Sicherheitssysteme modernisieren ohne Betriebsunterbrechung

Sicherheitssysteme modernisieren und gleichzeitig den Betrieb am Laufen halten: Das geht, auch in einem Logistikzentrum, in dem Tore und Rampen nie stillstehen dürfen. Statt alles auf einmal auszutauschen, gehen Sie Schritt für Schritt vor. Nach wenigen Wochen wissen Sie so genau, was Sie haben. Nach wenigen Monaten haben Sie einen zentralen Audit-Trail, in dem Sie Zutrittsentscheidungen nachvollziehen können. Beides können Sie belegen, noch bevor der letzte Standort umgestellt ist.

Wichtigste Erkenntnisse

Eine schrittweise Modernisierung hält Tore und Laderampen in Betrieb. Wie früh Sie Ihre Kontrolle belegen können, zählt mehr als die Gesamtdauer des Programms.
Das Programm läuft in fünf Phasen: Analyse, Minimum, Standard, Premium und Optimierung. Die genannten Zeiträume sind Planungsannahmen, die Sie an einem Pilotstandort prüfen, keine Benchmarks.
Die Minimum-Stufe liefert Transparenz und Nachweise, aber noch keine automatisierte Steuerung. Fragen Sie jeden Lieferanten, was Sie haben, wenn das Programm nach der ersten Stufe endet.
Klären Sie, wer den Betriebsmodus ändern darf und bei welchem Auslöser, und stellen Sie sicher, dass der Audit-Trail einen Netzwerkausfall übersteht.
Prüfen Sie vor dem Kauf vier Bedingungen: ausreichende Stammdaten, getrennte IT- und OT-Netze, Toleranzentscheidungen auf Managementebene und einen Vorfallreaktionsprozess, der in der Praxis funktioniert.

Sind Komplettaustausch oder Abwarten die einzigen Optionen für ein laufendes Distributionszentrum?

Nein. Beide Wege haben ihren Haken, und der wird oft unterschätzt. Eine schrittweise Modernisierung verteilt die Umstellung auf kleine, kontrollierbare Etappen. Das senkt das Risiko für Ihren laufenden Betrieb.

Wer alles auf einmal ersetzt, packt das ganze Risiko in einen einzigen Moment: die Umschaltung. Bewährte Migrationspraxis geht deshalb vorsichtig vor. Sie stellt ein System nach dem anderen um, statt einen ganzen Standort in einem Zug zu ersetzen. Und sie lässt alte und neue Systeme an einem Pilotstandort parallel laufen, bevor sie etwas abschaltet.

Aber Abwarten ist auch keine Lösung. Wenn Sie nichts ändern, bleiben Ihre alten Controller, Berechtigungskonzepte und Firmwarestände, und die Protokollierung bleibt begrenzt. Vielleicht reicht das schon heute nicht mehr aus, um die Nachweise zu liefern, die Ihr Unternehmen braucht. Dazu kommt ein Verfügbarkeitsrisiko: Veraltete Controller und Firmware ohne Herstellersupport gefährden den Betrieb. Gibt es dann weder Ersatzteile noch Sicherheitsupdates, steht die Tür still, genau wie bei einer schlecht geplanten Umstellung. Hinweise zur Wartung von Zutrittskontrollsystemen nennen außerdem veraltete Verschlüsselung und fehlende Audit-Trails als Schwachstellen, die über eine einzelne Tür hinausgehen.

Warum ist bei der Modernisierung die Reihenfolge wichtiger als das Tempo?

Wie früh Sie Ihre Kontrolle belegen können, zählt mehr als der Abschlusstermin des Programms. Im Ernstfall kann genau das haftungsrelevant sein.

Meistens läuft die Diskussion so: Kapital, Risiko, Stillstand, und am Ende heißt es „Das hängt vom Budget ab.” Das stimmt, greift aber zu kurz. Ihr Risiko hat zwei Seiten. In welchem Zustand sind Ihre Systeme? Und können Sie nachvollziehbar zeigen, dass Sie sie im Griff haben?

