Ein nach ISO 27001 zertifiziertes ISMS schützt Vertraulichkeit, Integrität und Verfügbarkeit von Informationen. Es regelt Zugriffsrechte, Verschlüsselung, Incident Management, Netzwerksicherheit. Es fordert physische Controls: Zutrittsschutz, Gerätesicherheit, Umgebungsüberwachung.
Was es nicht explizit adressiert: das Gespräch im Besprechungsraum.
Dabei liegt genau dort die entscheidende Schwachstelle: Abhörtechnik greift das gesprochene Wort ab, bevor irgendeine technische Schutzmaßnahme greifen könnte. Verschlüsselung schützt die Übertragung. Sie schützt nicht die Quelle. Wer den Raum kompromittiert, umgeht die gesamte digitale Sicherheitsarchitektur — ohne einen einzigen Paketfilter zu überwinden.
Annex A der ISO 27001:2022 enthält 93 Controls in vier Kategorien. Die 14 physischen Controls regeln Sicherheitsperimeter, Zugangskontrolle, Geräteschutz und Umgebungssicherheit. Control A.7.4, seit der 2022-Revision neu, verlangt systematische Überwachung physischer Sicherheitsbereiche. In der Praxis wird das fast ausschließlich als Zutrittskontrolle und Kameraüberwachung interpretiert.
Kein Control der ISO 27001 fragt explizit: Wurde geprüft, ob in diesem Raum unerlaubte Abhörtechnik installiert ist?
Das ist die Lücke. Und sie ist strukturell.
Wie eine professionelle Lauschabwehr diese Lücke in der Praxis schließt, von Gefährdungsklassen über Messmethodik bis zur Dokumentation, beschreiben wir im zentralen Ratgeber Lauschabwehr – Vorgehen, Technik und Kosten.
Warum die Lücke entsteht
ISMS-Implementierungen folgen naturgemäß den Risiken, die messbar und dokumentierbar sind: Datenverlust, Zugriffsverletzungen, Systemausfälle, Phishing-Angriffe. Diese Risiken lassen sich in Logs ablesen, in Incidents erfassen, in Metriken darstellen.
Akustische Kompromittierung eines Besprechungsraums hinterlässt keine Logs. Sie erzeugt keinen Incident. Sie erscheint in keiner Metrik. Sie bleibt unsichtbar, bis jemand aktiv sucht.
Hinzu kommt: Die Hürde für einen Angreifer ist niedriger als bei einem Cyberangriff. Ein GSM-Sender in Streichholzschachtelgröße, eine präparierte Steckdosenleiste, ein manipuliertes Ladegerät, frei verfügbar, im zwei- bis niedrigen dreistelligen Bereich. Die Platzierung dauert Minuten und erfordert keinen technischen Sachverstand, nur einen unbeobachteten Moment während einer Reinigung, einer Wartung oder eines Besuchs. Wo ein Cyberangriff Schwachstellen überwinden muss, genügt hier physischer Zugang.
Und genau deshalb fällt die akustische Angriffsfläche durch die Raster der meisten Risikoanalysen. Nicht weil das Risiko nicht real ist, sondern weil die Methoden der Risikoerfassung darauf nicht ausgelegt sind.
Der Verfassungsschutzbericht des BfV benennt Wirtschaftsspionage als persistente Bedrohung für deutsche Unternehmen. Staatlich gesteuerte Akteure und wettbewerbsorientierte Industriespionage zielen auf Führungsgespräche, Verhandlungspositionen und F&E-Diskussionen, also auf Inhalte, die nie in einem Dokument landen, aber in einem Besprechungsraum entstehen.
Die Zahlen stützen das. Laut Bitkom-Studie Wirtschaftsschutz 2024 berichteten rund 30 Prozent der von Spionage oder Sabotage betroffenen Unternehmen vom Abhören von Besprechungen oder Telefonaten vor Ort, ein Anstieg von 13 Prozentpunkten gegenüber dem Vorjahr. Bitkom führt das Abhören mit Wanzen ausdrücklich als analogen Angriff, abgegrenzt vom digitalen Ausspähen der Kommunikation. Es geht also nicht um abgefangene E-Mails, sondern um das physisch kompromittierte Gespräch im Raum.
