Kommentar: Martin Herrenknecht rechnet mit dem deutschen Planungsapparat ab. Seine Kritik trifft auch die Sicherheitsbranche. Zwischen KRITIS-Regulierung, Normen, Ausschreibungen und immer neuen Strategien entsteht zu oft der Eindruck, Deutschland verwalte Sicherheit gründlicher, als es sie umsetzt.

Martin Herrenknecht ist nicht dafür bekannt, Probleme weichzuzeichnen. Im Handelsblatt nimmt er den deutschen Planungsapparat am Beispiel des jahrelang verzögerten Bahn-Anschlusses an die Brenner-Trasse ins Visier und fordert einen „Umsetzungssprint“. Man kann über den Ton streiten. Über das dahinterliegende Problem deutlich weniger. Deutschland leidet nicht an einem Mangel an Erkenntnis. Risiken sind bekannt, Strategien geschrieben, Normen entwickelt, Zuständigkeiten beschrieben und Gremien eingerichtet. Kaum ein Problem erreicht uns heute unanalysiert. Im Gegenteil: Wir sind regelmäßig schon „vor der Lage“, während die Umsetzung noch versucht, Anschluss zu finden.

Die Sicherheitsbranche kennt dieses Muster gut. Seit Jahren heißt es, wir müssten resilienter werden, Kritische Infrastrukturen besser schützen, Cyber- und physische Sicherheit zusammendenken, Drohnen früher erkennen, Lieferketten absichern und Behörden digitalisieren. Man müsse „vor die Lage kommen“, „mit der Welle gehen“, „auf Sicht fahren“, „Stakeholder mitnehmen“, „Synergien heben“ und sich natürlich „ganzheitlich aufstellen“. Alles richtig. Nur entsteht zunehmend der Eindruck, dass die Beschreibung eines Problems bereits als Teil seiner Lösung gilt. Wer auf die nächste regulatorische Welle wartet, um dann mit ihr zu schwimmen, kommt übrigens definitionsgemäß nicht vor die Lage. Er befindet sich ziemlich exakt auf Höhe der Lage – sofern das Verfahren nicht noch einmal vertagt wird.

Regeln sind notwendig. Umsetzung wäre allerdings auch nicht schlecht.

Mit dem KRITIS-Dachgesetz bekommt Deutschland erstmals einen sektorübergreifenden Rahmen für die physische Resilienz Kritischer Infrastrukturen. Das ist wichtig. Aber mit dem Gesetz beginnt eben erst die nächste deutsche Spezialdisziplin: konkretisieren, abstimmen, Zuständigkeiten definieren, Rechtsverordnungen vorbereiten, Auslegungsfragen klären. Parallel entstehen Leitfäden, Verbandspositionen, Fachveranstaltungen und Panels darüber, was jetzt dringend geschehen müsse. Das Problem sind nicht diese Instrumente. Eine komplexe Sicherheitsarchitektur braucht Standards, Normen, Rechtsgrundlagen und nachvollziehbare Ausschreibungen. Aber irgendwann muss aus all dem auch eine Schranke, ein Sensor, eine Zutrittskontrolle, ein funktionierender Perimeterschutz oder ein belastbarer Krisenprozess werden.

Eine Risikoanalyse schützt noch keine Infrastruktur. Eine Norm stoppt keinen Eindringling. Ein Strategiepapier erkennt keine Drohne. Erst Umsetzung erzeugt Sicherheitswirkung. Genau deshalb wirkt manche Branchendiskussion inzwischen merkwürdig entrückt. Während Unternehmen und Behörden darüber beraten, wie man sich „zukunftsfähig aufstellt“, entwickelt sich die Bedrohungslage sehr gegenwartsorientiert weiter. Drohnentechnologie wartet nicht auf harmonisierte Beschaffungsrichtlinien. KI-basierter Betrug lässt sich nicht von laufenden Normungsverfahren beeindrucken. Saboteure dürften sich ebenfalls nur begrenzt dafür interessieren, ob der zuständige Arbeitskreis seinen Abschlussbericht bereits vorgelegt hat. Der Angreifer fährt nicht auf Sicht. Er nutzt die Sichtlücke.

