Gefährdung von Führungskräften in KRITIS-Unternehmen: Risiken erkennen und Personenschutz richtig einordnen

Wann Sie morgens das Haus verlassen. Welche Strecke Sie ins Büro nehmen. An welchen Tagen Sie am Hauptstandort sind. Welche Konferenzen Sie besuchen. Wohin die nächste Geschäftsreise führt. All das wissen nicht nur Sie selbst, Ihre Assistenz und einige Kollegen, sondern möglicherweise auch andere Personen.

Für die meisten Führungskräfte stellt dies zunächst kein Sicherheitsproblem dar. In Unternehmen, die aufgrund ihrer strategischen Bedeutung stärker in den Fokus von Sabotage, Spionage oder politisch motivierten Aktionen geraten, kann diese Berechenbarkeit jedoch Teil eines veränderten Risikoprofils werden.

 

Wie berechenbar ist eigentlich Ihr Alltag als Führungskraft?

Gerade bei kritischen Infrastrukturen (KRITIS) hat diese Frage an Bedeutung gewonnen. Das Bundesamt für Verfassungsschutz bewertet die Gefährdung durch Sabotageaktivitäten und entsprechende Vorbereitungshandlungen in Deutschland als erhöht. Besonders exponiert sind jedoch nicht alle Branchen und Unternehmen gleichermaßen.
Neben dem Schutz von Standorten, Anlagen und Prozessen hat die Corporate Security eine weitere Aufgabe: Sie muss erkennen, ob sich die Gefährdung eines Unternehmens auf einzelne Führungskräfte überträgt und welche Schutzmaßnahmen sich daraus ergeben.

Im Mittelpunkt dieses Beitrags von RH Security stehen Vorstände, Geschäftsführer:innen und andere Führungskräfte, deren Funktion, Sichtbarkeit oder Entscheidungsverantwortung zu einer erhöhten persönlichen Exposition führen kann.
Cybersecurity und NIS2 spielen in der KRITIS-Debatte eine zentrale Rolle. Dieser Beitrag konzentriert sich bewusst auf die physische und personenbezogene Sicherheit sowie auf die für Executive Protection relevanten organisatorischen Strukturen.

 

1. Sabotage und Spionage stellen eine potenzielle Gefahr für kritische Infrastrukturen dar

Der Verfassungsschutz weist bereits seit mehreren Jahren auf die erhöhten Risiken für kritische Infrastrukturen und KRITIS-nahe Unternehmen hin. Sabotage kann durch fremde Staaten, deren Unterstützer oder extremistische Akteure erfolgen. Die Behörde geht davon aus, dass öffentlich zugängliche Informationen zur Ausforschung und Vorbereitung entsprechender Aktivitäten genutzt werden können.

Im Mai 2025 veröffentlichte das Bundesamt für Verfassungsschutz eine Übersicht über russische Spionage-, Sabotage- und Desinformationsaktivitäten. In dem Bericht werden zahlreiche Vorfälle und Verdachtsfälle in europäischen Staaten aufgeführt, darunter Brandanschläge, Sabotagevorbereitungen und der Einsatz niedrigschwellig rekrutierter Personen für Ausspähung oder Sabotage.

Die Europäische Union stuft russische hybride Aktivitäten als anhaltende Bedrohung ein. Im Jahr 2025 verurteilte der Europäische Rat ausdrücklich Sabotage, Beschädigungen kritischer Infrastruktur, Cyberangriffe und weitere Formen hybrider Einflussnahme.

Die Gefährdung verteilt sich jedoch nicht gleichmäßig über alle Sektoren. Für die Sicherheits- und Verteidigungsindustrie ist ein erhöhtes Aufklärungsinteresse besonders gut dokumentiert. Der Verfassungsschutz klassifiziert den Verteidigungssektor als traditionelles Ziel ausländischer Nachrichtendienste und erkennt in geopolitischen Rivalitäten sowie dem russischen Angriffskrieg eine verschärfte Gefährdung. Auch im Energiebereich sind physische Angriffe und extremistische Aktivitäten dokumentiert.

