildeter Krisenstab auf Leitungsebene ist für den Umgang mit dem Ereignis wichtig, er wird aber erst bei der Aufarbeitung des Angriffs wirksam – in der tatsächlichen Situation müssen die Mitarbeiter vor Ort wissen, wie sie handeln sollen. 

Top-Jobs des Tages

Jetzt die besten Jobs finden und
per E-Mail benachrichtigt werden.

Standort erkennen

    Forum IT-Sicherheit

    2. Anpassung von Einlass- und Zutrittskontrollen

    In vielen Unternehmen existiert ein mehr oder weniger ausgeprägter Perimeterschutz, bei dem das Betreten und Verlassen der Standorte durch den Sicherheitsbereich geregelt und überwacht wird. Hierzu gehört sowohl die Bewachung durch eigenes oder durch Dienstleister gestelltes Personal als auch die Zugangskontrolle mit technischen Mitteln wie etwa Schleusen, Ausweislesegeräten etc. Bei erhöhter Risikosituation kann man je nach der Gestaltung des Standortes die Zahl der Zutrittspunkte reduzieren und so die Kontrolldichte erhöhen (beispielsweise durch flächendeckende Taschenkontrollen). Das wird zwar einen Anschlag nicht verhindern, kann aber zu einer Entdeckung der Täter schon im Zugangsbereich führen, wo die Auswirkungen geringer sind.

    Sofern es die baulichen Gegebenheiten zulassen, besteht die Möglichkeit, als Teil einer erhöhten Sicherheitsstufe eine interne Segmentierung vorzunehmen und den Zugang zu Teilen des Standortes durch technische Maßnahmen zu beschränken. Dies verlangsamt das Vordringen der Täter innerhalb des Standortes und kann dazu beitragen, die Zahl der Opfer zu reduzieren.

    3. Alarmauslösung

    Die kurzfristige Alarmierung des betroffenen Standortes ist von entscheidender Bedeutung – vielfach sind aber Empfangsbereiche oder Zufahrtskontrollpunkte lediglich mit normalen internen und externen Telefonsystemen ausgestattet. Speziallösungen (beispielsweise Alarmknöpfe zur Auslösung von Sirenen oder vorbereiteten Durchsagen über Lautsprechersysteme) verkürzen die Reaktionszeit, insbesondere, wenn die Möglichkeit besteht, zeitgleich die zuständigen Polizeidienststellen zu alarmieren. Hier ist allerdings zu beachten, dass diese Lösungen für die Mitarbeiter schnell erreichbar sein müssen, und dass ihre Benutzung im Rahmen von Einweisungen und Schulungen vermittelt werden muss. Gerade an Standorten, an denen das Pforten- und Empfangspersonal häufig wechselt, oder durch externe Dienstleister gestellt wird, ist es häufig eine Herausforderung, einen einheitlichen Standard zu gewährleisten, weil viele Mitarbeiter nur kurzfristig eingesetzt werden. 

