05/2026 – Fachartikel Swiss Infosec AG

Physische Sicherheit ist in den meisten Organisationen nicht vergessen – aber oft wird nicht so genau hingeschaut.

Es gibt eine Kategorie von Sicherheitsrisiken, die in keinem Dashboard erscheint und die auch kein Penetrationstest aufdeckt, weil sie sich nicht im Netzwerk befindet. Sie sitzt gewissermassen im Kopf von Peter – dem Leiter Facility, der seit zwölf Jahren weiss, dass die Badge-Berechtigungen der externen Reinigungsfirma seit dem letzten Vertragswechsel nicht sauber nachgeführt wurden, der zweimal intern nachgehakt hat, und der das alles nie dokumentiert hat, weil das bisher auch nie jemand gefordert hat.

Es bleibt ein Zutrittssystem, das formal korrekt aussieht und im Betrieb eine Lücke hat, von der niemand mehr weiss – weil Peter seit anderthalb Jahren nicht mehr in dieser Funktion ist und weil es in dieser Organisation nie einen Grund gab, sein Wissen irgendwo festzuhalten, solange Peter da war.

Das begegnet uns regelmässig, und meistens sieht es von aussen nicht beunruhigend aus, weil die Strukturen ja funktionieren.

Gewachsen, bewährt – und dabei kaum verstanden

Wer in Unternehmen und Institutionen schaut, wie physische Sicherheit tatsächlich funktioniert, begegnet erstaunlich oft dem gleichen Bild: Systeme, die sich über Umzüge, Umstrukturierungen, Übernahmen und Generationenwechsel hindurchgehangelt haben und dabei immer irgendwie funktioniert haben – und zwar deshalb, weil die Menschen oft die gleichen geblieben sind. Weil sich in hektischen Situationen jemand an etwas erinnert hat, das nirgends dokumentiert war. Weil ein Mensch in der Lage ist, komplexe Ausnahmesituationen pragmatisch zu lösen, und weil genau das über Jahre eine Art stiller Stabilisator war, den kein System explizit vorgesehen hatte.

Zutrittskonzepte, bei denen bestimmte Schliessebenen aus einem Projekt stammen, das längst abgeschlossen ist. Schlüsselverwaltung, die auf dem Kenntnisstand einer Person basiert, die das Unternehmen vor drei Jahren verlassen hat. Externe Dienstleister, deren Zugangsberechtigungen auf Vertrauensbasis laufen, weil der entsprechende Prozess mal pragmatisch gelöst wurde und sich das einfach so gehalten hat.

Das ist – und das ist wichtig festzuhalten – nicht zwingend das Resultat von Nachlässigkeit. Es ist das Ergebnis davon, dass Sicherheitsstrukturen im Alltag funktionieren und dabei zwangsläufig Kompromisse eingegangen werden müssen. Die Frage, die sich daraus ergibt, ist nicht ob solche Strukturen entstehen, sondern wie belastbar sie sind, wenn sich die Bedingungen ändern.

Was passiert, wenn die Bedingungen sich ändern

Stellen wir uns ein Unternehmen vor, das in der Informationssicherheit gut aufgestellt ist: ein Security Operations Center, regelmässige Audits, ausgereifte Incident Response-Prozesse. Auf dieser Ebene gibt es wenig auszusetzen. Gleichzeitig existiert ein Zutrittssystem, das wie beschrieben über mehrere Jahre gewachsen ist, mit Berechtigungen, die nie vollständig bereinigt wurden, und Schutzzonen, die auf einem Konzeptstand basieren, der nicht mehr der Betriebsrealität entspricht.

An einem gewöhnlichen Dienstagnachmittag kommt ein externer Techniker ins Gebäude. Kein ausserordentlicher Vorgang, er war schon mehrfach hier, kennt die Wege. Sein letzter offizieller Auftrag wurde bereits abgeschlossen und dass seine Zugangskarte eigentlich deaktiviert sein sollte, hat niemand überprüft – es gibt keinen Prozess, der das automatisch sicherstellt, und die Person, die früher solche Dinge im Blick hatte, ist in einer anderen Funktion.

Er gelangt in einen Bereich, der für externe Personen nicht vorgesehen ist, weil die Schutzzonendefinition dort eine Grauzone aufweist, die aus einem älteren Konzept stammt. Im Raum befindet sich Netzwerkinfrastruktur, die für den Betrieb zentral ist und die – das zeigt sich erst im Nachgang – nie explizit als schützenswert ausgewiesen wurde, weil sie nie Teil einer integrierten Risikobetrachtung war. Was dann passiert, ist kein gezielter Angriff: ein falscher Handgriff, eine kurzfristige Unterbrechung, eine Komponente, die nicht so reagiert wie erwartet.

Innerhalb weniger Minuten zeigen Systeme auffälliges Verhalten. Das Monitoring reagiert, die Analyse beginnt – und beginnt dort, wo sie immer beginnt, nämlich im Netzwerk. Es dauert über eine Stunde, bis klar wird, dass die Ursache physischer Natur ist. Zu diesem Zeitpunkt laufen bereits Prozesse, die sich auf einen Cybervorfall ausgerichtet haben, der gar keiner ist, und die Wiederherstellung ist komplizierter als erwartet, weil niemand eine klare Übersicht darüber hatte, welche physische Infrastruktur welche digitalen Systeme trägt.