Diese Lageinformationen umfassen zunächst das Risiko für Unternehmen, Standorte, Anlagen, Informationen und Prozesse. Für den Schutz einzelner Führungskräfte ist eine zusätzliche Bewertung erforderlich.

 

2. Unternehmensrisiko und persönliche Gefährdung erfordern getrennte Bewertungen

Allein die Branche erlaubt keine belastbare Aussage über den Schutzbedarf eines Vorstands- oder Geschäftsführerpostens.

So kann ein Energieunternehmen aufgrund seiner Bedeutung für die Versorgungssicherheit eine hohe strategische Relevanz besitzen. Bei einem Unternehmen der Verteidigungsindustrie können dagegen bestimmte Technologien, Produkte oder Lieferbeziehungen ein ausgeprägtes Aufklärungsinteresse hervorrufen. In beiden Fällen richtet sich die Gefährdung zunächst gegen das Unternehmen und seine Funktionsfähigkeit.

Für die persönliche Risikobewertung kommen weitere Faktoren hinzu. Relevant können die konkrete Funktion einer Person, ihre Entscheidungskompetenz, ihre öffentliche Sichtbarkeit, ihre Reisebewegungen, zugängliche persönliche Informationen, konkrete Drohungen oder eine hervorgehobene Rolle in einer aktuellen Auseinandersetzung sein.

Eine Gefährdungsbewertung führt diese Ebenen zusammen. Sie untersucht Bedrohung, Exposition und Verwundbarkeit und setzt sie in Beziehung zur jeweiligen Person. Dieser Ansatz entspricht der grundsätzlichen Präventionslogik des Bundesamtes für Verfassungsschutz. Unternehmen sollen analysieren, von wem Angriffe ausgehen können, welche Werte besonders schutzwürdig sind und über welche Wege ein Angriff erfolgen könnte.

Im Personenschutz bestimmen Funktion, konkrete Lage und individuelle Exposition, ob und in welchem Umfang personenbezogene Schutzmaßnahmen erforderlich sind.

 

3. Funktion, Sichtbarkeit und Routinen prägen das Risikoprofil von Führungskräften

Das Risikoprofil eines Vorstands- oder Geschäftsführerpostens kann sich mit der Lage des Unternehmens verändern. Strategische Entscheidungen, eine öffentliche Kontroverse, eine Akquisition, ein bedeutender Rüstungsauftrag, Arbeitskämpfe, Proteste oder Veränderungen der internationalen Sicherheitslage können die Exposition eines Unternehmens und seiner Führungskräfte beeinflussen.

Auch die individuelle Rolle ist relevant. Ein Geschäftsführer, der selten in der Öffentlichkeit auftritt und nur wenige öffentliche Termine wahrnimmt, hat ein anderes Expositionsprofil als ein Vorstand, dessen Name regelmäßig in den Medien erscheint, der auf internationalen Veranstaltungen spricht und dessen Reisebewegungen häufig kommuniziert werden.

Hinzu kommen wiederkehrende Routinen. Arbeitsbeginn, Anfahrtswege, bevorzugte Verkehrsmittel, regelmäßig besuchte Restaurants, Sporttermine, Flughäfen oder wiederkehrende Veranstaltungen können mit der Zeit ein relativ präzises Bewegungsmuster ergeben.

Keiner dieser Faktoren begründet für sich genommen eine konkrete Gefährdung. In Verbindung mit einer vorhandenen Bedrohungslage können sie jedoch die Verwundbarkeit einer Person erhöhen. Eine Gefährdungsbewertung definiert deshalb zuerst die relevanten Szenarien. Aus diesen Szenarien lassen sich Art und Umfang der erforderlichen Schutzmaßnahmen ableiten.

 

4. Öffentlich verfügbare Informationen können Führungskräfte in Schwierigkeiten bringen

Unternehmen veröffentlichen eine große Menge an Informationen, die einzeln betrachtet unproblematisch erscheinen.
Der Verfassungsschutz weist jedoch darauf hin, dass Webseiten, interne Dokumente, Stellenanzeigen und soziale Netzwerke Informationen liefern können, die für Ausforschungszwecke relevant sind. Dazu zählen Kontaktinformationen, organisatorische Zusammenhänge und Hinweise auf betriebliche Abläufe.