    Wer beim Datenschutz gute Noten bekommt
    Ist Datenschutz schon in Deutschland eine heikle Sache, sieht es in den USA noch viel kritischer aus: Die dortigen Ermittlungsbehörden wie die NSA haben durch den Patriot Act, der nach den Anschlägen des 11. September 2001 erlassen und kürzlich leicht abgemildert wurde, viel umfassendere Rechte und Befugnisse zur Abfrage von Daten von Privatpersonen. Und diese nutzen sie auch, während die Gesetze und Regulierungen im Bereich Datenmanagement und Datenschutz mit den technologischen Entwicklungen nicht mithalten können. Die Nichtregierungsorganisation Electronic Frontier Foundation (EFF) will mit ihrem regelmäßigen Datenschutz-Report „Who has your back“ auf dieses Problem aufmerksam machen. EFF untersucht 24 große IT- und Telekomunternehmen daraufhin, wie sie mit dem Thema Datenschutz umgehen. Quelle: dpa
    Der Report bewertet einerseits, ob sich Firmen gegen teils willkürliche staatliche Überwachung wehren. Zudem wird die Transparenz bewertet, die Firmen darüber herstellen, ob und wie staatlichen Ermittlungsbehörden bei ihnen Zugriff auf Nutzerdaten fordern. Die EFF hat über vier Jahre die Praktiken großer Internet- und IT-Konzerne beobachtet und analysiert, ob die Firmen ihren Fokus eher auf den Schutz der Nutzerdaten oder eher auf die Kooperation mit staatlichen Ermittlern legen. Dabei konnten sie in den vergangenen vier Jahren eine Entwicklung feststellen. Quelle: AP
    Während das Thema Datenschutz vor vier Jahren bei kaum einem Unternehmen auf der Agenda stand, hat nun – einige Snowden-, Wikileaks-Enthüllungen und Spähaffären später – laut EFF ein Umdenken eingesetzt: Viele Firmen veröffentlichen Reports über ihren Umgang mit Nutzerdaten und über Regierungsanfragen nach Nutzerdaten. Quelle: dpa
    Die EFF hat die Entwicklungen damit aufgefangen, dass sie die Firmen nun unter anderem in der Kategorie des industrieweiten Standards vorbildlicher Praktiken bewerten. Ihre Kriterien im Überblick: 1. Unter dem erwähnten industrieweiten Standard verstehen die Aktivisten etwa, dass die Firma den Staat bei einer Datenanfrage nach einer offiziellen Vollmacht für den spezifischen Fall fragt. Außerdem wird erwartet, dass das Unternehmen einen Transparenzreport über staatliche Anfragen veröffentlicht und dass die Firma deutlich macht, wie sie mit den Regierungsanfragen formell verfährt. 2. In einer weiteren Kategorie wird geprüft, ob Internetfirmen die jeweiligen Nutzer einzeln informieren, wenn sie beziehungsweise ihre Daten von Regierungsanfragen betroffen waren. Als Best Practice Beispiel gelten die Firmen, die ihre Nutzer schon vor der Weitergabe über solche staatlichen Anfragen informieren, sodass diese sich juristisch zur Wehr setzen können. Quelle: dpa
    3. Die Aktivisten checkten auch, ob Firmen bekannt machen, wie lange sie Nutzerdaten speichern. Es wurde dabei nicht bewertet, wie lange die Unternehmen IP-Logins, Übersichten über individuellen Datentransfer und auch eigentlich bereits gelöschte Daten speichern und für Ermittlungen verfügbar halten – es geht nur um die Transparenz. 4. Regierungen und staatliche Ermittlungsstellen fragen nicht nur Nutzerdaten an, teils verlangen sie von Internet- und Telekomkonzernen auch, unliebsame Nutzer zu blockieren oder Nutzeraccounts zu schließen. Für diese Praxis war zuletzt insbesondere Facebook kritisiert worden, das einige Insassen von Gefängnissen an der Eröffnung eines Accounts hinderte. Auch Informationen darüber honorierten die Aktivisten mit einer positiven Bewertung, wobei ihnen besonders Twitter in dieser Kategorie mit einem umfangreichen Report über Lösch-Gesuche positiv auffiel. 5. Unternehmen bekamen auch eine positive Bewertung, wenn sie sich im öffentlichen Diskurs gegen staatlich geduldete oder gar intendierte Hintertüren in Software und Netzwerken stellen. 21 von 24 untersuchten Firmen nehmen mittlerweile eine solche kritische Position gegenüber dem Überwachungsstaat ein. Quelle: dpa
    Adobe hat laut den Aktivisten in den vergangenen Jahren alle Best Practice Standards übernommen, die in der Branche etabliert sind. Adobe verlangt von Ermittlungsbehörden eine explizite Erlaubnis, Daten von Nutzern anzufordern und bekennt sich zudem öffentlich dazu, keine Hintertüren in die eigene Software einzubauen. „Alle Regierungsanfragen für Nutzerdaten müssen bei uns durch den Vordereingang kommen“, schreibt Adobe in seinem Transparenzreport. Die EFF wertet eine solche starke Position gegen die früher gängige Praxis als bemerkenswert – unabhängig von der Wahrhaftigkeit. Quelle: AP
    Triumph für Tim Cook. Apple erfüllt alle Kriterien der Aktivisten für möglichst große Transparenz im Bereich Datensicherheit. Der IT-Konzern lässt allerdings einige Hintertürchen offen, neben den Verpflichtungen zur Verschwiegenheit, die ihm etwa durch Gerichte in Einzelfällen auferlegt werden können. Apple behält sich vor, Nutzer nicht über eine Datenabfrage zu informieren, wenn dies nach Einschätzung des Unternehmens gefährlich für das Leben oder die Unversehrtheit von Personen werden könnte. Dies lässt Raum zur Deutung. Quelle: REUTERS

