Wirtschaftliche Sicherheit beschränkt sich nicht mehr auf den Schutz eines Gebäudes oder eines IT-Netzwerks. Sie bedeutet, das zu bewahren, was einem Unternehmen ermöglicht, Entscheidungen zu treffen, zu produzieren, innovativ zu sein und langfristig zu bestehen.
Der Leitfaden der Gendarmerie nationale: https://www.gendarmerie.interieur.gouv.fr/content/download/61216/file/Guide_Atteintes_S%C3%A9curit%C3%A9_Economique_Gendarmerie_nationale.pdf?inLanguage=fre-FR&version=6
macht diesen Gedanken für PME und ETI konkret. Er verknüpft physische, digitale, menschliche, rechtliche und reputationsbezogene Bedrohungen und schlägt anschließend vorbeugende Verhaltensweisen vor.
Ausländische Referenzen und Forschungsarbeiten bestätigen diesen umfassenden Ansatz.
Sie regen jedoch dazu an, bei Unternehmensführung, Risikomessung, Überwachung von Partnern und Vorbereitung auf Vorfälle weiterzugehen.
Eine umfassende Erfassung der Bedrohungen
Der erste Beitrag des Leitfadens der Gendarmerie nationale liegt in seinem Umfang. Er beschreibt sieben Bedrohungsgruppen: die Sicherheit von Standorten, das Eindringen über gestattete Zugänge, Angriffe auf Know-how, Betrug, Schwachstellen im Unternehmensumfeld, Cyberangriffe und Informationsangriffe.
Diese Gliederung zeigt, dass ein und derselbe Vorgang mehrere Angriffswege kombinieren kann. Ein scheinbar gewöhnlicher Besuch kann die Beschaffung von Plänen erleichtern.
Ein kompromittiertes Konto kann dazu dienen, eine Zahlung umzuleiten, Daten zu stehlen und Falschinformationen zu verbreiten. Ein anfälliger Lieferant kann zum Einfallstor für Angriffe auf einen strategisch wichtigen Auftraggeber werden.
Der Leitfaden der Gendarmerie nationale legt zu Recht besonderes Gewicht auf PME und ETI.
Ihr technisches Fachwissen und ihre Stellung in den Wertschöpfungsketten machen sie zu attraktiven Zielen, während ihre Schutzmittel oft begrenzter sind. Er erinnert auch daran, dass Bedrohungen nicht nur von außen kommen. Beschäftigte, Dienstleister, Besucher, Investoren oder Partner können über einen legitimen Zugang verfügen, der durch Nachlässigkeit, Druck oder böswillige Absicht gefährlich wird. Diese Sichtweise verhindert, dass wirtschaftliche Sicherheit allein auf Cybersicherheit reduziert wird.
Der Abschnitt zu bewährten Verfahren setzt diese Feststellungen anschließend in konkrete Maßnahmen um.
Er behandelt Vertraulichkeit, personenbezogene Daten, Vertragsklauseln, Bereiche mit eingeschränktem Zugang, die Kontrolle von Besuchswegen, die Benennung eines Sicherheitsverantwortlichen und den Plan zur Aufrechterhaltung des Geschäftsbetriebs. Der Teil zur gesellschaftlichen Verantwortung ergänzt das Ganze sinnvoll. Eine transparente Unternehmensführung, gesunde Arbeitsbeziehungen, faires Verhalten und eine starke regionale Verankerung verringern bestimmte interne Schwächen und stärken das Vertrauen der Partner.
Schutz auf Grundlage kritischer Unternehmenswerte
Der Leitgedanke des Leitfadens der Gendarmerie nationale ist einfach: Ein Unternehmen muss zunächst wissen, was es sich nicht leisten kann zu verlieren. Das kann ein Prototyp, ein Verfahren, Kundendaten, seltene Kompetenzen, ein einzigartiger Standort, ein dominierender Lieferant oder der Ruf einer Marke sein. Der Schutz muss dann dem Wert dieser Güter und den Folgen einer Kompromittierung angemessen sein.
Diese Logik entspricht dem britischen Rahmenwerk Secure Innovation, das von der National Protective Security Authority und dem National Cyber Security Centre veröffentlicht wurde.
Dieses Rahmenwerk fordert das Leitungsgremium auf, eine verantwortliche Person zu benennen, kritische Unternehmenswerte zu ermitteln, Sicherheitsrisiken in das Risikoregister aufzunehmen und anschließend Investoren, Lieferanten und künftige Beschäftigte zu überprüfen.
Die gleiche Schlüssigkeit findet sich im NIST Cybersecurity Framework 2.0 in den Vereinigten Staaten.
Seine sechs Funktionen sind Steuern, Identifizieren, Schützen, Erkennen, Reagieren und Wiederherstellen. Diese Abfolge ergänzt den französischen Leitfaden gut, der Angriffsformen und Präventionsmaßnahmen sehr ausführlich behandelt, bei Steuerungskennzahlen jedoch weniger konkret ist.
Ein Unternehmen sollte einige einfache Kennzahlen verfolgen können: den Anteil der erfassten kritischen Unternehmenswerte, überprüfte sensible Zugangsberechtigungen, bei Tests wiederhergestellte Sicherungskopien, bewertete Lieferanten, gemeldete Vorfälle und durchgeführte Krisenübungen.