Bei Führungskräften können solche Unternehmensinformationen mit persönlichen Angaben zusammenkommen. Konferenzen veröffentlichen Programme und Namen der Speaker. Unternehmensbeiträge zeigen Aufenthaltsorte. Pressemitteilungen nennen Termine. Fotos können mitunter Hinweise auf Fahrzeuge oder Gebäude geben. Persönliche Social-Media-Profile können Reisen oder private Gewohnheiten sichtbar machen.

Ein angekündigter Konferenzauftritt nennt zunächst nur Ort und Zeitpunkt. Zusammen mit Angaben zu Reiseverbindungen, Hotel, Fahrzeug oder privaten Veröffentlichungen kann daraus ein deutlich genaueres Bewegungsbild entstehen.

Für die physische Sicherheit ist es deshalb auch relevant, welche Erkenntnisse sich aus mehreren Quellen miteinander verbinden lassen. Informationsmanagement wird somit zu einem Bestandteil der personenbezogenen Sicherheitsplanung.

 

5. Geschäftsreisen und öffentliche Termine verändern die persönliche Exposition

Geschäftsreisen führen Führungskräfte aus der kontrollierten Umgebung des Unternehmens heraus. Messen, Konferenzen, politische Termine, Werksbesuche, Auslandsreisen oder Gespräche mit Geschäftspartnern bringen jeweils andere Sicherheitsbedingungen mit sich. Hotels, Veranstaltungsorte, Fahrzeuge, Transfers und lokale Dienstleister werden Teil der Reiseorganisation.

Parallel dazu steigt die Zahl der Personen und Stellen, die Informationen über den Ablauf erhalten. Reisepläne werden an Assistenzteams, Veranstalter, Fahrer, Hotels, Geschäftspartner oder lokale Ansprechpartner geschickt. Kurzfristige Änderungen müssen zwischen mehreren Beteiligten abgestimmt werden.

Aus Sicht der Executive Protection gehen Lagebewertung und Reisevorbereitung Hand in Hand. Je nach Risikoprofil können Zielort, Routen, Veranstaltungsorte, Fahrzeuge und lokale Rahmenbedingungen vorab geprüft werden. Auch die Abstimmung mit der Corporate Security sowie der Einsatz von Personenschützern können Teil des Schutzkonzeptes sein.

Art und Umfang richten sich nach der jeweiligen Gefährdung. Für viele Geschäftsreisen ist kein operativer Personenschutz erforderlich. Bei einer veränderten Unternehmenslage, konkreten Hinweisen oder einer deutlich erhöhten persönlichen Exposition kann dieselbe Reise jedoch eine andere Bewertung erfordern.

 

6. Corporate Security verbindet Unternehmenssicherheit und Personenschutz

Viele große KRITIS-Betreiber verfügen über professionelle Sicherheitsabteilungen. Diese kennen die internen Abläufe, Standorte, Verantwortlichkeiten und bestehenden Schutzmaßnahmen des Unternehmens und besitzen damit eine wichtige Grundlage für die Bewertung personenbezogener Risiken.

Hinweise auf Veränderungen können an unterschiedlichen Stellen entstehen. So verfügen Werkschutz und Krisenmanagement über andere Informationen als die Bereiche Kommunikation, Rechtsabteilung, Personalwesen oder Geschäftsleitung. Für eine belastbare Gefährdungsbewertung müssen die relevanten Erkenntnisse an einer geeigneten Stelle zusammenlaufen.

Diese koordinierende Funktion übernimmt häufig Corporate Security. Die Sicherheitsverantwortlichen bewerten, ob die Veränderungen nur die allgemeine Unternehmenslage betreffen oder ob einzelne Personen stärker exponiert sind. Daraus können Anpassungen bestehender Schutzmaßnahmen, die Bereitstellung zusätzlicher Ressourcen oder die Inanspruchnahme spezialisierter externer Unterstützung folgen.

Auch die Europäische Kommission misst der personellen Sicherheitsdimension Bedeutung bei. In ihren Leitlinien zur Resilienz kritischer Einrichtungen sieht sie vor, Personal mit kritischen Funktionen zu identifizieren und dabei auch Beschäftigte externer Dienstleister einzubeziehen.