Die Informationssicherheit hat funktioniert – das Problem lag davor

Was dieser Vorfall zeigt, ist nicht, dass das Monitoring versagt hat oder die Incident Response-Prozesse unzureichend waren. Beides hat funktioniert, und das ist auch anzuerkennen. Er zeigt aber, dass eine ausgereifte digitale Sicherheitsarchitektur an einem Punkt verwundbar war, der ausserhalb des Wahrnehmungsbereichs lag: nämlich in der physischen Realität des Gebäudes, in den gewachsenen Zutrittsprozessen, in der fehlenden Verbindung zwischen dem, was das Konzept sagt, und dem, was im Betrieb tatsächlich passiert.

Das ist eine Schnittstelle, die in vielen Organisationen systematisch unterschätzt wird, nicht weil sie unbekannt wäre, sondern weil die Zuständigkeiten dafür getrennt organisiert sind. Physische Sicherheit ist Facility-Thema, Informationssicherheit ist IT-Thema, und dazwischen gibt es bestenfalls gelegentliche Abstimmung, aber selten ein gemeinsames Risikobild. Was dabei verloren geht, ist das Verständnis dafür, dass beide Bereiche aufeinander aufbauen und dass Lücken in einem Bereich den anderen exponieren können.

Hinzu kommt, dass viele Schutzsysteme, die wir als physisch betrachten – Zutrittskontrolle, Alarmierung, Videoüberwachung – längst selbst auch digitale Systeme sind, mit Konfigurationen, die gepflegt werden müssen, mit Schnittstellen, die absicherungsbedürftig sind, und mit Abhängigkeiten, die selten vollständig dokumentiert sind. Die saubere Trennung zwischen physischer und digitaler Sicherheit, die konzeptionell praktisch erscheint, bildet die technische Realität schon lange nicht mehr ab.

Der Mensch – und warum die einseitige Betrachtung zu kurz greift

In Diskussionen über Sicherheit erscheint der menschliche Faktor meistens als Problem. Menschen umgehen Prozesse, wenn diese im Alltag unpraktisch sind. Sie tolerieren Abweichungen, die sich eingeschliffen haben. Sie treffen unter Zeitdruck Entscheidungen, die im Nachhinein falsch waren. Das alles stimmt, und es wäre unehrlich, das kleinzureden.

Aber die gleiche Beobachtung gilt in die andere Richtung, und das wird in der Sicherheitsdiskussion auffallend selten gesagt: Es ist fast immer ein Mensch, der in einer unklaren Situation das Richtige tut. Der nachfragt, obwohl es niemand von ihm erwartet. Der eine Abweichung meldet, die er auch hätte stillschweigend übergehen können. Der erkennt, dass etwas nicht stimmt – nicht, weil ein System Alarm geschlagen hat, sondern weil er Erfahrung hat und ein Gespür dafür entwickelt hat, wie es sich anfühlt, wenn etwas aus dem Rahmen fällt.

Sicherheitskonzepte, die den Menschen primär als Risikofaktor behandeln, verpassen diese Ressource und bauen auf Systeme, die darauf ausgelegt sind, menschliches Verhalten zu kontrollieren, statt es einzubinden. Was funktioniert, sind Strukturen, in denen Menschen wissen, warum eine Massnahme sinnvoll ist, in denen Abweichungen gemeldet werden können, ohne dass es unangenehm wird, und in denen implizites Wissen – das Wissen von Personen wie Peter – einen Weg findet, irgendwo festgehalten zu werden, bevor es verloren geht.

Was das in der Praxis bedeutet

Es geht nicht darum, alles neu aufzubauen oder physische Sicherheit als neues Megaprojekt zu positionieren. Was es braucht, ist eine ehrliche Auseinandersetzung mit ein paar Fragen, die unangenehm sind, weil die Antworten selten so klar ausfallen, wie man es erwarten würde: Welche unserer physischen Sicherheitsstrukturen funktionieren, weil sie gut aufgebaut sind – und welche, weil bestimmte Personen sie stillschweigend am Laufen halten? Wo gibt es implizites Wissen, das nie dokumentiert wurde? Welche physischen Abhängigkeiten unserer IT sind nie Teil einer integrierten Risikobetrachtung gewesen? Und wo haben sich Abweichungen vom Soll als Normalzustand eingeschliffen, weil es bisher gut gegangen ist?

Diese Fragen lassen sich nicht durch ein Audit beantworten, das Konzepte gegen eine Checkliste prüft. Sie erfordern einen Blick auf das, was im Betrieb tatsächlich passiert – und die Bereitschaft, zwischen dokumentierter Sicherheit und wirksamer Sicherheit zu unterscheiden. Das ist nicht immer dasselbe. Physische und digitale Sicherheit als zusammenhängendes System zu verstehen, bedeutet nicht, dass man die eine auf Kosten der anderen stärken soll. Es bedeutet, dass man die Bereiche kennt, auf die das eigene Sicherheitskonzept bisher schlicht nicht ausgerichtet war – und dass man anfängt, dort hinzuschauen.

Gerne beantworten wir alle Ihre Fragen rund um den Physische Sicherheit. Nehmen Sie unverbindlich mit uns Kontakt auf.

Swiss Infosec AG; 01.05.2026
Kompetenzzentrum Consulting, +41 41 984 12 12, infosec@infosec.ch