    4. Abwägen von Evakuierung gegen Verbleib vor Ort

    Erfahrungen aus den USA zeigen, dass es in bestimmten Fällen sinnvoller sein kann, wenn die Mitarbeiter in Amoksituationen an Ort und Stelle bleiben bzw. sich in möglichst geschützte Gebäudeteile zurückziehen. Die Vorbereitung von speziellen Schutzräumen, wie sie Privatpersonen bei erhöhter Gefährdung empfohlen wird, ist in der Mehrzahl der Fälle nur bedingt praktikabel, es ist aber möglich, geeignete Rückzugsräume zu bestimmen und die Mitarbeiter entsprechend zu instruieren.

    Ergibt aber die Risikoanalyse, dass eine Evakuierung der bessere Ansatz wäre, sollten grundsätzlich zwei alternative Evakuierungsrouten geplant und entsprechend gekennzeichnet sein, um flexibel reagieren zu können. Auch diese Routen müssen den Mitarbeitern gegenüber kommuniziert werden und in die Krisenplanung des Unternehmens integriert sein. 

    5. Vorbereitende Abstimmung mit Polizeibehörden

    Gerade bei großen und baulich komplexen Standorten kann eine Abstimmung im Vorfeld den Einsatzkräften die Arbeit erleichtern. Eine klare Zuweisung von Verantwortlichkeiten für die Kommunikation mit Polizeibehörden im Unternehmen ist ratsam, ebenso wie die Vorbereitung von Informationen, welche für Polizei und Rettungskräfte im Krisenfall kurzfristig verfügbar sein müssen. Falls das Unternehmen beispielsweise bei der Lagevorbereitung Rückzugsräume für Mitarbeiter definiert hat, sollten diese den Einsatzkräften bereits im Vorfeld bekannt sein, damit diese Bereiche im Ereignisfall mit Priorität gesichert werden können. Auch Informationen über festgelegte Evakuierungsrouten sind für die Einsatzkräfte bei großen Standorten wertvoll.

    Risikoeinschätzung und Betroffenheit von Wirtschaftskriminalität

     6. Schulung von Mitarbeitern

    Insbesondere bei Unternehmen mit erhöhtem Risikoprofil – sei es aufgrund der Standorte oder politischer und anderer Faktoren – sollte die Krisen- und Notfallplanung auch im Rahmen der Mitarbeiterschulung berücksichtigt werden. Öffentliche Stellen können hier beraten und unterstützen – so veröffentlichten beispielsweise die britischen Polizeibehörden im Dezember 2015 ein Video mit dem Titel „Stay Safe“ zum korrekten Verhalten in Situationen mit Schusswaffengebrauch, in dem unter anderem auch Themen wie Evakuierung und Alarmauslösung behandelt werden. Wenn das Unternehmen den Mitarbeitern (beispielsweise über das Intranet) aktuelle Hinweise zur Sicherheitslage zur Verfügung stellt, muss gewährleistet sein, dass diese zeitnah aktualisiert und mit öffentlich verfügbaren Informationen abgeglichen werden.

