Wenn das Sicherheitsunternehmen selbst angegriffen wird

Ein Sicherheitsunternehmen weiss, wo an welchem Einsatzobjekt wann wie viele Wachkräfte stehen, welche Tore wann geschlossen werden, wo die Schlüssel liegen und wo eine Schwachstelle im Zaun ist. Genau diese Sammlung macht die Verwaltung zu einem lohnenden Ziel. IT-Sicherheit im Sicherheitsunternehmen ist deshalb kein Thema für die Technikabteilung, sondern Teil des Kerngeschäfts: Wer fremdes Eigentum bewacht, muss zuerst das Wissen über dieses Eigentum bewachen.

Dieser Beitrag beschreibt, welche Daten im Bewachungsbetrieb wirklich schützenswert sind, wo die Angriffe im Alltag ansetzen – meist nicht an einer raffinierten Lücke, sondern an einem Passwort, einem verlorenen Diensthandy oder einer gut gemachten E-Mail – und was zu tun ist, wenn die Systeme stillstehen und trotzdem in einer Stunde die Schicht wechselt.

Was im Bewachungsbetrieb wirklich wertvoll ist

Nicht alle Daten sind gleich empfindlich. Vier Bestände stechen heraus.

Der Dienstplan. Er sagt, wer wann wo allein ist. Für jemanden, der ein Objekt auskundschaftet, ist das die nützlichste Information überhaupt – wertvoller als jeder Lageplan. Auch die Vertretungsregelung gehört dazu: Wer weiss, dass eine Position nachts von einer ortsfremden Vertretung besetzt wird, weiss, wann die Ortskenntnis am geringsten ist.

Die Objektliste. Sie verrät, welche Auftraggeber betreut werden, mit welchen Besonderheiten. Sie ist zugleich eine Kundenliste – und damit interessant für Wettbewerber und für jeden, der gezielt Druck aufbauen will.

Das Schlüsselverzeichnis. Welche Schlüssel und Codes im Haus liegen, wer sie ausgibt, wo der Schlüsseltresor steht. Ein Verzeichnis, das offen in einer Tabelle im gemeinsamen Ordner liegt, ist ein Generalschlüssel in Textform.

Personaldaten. Namen, Anschriften, Qualifikationen, Bankverbindungen, Ausweisdaten. Hier geht es nicht nur um den Betrieb, sondern um Menschen, die persönlich betroffen sind, wenn etwas abfliesst.

Wer diese vier Bestände benennt, hat schon die halbe Arbeit erledigt: Schutz muss sich nicht gleichmässig über alles legen, sondern konzentriert auf das, was Schaden anrichtet.

IT-Sicherheit im Sicherheitsunternehmen beginnt bei Zugängen und Rollen

Die meisten Vorfälle in kleinen und mittleren Betrieben brauchen keine ausgefeilte Technik. Sie brauchen ein gültiges Passwort. Und das liegt oft überraschend offen herum: ein gemeinsames Konto für die Disposition, dessen Kennwort seit Jahren gleich ist und das jede ausgeschiedene Kraft noch kennt; ein Zugang zur Zeiterfassung, der beim Ausscheiden nie gesperrt wurde; ein Zugang zum Videosystem eines Auftraggebers, den «alle in der Zentrale» benutzen.

Drei Regeln bringen hier den grössten Sprung, und keine davon kostet Geld.

1. Ein Konto pro Person, niemals Sammelkonten. Nur so lässt sich später überhaupt feststellen, wer etwas geändert oder angesehen hat. Sammelkonten machen jede Nachforschung unmöglich.
2. Rechte nach Aufgabe, nicht nach Bequemlichkeit. Der Einsatzleiter braucht den Dienstplan aller Objekte, die Wachkraft braucht ihre eigene Schicht und ihre Anweisung. Der Auftraggeber braucht seine Meldungen und nicht die Personalakte seiner Wachkraft. Genau dafür gibt es abgestufte Rollen – im Dienstplan ebenso wie in der Zeiterfassung.
3. Ein zweiter Faktor für alles, was von aussen erreichbar ist. Verwaltungspostfach, Lohnbuchhaltung, jeder Zugang zu Systemen des Auftraggebers. Ein gestohlenes Passwort allein reicht dann nicht mehr aus.

Dazu kommt der Austrittsprozess. Wenn jemand das Unternehmen verlässt, gehört das Sperren aller Zugänge auf dieselbe Liste wie die Rückgabe von Dienstausweis und Schlüsseln – am selben Tag, nicht am Monatsende.

Diensthandys: das Objekt in der Jackentasche

Auf dem Diensthandy liegen Anweisungen, Objektfotos, Meldungen, Kontakte und der Zugang zur App. Es fährt in der Bahn mit, es liegt am Empfangstresen, es geht verloren. Deshalb gehören ein paar Punkte zum Standard und nicht zur Kür.

Bildschirmsperre mit Code oder Fingerabdruck – nicht als Empfehlung, sondern als verbindliche Anweisung. Die Möglichkeit, ein verlorenes Gerät aus der Ferne abzumelden, sodass es keinen Zugriff mehr hat, auch wenn die App noch installiert ist. Keine dienstlichen Fotos in privaten Bildergalerien oder Chatgruppen: Objektaufnahmen gehören in die Meldung, nicht in eine Nachrichten-App, in der sie auf Dauer liegen bleiben. Und eine klare Regel, wie ein Verlust gemeldet wird – sofort an den Einsatzleiter, nicht erst zum Schichtende, damit der Zugang zeitnah gesperrt werden kann.

