Eine Leitstelle kann technisch hervorragend ausgestattet sein – und dennoch ihren Betrieb nicht aufrechterhalten können. Beispielsweise, wenn ein Brand in der Nachbarschaft die Evakuierung des Gebäudes erforderlich macht oder nach einem Starkregenereignis technische Infrastruktur im Keller oder Erdgeschoss überflutet wird. Oder wenn bei einem länger andauernden Stromausfall zwar die Netzersatzanlage funktioniert, deren Nachbetankung jedoch nicht sichergestellt werden kann.
Solche Szenarien verdeutlichen: Die Verfügbarkeit einzelner technischer Systeme ist nicht gleichbedeutend mit der Funktionsfähigkeit einer Leitstelle. Entscheidend ist das Zusammenspiel von Standort, Infrastruktur, Technik, Personal und Organisation.
Resilienz bedeutet für Leitstellen, kritische Funktionen auch bei Störungen möglichst aufrechtzuerhalten oder innerhalb festgelegter Zeiträume wiederherzustellen.
Wer Leitstellen resilient gestalten will, muss deshalb über klassische Sicherheitsmaßnahmen und technische Redundanzen hinausdenken. Eine systematische Risiko-, Gefährdungs- und Standortanalyse bildet dafür die Grundlage.
Resilienz beginnt bei den kritischen Prozessen
Leitstellen und Sicherheitszentralen übernehmen häufig Aufgaben, die für die Sicherheit und Handlungsfähigkeit einer Organisation unverzichtbar sind. Sie empfangen und bewerten Meldungen, koordinieren Maßnahmen, alarmieren Einsatzkräfte oder unterstützen die Bewältigung außergewöhnlicher Ereignisse.
Welche Folgen hätte es, wenn diese Funktionen für wenige Minuten, mehrere Stunden oder sogar Tage nicht mehr zur Verfügung stünden?
Diese Frage steht am Anfang einer belastbaren Resilienzbetrachtung. Im Rahmen des Business Continuity Managements (BCM) werden zeitkritische Geschäftsprozesse identifiziert und ihre Abhängigkeiten untersucht. Eine Business Impact Analysis (BIA) hilft dabei, die Auswirkungen möglicher Unterbrechungen zu bewerten und Prioritäten für die Betriebsfortführung festzulegen.
Dabei reicht es nicht aus, ausschließlich die Verfügbarkeit der Leitstellentechnik zu betrachten.
Ein Beispiel: Eine Leitstelle kann weiterhin Gefahrenmeldungen empfangen. Fällt jedoch die Kommunikationsverbindung zu technischen Systemen oder Interventionskräften aus, ist eine wesentliche Funktion der Gefahrenabwehr beeinträchtigt. Obwohl zentrale technische Komponenten verfügbar bleiben, kann die Leitstelle ihre Aufgaben nicht mehr vollständig erfüllen.
Deshalb muss zunächst geklärt werden, welche Funktionen unter welchen Bedingungen aufrechterhalten werden müssen und welche Ressourcen dafür unverzichtbar sind.
All-Gefahrenansatz: Risiken im Zusammenhang betrachten
Die möglichen Ursachen einer Betriebsunterbrechung sind vielfältig. Neben technischen Störungen kommen Naturereignisse, menschliche Bedrohungen und organisatorische Schwachstellen in Betracht.
Ein All-Gefahrenansatz berücksichtigt diese unterschiedlichen Gefährdungen in einer gemeinsamen Risikobetrachtung. Dazu gehören beispielsweise:
- Naturgefahren wie Hochwasser, Starkregen, Sturm oder extreme Temperaturen
- technische Störungen und Ausfälle der Energie-, Kommunikations- oder IT-Infrastruktur
- vorsätzliche Handlungen wie Sabotage, Einbruch oder unbefugter Zutritt
- organisatorische Risiken, etwa durch fehlendes qualifiziertes Personal oder unzureichend vorbereitete Notfallabläufe
Die einzelnen Gefährdungen dürfen dabei nicht isoliert betrachtet werden. Unterschiedliche Ereignisse können dieselben kritischen Funktionen beeinträchtigen.