Bitkom-Präsident Ralf Wintergerst bringt die Logik dahinter auf den Punkt: Wenn ein Videocall praktisch unangreifbar verschlüsselt ist, kann die Wanze im Hotelzimmer das Mittel der Wahl sein. Je besser die digitale Absicherung, desto attraktiver der Angriff auf der physischen Ebene.
Ein ISMS, das diese Angriffsfläche nicht adressiert, hat eine Lücke, die einem Auditor vielleicht nicht auffällt — einem gut informierten Angreifer aber schon.
TSCM als dokumentiertes Control
Regelmäßige TSCM-Prüfungen definierter Räume lassen sich sauber in ein bestehendes ISMS integrieren. Das Vorgehen ist strukturiert und audit-fähig.
Scope-Definition
Welche Räume verarbeiten regelmäßig vertrauliche Informationen? Vorstandsbüros, Besprechungsräume der Geschäftsführung, Räume für R&D-Diskussionen, Projekträume mit strategischer Relevanz, externe Konferenzräume bei wiederkehrenden Nutzern.
Die Scope-Definition orientiert sich an der Risikoanalyse des ISMS: Wo entstehen schutzwürdige Informationen, die nicht in Systemen, sondern in Gesprächen verarbeitet werden?
Prüfintervalle
Wie häufig geprüft wird, hängt vom Risikoprofil des Unternehmens ab. Für Unternehmen in stark exponierten Branchen wie Rüstung, Pharma, Technologie oder Energie sind quartalsweise Prüfungen der kritischen Räume eine nachvollziehbare Maßnahme. Für weniger exponierte Organisationen kann ein jährlicher Sweep ausreichend sein, ergänzt durch anlassbezogene Prüfungen nach externen Besuchen oder personellen Veränderungen.
Zuordnung zu Controls
Eine TSCM-Prüfung lässt sich dem Annex-A-Control A.7.1 (Physische Sicherheitsperimeter), A.7.2 (Physischer Zutritt) und A.7.4 (Überwachung physischer Sicherheit) zuordnen. Im Statement of Applicability wird die Maßnahme als implementierte Kontrolle dokumentiert, mit Prüfintervall, Verantwortlichkeit und Eskalationspfad bei positivem Befund.
Risikobasierte Einordnung: Gefährdungsklassen
Nicht jedes Unternehmen braucht dieselbe Prüfintensität. Kontrapol arbeitet mit Gefährdungsklassen, die den konkreten Bedarf strukturieren: von der einmaligen anlassbezogenen Prüfung bei einem konkreten Verdacht über wiederkehrende Maßnahmen in exponierten Bereichen bis zur regelmäßigen Absicherung von Räumen, in denen dauerhaft Hochsensibles verhandelt wird. Die Einstufung orientiert sich an Branche, Risikoprofil und den Ergebnissen der ISMS-Risikoanalyse.
Die konkrete Ausgestaltung der Prüfphasen und der eingesetzten Technik haben wir im Hauptartikel Lauschabwehr ausführlich dokumentiert; dort finden sich auch Beispiele für typische Gefährdungsklassen in der Praxis.
Differenzanalyse als Qualitätsmerkmal
Ein methodisch sauberes TSCM-Ergebnis entsteht nicht allein durch den Einsatz von Messgeräten. Die Differenzanalyse, der Abgleich der Messwerte im geprüften Objekt mit Referenzwerten aus dem Umfeld, trennt externe Störquellen von tatsächlichen Funden. Ohne diesen Abgleich produziert auch hochwertige Messtechnik Fehlalarme. Erst die Gegenüberstellung von Istwert und Referenzwert macht ein Ergebnis belastbar und audit-fähig dokumentierbar.
