Teil 3: Risiken aus der Praxis und wie man sich interdisziplinär schützen kann

So robust ein Sicherheitskonzept auf dem Papier auch wirken mag – die Realität zeigt, dass Schwachstellen oft dort entstehen, wo unterschiedliche Disziplinen nicht nahtlos zusammenarbeiten. Gerade an der Schnittstelle zwischen physischer Gebäudetechnik und IT-Schutz entstehen neue Angriffsflächen, die im klassischen Sicherheitsdenken häufig übersehen werden.

Der gestohlene Mitarbeiterausweis – ein unterschätztes Einfallstor
Ein verlorener oder gestohlener Mitarbeiterausweis scheint auf den ersten Blick ein Sicherheitsvorfall zu sein, der nicht höchste Priorität genießen muss. In der Praxis kann er jedoch ein direkter Schlüssel zum Unternehmen werden. Gelingt es Angreifern, sich mit einem gültigen Ausweis Zugang zu den Büroräumen zu verschaffen – etwa durch das Umgehen der Schranke oder das Öffnen sicherheitsrelevanter Türen – können sie sich unbemerkt im Gebäude bewegen. Ohne eine zusätzliche Zwei-Faktor-Authentifizierung (z. B. biometrische Prüfung, PIN oder Systemzugangskontrolle über NAC, vgl. Teil 2 dieser Serie) haben Kriminelle so nicht nur physischen Zugriff auf IT-Systeme, sondern können sich mit einem ungesicherten Gerät ins Netzwerk einklinken – und alle vorgelagerten digitalen Schutzsysteme elegant umgehen. Ein bekanntes Beispiel liefert der Film „James Bond – Casino Royale“: In einer Szene stiehlt ein Attentäter einem Mitarbeitenden eines Sicherheitsunternehmens dessen Zugangskarte und erlangt damit Zutritt zu einem gesperrten Bereich in einem Museum. Auch wenn es sich hier um ein fiktives Beispiel handelt, ist die Gefahr real, wenn verlorene oder entwendete Zugangsausweise nicht sofort gesperrt werden.

Smarte Gebäudetechnik als trojanisches Pferd
Mit der zunehmenden Vernetzung von Gebäuden – etwa durch IoT-Sensoren (Internet of Things), vernetzte Heizungs-, Licht- oder Zugangssysteme – steigt auch die Gefahr, dass diese Komponenten als Einfallstor missbraucht werden. Solche Systeme sind häufig nur unzureichend gegen Cyberangriffe abgesichert, da sie ursprünglich für Komfort und Effizienz entwickelt wurden, nicht für Sicherheitszwecke. Ein typisches Beispiel: Ein vernetzter Türöffner mit veralteter Firmware kann von außen manipuliert werden und Angreifern nicht nur den Zutritt ermöglichen, sondern auch als Brücke ins interne Netzwerk dienen.

Alarmanlage vs. IT-Sicherheitsarchitektur – das Problem der fehlenden Synchronisation
Ein weiteres Risiko entsteht, wenn physische Alarmsysteme (z. B. Einbruchmeldeanlage, Türkontakte, Brandmelder) nicht mit der IT-Sicherheitsinfrastruktur gekoppelt sind. Wenn ein Eindringling nachts eine Tür aufbricht und die Alarmanlage zwar anschlägt, aber keine Benachrichtigung an die IT-Abteilung oder das Security Operation Center (SOC) erfolgt, bleibt der mögliche Zugriff auf sensible Systeme unbemerkt. Umgekehrt könnte ein IT-Sicherheitsvorfall – wie ein unberechtigter Zugriff auf einen Server – nicht dazu führen, dass physische Gegenmaßnahmen ausgelöst werden (z. B. automatische Raumverriegelung, Videoüberwachung, Täteransprache). Diese fehlende Inter-operabilität verhindert eine ganzheitliche Abwehrreaktion.

Um Sicherheitslücken zu schließen, müssen physische und digitale Schutzsysteme nicht nur nebeneinander existieren, sondern ineinandergreifen. Interdisziplinäre Teams aus IT, Gebäudemanagement und Sicherheitsdiensten müssen gemeinsam Sicherheitsstrategien entwickeln, Bedrohungsszenarien simulieren und klare Eskalationsprozesse definieren.

Sicherheit ist Teamsport
Ob Firewall, Pförtner, Logfile oder Überwachungskamera – wahre Sicherheit entsteht nicht durch Einzelmaßnahmen, sondern durch das nahtlose Zusammenspiel aller Systeme und Beteiligten. Nur wer physische und digitale Schutzkonzepte gemeinsam denkt, Prozesse abgleicht und interdisziplinär zusammenarbeitet, schafft eine widerstandsfähige Verteidigungslinie, die Bedrohungen nicht nur erkennt, sondern ihnen auch standhält.