Zutrittskontrolle als zentraler Baustein der Unternehmenssicherheit
Zutrittskontrolle verfolgt ein einfaches Grundprinzip: Nur berechtigte Personen sollen zur richtigen Zeit Zugang zu den für sie freigegebenen Bereichen erhalten. In größeren Unternehmen reicht dafür ein elektronischer Mitarbeiterausweis allein nicht aus. Erforderlich ist ein abgestimmtes System aus Sicherheitszonen, Berechtigungsmanagement, technischer Zutrittskontrolle, organisatorischen Verfahren und personeller Kontrolle.
Die Ausgestaltung sollte sich am jeweiligen Schutzbedarf orientieren. Auch das BSI stellt die Schutzbedarfsfeststellung an den Anfang der Auswahl angemessener Sicherheitsmaßnahmen.
Zutrittskontrolle als zentrale Sicherheitsmaßnahme gestalten
Ein differenziertes Zonenmodell erleichtert die Vergabe und Kontrolle von Berechtigungen.
Sicherheitszone
Typische Bereiche
Öffentlich
Empfang, Besucherbereiche
Intern
Büro- und allgemeine Betriebsbereiche
Geschützt
Werkstätten, Produktionsbereiche, Technikräume
Besonders geschützt
Rechenzentren, Labore, Leitstände
Hochsensibel
Bereiche mit besonderen Sicherheitsanforderungen
Berechtigungen sollten grundsätzlich nach Funktion, Aufgabe und tatsächlichem Bedarf vergeben werden und nicht allein aufgrund hierarchischer Stellung.
Technische Zutrittskontrollsysteme sind nur so zuverlässig wie die dahinterliegenden organisatorischen Prozesse. Zu regeln sind insbesondere:
Beantragung und Genehmigung von Zutrittsrechten,
Ausgabe und Aktivierung von Identmedien,
zeitlich begrenzte Sonderberechtigungen,
Änderungen bei Funktions- oder Arbeitsplatzwechsel,
unverzügliche Sperrung bei Verlust,
Entzug von Berechtigungen beim Ausscheiden,
regelmäßige Überprüfung bestehender Rechte,
Dokumentation von Ausnahmen und Sonderfreigaben.
Besonders bei einer Anbindung an HR-, Identity-Management- oder Verzeichnisdienste sollten Eintritt, Wechsel und Austritt möglichst systematisch mit dem Zutrittsmanagement verbunden werden.
Externe Personen benötigen eigene Zutrittsprozesse. Sinnvoll sind beispielsweise:
Voranmeldung und Identitätsprüfung,
Benennung eines internen Ansprechpartners,
zeitlich und räumlich begrenzte Berechtigungen,
erkennbare Besucher- oder Fremdfirmenausweise,
gegebenenfalls Begleitpflicht,
Rückgabe beziehungsweise automatische Deaktivierung der Zutrittsmedien.
Bei Fremdfirmen sollte zudem geprüft werden, ob erforderliche Einweisungen oder Freigaben vorliegen.
Technik und Organisation zusammenführen
Zutrittskontrolle kann Kartenleser, mobile Credentials, Drehkreuze, Schleusen, biometrische Verfahren oder personelle Kontrollen umfassen. Entscheidend ist nicht die maximale technische Ausstattung, sondern die Angemessenheit zum Schutzbedarf und die sichere Integration in die Gesamtorganisation.
Dabei sind auch Stromausfall, Systemstörung, Brandalarm und Evakuierung zu berücksichtigen. Flucht- und Rettungswege dürfen durch Sicherheitsmaßnahmen nicht unzulässig beeinträchtigt werden.
Mit der Zeit entstehen häufig überholte oder unnötige Berechtigungen. Regelmäßige Rezertifizierungen sollten deshalb klären:
Wer hat Zugang? – Warum? – Zu welchen Bereichen? – Zu welchen Zeiten? – Wird die Berechtigung weiterhin benötigt?
Eine wirksame Zutrittskontrolle verbindet damit Schutzbedarf – Sicherheitszonen – Identität – Berechtigung – technische Durchsetzung – Kontrolle – Dokumentation – regelmäßige Bereinigung. Sie bildet einen zentralen Übergang zwischen physischer Unternehmenssicherheit, Facility Management und Informationssicherheit.
