Zugangskontrollen und deren Wirksamkeit

Im Rahmen eines jeden Sicherheitskonzeptes kommt man bei der Umsetzung des Schutzzieles „Verhinderung von unberechtigten Zutritten“ zwangsläufig auf das Thema Zugangskontrollen. Doch darunter verbirgt sich ein weites Feld an Einzelmaßnahmen und Systemen, um das jeweilige gewünschte Ergebnis zu erzielen. Je nach den gestellten Anforderungen reicht die Palette von der einfachen mechanischen Schließung an einer Tür bis zur komplexen Vereinzelungsanlage. Nimmt man beispielsweise die recht hohen Anforderungen an den Zutrittsschutz eines Rechenzentrums, dem sogenannten Hochsicherheitsbereich, kann es dann schnell etwas komplizierter werden. Mit herkömmlichen Zutrittskontrollen an Türen mittels Kartenlesern oder auch der Umsetzung einer nach-laufbehindernden Maßnahme, wie etwa einer Schleusenausbildung, ist es meist nicht getan. An dieser Stelle sei der dezente Hinweis gestattet, dass es sich bei Schleusen nicht um Vereinzelungsanlagen handelt, sondern „nur“ um zwei gegentaktverriegelte Türen, von denen sich eine nur öffnen lässt, wenn die andere geschlossen ist – und vice versa natürlich.

Wie komplex das Thema Zugangssicherung ist wird deutlich, wenn man sich eingehend und gründlich damit auseinandersetzt. Basis einer jeden Planung ist die Konzeption, die gemeinsam mit dem Kunden und dessen Wünschen oder Anforderungen abzustimmen ist. Das geschieht in einem Sicherheits- bzw. Zutrittskonzept, in dem verschiedene bauliche, technische, organisatorische und personelle Maßnahmen zu definieren sind. Deren Zusammenwirken ist als Anforderungsprofil für ein später festzulegendes System innerhalb einer Konzeptionierung zu definieren. Hierzu gehören:

1. Durchführung einer Risikoanalyse auf das jeweils anzusetzende Projekt, die die Gefährdungen aus Umwelt und Umfeld und eine Einschätzung der Gefährdungen, die aus kriminellem Handeln und Terrorismus erwachsen, benennt.
2. Definition von Schutzzielen, die zur Minimierung der erfassten Risiken dienen können.
3. Festlegung von Sicherheits- bzw. Schutzzonen, die sich zwiebelschalengleich von außen nach innen auf-bauen und sich bestenfalls unterstützen. Viele kleine Maßnahmen sind ökonomischer und effizienter als wenige und dafür stärker ausgeprägte Maßnahmen.
4. Definition von Maßnahmen zur Umsetzung der Schutzziele. Bezüglich der Verhinderung unberechtigter Zugänge sind das vor allem folgende Maßnahmen einer berechtigten Zuwegung, wohin auch immer:
   1. Dazu zählt die Vergabe von Zutrittsberechtigungen an Personen, zugeordnet zur jeweiligen Schutzzone. Hier gilt es besonders, die Zahl der Berechtigten zu begrenzen, was durch den Grundsatz der Funktionstrennung realisiert werden kann.
   2. Festlegung von Verantwortlichkeiten innerhalb des Systems bzw. der Organisation, wobei immer der Grundsatz gilt: „Mit möglichst wenig Personen auskommen“. Das bedeutet, je weniger Personen für einen bestimmten Bereich innerhalb einer Organisation oder eines Unternehmens eine Berechtigung für den Zugang erhalten, desto weniger Vorfälle durch Missbrauch oder anderweitiger Vorfälle geschehen.
   3. Definition bestimmter Zugangszeiten, was eine Nutzung ebenfalls einschränkt und Missbrauch vor-beugt. Abhängig von den Betriebs- und Nutzungszeiten der jeweiligen Bereiche sind entsprechend auch die kontrollierten Zugänge festzulegen. Hierbei handelt es sich um den sehr wichtigen Aspekt eines je-den Sicherheitskonzeptes, dass die Abhängigkeit zur Einbruchmeldeüberwachung wesentlich vom Zugangssystem abhängt. Nur eine „scharf“ geschaltete Einbruchmeldeanlage kann auch einen Alarm generieren. Wobei auch hier der Grundsatz gilt, je länger ich einen Bereich „scharf“ schalte, desto besser ist die Absicherung. Es nützt keine Einbruchmeldeanlage, die nicht „scharf“ geschaltet ist.
   4. Nach einem Vorfall besteht auch über das Zutrittskontrollsystem die Möglichkeit der Beweissicherung. Beispielsweise können die Daten beim Zutritt oder auch Austritt aus der entsprechenden Zone zu einer bestimmten Person bzw. zu einem Ausweis ermittelt werden. Dadurch, dass es sich hierbei allerdings um personenbezogene Daten handelt, sind die Anforderungen an den Datenschutz zu beachten.
   5. Zu bedenken sind auch Maßnahmen und entsprechende Handlungsanweisungen im Falle eines Ausfalls des Systems. Welche Reaktionen sind in Ausnahmesituationen, z. B. bei technischen Störungen, Über-windungsversuchen oder im Brand- oder Panikfall, nötig? Dazu sind entsprechende Interventionspläne zu hinterlegen, da diese Situationen überwiegend nur personell zu bewältigen sind.