Denken Sie an den Ernstfall. Nach einem Vorfall wollen Versicherer oder Versender wissen: Wer hatte Zutritt? Wer hat ihn freigegeben? Welche Regeln wurden manuell außer Kraft gesetzt? Und vor einer TAPA-FSR-Rezertifizierung will der Auditor dokumentierte Nachweise sehen. TAPA-FSR-Zertifikate gelten drei Jahre. Sie verlangen jährliche interne Selbstaudits, und festgestellte Abweichungen müssen Sie innerhalb von 60 Tagen beheben. Starten Sie die Erneuerung mindestens drei Monate vor Ablauf, damit keine Lücke entsteht. Als zertifizierter Betreiber reicht es also nicht, eine Kontrolle zu haben. Sie müssen auch zeigen, dass sie gewirkt hat, überwacht wurde und dass Sie erkannte Mängel behoben haben.

Rechnen wir das einmal durch. Bei einer schrittweisen Modernisierung haben Sie nach wenigen Wochen eine dokumentierte Ausgangslage und nach einigen Monaten einen zentralen, manipulationssicheren Audit-Trail. Beides liegt vor, während andere Standorte noch umgestellt werden. Ein Komplettaustausch liefert solche Nachweise oft erst, wenn das ganze Projekt abgeschlossen ist. Bis dahin können Sie wenig vorzeigen. Die schrittweise Modernisierung ist deshalb kein Kompromiss, den man aus Kostengründen eingeht. Wenn es um frühe Nachweise geht, ist sie schlicht die bessere Wahl.

Am deutlichsten sehen Sie das an der Laderampe, denn dort wechselt die Obhut über fremde Ware. Warum die Laderampe ein besonderer Risikobereich ist, lesen Sie in einem begleitenden Artikel.

Kriterium	Komplettaustausch	Nichts tun	Phasenweise Migration
Verfügbarkeit von Rampen und Toren während des Rollouts	Bei standortweiter Umschaltung gefährdet; Parallelsysteme und eine sorgfältige Reihenfolge verringern das Risiko	Ebenfalls gefährdet: Firmware ohne Support, alternde Controller und fehlende Audit-Trails schwächen die Resilienz	Bestehende Systeme bleiben in Betrieb; Umschaltung nach Zone, System oder Standortwelle
Kapitalbindung	Vorab konzentriert	Kurzfristig gering; später können Kosten durch Ausfälle, Nachrüstungen oder Sicherheitsvorfälle entstehen	Gestaffelt nach Phase und Standort
Erste nachweisbare Kontrolle	Meist bei Abschluss	Erst nach einer manuellen Ausgangslage	Ausgangslage nach Phase 0; zentraler Audit-Trail nach Phase 1
Skalierbarkeit auf mehrere Standorte	Jeder Standort braucht womöglich einen Neuaufbau	Jeder Standort bleibt lokal konfiguriert und uneinheitlich	Eine zentral entwickelte, erprobte Vorlage wird lokal angepasst

Qualitativer Vergleich auf Grundlage üblicher Migrationspraxis. Es ist kein Benchmark veröffentlichter Einsatzergebnisse mit gleichen Maßstäben.

Welche Vorschriften machen Nachweise wichtig, und für wen gelten sie?

Zwei EU-Rechtsakte geben den Rahmen vor, und sie setzen unterschiedliche Schwerpunkte:

NIS-2 legt Einrichtungen im Anwendungsbereich Pflichten zu Cyber- und Lieferkettensicherheit auf.

Die CER-Richtlinie (2022/2557) betrifft die physische Widerstandsfähigkeit kritischer Einrichtungen, auch im Verkehr.

Wie weit die Länder bei der Umsetzung sind, ist sehr unterschiedlich, und der Stand ändert sich laufend:

Belgien: Das NIS-2-Gesetz wurde am 26. April 2024 verabschiedet und trat am 18. Oktober 2024 in Kraft, einen Tag nach der EU-Frist vom 17. Oktober 2024.
Deutschland: Das NIS-2-Umsetzungsgesetz trat am 6. Dezember 2025 in Kraft, ohne Übergangsfrist. Das KRITIS-Dachgesetz, das die CER-Richtlinie umsetzt, trat am 17. März 2026 in Kraft.
Frankreich, die Niederlande und Spanien: Sie hatten keine vollständige Umsetzung von NIS-2 gemeldet. Am 8. Juli 2026 verwies die Kommission sie deshalb an den Gerichtshof. Prüfen Sie den aktuellen Stand, bevor Sie sich auf ein nationales Datum stützen.