Für den Personenschutz ergibt sich daraus eine gemeinsame organisatorische Aufgabe. Interne Sicherheitsstrukturen, Geschäftsleitung, Assistenz und operative Schutzteams benötigen dafür definierte Zuständigkeiten und verlässliche Informationswege.

 

7. Externe Personenschützer ergänzen die internen Sicherheitsstrukturen

Die Organisation des Personenschutzes erfolgt in Unternehmen sehr unterschiedlich. Einige verfügen über eigene Personenschützer. Andere steuern den Schutz über die Corporate Security und/oder vergeben operative Aufgaben an spezialisierte externe Dienstleister.

Bei Geschäftsreisen, Veranstaltungen oder zeitweise erhöhter Gefährdung können externe Kräfte die vorhandenen Teams ergänzen. In weiteren Modellen übernimmt ein externer Anbieter die operative Verantwortung für den Personenschutz vollständig.

Keine dieser Organisationsformen ist grundsätzlich überlegen. Für die Qualität des Schutzes sind die Qualifikation der eingesetzten Personen, eindeutige Verantwortlichkeiten, ein gemeinsames Lagebild, definierte Meldewege und eine funktionierende operative Führung entscheidend.

Besondere Aufmerksamkeit verdient die Schnittstelle zwischen internen und externen Beteiligten. Personenschützer benötigen alle Informationen, die für die Lagebewertung, Planung und Durchführung ihres Auftrags erforderlich sind. Gleichzeitig müssen sensible Informationen auf den notwendigen Empfängerkreis begrenzt bleiben.

Eine klare Aufgabenverteilung reduziert Reibungsverluste und stellt sicher, dass relevante Veränderungen schnell in die operative Planung einfließen können.

 

8. Executive Assistants (EAs) und Personal Assistants (PAs) sind eine wichtige Informationsschnittstelle im Personenschutz

In der Regel gehören sie nicht zum Schutzteam. Trotzdem erfüllen sie für die Sicherheitsorganisation eine zentrale Informationsfunktion. Sie verwalten häufig Kalender, Reiseverbindungen, Hotels, Fahrer, Veranstaltungsorte, Ansprechpartner und kurzfristige Änderungen. Dadurch kennen sie viele Informationen, aus denen sich die Bewegungsmuster einer Führungskraft ableiten lassen.

Oft erfahren EAs und PAs außerdem frühzeitig, wenn sich ein Ablauf verändert. Ein zusätzlicher öffentlicher Termin wird eingeschoben. Eine Führungskraft entscheidet sich für eine andere Anreise. Ein Treffen findet an einem neuen Ort statt. Eine Reise wird verlängert oder verkürzt.

Solche Änderungen sind nicht automatisch sicherheitskritisch. Bei bestehender oder erhöhter Gefährdung können sie jedoch Auswirkungen auf ein Schutzkonzept haben.

Assistenzteams sollten deshalb wissen, welche Informationen für die Corporate Security oder das operative Schutzteam relevant sind und auf welchem Weg Änderungen weitergegeben werden. Sie treffen zwar keine Sicherheitsentscheidung, liefern aber einen Teil der Informationen, auf denen diese Entscheidung beruht.
Damit gehört die Assistenz zu den wichtigen Schnittstellen einer funktionierenden Executive Protection.

 

9. Bei konkreter Gefährdung muss das private Umfeld in die Risikobewertung einbezogen werden

Berufliche Exposition und privates Leben lassen sich bei einer konkreten, personenbezogenen Gefährdung nicht immer sauber voneinander trennen.

Für KRITIS-Führungskräfte gibt es keine belastbare Grundlage für die pauschale Annahme, dass ihre Familien oder ihr privates Umfeld regelmäßig bedroht sind. Im Rahmen einer individuellen Gefährdungsbewertung muss jedoch geprüft werden, welche Informationen und Routinen für eine konkrete Bedrohung relevant sein könnten.

Dazu können der Wohnort, Fahrzeuge, private Reisebewegungen, regelmäßig besuchte Orte oder öffentlich sichtbare Familieninformationen gehören. Auch die Social-Media-Aktivitäten von Angehörigen können unbeabsichtigt Hinweise auf Aufenthaltsorte oder Gewohnheiten liefern.