Dokumentation
Nach jeder TSCM-Prüfung liefert Kontrapol einen schriftlichen Bericht: geprüfte Bereiche, eingesetzte Methodik, Ergebnis. Bei negativem Befund ist das der Nachweis, dass die Räume zum Zeitpunkt der Prüfung frei von Abhörtechnik waren. Bei einem Fund wird das Gerät forensisch dokumentiert, auf Wunsch mit daktyloskopischer Sicherung.
Dieser Bericht ist das, was ein Auditor sehen will: eine nachvollziehbare Maßnahme, durchgeführt, dokumentiert, mit einem Ergebnis, das weiterverarbeitet werden kann.
Was die Prüfung erfasst
Die TSCM-Prüfung deckt das vollständige Spektrum möglicher Abhörtechnik ab. Aktiv sendende Geräte werden über Frequenzanalyse identifiziert, einschließlich Geräte, die nur in kurzen Impulsen oder ereignisgesteuert senden und sich im normalen WLAN- und Bluetooth-Rauschen einer Büroumgebung tarnen. Passiv aufzeichnende Geräte ohne jedes Sendesignal werden über den Halbleiterdetektor gefunden, der auf elektronische Bauteile reagiert, unabhängig vom Betriebszustand. Optische Überwachungstechnik wird über Kamerafinder und Wärmebildtechnik erfasst.
Jede Auffälligkeit wird unabhängig durch ein zweites Messverfahren verifiziert, bevor sie als gesicherter Befund gilt. Das ist das Kreuzphasenprinzip: Nicht das erste Signal entscheidet, sondern die unabhängige Bestätigung.
Ergänzende Schutzmaßnahmen: Abhörschutz, nicht nur Lauschabwehr
Neben der aktiven Suche nach installierter Technik gehört zum vollständigen physischen Schutz vertraulicher Kommunikation auch die passive Seite: Abhörschutz.
Akustische Maskierungssysteme überlagern Raumgespräche mit Rauschsignalen, die außerhalb des Raumes keine verwertbaren Inhalte überlassen. Körperschallübertragung über Wände, Böden und Decken, ein häufig unterschätzter Übertragungsweg, kann durch gezielte Maßnahmen erheblich reduziert werden.
Diese Maßnahmen lassen sich ebenfalls als Controls dokumentieren und ins Statement of Applicability aufnehmen. Sie adressieren das Risiko nicht reaktiv, sondern präventiv.
Aus der Praxis
Aus über 20 Jahren Einsatzpraxis ein bezeichnender Fall: Ein Pharmaunternehmen hatte seine physische Sicherheit systematisch aufgebaut: Zugangskontrolle, Kameraüberwachung, verschlüsselte Kommunikationsinfrastruktur. Trotzdem flossen Informationen ab, ohne erkennbare digitale Ursache. Im Rahmen einer erweiterten Sicherheitsüberprüfung wurde der Hauptbesprechungsraum einer TSCM-Prüfung unterzogen.
Das Abhörgerät saß hinter einer Wartungsklappe in der Wandverkleidung. Es zeichnete lokal auf und sendete kein Funksignal, blieb für eine reine Funkanalyse also unsichtbar. Gefunden wurde es trotzdem, weil der Halbleiterdetektor nicht auf Signale reagiert, sondern auf die Elektronik selbst.
Die digitale Infrastruktur war lückenlos abgesichert. Der Raum, in dem darüber gesprochen wurde, nicht.
GeschGehG: Schutzmaßnahmen als Rechtvoraussetzung
Für Unternehmen, die Geschäftsgeheimnisse im Sinne des GeschGehG schützen wollen, ist die Frage nach angemessenen Schutzmaßnahmen keine formale Pflicht, sondern eine materielle Voraussetzung für den Rechtsschutz.
