Führungskräftesicherheit im All-Gefahren-Ansatz.
Mit dem KRITIS-Dachgesetz verankert der Gesetzgeber erstmals einen All-Gefahren-Ansatz für kritische Infrastrukturen. Doch eine zentrale Dimension unternehmerischer Resilienz bleibt bislang weitgehend unbeachtet: die Führungskräftesicherheit, Geschäftsführern und Schlüsselpersonen und damit der Schutz der Handlungsfähigkeit eines Unternehmens.
Zusammenfassung (TL; DR):
- Führungskräfte gelten zunehmend als strategische Assets
- Täter nutzen die Schwachstelle Mensch, um Zugriff auf Informationen, Netzwerke oder Entscheidungsprozesse zu erlangen
Mit dem KRITIS-Dachgesetz zieht der Gesetzgeber die Zügel für Betreiber kritischer Infrastrukturen deutlich an. Der neue Rechtsrahmen setzt die EU-Richtlinie 2022/2557 zur Resilienz kritischer Einrichtungen (CER-Richtlinie) in deutsches Recht um und etabliert erstmals bundesweit einheitliche Mindeststandards für physische, digitale und organisatorische Sicherheit. Kern des Gesetzes ist der sogenannte All-Gefahren-Ansatz. Er verpflichtet Unternehmen, nicht nur IT-Sicherheit oder baulichen Schutz zu gewährleisten, sondern sich auf sämtliche Bedrohungen vorzubereiten. Dazu zählen Naturkatastrophen und technische Störungen genauso wie Sabotage, Terror und gezielte Angriffe auf Personen. Damit wird Sicherheit neu gedacht: als integrales System, das physische, digitale und personelle Faktoren miteinander verknüpft. Während der Fokus bisher auf Netzwerken, Anlagen und Daten lag, rückt nun auch eine bislang vernachlässigte Ebene in den Vordergrund: Menschen in Schlüsselposition.
Führungskräftesicherheit als Teil des KRITIS-Schutzgutes
Führungskräfte gelten zunehmend als strategische Assets. Sie verfügen über sicherheitsrelevantes Wissen, Steuerungsbefugnisse und Zugänge, die für den Betrieb kritischer Systeme entscheidend sind. Ein Angriff auf eine Führungskraft bedeutet daher immer auch einen Angriff auf das Unternehmen selbst und hat potenziell gravierende wirtschaftliche und rufschädigende Folgen.
Das KRITIS-Dachgesetz verpflichtet Unternehmen, Sicherheitsmanagementsysteme zu etablieren, die auch personelle Risiken erfassen. Zwar wird der Begriff „Führungskräftesicherheit“ im Gesetz nicht explizit genannt, er lässt sich jedoch in die Anforderungen an organisatorische und personelle Schutzmaßnahmen einordnen. Daher ist es entscheidend, dass Gefährdungen von besonders exponierten Personen systematisch identifiziert, bewertet und in die Resilienzplanung integriert werden.
Hybride Bedrohungen im Zeitalter der Vernetzung
Angriffe auf Unternehmensspitzen erfolgen längst nicht mehr ausschließlich digital oder physisch, zunehmend sind sie auch hybrid. Täter nutzen die Schwachstelle Mensch, um Zugriff auf Informationen, Netzwerke oder Entscheidungsprozesse zu erlangen. Daher sind Social Engineering, gezielte Erpressung oder Überwachung im privaten Umfeld längst Teil moderner Angriffsszenarien. Ein kompromittiertes privates Endgerät, eine manipulierte Nachricht in sozialen Medien oder ein Foto von Familienmitgliedern kann ausreichen, um massiven Druck aufzubauen. Der Übergang zwischen Cyberangriff und physischer Bedrohung ist daher mittlerweile fließend. Zudem steigt die öffentliche Sichtbarkeit von Führungskräften in kritischen Branchen, insbesondere in Energie, IT, Logistik und Verteidigung. Mit ihr wächst die Wahrscheinlichkeit, ins Visier politisch oder ideologisch motivierter Akteure zu geraten. Führungskräftesicherheit wird damit zum notwendigen Bestandteil eines umfassenden Sicherheitsverständnisses.
