Zentrale Begriffe der strategischen Sicherheits- und Resilienzberatung — präzise definiert, methodisch verankert, praxisnah erklärt.
Jeder Begriff in zwei Formen: eine kurze, direkte Definition und eine praxisnahe Einordnung. Alphabetisch sortiert. Querverbindungen durch Verlinkungen.
Definition: Analyselogik des strategischen Security Risk Managements. Risiken werden systematisch aus drei verbundenen Perspektiven betrachtet: Welche Werte sind schützenswert (Asset)? Welche Täter, Angreifer oder Störungsquellen bedrohen diese Werte realistisch (Adversary)? Welche Handlung würde der Adversary am Asset vornehmen (Action)?
Praxis: Das 3A-Modell zwingt zur systematischen Betrachtung des Angriffsvektors — nicht nur des Risikos abstrakt, sondern des konkreten Zusammenspiels aus Ziel, Täter und Tathandlung. Methodische Grundlage im ISMI-Rahmenwerk, zentral im Security Decision Brief und im Resilience Sprint.
Definition: Prinzip zur Verhältnismäßigkeits-Prüfung von Sicherheitsmaßnahmen. Risiken müssen nicht vollständig eliminiert werden, sondern auf ein Niveau reduziert, bei dem jede weitere Reduktion in keinem vernünftigen Verhältnis mehr zum zusätzlichen Aufwand steht.
Praxis: ALARP stammt aus dem britischen Arbeits- und Anlagensicherheitsrecht und ist heute im internationalen Risikomanagement etabliert. Für mittelständische Unternehmen besonders relevant: ALARP liefert ein strukturiertes Argument, warum eine bestimmte Maßnahme sinnvoll ist — und warum eine andere, teurere Maßnahme es nicht ist. Verankerung: ISO 31000, ISO 45001, HSG 65.
Definition: Erwarteter jährlicher Schaden eines Risikos. Berechnet aus Eintrittswahrscheinlichkeit × Schadensauswirkung × Jahreshäufigkeit.
Praxis: Die Antwort auf „Was kostet uns dieses Risiko im Jahresdurchschnitt?" — und damit die Basis jeder ROI-Betrachtung. Ohne ALE sind Sicherheitsinvestitionen schwer rechtfertigbar. Mit ALE wird aus einem gefühlten Risiko eine konkrete Jahreskostengröße.
Definition: Die Reduktion des Annual Loss Expectancy durch eine Sicherheitsmaßnahme. Antwort auf die Frage: Wie viel jährlich erwarteten Schaden verhindert diese Maßnahme nachweislich?
Praxis: Zentrale Wirkungsgröße jeder Sicherheitsinvestition. Setzt man ΔALE ins Verhältnis zu den Maßnahmenkosten, ergibt sich der Return on Security Investment.
Definition: Methodisches Prinzip, das bei der Analyse sicherheitsrelevanter Bedrohungen bewusst ein breites Spektrum möglicher Gefahren berücksichtigt — nicht nur bekannte oder häufig diskutierte.
Praxis: Grundlage moderner Corporate-Security-Konzepte und zentraler methodischer Baustein der DIN SPEC 14027. Verhindert blinde Flecken in der Bedrohungsanalyse.
Definition: Internationaler Fachverband für Unternehmenssicherheit mit Sitz in den USA. ASIS veröffentlicht etablierte Standards (SPC.1, PAP.1, ORM.1), Zertifizierungen und methodische Rahmenwerke.
Praxis: ASIS-Standards sind im europäischen Corporate-Security-Umfeld methodisch führend. Besonders relevant: ASIS SPC.1 (Organizational Resilience), ASIS PAP.1 (Protection of Assets), ASIS ORM.1 (Operational Resilience Management).
Definition: Parameter, der bestimmt, wie hoch die Auswirkungen eines Sicherheitsvorfalls auf einen spezifischen Unternehmenswert sind. Grundlage: DIN SPEC 14027.
Praxis: Zusammen mit Bedrohungsintensität Grundlage der Schutzbedarfsermittlung. Je kritischer ein Asset, desto höher der Schutzbedarf — und desto höher das angemessene Schutzniveau.
Definition: Managementdisziplin, die sicherstellt, dass geschäftskritische Prozesse auch in Störungs- und Krisenlagen aufrechterhalten werden können. Internationaler Standard: ISO 22301.