Wenn private Geräte genutzt werden, verschiebt sich die Lage zusätzlich. Dann sollte klar geregelt sein, was auf dem Gerät liegen darf, was beim Ausscheiden entfernt wird und wie das nachgehalten wird. Der Punkt ist nicht Misstrauen gegenüber der Wachkraft, sondern die schlichte Tatsache, dass ein Gerät, das man nicht verwaltet, sich im Ernstfall auch nicht abschalten lässt.

Phishing gegen die Verwaltung

Die gefährlichsten Nachrichten sehen langweilig aus. Eine angebliche Rechnung eines bekannten Lieferanten. Eine Bitte der Geschäftsführung, kurzfristig eine Zahlung freizugeben, natürlich dringend und vertraulich. Ein Auftraggeber, der «neue Bankdaten» mitteilt. Ein Anruf beim Empfang, jemand sei neu bei der Hausverwaltung und brauche schnell die Kontaktdaten der Nachtschicht.

Technik hilft hier nur begrenzt; Verfahren helfen mehr. Zahlungsänderungen werden grundsätzlich über einen zweiten, bereits bekannten Weg bestätigt – ein Rückruf an die Nummer aus dem Vertrag, nicht an die Nummer aus der E-Mail. Auskünfte über Dienstpläne, Besetzung und Schlüssel werden am Telefon niemals erteilt, egal wie plausibel die Geschichte klingt; sie gehen über den festgelegten Ansprechpartner beim Auftraggeber. Und niemand im Betrieb darf Nachteile fürchten, wenn er eine verdächtige Nachricht meldet oder auf eine hereingefallen ist. Ein Vorfall, den man um zehn Uhr abends erfährt, ist beherrschbar; einer, den man erst nach zwei Wochen erfährt, oft nicht.

Der Notfallplan: die Schicht läuft trotzdem

Der Kern der IT-Sicherheit im Sicherheitsunternehmen ist die Frage: Was tun wir, wenn morgen früh nichts mehr geht? Die Bewachung darf nicht ausfallen, nur weil ein System ausfällt.

Dafür braucht es eine Handvoll vorbereiteter Dinge. Einen ausgedruckten oder offline verfügbaren Dienstplan für die kommenden Tage, an einem Ort, den der Einsatzleiter auch ohne Anmeldung erreicht. Eine Erreichbarkeitsliste mit Telefonnummern der Wachkräfte und der Ansprechpartner beim Auftraggeber. Eine Rückfallebene für die Dokumentation: Wenn das Wachbuch nicht erreichbar ist, wird handschriftlich geführt und später nachgetragen – festgelegt, wer nachträgt und mit welcher Kennzeichnung. Und eine Regel, wer entscheidet, wer den Auftraggeber informiert und in welcher Reihenfolge.

Ebenso wichtig sind Sicherungskopien, die nachweislich zurückspielbar sind. Eine Sicherung, die nie getestet wurde, ist eine Vermutung. Prüfen Sie bei jedem eingesetzten System, wie oft gesichert wird, wie lange Wiederherstellung dauert und wer sie auslöst.

Häufige Fragen

Warum sollte jemand ein Sicherheitsunternehmen angreifen?

Weil dort das Wissen über viele fremde Objekte gebündelt liegt. Wer Dienstpläne, Objektlisten und Schlüsselverzeichnisse hat, spart sich das Auskundschaften. Hinzu kommen die üblichen wirtschaftlichen Motive: Zahlungsbetrug gegenüber der Verwaltung und Erpressung nach einer Verschlüsselung der Systeme.

Was ist die wirksamste Einzelmassnahme?

Persönliche Konten mit zweitem Faktor für alles, was von aussen erreichbar ist, plus ein konsequenter Sperrprozess beim Ausscheiden. Damit verlieren gestohlene und weitergegebene Passwörter den grössten Teil ihres Werts.

Dürfen Wachkräfte Objektfotos über eine private Chat-App schicken?

Das sollte ausgeschlossen sein. Aufnahmen aus dem Einsatzobjekt gehören in die Vorfallmeldung, wo sie zugeordnet, mit Rechten versehen und nach Ablauf der Aufbewahrung entfernt werden können. In privaten Chatverläufen bleiben sie unkontrolliert liegen.

Wie oft sollte der Notfallplan geübt werden?

Mindestens einmal im Jahr, und zwar praktisch: Kann der Einsatzleiter den Dienstplan der nächsten drei Tage ohne Anmeldung beschaffen? Findet die Nachtschicht die Erreichbarkeitsliste? Wer das erst im Ernstfall herausfindet, verliert genau dann Zeit, wenn keine da ist.

Fazit

Der Schutz der eigenen Daten ist im Bewachungsgewerbe eine Frage der Glaubwürdigkeit. Wer Auftraggebern Sicherheit verkauft, muss zeigen können, dass Dienstpläne, Objektlisten und Schlüsselverzeichnisse geordnet, rollenbasiert und nachvollziehbar geführt werden – und dass der Betrieb auch dann weiterläuft, wenn ein System ausfällt.

Wenn Sie diese Bestände aus verstreuten Tabellen in eine gemeinsame, rollenbasierte Ordnung bringen wollen, sehen Sie sich in Ruhe an, wie die App für Sicherheitskräfte und die Verwaltung dahinter zusammenspielen.