Erst der Bedarf, dann die Technik
Bei Zutrittskontrolle denken viele zuerst an Kartenleser und Software. Der richtige Startpunkt ist aber die Frage, wer wann wohin darf und was passiert, wenn jemand es trotzdem versucht. Erst wenn das geklärt ist, lässt sich beurteilen, welches System passt.
Ein Bürogebäude in Hamburg mit drei Mietern stellt andere Anforderungen als ein Produktionsbetrieb in Neumünster mit Schichtbetrieb oder ein Rechenzentrum in Berlin. In einem Fall geht es vor allem um Komfort und das Ende des Schlüsselchaos, im anderen um lückenlose Protokolle und strenge Trennung von Bereichen. Grundbegriffe erklärt der Glossarbeitrag Zutrittskontrolle.
- Welche Bereiche gibt es, und wie schutzbedürftig sind sie?
- Welche Personengruppen gehen ein und aus: Mitarbeitende, Besucher, Reinigung, Dienstleister?
- Zu welchen Zeiten darf welcher Bereich betreten werden?
- Muss nachvollziehbar sein, wer wann wo war, und wie lange?
- Wer pflegt Berechtigungen, und wer reagiert auf Alarme?
- Welche bestehende Technik soll eingebunden werden, etwa Einbruchmeldeanlage oder Videoüberwachung?
Zonen und Berechtigungen sauber planen
Bewährt hat sich ein Zonenmodell. Von außen nach innen steigen die Anforderungen: öffentlich zugänglicher Bereich, Empfang, allgemeine Büroflächen, sensible Räume wie Technik, Archiv oder Serverraum. Für jede Zone wird festgelegt, wer Zugang hat und wie stark der Zutritt geprüft wird.
Bei der Rechtevergabe gilt das Prinzip so wenig wie nötig. Statt jeder Person einzeln Türen zuzuweisen, werden Rollen gebildet, zum Beispiel Verwaltung, Lager, Technik oder Reinigung. Neue Mitarbeitende erhalten eine Rolle, ausscheidende verlieren sie. Das reduziert Fehler und macht Berechtigungen nachvollziehbar.
Für besonders sensible Räume kann das Vier-Augen-Prinzip sinnvoll sein, bei dem zwei berechtigte Personen gemeinsam öffnen müssen. Auch eine Schleuse oder Vereinzelung kann verhindern, dass mehrere Personen mit nur einer Karte durch die Tür gehen.
Karten, Codes, Biometrie und Smartphone im Vergleich
Die Wahl des Ausweismediums bestimmt Sicherheit, Komfort und Aufwand im Alltag. Jedes Verfahren hat Stärken und Schwächen. Oft werden zwei Merkmale kombiniert, etwa Karte und PIN an sensiblen Türen.
| Verfahren | Stärken | Schwächen |
|---|---|---|
| Karte oder Transponder | Bekannt, einfach, schnell an der Tür | Kann verloren oder weitergegeben werden, ältere Verfahren lassen sich kopieren |
| PIN-Code | Kein Medium nötig, gut als zweites Merkmal | Wird weitergesagt oder ausgespäht, allein wenig sicher |
| Biometrie | An die Person gebunden, nicht übertragbar | Strenge Datenschutzregeln, Akzeptanz, Fehlerraten je nach Umgebung |
| Smartphone | Kein eigenes Medium, Rechte aus der Ferne vergebbar | Abhängig von Akku, App und Gerät, Fragen zu privaten Geräten |
Achten Sie bei Karten auf ein verschlüsseltes Verfahren. Einige ältere Kartentechniken gelten als leicht kopierbar. Fragen Sie Ihren Errichter ausdrücklich, welche Kartentechnik eingesetzt wird und wie die Schlüssel auf den Karten verwaltet werden. Planen Sie außerdem, wie verlorene Karten sofort gesperrt werden.
Biometrie und Datenschutz
Fingerabdruck, Handvenen oder Gesichtserkennung wirken auf den ersten Blick ideal, weil sie nicht weitergegeben werden können. Rechtlich sind biometrische Daten zur eindeutigen Identifizierung aber besondere Kategorien personenbezogener Daten nach Art. 9 DSGVO. Ihre Verarbeitung ist nur unter engen Voraussetzungen zulässig.
In der Praxis bedeutet das: Biometrie eignet sich vor allem für eng begrenzte Hochsicherheitsbereiche und sollte gut begründet sein. Häufig wird eine Lösung bevorzugt, bei der die Merkmale nicht zentral gespeichert werden, sondern nur auf einem Ausweis der Person. Für Beschäftigte sollte es nach Möglichkeit eine gleichwertige Alternative geben. Vor der Einführung ist meist eine Datenschutz-Folgenabschätzung sinnvoll, und Ihr Datenschutzbeauftragter sollte früh beteiligt werden.