So kann ein Stromausfall durch einen technischen Defekt, ein Unwetter oder eine vorsätzliche Beschädigung der Infrastruktur ausgelöst werden. Für die Betriebsfortführung ist zunächst entscheidend, welche Systeme betroffen sind, wie lange die Unterbrechung andauern könnte und welche Ersatzmaßnahmen zur Verfügung stehen.
Die Risikobewertung berücksichtigt deshalb nicht nur die Eintrittswahrscheinlichkeit, sondern insbesondere die möglichen Auswirkungen auf Menschen, Prozesse, Infrastruktur und Verfügbarkeit. Auch die Zeitspanne bis zur Erkennbarkeit von Beeinträchtigungen oder Sicherheitsvorfällen spielt eine wichtige Rolle.
Aus dieser Bewertung lassen sich Schutzziele ableiten: Welche Ereignisse sollen möglichst verhindert werden? Welche müssen frühzeitig erkannt werden? Und bei welchen Szenarien muss sichergestellt sein, dass der Betrieb trotz einer Störung fortgeführt werden kann?
Standortanalyse: Wenn das Umfeld zum Sicherheitsrisiko wird
Die Standortwahl beziehungsweise die Bewertung eines bestehenden Standorts hat erheblichen Einfluss auf die Resilienz einer Leitstelle. Denn nicht alle Gefährdungen lassen sich durch Maßnahmen innerhalb des Gebäudes beherrschen.
Hochwasser und Starkregen: Mehr als eine Frage des Gebäudeschutzes
Bei der Bewertung von Hochwasserrisiken sind zunächst die geografische Lage, Geländehöhen und mögliche Überflutungsflächen zu betrachten. Hochwassergefahren- und Risikokarten liefern dafür wichtige Anhaltspunkte.
Allerdings endet die Analyse nicht an der Grundstücksgrenze.
Ein Beispiel: Die eigentlichen Leitstellenräume liegen in einem hochwassergeschützten Gebäudeteil. Bei einem Starkregenereignis sind jedoch die Zufahrtswege überflutet. Auch andere Ereignisse, etwa Demonstrationen oder die Blockade von Zugängen, können die Erreichbarkeit einschränken. Ein Personalwechsel ist nicht mehr möglich, notwendige Lieferungen können nicht erfolgen und externe technische Einrichtungen sind möglicherweise ebenfalls betroffen.
Die Leitstelle bleibt baulich unbeschädigt, ihre Betriebsfähigkeit ist dennoch gefährdet.
Neben dem unmittelbaren Gebäudeschutz müssen deshalb auch die Erreichbarkeit, die Lage sensibler Technikräume sowie die Abhängigkeit von externen Versorgungsstrukturen berücksichtigt werden.
Extreme Temperaturen: Auslegung für außergewöhnliche Belastungen
Auch hohe Außentemperaturen können die Verfügbarkeit einer Leitstelle beeinträchtigen. Insbesondere IT-Systeme und andere technische Einrichtungen sind auf eine zuverlässige Kühlung angewiesen.
Bei der Planung von Klima- und Rückkühltechnik ist daher nicht allein die durchschnittliche Temperaturbelastung maßgeblich. Auch außergewöhnliche Temperaturspitzen müssen in die Betrachtung einbezogen werden.
Andernfalls kann ausgerechnet während einer extremen Wetterlage, in der eine Leitstelle besonders gefordert ist, ihre technische Infrastruktur an Belastungsgrenzen geraten.
Nachbarschaft und Umgebung berücksichtigen
Weitere Standortgefährdungen können sich aus benachbarten Nutzungen, Verkehrswegen oder technischen Anlagen ergeben. Ein Gefahrgutunfall in der Umgebung kann beispielsweise zur Sperrung eines Gebiets oder zur Evakuierung angrenzender Gebäude führen.