Gerade bei größeren Sicherheitsprojekten zeigt sich das Problem besonders deutlich. Zwischen Gefährdungsanalyse, Budgetierung, Vergabe, Datenschutzprüfung, technischer Spezifikation, Bauplanung und tatsächlicher Inbetriebnahme können mehrere Innovationszyklen liegen. Am Ende wird mitunter eine Lösung installiert, die zum Zeitpunkt der ersten Planung tatsächlich hochmodern war. Natürlich brauchen solche Projekte Sorgfalt. Aber auch Verzögerung ist eine Risikoentscheidung. Wer drei Jahre auf den perfekten Perimeterschutz wartet, arbeitet drei Jahre mit dem alten. Wer jahrelang über Drohnendetektion diskutiert, besitzt in dieser Zeit keine bessere Detektion. Die Frage müsste deshalb häufiger lauten: Was kostet uns nicht nur die falsche Entscheidung – sondern auch die verspätete richtige?

Weniger Bühne, mehr Verantwortung

Vielleicht liegt hier auch eine Verantwortung der Branche selbst. Sicherheitswirtschaft, Verbände, Behörden und Politik beherrschen die Sprache der Transformation inzwischen bemerkenswert gut. Kaum ein Thema, das nicht auf einer Bühne diskutiert, in einer Taskforce bearbeitet, in einem Whitepaper beschrieben oder als strategischer Wendepunkt ausgerufen wird. Austausch ist notwendig. Öffentlichkeit ebenfalls. Aber Sicherheit entsteht nicht durch die Zahl der Menschen, die erklären, wie wichtig Sicherheit ist.

Die Branche könnte sich deshalb etwas weniger Selbstdarstellung und deutlich mehr Konzentration auf Ergebnisse leisten. Nicht jede neue Regulierung braucht fünf Panels darüber, dass sie komplex ist. Nicht jedes Projekt benötigt zuerst eine kommunikative Begleitarchitektur. Nicht jede Organisation muss bei jedem neuen Bedrohungsbild öffentlich erklären, dass sie es „ganzheitlich betrachtet“. Manchmal wäre es erfrischend, wenn die Verantwortlichen schlicht sagen würden: Das ist das Risiko. Das ist unsere Priorität. Das ist die zuständige Stelle. Das machen wir jetzt. Und daran messen wir, ob es funktioniert.

Verantwortung sollte wieder einen Namen bekommen. Denn das vielleicht größte Problem komplexer Planungsstrukturen ist nicht einmal ihre Langsamkeit. Es ist die Möglichkeit, Verantwortung so breit zu verteilen, dass am Ende jeder seinen Teilprozess korrekt abgearbeitet hat und trotzdem niemand für das Ergebnis zuständig war. Diese Form organisierter Verantwortungslosigkeit ist bequem. Für Sicherheitsorganisationen ist sie gefährlich.

Herrenknechts Bürokratiekritik muss man deshalb nicht in jedem Punkt teilen. Schnelle Genehmigungen sind nicht automatisch gute Genehmigungen, und ein Rechtsstaat darf sich Tempo nicht durch den Verzicht auf Kontrolle erkaufen. Aber Sorgfalt und Geschwindigkeit sind keine Gegensätze. Ein leistungsfähiger Staat zeichnet sich nicht dadurch aus, dass er möglichst wenige Regeln besitzt. Er zeichnet sich dadurch aus, dass er mit seinen Regeln Entscheidungen treffen kann. Das gilt genauso für Betreiber Kritischer Infrastrukturen und für die Sicherheitswirtschaft.

Wir brauchen Normen, aber Normen, die Entscheidungen erleichtern. Wir brauchen Ausschreibungen, aber Verfahren, die Innovation nicht jahrelang einfrieren. Wir brauchen Abstimmung, aber irgendwann auch das Ende der Abstimmung. Und wir brauchen Verantwortliche, die nicht nur Prozesse moderieren, sondern Entscheidungen vertreten.

Vielleicht sollten wir deshalb einige unserer Lieblingsformulierungen einfach beerdigen. Nicht „mit der Welle gehen“, sondern entscheiden, wohin wir wollen. Nicht ständig „auf Sicht fahren“, wenn die Gefahren längst auf dem Radar sind. Und nicht dauernd ankündigen, dass wir „vor die Lage kommen“ müssen.

Einfach anfangen, es zu tun.

Denn Deutschlands Sicherheitsproblem ist derzeit nicht, dass niemand weiß, was zu tun wäre. Wir analysieren, standardisieren, regulieren und planen auf bemerkenswert hohem Niveau. Der nächste Fortschritt wäre fast revolutionär:

weniger darüber reden, wie dringend gehandelt werden muss – und handeln.

[DCM]