Auch ein Kartensystem verarbeitet personenbezogene Daten, denn jede Buchung zeigt, wer wann wo war. Legen Sie Zweck, Zugriffsrechte und Löschfristen fest. Gibt es einen Betriebsrat, hat er nach § 87 Abs. 1 Nr. 6 BetrVG ein Mitbestimmungsrecht bei technischen Einrichtungen, die geeignet sind, Verhalten oder Leistung der Beschäftigten zu überwachen. Eine Betriebsvereinbarung schafft hier Klarheit. Hinweise zum Umgang mit Daten bei Dienstleistern gibt der Begriff Auftragsverarbeitung.
Normen, Fluchtwege und Schnittstellen
Für elektronische Zutrittskontrollanlagen beschreibt die DIN EN 60839-11-1 Anforderungen an Anlagen und Geräte und unterscheidet verschiedene Sicherheitsgrade. Daneben bieten VdS-Richtlinien Orientierung, vor allem wenn Versicherer beteiligt sind. Lassen Sie sich vom Errichter bestätigen, nach welchen Grundlagen geplant wird.
Ein Punkt wird oft zu spät bedacht: Türen in Flucht- und Rettungswegen müssen sich im Notfall von innen ohne Hilfsmittel öffnen lassen. Elektrische Verriegelungen in Rettungswegen unterliegen besonderen Anforderungen. Stimmen Sie die Planung deshalb mit dem Brandschutzkonzept und gegebenenfalls mit der Bauaufsicht ab.
Wichtig sind auch die Schnittstellen. Ein Zutrittskontrollsystem wird oft mit der Einbruchmeldeanlage gekoppelt, damit ein scharf geschalteter Bereich nicht versehentlich betreten wird. Die Verbindung zur Videoüberwachung kann bei Alarmen Bilder liefern. Je mehr Systeme verbunden sind, desto wichtiger ist eine klare Verantwortung für die Gesamtanlage.
Betrieb: das unterschätzte Thema
Die Anschaffung ist meist schnell entschieden, der Betrieb läuft dann über viele Jahre. Gerade hier entstehen die meisten Schwachstellen.
- Ausgeschiedene Mitarbeitende behalten ihre Rechte, weil niemand die Personalabteilung mit der Rechteverwaltung verbunden hat
- Dienstleisterkarten bleiben nach Projektende aktiv
- Türen werden mit Keilen offen gehalten, weil der Leser zu langsam ist
- Alarme wie Tür zu lange offen laufen ins Leere, weil niemand zuständig ist
- Software und Firmware werden nicht aktualisiert
- Notfallschlüssel liegen ohne Nachweis in einer Schublade
Legen Sie fest, wer Berechtigungen beantragt, wer sie genehmigt und wer sie einrichtet. Prüfen Sie Rechte regelmäßig, zum Beispiel halbjährlich. Für mechanische Restschlüssel braucht es weiterhin eine geordnete Schlüsselverwaltung.
Zusammenspiel mit Empfang und Wachdienst
Technik allein schützt nicht. Jemand muss auf Alarme reagieren, Besucher anmelden, Ersatzkarten ausgeben und erkennen, wenn sich jemand hinter einem Mitarbeiter durch die Tür drängt. Diese Aufgaben übernehmen in vielen Objekten der Empfangsdienst oder der Objektschutz.
Damit das funktioniert, braucht das Personal Zugriff auf die nötigen Funktionen im System, eine klare Dienstanweisung und eine Einweisung. Typische Aufgaben sind die Besucherverwaltung mit Tagesausweisen, die Reaktion auf Türalarme, die Kontrolle von Notausgängen beim Rundgang und die Ausgabe und Rücknahme von Dienstleisterkarten. Außerhalb der Geschäftszeiten können Alarme auf eine Leitstelle aufgeschaltet werden, die dann einen Interventionsdienst schickt.
Der Ratgeber Rechenzentrum sichern zeigt am Beispiel eines besonders schutzbedürftigen Objekts, wie Zonen, Technik und Personal zusammenwirken.
Checkliste für die Auswahl
Mit dieser Liste gehen Sie gut vorbereitet in Gespräche mit Errichtern und Dienstleistern.
- Zonenplan mit Schutzbedarf je Bereich erstellt
- Rollen und Zeitprofile für Personengruppen festgelegt
- Ausweismedium und Verschlüsselungsverfahren geklärt
- Datenschutz, Löschfristen und gegebenenfalls Betriebsrat einbezogen
- Fluchtwege und Brandschutz abgestimmt
- Schnittstellen zu Einbruchmeldeanlage und Video geplant
- Zuständigkeiten für Rechteverwaltung und Alarmreaktion festgelegt
- Wartung und Software-Updates vertraglich geregelt
Staffsec ist ein Sicherheitsdienstleister und kein Errichter von Technik. Wir übernehmen in Schleswig-Holstein, Hamburg und Berlin Empfang, Objektschutz und Intervention rund um bestehende Zutrittssysteme. Sprechen Sie uns gern über die Kontaktseite an.