Die Leitstelle muss von einem solchen Ereignis nicht unmittelbar beschädigt werden, um ihren Betrieb einstellen zu müssen.
Eine fundierte Standortanalyse betrachtet deshalb sowohl direkte Einwirkungen auf das Gebäude als auch indirekte Auswirkungen auf Zugänglichkeit, Versorgung und Nutzbarkeit.
Weitere Aspekte der Standortwahl behandelt unser Beitrag „Sicherheitszentralen und Leitstellen: Warum Resilienz vor dem ersten Alarm beginnt“.
Kritische Abhängigkeiten: Redundanz muss zu Ende gedacht werden
Redundante Systeme gehören zu den wesentlichen Maßnahmen, um technische Ausfälle abzufangen. Doch eine doppelt vorhandene Komponente bedeutet noch nicht automatisch, dass eine Funktion auch unter außergewöhnlichen Bedingungen verfügbar bleibt.
Entscheidend ist, ob die gesamte Versorgungskette berücksichtigt wurde und ob mehrere Systeme von denselben Schwachstellen abhängig sind. Dabei geht es nicht nur um technische Redundanz, sondern gegebenenfalls auch um die räumliche Trennung kritischer Funktionen und Systeme (Georedundanz).
Das betrifft insbesondere:
- Energieversorgung und Netzersatzanlagen
- Klima-, Lüftungs- und Kältetechnik
- IT-Systeme, Server und Netzwerke
- Daten- und Telekommunikationsverbindungen
- Räume und Arbeitsplätze
- die Verfügbarkeit ausreichend qualifizierten Personals
Beispiel Notstromversorgung: Was passiert nach mehreren Stunden?
Eine Netzersatzanlage kann bei einem Ausfall der regulären Stromversorgung die Versorgung kritischer Verbraucher übernehmen. Ihre tatsächliche Leistungsfähigkeit hängt jedoch von weiteren Voraussetzungen ab.
Ist die Anlage für die erforderlichen Verbraucher dimensioniert? Wie lange reicht der vorhandene Treibstoff? Kann bei einem länger andauernden Stromausfall nachgetankt werden? Sind die Zufahrten für entsprechende Fahrzeuge erreichbar? Und welche Möglichkeiten bestehen, falls die stationäre Anlage selbst ausfällt?
Gerade die Nachbetankung zeigt, wie technische und organisatorische Abhängigkeiten ineinandergreifen.
Eine ausreichend dimensionierte Netzersatzanlage kann ihren Zweck nur so lange erfüllen, wie auch die für ihren Betrieb notwendigen Ressourcen verfügbar sind.
Derartige Abhängigkeiten müssen bereits in der Risikoanalyse erkannt und bei der Konzeption berücksichtigt werden. Dabei gilt es auch zu prüfen, ob vermeintlich unabhängige Versorgungswege tatsächlich voneinander getrennt sind oder gemeinsame Ausfallursachen besitzen.
Wenn der Standort ausfällt: Betriebsfortführung und Ersatzkonzepte
Selbst eine sorgfältig geplante und umfassend geschützte Leitstelle kann durch außergewöhnliche Ereignisse zeitweise oder dauerhaft unbenutzbar werden.
Ein Brand, eine Bombendrohung, ein Gefahrgutunfall oder eine behördlich angeordnete Evakuierung können dazu führen, dass der Standort geräumt werden muss. In solchen Fällen helfen redundante Systeme innerhalb desselben Gebäudes nur begrenzt.
Ein Beispiel: Nach einer Evakuierung sind die Leitstellenräume nicht mehr zugänglich. Die technischen Anlagen funktionieren möglicherweise weiterhin, können aber vom Personal nicht mehr genutzt werden. Die zentrale Frage lautet nun, wie die notwendigen Leitstellenfunktionen an anderer Stelle übernommen werden können.
Mögliche Ansätze sind ein räumlich getrennter Redundanzstandort, abgesetzte Arbeitsplätze oder die Zusammenarbeit mit einer geeigneten Partnerleitstelle.