Ob die Vorgaben für Sie gelten, müssen Sie für Ihr Unternehmen einzeln prüfen, und der Anwendungsbereich ist enger, als viele denken. Nach dem KRITIS-Dachgesetz gilt eine Anlage als kritisch, wenn sie für eine kritische Dienstleistung wesentlich ist. Als Standardschwelle gilt eine Anlage, die 500.000 Einwohner versorgt. Das Bundesinnenministerium schätzt, dass rund 1.700 Anlagen alle Anforderungen an die Widerstandsfähigkeit erfüllen müssen. Verkehr und Transport ist zwar ein erfasster Sektor, aber nicht jedes Distributionszentrum wird dadurch zur kritischen Anlage. Bei NIS-2 entscheiden Branche, Größe und Beschäftigtenzahl. Prüfen Sie deshalb getrennt, ob Ihr Unternehmen unter NIS-2 fällt und ob die nationalen Regeln zur CER-Richtlinie für Sie gelten.

Wie sieht die Modernisierung bestehender Sicherheitssysteme Phase für Phase aus?

Die Modernisierung läuft in fünf Phasen, die aufeinander aufbauen. Jede Phase erweitert Ihre vorhandene Technik um klar definierte Funktionen und gibt Ihnen etwas Neues, das Sie vorzeigen können. Die Zeiträume unten sind Richtwerte für ein typisches Programm mit mehreren Standorten, kein Branchen-Benchmark. Wie lange es bei Ihnen dauert, hängt ab von der Zahl Ihrer Standorte, dem Alter der Systeme, der Datenqualität, der Netzwerkreife, den Anforderungen des Betriebsrats und davon, wie viel lokal angepasst werden muss.

Die Ausbaustufen Minimum, Standard und Premium sind keine eigene Spur neben den Phasen. Sie entsprechen den Phasen 1, 2 und 3. Starten Sie mit Minimum, aber planen Sie die Architektur von Anfang an auf das Premium-Ziel. Wenn die Plattform auf allen Stufen dieselbe bleibt und nur weitere Module dazukommen, müssen Sie später nichts neu aufsetzen. Lassen Sie sich von jedem Lieferanten bestätigen, dass das für sein Design gilt.

Phase 0, Analyse: 4 bis 6 Wochen

Hier verschaffen Sie sich den Überblick: Bestandsaufnahme, Zonenplan, Systeminventar, Risikoanalyse und Schnittstellenanalyse. Diese Phase kommt zuerst, weil jede spätere Entscheidung auf dokumentierten Fakten beruhen sollte und nicht auf Annahmen. Danach können Sie zeigen, welche Systeme Sie haben, wo sie stehen und welche Schnittstellen es gibt. Damit sind Sie weiter als viele Standorte heute.

Phase 1, Minimum: 3 bis 6 Monate

Jetzt verbinden Sie die Sicherheitsmanagement-Plattform, die Zutrittskontrolle, die Torsteuerung und Ihre vorhandene Videoüberwachung. Diese Phase kommt als Nächstes, weil alles Weitere in der zentralen Plattform und im Audit-Trail zusammenläuft. Möglich ist das, ohne alles zu ersetzen, weil es offene Schnittstellen gibt: SIA OSDP v2.2.2 für Zutrittskontrollgeräte, ONVIF-Profile für Video (Profile S und T) und Zutrittskontrolle (Profile A, C, D und M) sowie REST-APIs. Standardisierte Schnittstellen verkleinern den Austauschumfang. Konfiguration, Firmware, Berechtigungen und Integration bleiben aber Arbeit. Am Ende können Sie ein manipulationssicheres Protokoll vorlegen, das zeigt, was an Ihren kritischen Eingängen passiert ist.

Phase 2, Standard: weitere 4 bis 6 Monate

Jetzt kommen eine risikobasierte Entscheidungslogik, Yard Management, automatisierter Notbetrieb (Degraded Mode), ein Kennzahlenrahmenwerk und die cyber-physische Grundlage dazu. Die Entscheidungslogik bewertet, wie verlässlich die vorliegenden Informationen sind, statt nur zwischen Freigabe und Ablehnung zu unterscheiden. Sie baut auf der zentralen Plattform aus Phase 1 auf und kommt deshalb erst jetzt. Danach können Sie zeigen, warum jede Entscheidung gefallen ist und welche Rückfallebene vorgesehen war.