Praxis: Beantwortet die Frage: „Welche unserer Prozesse müssen im Ernstfall unbedingt funktionieren — und wie lange dürfen sie maximal ausfallen?" Im BCM-Check kompakt für Mittelstandsunternehmen verfügbar.
Definition: Maß dafür, wie stark ein Asset durch potenzielle Bedrohungen gefährdet ist. Grundlage: DIN SPEC 14027.
Praxis: Zusammen mit Assetkritikalität Grundlage der Schutzbedarfsermittlung. Hohe Bedrohungsintensität auf einem hochkritischen Asset erzwingt ein höheres Schutzniveau.
Definition: Strategische Sicherheitsfunktion in Unternehmen, die physische, organisatorische und personelle Sicherheitsthemen integriert. Umfasst Standortsicherheit, Reisesicherheit, Krisenmanagement, Vendor-Governance, Mitarbeitendenschutz. Nicht zu verwechseln mit IT-Security.
Praxis: Im Mittelstand oft informell an eine einzelne Person delegiert oder gar nicht formalisiert. Meine Beratung ersetzt die Corporate-Security-Funktion zeitweise (Governance+) oder dauerhaft (C-Suite Advisory).
Definition: Deutsche DIN-Spezifikation, veröffentlicht April 2026, zur Stärkung der physischen Resilienz von Organisationen. Vom Bundesministerium des Innern initiiert im Rahmen des Aktionsplans 2024+ zur Nationalen Wirtschaftsschutzstrategie. Legt Anforderungen an bauliche, technische, personelle und organisatorische Sicherheitsmaßnahmen fest.
Praxis: Deutsches Pendant zum IT-Grundschutz des BSI — ein „Corporate Security Grundschutz". Strukturiert Corporate Security in 16 Handlungsfelder mit abgestuften Schutzniveaus. Meine Beratung arbeitet methodisch eigenständig nach SPARK, verlinkt die Beratungsergebnisse auf Wunsch systematisch an die DIN SPEC 14027. Zum Fachartikel →
Definition: Methodischer Rahmen für Security Risk Management, Security Leadership und Security Surveying auf Hochschulniveau. ISMI veröffentlicht Lehrmaterial und Qualifikationsrahmen. Nicht ein Standard im Sinne von ISO oder ASIS, sondern ein methodischer und qualifikatorischer Rahmen.
Praxis: Das ISMI-Rahmenwerk prägt die methodische Tiefe meiner Beratung — insbesondere durch das 3A-Modell und den systematischen Security-Risk-Management-Ansatz.
Definition: Internationales Institut für strategisches Risiko-Management mit Sitz im Vereinigten Königreich. Veröffentlicht einen abgestuften Qualifikationsrahmen für Risiko- und Sicherheitsmanagement auf akademischem Niveau — unter anderem die Awards Level 4 und Level 5.
Praxis: Formaler Qualifikationsrahmen meiner Beratung. ISRM Level 4 und 5 zusammen mit Diplom-Kaufmann und MBA bilden die akademisch-fachliche Grundlage.
Definition: Internationaler Standard für Managementsysteme der Geschäftskontinuität. Definiert Anforderungen an Planung, Implementierung, Aufrechterhaltung und kontinuierliche Verbesserung eines BCM.
Praxis: Grundlage des BCM-Checks und zentraler Bezugspunkt der SPARK-Phasen „Realisieren" und „Kultivieren".
Definition: Der grundlegende internationale Standard für Risikomanagement. Definiert Prinzipien, Rahmenwerk und Prozess. Nicht zertifizierbar — aber methodisch führend.
Praxis: Methodische Grundlage fast jeder strukturierten Risikobetrachtung in meiner Beratung. Grundlage des Security Decision Briefs, des Resilience Sprints und des Security-Resilience-Zyklus.
Definition: Internationaler Standard für organisationales Reisesicherheits-Management. Veröffentlicht 2021.
Praxis: Grundlage des Reisesicherheitskonzepts. Für Unternehmen mit internationaler Reisetätigkeit oft bisher informell geregelt — und zunehmend unter Druck von Versicherern, Großkunden und Mitarbeitendenvertretungen.
Definition: Die Fähigkeit einer Organisation, Störungen und Krisen zu absorbieren, sich an sie anzupassen und aus ihnen gestärkt hervorzugehen. Mehr als Sicherheit — weil Resilienz auch Reaktion, Anpassung und Lernen umfasst.
Praxis: Das übergeordnete Ziel meiner Beratung. Sicherheitsmaßnahmen sind Mittel, Resilienz ist der Zweck.