Welche Lösung angemessen ist, hängt von den Aufgaben der Leitstelle, den Anforderungen an die Verfügbarkeit und den Ergebnissen der Risiko- und Auswirkungsanalysen ab.
Ein Ersatzkonzept muss dabei mehr leisten als die bloße Bereitstellung zusätzlicher Technik. Zu klären sind unter anderem die Übernahme der erforderlichen Funktionen, die Verfügbarkeit von Daten und Kommunikationsverbindungen, personelle Zuständigkeiten sowie die organisatorischen Abläufe beim Wechsel in den Ersatzbetrieb.
Entscheidend ist, dass diese Verfahren nicht erst im Ereignisfall entwickelt werden müssen. Sie gehören in die Notfallplanung und sollten unter realistischen Bedingungen überprüft werden.
Von der Risikoanalyse zur belastbaren Sicherheitskonzeption
Die systematische Betrachtung von Gefährdungen und Abhängigkeiten ist kein Selbstzweck. Sie soll nachvollziehbare Entscheidungen ermöglichen und konkrete Anforderungen an die Sicherheit und Verfügbarkeit einer Leitstelle liefern.
Dazu werden identifizierte Risiken bewertet, geeignete Schutzziele festgelegt und Maßnahmen zur Risikobehandlung abgeleitet. Diese können baulicher, technischer, organisatorischer oder personeller Natur sein.
In der Praxis ist es hilfreich, unterschiedliche Perspektiven in die Risikobewertung einzubeziehen. Betreiber, technische Fachplaner, Sicherheitsverantwortliche und weitere Beteiligte beurteilen Gefährdungen möglicherweise unterschiedlich. Werden Bewertungen zunächst unabhängig vorgenommen und anschließend gemeinsam konsolidiert, können daraus abgestimmte und besser nachvollziehbare Entscheidungen entstehen.
Ebenso wichtig ist die Akzeptanz der vorgesehenen Maßnahmen. Sicherheitsvorgaben, die betriebliche Abläufe erschweren oder von den Beteiligten nicht verstanden werden, können in der Praxis an Wirksamkeit verlieren.
Schließlich muss überprüft werden, ob die geplanten Schutz- und Ersatzmaßnahmen tatsächlich wie vorgesehen zusammenwirken. Hierzu können unter anderem Funktions- und Integrationstests sowie Übungen von Störungs- und Notfallszenarien beitragen.
Die Ergebnisse solcher Analysen fließen in die Planung von Leitstellen und Sicherheitszentralen ein – von der Bedarfs- und Sicherheitskonzeption bis zur technischen Umsetzung und Überprüfung.
Wie sich Anforderungen, Risiken und Schutzziele bei Neubau oder Modernisierung in ein Sicherheits- und Technikkonzept überführen lassen, erläutert unser Fachbeitrag „Leitstellen neu oder modernisieren“.
Fazit: Resilienz ist eine Eigenschaft des Gesamtsystems
Die Resilienz einer Leitstelle lässt sich nicht an der Anzahl redundanter Systeme oder dem Umfang ihrer Sicherheitstechnik ablesen.
Entscheidend ist, ob ihre kritischen Funktionen auch unter außergewöhnlichen Bedingungen aufrechterhalten oder innerhalb der erforderlichen Zeit wiederhergestellt werden können.
Dafür müssen Standortgefährdungen, technische und organisatorische Abhängigkeiten sowie mögliche Ausfallszenarien systematisch betrachtet werden. Der All-Gefahrenansatz schafft die Grundlage, um diese Zusammenhänge zu erkennen und daraus geeignete Schutz-, Notfall- und Ersatzkonzepte abzuleiten.
Eine resiliente Leitstelle ist nicht nur gegen einzelne Gefährdungen geschützt. Sie ist darauf vorbereitet, auch dann handlungsfähig zu bleiben, wenn vorgesehene Schutzmaßnahmen an ihre Grenzen stoßen.