Phase 3, Premium: weitere 6 bis 12 Monate

Jetzt folgen Zero-Trust-Netzwerkzugriff, Verhaltensanalysen gegen Insider-Bedrohungen, Multi-Site-Management und erweiterte Compliance. Das kommt bewusst später, weil diese Funktionen eine stabile technische und organisatorische Grundlage brauchen. Danach können Sie ein einheitliches Protokoll über alle Standorte vorlegen.

Phase 4, Optimierung: laufend

Hier feilen Sie nach: Sie kalibrieren die Entscheidungslogik, prüfen Kennzahlen, führen Red-Team-Tests durch und bereiten Audits vor. Die Phase beginnt nach der Einführung und läuft dauerhaft, denn für die Kalibrierung brauchen Sie Daten aus dem laufenden Betrieb. Danach können Sie belegen, dass Ihre Kontrollen nicht nur installiert, sondern auch erprobt sind.

Welche Nachweise müssen mindestens vorliegen?

Legen Sie schon im ersten Monat fest, woran Sie erkennen, dass Ihre Sicherheitsmaßnahmen wirken. Dann können Sie die ersten Phasen daran messen:

Ein vollständiges Inventar der Assets und Zonen.
Eine dokumentierte Risikobewertung für Eingänge, Höfe und Rampen.
Ein zentrales Ereignisprotokoll für Zutrittsentscheidungen an kritischen Türen.
Ein aufbewahrter Audit-Trail für System- und Benutzeränderungen.
Eine benannte Verantwortung für jeden Betriebsmodus und jeden Eskalationspfad.
Ein getesteter Prozess, um nach einem Vorfall Beweise zu sichern.

Was ist in der Minimum-Stufe noch nicht enthalten?

Wichtig zu wissen: Automatisierte Entscheidungen und automatischer Notbetrieb fehlen in der Minimum-Stufe noch. Planen Sie Ihren Betrieb darauf ein. Was Sie bekommen, ist trotzdem eine ganze Menge: ein zentrales Lagebild, Zutrittskontrolle an kritischen Eingängen, Kennzeichenerkennung am Haupttor, Ihre vorhandenen Kameras in einer Ansicht und einen manipulationssicheren zentralen Audit-Trail. Risikobasierte Entscheidungslogik, Orchestrierung, Yard-Optimierung und automatischer Notbetrieb kommen mit der zweiten Stufe.

Zu diesem Zeitpunkt sollte ein schriftliches Handbuch für die Aufrechterhaltung des Betriebs vorliegen, die automatisierten Abläufe für den Notbetrieb gibt es aber noch nicht. Wer hier stoppt, hat Transparenz und Nachweise, aber noch keine automatisierte Steuerung. Angebote für stufenweise Einführungen sagen dazu selten etwas Eindeutiges. Stellen Sie deshalb jedem Lieferanten in der engeren Wahl diese Frage: Was genau habe ich, wenn das Programm nach der ersten Stufe endet?

Was passiert mit Zutrittsentscheidungen, wenn das Netzwerk ausfällt?

Die Controller vor Ort entscheiden weiter über Zutritt, auch wenn das Netzwerk ausfällt. Die wichtigere Frage betrifft die Verantwortung: Wer darf den Betriebsmodus ändern, bei welchem Auslöser, und übersteht der Audit-Trail den Ausfall? Ob die Controller einen lokalen Datenspeicher haben, ist wichtig, beantwortet diese Fragen aber nicht.

Definieren Sie dafür vier Betriebsmodi: Normalbetrieb, Notbetrieb (Degraded), Reduzierter Betrieb (Reduced Service) und Lockdown. Für jeden Modus brauchen Sie dokumentierte Auslöser, Abläufe und Freigaben. Ein mögliches Vorgehen sieht so aus: Fällt das Heartbeat-Signal eines Kernsystems aus, zum Beispiel länger als 30 Sekunden, schlägt das System den Notbetrieb automatisch vor, und die Schichtleitung bestätigt ihn. Über den Wechsel in den Reduzierten Betrieb entscheidet eine benannte Person aus dem Sicherheitsmanagement. Auslöser sind der Ausfall eines zweiten Kernsystems oder lokale Daten, die ein festgelegtes Alter überschreiten. Den Lockdown verantworten Sicherheitsmanagement oder Geschäftsleitung. Jeder Wechsel wird protokolliert. Die 30 Sekunden sind ein Beispiel, das Sie an Ihr Netzwerk anpassen, keine verbindliche Vorgabe.