Strategische Schutzkonzepte statt punktueller Maßnahmen
Moderne Führungskräftesicherheit ist entgegen der allgemeinen Vorstellung kein reines Bodyguard-Thema, sondern Bestandteil eines integrierten Sicherheitsmanagements. Sie verbindet technische, organisatorische und psychologische Komponenten, um Entscheidungsfähigkeit und Handlungsfreiheit dauerhaft zu sichern.
Zu den Kernbereichen zählen exemplarisch:
- Risikoprofiling und Prävention: Identifikation exponierter Personen, Analyse möglicher Angriffsvektoren, Entwicklung individueller Schutzkonzepte.
- Technische und organisatorische Absicherung: sichere Heim-IT, verschlüsselte Kommunikation, klare Zugriffsrechte, Notfall- und Krisenprotokolle.
- Krisenkommunikation und Reaktionsfähigkeit: definierte Meldewege, geübte Abläufe, enge Abstimmung mit Behörden und internen Krisenteams.
- Sensibilisierung und Schulung: Trainings zu Social Engineering, digitaler Hygiene und Verhalten in Bedrohungssituationen, für die Führungsperson und Familienangehörige.
Die größte Herausforderung liegt darin, diese Maßnahmen in bestehende Governance-Strukturen zu integrieren. Führungskräftesicherheit muss Teil von Compliance, Risikomanagement und Business Continuity werden. Nur dann kann sie den Anforderungen des KRITIS-Dachgesetzes gerecht werden.
Rechtliche und organisatorische Verantwortung
Das KRITIS-Dachgesetz stärkt die persönliche Verantwortung der Unternehmensleitung. Geschäftsführende und Vorstände haften künftig für die Einhaltung der Sicherheitsvorgaben. Die Implementierung einer wirksamen Führungskräftesicherheit ist damit nicht nur eine Frage der Fürsorgepflicht (§ 618 BGB, ArbSchG), sondern auch der rechtlichen Absicherung und Nachweisführung gegenüber Aufsichtsbehörden.
Unternehmen, die keine geeigneten Schutzkonzepte vorweisen können, riskieren nicht nur Sanktionen, sondern im Ernstfall auch operative Ausfälle, Wissensabfluss oder massiven Reputationsschaden. Führungskräftesicherheit wird damit zur Voraussetzung für KRITIS-Konformität.
Führungskräftesicherheit als Resilienzfaktor
Im Zentrum der Unternehmensresilienz steht die Fähigkeit, in Krisensituationen handlungsfähig zu bleiben. Genau hier setzt Führungskräftesicherheit an. Sie schützt nicht die Person, sondern die Funktion, sprich die Steuerungs- und Entscheidungsfähigkeit, die ein Unternehmen in kritischen Lagen benötigt. Ein integratives Sicherheitsmanagement, das physische, digitale und personelle Risiken gleichermaßen adressiert, bildet die Grundlage dafür, dass Organisationen in einer zunehmend komplexen Bedrohungslage bestehen können.
Der All-Gefahren-Ansatz des KRITIS-Dachgesetzes verdeutlicht: Nur wer Menschen, Prozesse und Systeme gemeinsam denkt, kann Resilienz nachhaltig sicherstellen. Führungskräftesicherheit ist also keine persönliche Maßnahme, sondern strategischer Unternehmensschutz auf höchster Ebene. Sie schließt die Lücke zwischen Compliance, Krisenmanagement und operativer Steuerung und wird im Rahmen des KRITIS-Dachgesetzes zu einem zentralen Bestandteil gelebter Resilienz. Der Schutz von Wissen, Entscheidungsfähigkeit und Integrität von Führungskräften entscheidet künftig mit darüber, ob Unternehmen in einer hybriden Bedrohungswelt handlungsfähig bleiben oder selbst zum Ziel werden.