§ 2 Nr. 1 GeschGehG definiert ein Geschäftsgeheimnis als Information, die mit angemessenen Geheimhaltungsmaßnahmen gesichert ist. Wer diese Maßnahmen nicht nachweisen kann, verliert den gesetzlichen Schutz — auch wenn die Information tatsächlich gestohlen wurde.
Eine dokumentierte TSCM-Prüfung ist ein belastbarer Bestandteil dieses Nachweises. Sie zeigt, dass das Unternehmen nicht nur digitale, sondern auch physische Schutzmaßnahmen für seine vertraulichen Informationen ergriffen hat. Im Streitfall vor Gericht ist das der Unterschied zwischen einem Anspruch, der trägt, und einem, der es nicht tut.
Hinzu kommt ein breiterer Trend: Mit Regelwerken wie NIS-2 wächst die Verantwortung der Leitungsebene für Informationssicherheit insgesamt, einschließlich persönlicher Haftungsdimensionen. Auch wenn solche Regelwerke primär auf Cybersicherheit zielen und keine Lauschabwehr vorschreiben, verschiebt sich die Erwartungshaltung: Informationssicherheit wird zunehmend als ganzheitliche Verantwortung verstanden, die digitale und physische Ebene umfasst.
Eine Ebene, die ins Gesamtkonzept gehört
Physische Abhörsicherheit ist keine Konkurrenz zur IT-Sicherheit. Sie ist ihre Ergänzung. Ein ISMS, das die digitale Ebene lückenlos absichert, aber den Raum ausblendet, in dem die schützenswerten Informationen überhaupt erst entstehen, bleibt unvollständig.
Die gute Nachricht: Die physische Ebene lässt sich mit derselben strukturierten, risikobasierten Logik integrieren, die ohnehin den Kern jedes ISMS bildet. Es braucht nur die Bereitschaft, den blinden Fleck als solchen zu erkennen.
Häufige Fragen zu TSCM im ISMS
Welchem ISO 27001-Control lässt sich eine TSCM-Prüfung konkret zuordnen?
Am direktesten A.7.4 (Überwachung der physischen Sicherheit, neu in ISO 27001:2022), ergänzend A.7.1 (Physische Sicherheitsperimeter) und A.7.2 (Physischer Zutritt). Im Statement of Applicability wird die Maßnahme als implementiertes Control dokumentiert, mit Prüfintervall, Verantwortlichkeit und Eskalationspfad. Die Zuordnung ist methodisch vertretbar und in einem Audit nachvollziehbar darlegbar.
Wie oft muss geprüft werden, damit es audit-relevant ist?
Es gibt keine Normvorgabe für Intervalle. Entscheidend ist, dass die Prüfhäufigkeit aus der Risikoanalyse hergeleitet und im ISMS dokumentiert ist. Ein jährlicher Sweep kritischer Räume plus anlassbezogene Prüfungen nach relevanten Ereignissen ist eine nachvollziehbare und in einem Audit darlegbare Entscheidung.
Unser Unternehmen hat bereits Gebäudesicherheit und Zugangskontrolle. Was bringt TSCM zusätzlich?
Gebäudesicherheit schützt vor unberechtigtem Zutritt. TSCM prüft, was trotz korrekter Zugangskontrolle bereits im Raum ist: durch berechtigte Personen, externe Besucher oder Dienstleister, die regulären Zugang hatten. Beide Maßnahmen adressieren verschiedene Risiken und ersetzen einander nicht.
Über den Autor: Hendrik Pabst ist Gründer von Kontrapol und seit 2002 in der Lauschabwehr tätig. Die in diesem Ratgeber beschriebenen Muster, Funde und Vorgehensweisen stammen aus seiner eigenen Einsatzpraxis und werden durch ausgewählte öffentlich dokumentierte Fälle ergänzt, die das Risiko zusätzlich verdeutlichen.
Dieser Beitrag ersetzt keine Rechtsberatung; die rechtliche Bewertung des Einzelfalls gehört in die Hände eines Anwalts.