Die Controller sollten mit den gespeicherten Daten so lange selbstständig über Zutritte entscheiden, wie Ihr schlimmster realistischer Ausfall dauert. 72 Stunden decken ein langes Wochenende mit Reserve ab und sind ein guter Test für jeden Lieferanten. Entscheidungen während des Ausfalls speichern Sie lokal und synchronisieren sie, sobald die Verbindung wieder steht. So bleibt der Audit-Trail auch während des Ausfalls vollständig. Diese Fähigkeit kommt normalerweise erst mit der zweiten Stufe.

Wie skaliert ein Sicherheitsstandard von einem Standort auf viele?

Sie definieren den Standard einmal, erproben ihn an einem Standort und passen ihn danach nur noch lokal an. Das geht so: Legen Sie den Standard als Konfigurationsvorlage fest und planen Sie dafür ein bis zwei Wochen ein. Erproben Sie die Vorlage dann vier bis acht Wochen an einem Pilotstandort mit durchschnittlichen Bedingungen, also weder an Ihrem neuesten noch an Ihrem schwierigsten Standort. Halten Sie fest, was der Pilot zeigt, und nutzen Sie das als Spezifikation für alle weiteren Standorte. Hat sich die Vorlage bewährt, brauchen die weiteren Standorte voraussichtlich ein bis drei Wochen. Angepasst wird nur, was lokal abweicht, die Integrationsarbeit müssen Sie nicht wiederholen. Verstehen Sie diese Werte als Planungsannahmen, die Sie am Pilotstandort prüfen, nicht als Benchmarks.

Bei bestehender Technik binden Sie zuerst die zentrale Plattform an und ersetzen die Hardware danach Schritt für Schritt. Probieren Sie alles zuerst in einem klar abgegrenzten Bereich aus, bevor Sie standortweise ausrollen. Der Vorteil: Ihre Investition bleibt geschützt, und der Betrieb steht nicht still. Schwierig werden vor allem komplexe Schnittstellen und die Steuerung der einzelnen Migrationsphasen. Mit ein paar Kennzahlen erkennen Sie solche Risiken früh:

Anteil der Standorte mit abgeschlossener Ausgangslage aus Phase 0.
Anteil der kritischen Eingänge, die an die zentrale Plattform melden.
Anteil der Zutrittsereignisse mit vollständiger Angabe von Identität, Zeit, Ort und Entscheidung.
Mittlere Zeit bis zur Erkennung eines Controller-, Kamera- oder Leserausfalls.
Anteil der Wechsel in den Notbetrieb, die protokolliert und von der Schichtleitung freigegeben sind.
Anteil der Audit-Feststellungen, die innerhalb von 60 Tagen geschlossen werden. Das entspricht der TAPA-Erwartung an Korrekturmaßnahmen.
Zahl der Standorte auf der Standard-Konfigurationsvorlage im Vergleich zu Standorten mit lokalen Ausnahmen.

Diese Kennzahlen helfen Ihnen bei der eigenen Steuerung, es sind keine allgemeinen Vergleichswerte. Legen Sie Ihre Ziele anhand Ihrer eigenen Ausgangslage fest.

Was muss gegeben sein, bevor Sie etwas kaufen?

Ein Brownfield-Programm, also die Modernisierung eines bereits laufenden Standorts, scheitert, wenn Sie Migration als reines Hardwareprojekt behandeln. Was wirklich zählt, sind eine dokumentierte Ausgangslage, das Rollenmodell, die Entscheidungen zu Toleranzen, die Rückfallregeln und der Beleg, dass jedes davon freigegeben wurde. Bevor Sie bei irgendjemandem einkaufen, sollten vier Voraussetzungen erfüllt sein:

Die Stammdaten sind vollständig und von ausreichender Qualität.
IT- und OT-Netze sind getrennt.
Entscheidungen über Toleranzen und das Rollenmodell fallen auf Managementebene.
Ein Vorfallreaktionsprozess funktioniert in der Praxis.