Ob daraus zusätzliche Schutzmaßnahmen für weitere Personen resultieren, hängt von der jeweiligen Lage ab. Bei einer konkreten personenbezogenen Gefährdung muss deshalb auch die mögliche Exposition im privaten Umfeld in die Bewertung einfließen. Anschließend werden Umfang und Grenzen des Schutzkonzeptes aus dieser Analyse abgeleitet.

 

10. Veränderungen im Unternehmen können eine erneute Gefährdungsbewertung erforderlich machen

Ein einmal bewertetes Risikoprofil ist nicht dauerhaft gültig. Bestimmte Veränderungen im Unternehmen, in dessen Umfeld oder im Tagesablauf einer Führungskraft können Anlass sein, die bestehende Bewertung zu überprüfen.
Dazu gehören beispielsweise konkrete Drohungen oder verdächtige Beobachtungen, eine deutlich erhöhte öffentliche Aufmerksamkeit, neue strategische Aufgaben des Unternehmens, besonders sensible Projekte, politische oder gesellschaftliche Konflikte, wiederkehrende Protestaktionen oder exponierte Auslandsreisen. Auch Veränderungen im privaten Umfeld können relevant werden, wenn dadurch zusätzliche Informationen über Aufenthaltsorte oder Routinen öffentlich werden.

Ebenso kann eine veränderte geopolitische Lage eine Neubewertung rechtfertigen, sofern sie das Unternehmen, seine Branche oder bestimmte Funktionen innerhalb des Unternehmens unmittelbar betrifft. Keiner dieser Faktoren führt zwangsläufig zu einem höheren Schutzbedarf. Sie sind Anlässe, bestehende Annahmen zu überprüfen und die aktuelle Exposition neu zu bewerten.

 

11. Die Gefährdungsbewertung bildet die Grundlage für den Personenschutz (Executive Protection)

Personenschutz ist eine mögliche Maßnahme innerhalb eines umfassenderen Schutzkonzepts. Im Rahmen einer strukturierten Gefährdungsbewertung werden die relevanten Bedrohungen, mögliche Zielpersonen, deren Exposition sowie vorhandene Schutzmaßnahmen untersucht. So entsteht ein belastbares Bild der tatsächlichen Lage.

Die abgeleiteten Maßnahmen können sehr unterschiedlich ausfallen. Reiseinformationen können enger verteilt werden. Routinen können angepasst werden. Veranstaltungsorte können vorab geprüft werden. Ein Sicherheitsfahrer kann Teil der Planung sein. Advance-Arbeit kann erforderlich werden. Bei einer höheren personenbezogenen Gefährdung kann die Schutzperson von Personenschützern begleitet werden.

Ebenso kann die Analyse ergeben, dass derzeit kein operativer Personenschutz notwendig ist. Eine professionelle Bewertung soll Maßnahmen nachvollziehbar auf das vorhandene Risiko abstimmen und bei Veränderungen eine erneute Anpassung ermöglichen.

 

12. Fazit: Der Personenschutz für KRITIS-Führungskräfte folgt dem individuellen Risikoprofil

Die verschärfte geopolitische Sicherheitslage erhöht den Handlungsdruck für zahlreiche Betreiber Kritischer Infrastrukturen. Eine erhöhte Unternehmensgefährdung erlaubt jedoch noch keinen unmittelbaren Rückschluss auf den persönlichen Schutzbedarf einzelner Führungskräfte.

Für die Executive Protection zählt die individuelle Lage. Funktion, Exposition, verfügbare Informationen, Bewegungsmuster und konkrete Bedrohungshinweise bestimmen gemeinsam das Risikoprofil. Eine belastbare Gefährdungsbewertung schafft die Grundlage, um vorhandene Maßnahmen zu überprüfen und den Personenschutz bei Bedarf anzupassen.

Unternehmen mit etablierten Corporate-Security-Strukturen können diesen Prozess intern steuern und bei Bedarf externe Expertise oder externe Personenschützer einbinden. Klare Verantwortlichkeiten und funktionierende Informationswege sollten bereits bestehen, bevor sich eine konkrete Gefährdung entwickelt.