Definition: Systematischer Prozess zur Identifikation, Analyse, Bewertung, Behandlung und Überwachung von Risiken. Grundlage: ISO 31000.
Praxis: Nicht Risikovermeidung. Sondern bewusste Entscheidung darüber, welche Risiken gehalten, reduziert, übertragen oder vermieden werden — und wie teuer jede dieser Entscheidungen ist.
Definition: Strukturierte erste Analyse zur Einordnung einer Beratungsanfrage. Was ist das eigentliche Thema? Welche Zielsetzung verfolgen die Entscheider?
Praxis: Kern des Security Impuls. Scoping ist Entscheidungs-Vorbereitung — nicht Beratung selbst. Das Ziel: eine klare Empfehlung, was als Nächstes sinnvoll ist.
Definition: Anforderung eines Assets an die drei Schutzziele Verfügbarkeit, Integrität und Vertraulichkeit. Ergibt sich aus der Bewertung der Kritikalität des Assets und der Intensität der auf dieses Asset wirkenden Bedrohungen. Grundlage: DIN SPEC 14027.
Praxis: Zentraler methodischer Begriff moderner Corporate Security. Die Schutzbedarfsermittlung ist der erste und methodisch grundlegende Schritt jeder strukturierten Sicherheitsarchitektur.
Definition: Level an angestrebter oder vorhandener Sicherheit. In der DIN SPEC 14027 operationalisiert als abgestufte Schutzniveaus A, B, C und D — mit zunehmender Schutzintensität.
Praxis: Nicht jedes Asset braucht das höchste Schutzniveau — die bewusste Zuordnung spart Ressourcen und schafft die Grundlage für eine ALARP-konforme Priorisierung.
Definition: Methodischer Rahmen zur wirtschaftlichen Bewertung von Sicherheitsmaßnahmen. Setzt die Risikoreduktion (ΔALE) ins Verhältnis zu den Kosten der Maßnahme.
Praxis: Löst das Grundproblem der Sicherheitsinvestition: der Nutzen ist „unsichtbar". SecuROI macht den Nutzen quantifizierbar — für Geschäftsführung, Beirat, Investoren und Versicherer.
Definition: Methodischer Zyklus mit fünf Phasen für nachhaltige organisatorische Resilienz: Sichten, Profilieren, Ausgestalten, Realisieren, Kultivieren. Akronym: SPARK.
Praxis: Rahmenprozess meiner Beratung. Verbindet Analyse, Entscheidung, Umsetzung und Verankerung zu einem kontinuierlichen Prozess. Detaillierte Beschreibung auf der Methodik-Seite.
Definition: Strukturierter Prozess zur Identifikation, Bewertung und Behandlung sicherheitsrelevanter Risiken. Umfasst physische, organisatorische und personelle Risiken — nicht IT-Risiken.
Praxis: Das Kernhandwerk meiner Beratung. Bewusst nicht IT-Security — das ist eine eigenständige Fachdisziplin.
Definition: Klar definierter, physischer Bereich innerhalb oder um einen Standort oder eine Liegenschaft, für den spezifische, abgestufte Sicherheitsmaßnahmen gelten. Grundlage: DIN SPEC 14027.
Praxis: Sicherheitszonen bauen idealerweise aufeinander auf — äußere Zonen mit niedrigeren, innere Zonen mit höheren Sicherheitsstufen. Zentraler Baustein von Standortsicherheitskonzepten.
Definition: Standardwerk des strategischen Security Risk Managements, veröffentlicht von Talbot & Jakeman. Sammlung etablierten Fachwissens, methodischer Rahmenwerke und Praxisbeispiele.
Praxis: Eine der methodischen Quellen meiner Beratung. Nicht offizieller Standard im Sinne von ISO oder ASIS, aber in der Branche als fundiertes Grundlagenwerk anerkannt.
Definition: Strukturierte Steuerung externer Sicherheitsdienstleister, Technikanbieter und Beratungspartner. Umfasst Auswahl, Beauftragung, Qualitätskontrolle, Risikobetrachtung und Vertragsmanagement.
Praxis: Zentrales Element meiner Beratung bei größeren Mandanten. Besonders wichtig: die Unabhängigkeit meiner Beratung von Verkaufsinteressen der Dienstleister.
Die Anwendung in Ihrer konkreten Situation ist Gegenstand der Beratung. Der Security Impuls ist der strukturierte Einstieg.
Security Impuls starten — 990 €