Ohne diese Voraussetzungen kommen Sie mit einem schrittweisen Programm nicht weit. Eine risikobasierte Entscheidungslogik ist nur so gut wie die Regeln dahinter. Fehlen benannte Verantwortliche, ein geregelter Auditprozess und eine regelmäßige Kalibrierung, entscheidet sie womöglich unkontrolliert oder blockiert den Betrieb ohne Grund.

Ein einfacher Reifegradcheck hilft Ihnen, die Voraussetzungen standortweise zu prüfen. Bewerten Sie jeden Standort in sechs Bereichen mit jeweils 0 bis 2 Punkten:

Bereich	Worauf Sie achten
Stammdaten	Standorte, Zonen, Türen, Leser, Kameras, Fahrzeuge, Frachtführer
Netzwerktrennung	Trennung von IT und OT, VLANs, Firewall-Regeln, Fernzugriff
Identity Governance	Benannte Verantwortliche für Richtlinien, Rollenmodell, Freigabeworkflow
Vorfallreaktion	Getestete Eskalation, Beweissicherung, Verantwortliche für die Wiederherstellung
Altlasten	Firmware ohne Support, lokale Datenbanken, proprietäre Integrationen
Nachweisfähigkeit	Audit-Protokolle, CCTV-Aufbewahrung, Plombenprotokolle, Ausnahmeprotokolle

Hat ein Standort bei Stammdaten oder Netzwerktrennung Lücken, schließen Sie diese, bevor Sie ihn an die zentrale Plattform anbinden. Sonst erbt die neue Plattform jede Lücke.

Fazit: Wo sollten Sie anfangen?

Sicherheitssysteme modernisieren Sie erfolgreich, wenn jede Phase Ihnen etwas Neues zeigt, das Sie belegen können. Starten Sie mit Phase 0, denn sie braucht keine Produktentscheidung. Eine dokumentierte Ausgangslage hilft Ihnen, egal für welche Lösung Sie sich später entscheiden. Sie zeigt Ihnen, welche Standorte bereit sind und wo zuerst die Grundlagen fehlen. Legen Sie danach gemeinsam mit Sicherheit, Betrieb und IT fest, welche Nachweise Sie mindestens brauchen. Dann wissen Sie, woran Sie die erste Phase messen.

Sie können diese Reihenfolge auch gemeinsam mit dem Logistikteam von Primion durchgehen. Sehen Sie, wie Betreiber Sicherheitssysteme an ihren eigenen Standorten modernisieren, in Sicherheit für Logistik und Distribution.

Häufig gestellte Fragen

Was ist Modernisierung bestehender Sicherheitssysteme?

Dabei erneuern, integrieren oder ersetzen Sie vorhandene Anlagen Schritt für Schritt, während Tore und Laderampen in Betrieb bleiben. Jede Phase erweitert Ihre Technik um klar definierte Funktionen und gibt Ihnen etwas Neues zum Vorzeigen, von der dokumentierten Ausgangslage bis zum zentralen Audit-Trail.

Warum ist die Reihenfolge der Phasen wichtig?

Jede Phase baut auf der vorherigen auf. Plattform und Audit-Trail müssen stehen, bevor eine risikobasierte Entscheidungslogik sie nutzen kann, und die Kalibrierung braucht Daten aus dem laufenden Betrieb. Die Reihenfolge bestimmt auch, wie früh Sie Kontrolle nachweisen können.

Was liefert eine Minimum-Einführung?

Sie erhalten ein zentrales Lagebild, Zutrittskontrolle an kritischen Eingängen, Kennzeichenerkennung am Haupttor, Ihre vorhandenen Kameras in einer Ansicht und einen manipulationssicheren zentralen Audit-Trail. Entscheidungslogik, Yard-Optimierung und automatischer Notbetrieb fehlen noch. Sie bekommen Transparenz und Nachweise, aber noch keine automatisierte Steuerung.

Wie skaliert ein phasenweises Programm über mehrere Standorte?

Sie definieren den Standard einmal als Konfigurationsvorlage, erproben ihn an einem Pilotstandort mit durchschnittlichen Bedingungen und übertragen ihn dann mit rein lokalen Anpassungen auf jeden weiteren Standort. Die Zeiträume in diesem Artikel sind Planungsannahmen, die Sie am Pilotstandort prüfen, keine veröffentlichten Benchmarks.