    Neben der Schulung des Personals am Standort sollten Unternehmen auch überprüfen, inwieweit die vor Ort für die Sicherheit verantwortlichen Mitarbeiter ausreichend qualifiziert sind. Der Umgang mit Hochrisikoszenarien gehört in den meisten Fällen nicht zu den Aufgaben lokaler Standortmanager, insbesondere, wenn deren Haupttätigkeit – wie leider noch häufig zu beobachten ist –in anderen Bereichen liegt und Unternehmenssicherheit allenfalls als zusätzliche Aufgabe wahrnehmen. Hier ist qualifizierte Hilfestellung bei der Planung und Umsetzung von geeigneten Sicherungsmaßnahmen zwingend erforderlich.

     7. Lagebeobachtung

    Mehr denn je müssen Unternehmen Risiken im Vorfeld erkennen: Eine kontinuierliche Beobachtung der Sicherheitslage einschließlich Meldungen in Social Media-Kanälen und der Austausch mit anderen Unternehmen und Sicherheitsbehörden ermöglicht die Erstellung eines aktuellen und risikoorientierten Lagebildes, um Sicherungsmaßnahmen flexibel an die Gefährdungslage anzupassen. Gerade angesichts globalisierter Tätergruppen aus dem Bereich des islamistischen Terrorismus sollte diese Risikobeobachtung neben den Standorten in Westeuropa auch diejenigen Märkte berücksichtigen, in denen das Unternehmen tätig ist.

    Ein besonders problematischer Aspekt der Lagebeobachtung ist die Frage, inwieweit Firmen versuchen sollen, Radikalisierungstendenzen bei ihren eigenen Mitarbeitern zu identifizieren. Neben datenschutzrechtlichen Fragen besteht ein erhebliches Risiko, dass bereits der Versuch negative Konsequenzen für die Unternehmenskultur und die Außenwahrnehmung des Unternehmens hat. Bei günstigen Rahmenbedingungen können zwar bestehende Compliance-Strukturen wie etwa Hotlines und Awareness-Kampagnen genutzt werden, aber hier empfiehlt sich eine sorgfältige Bewertung aller Faktoren im Vorfeld.

    Digitale Welt



    Europäische Unternehmen können sich bei der Umsetzung geeigneter Maßnahmen teilweise an den Erfahrungen insbesondere amerikanischer Firmen mit Amokläufern orientieren. Vor dem Hintergrund der Vielzahl von Vorfällen mit Schusswaffengebrauch in den USA haben sich sowohl zahlreiche Firmen als auch viele Behörden mit der Frage auseinandergesetzt, wie sie mit Situationen umgehen sollen, in denen ein bewaffneter Täter darauf abzielt, möglichst viele Personen zu töten. Auch bei diesen Ereignissen lässt sich ein Angriff weder präzise vorhersagen noch vollständig verhindern. Es geht vielmehr darum, die Möglichkeiten des Täters so schnell wie möglich einzuschränken, um die Zahl der potentiellen Opfer bis zum Eintreffen der Sicherheitskräfte zu minimieren. Die Kombination aus Risikoanalyse, Schulung und Planung kann hier im wortwörtlichen Sinne überlebenswichtig werden.

    Inhalt
    Artikel auf einer Seite lesen
    Zur Startseite
    © Handelsblatt GmbH – Alle Rechte vorbehalten. Nutzungsrechte erwerben?
    Zur Startseite
    -0%1%2%3%4%5%6%7%8%9%10%11%12%13%14%15%16%17%18%19%20%21%22%23%24%25%26%27%28%29%30%31%32%33%34%35%36%37%38%39%40%41%42%43%44%45%46%47%48%49%50%51%52%53%54%55%56%57%58%59%60%61%62%63%64%65%66%67%68%69%70%71%72%73%74%75%76%77%78%79%80%81%82%83%84%85%86%87%88%89%90%91%92%93%94%95%96%97%98%99%100%