Auch der rechtliche Schutz muss auf nachvollziehbaren Praktiken beruhen. Der Leitfaden erinnert daran, dass der Schutz von Geschäftsgeheimnissen angemessene Schutzmaßnahmen voraussetzt.
Die Weltorganisation für geistiges Eigentum präzisiert das Vorgehen: potenzielle Geheimnisse identifizieren und bewerten, geeignete Maßnahmen anwenden, Informationsabflüsse überwachen und reagieren. Eine Vertraulichkeitsvereinbarung reicht daher nicht aus, wenn Dokumente frei zugänglich bleiben, Berechtigungen nach dem Ausscheiden nie entzogen werden oder der Austausch mit einem Partner nicht dokumentiert wird.
Beiträge ausländischer Ansätze
Internationale Studien bekräftigen mehrere Aussagen des Leitfadens.
ENISA befragte 249 PME in 25 europäischen Staaten.
Mehr als 80 Prozent gaben an, kritische Informationen zu verarbeiten. Die meisten nutzten grundlegende Schutzmaßnahmen wie Antivirensoftware, Sicherungskopien und Firewalls, doch Mitarbeiterschulungen sowie Protokollierung und Warnmeldungen waren weniger verbreitet. Die Studie stellte auch fest, dass Phishing, Schadsoftware und Angriffe über das Web zu den häufigsten Ursachen von Vorfällen gehörten.
Das menschliche Risiko muss daher durch Überprüfungsverfahren, kurze und wiederholte Schulungen sowie technische Kontrollen angegangen werden.
Das Software Engineering Institute von Carnegie Mellon liefert eine empirische Grundlage zum internen Risiko.
Sein Leitfaden von 2022 stützt sich auf mehr als 3000 Fälle und formuliert 22 Praktiken.
Er empfiehlt ein koordiniertes Vorgehen von Unternehmensleitung, Personalabteilung, Rechtsabteilung, physischer Sicherheit, IT und Datenverantwortlichen. Dieser Ansatz könnte den französischen Leitfaden stärken, indem reine Sensibilisierung durch ein formalisiertes Programm ersetzt wird, das Arbeitsrecht und Privatsphäre achtet und klare Regeln für Einstellungen, Stellenwechsel, Spannungsphasen und das Ausscheiden vorsieht.
Die Europäische Kommission bietet schließlich einen breiteren Betrachtungsrahmen.
Ihre Strategie für wirtschaftliche Sicherheit unterscheidet vier Bereiche: die Widerstandsfähigkeit von Lieferketten, die physische und digitale Sicherheit kritischer Infrastrukturen, Technologiesicherheit und das Risiko des Technologieabflusses sowie die Nutzung wirtschaftlicher Abhängigkeiten als Druckmittel.
Der Bericht der OCDE von 2025 ergänzt einen hilfreichen Warnhinweis. Risiken hängen miteinander zusammen, doch eine zu pauschale Reaktion kann die Vorteile offener Märkte schwächen. Die richtige Antwort besteht darin, tatsächlich kritische Abhängigkeiten zu erfassen, Alternativen vorzusehen und eine vielfältige internationale Zusammenarbeit aufrechtzuerhalten.
Vom Maßnahmenkatalog zu einem steuerbaren Programm
Der Leitfaden der Gendarmerie nationale bietet eine hervorragende Grundlage für die Sensibilisierung und einen Umsetzungsweg mit vier Prioritäten.
1 Lebenswichtige Unternehmenswerte identifizieren Jeden Wert seinen Inhabern, Zugangsberechtigungen, Abhängigkeiten und seiner maximal tolerierbaren Ausfallzeit zuordnen.
2 Verantwortung organisieren Eine von der Unternehmensleitung unterstützte verantwortliche Person benennen und die Bereiche Sicherheit, IT, Personal, Recht, Einkauf und Kommunikation regelmäßig zusammenbringen.
3 Zugänge und Partner kontrollieren Das Kenntnis-nur-bei-Bedarf-Prinzip anwenden, Berechtigungen überprüfen, Besuche vorbereiten, Lieferanten und Investoren bewerten und anschließend überprüfbare Sicherheitsklauseln in Verträge aufnehmen.
4 Auf Krisen vorbereiten Sicherungskopien, den Plan zur Aufrechterhaltung des Geschäftsbetriebs, die Entscheidung zur Meldung, die Beweissicherung und die Kommunikation mit Kunden, Behörden und Partnern testen.
Wirtschaftliche Sicherheit wird damit zu einer Disziplin der Unternehmensführung, die in Entscheidungen über Investitionen, Partnerschaften, Innovation und internationale Entwicklung einfließt.
Internationale Quellen
• Europäische Kommission, 2023, Europäische Strategie für wirtschaftliche Sicherheit
• National Protective Security Authority und National Cyber Security Centre, 2024, Secure Innovation
• ENISA, 2021, Cybersicherheit für PME
• Weltorganisation für geistiges Eigentum, Leitfaden zu Geschäftsgeheimnissen und Innovation
• OCDE, 2025, Wirtschaftliche Sicherheit in einer sich wandelnden Welt