Dennoch kommt es vor, dass es in der Praxis Schwierigkeiten im Umgang und somit in der Funktion der Zugangskontrollen und ihrer Systeme gibt. Das können zum Beispiel ein Konzeptions- oder Planungsfehler sein oder auch Fehlbedienungen oder falscher Umgang im Betrieb. Ein sehr schwerwiegender Fehler ist die fehlende Akzeptanz der Nutzer im Umgang mit diesen Systemen. Das liegt meist an der falschen Erwartungshaltung oder auch an den zeitlichen Abläufen beim Durchschreiten dieser Systeme. Für einen Nutzer ist es beispielsweise kaum zumutbar, dass er auf Grund seiner Tätigkeit sehr oft durch eine Vereinzelungsanlage gehen muss und hier unverhältnismäßig viel Zeit verschenkt. Dann ist vielleicht das richtige System verbaut, jedoch an falscher Stelle.

Im Folgenden sollen einige Maßnahmen aufzeigen, wie man bestenfalls die Implementierung von komplexen Zugangskontrollen angeht:

1. Oft ist zu beobachten, dass sich im Vorfeld einer Maßnahme der potenzielle Nutzer schon mit Produkten auseinandersetzt, ohne zuvor die Funktion zu definieren. Zuerst sollte man sich überlegen, was man benötigt, wie bereits oben erwähnt, dann macht man sich auf die Suche nach dem passenden Produkt bzw. schreibt die Funktionen zur Vergabe aus.
2. Dazu gehört auch die Definition der Randbedingungen und Schnittstellen, wie z. B. aus der Architektur, zum erforderlichen Personendurchsatz, zum Brand- und Einbruchschutz etc.
3. Als unterstützendes Werkzeug bei der Definition der Funktionalität ist die Erstellung eines Flussdiagramms hilfreich. Das kann die dennoch notwendige Beschreibung von Eintritt und Austritt aus der Anlage, Fluchtwegeoptionen, Betrachtung von technischen Störungen und alle wichtigen betriebsrelevanten Anforderungen unterstützen und komprimiert wiedergeben. All diese Dokumente sind Grundlage einer jeden Planung und auch ein gutes Hilfsmittel für den späteren Umgang mit der jeweiligen Anlage.
4. Nach der erfolgreichen Installation eines Systems und der Fertigstellungsmeldung des Errichters darf man jedoch nicht davon ausgehen, dass die Anlage einwandfrei funktioniert. Aus Sicht des Sicherheitsberaters empfehlen wir die Durchführung sogenannter Integrationstests, bei denen auch gewerkeübergreifend die entsprechende Schleuse oder auch Vereinzelungsanlage ge-testet wird. Wenn ein solcher Test erfolgreich beendet ist, kann der Nutzung durch den Kunden nichts mehr im Wege stehen.
5. Spätestens bei der oben genannten Durchführung des Integrationstestes stößt man unweigerlich auf die zu erbringende Dokumentation der Anlage, die als eine wesentliche Testvoraussetzung gilt. Die Erbringung dieser Leistung ist Ausschreibungsbestand-teil und gehört zur Gesamtleistung des Errichters. Eine Endabrechnung sollte demnach weder vor den Tests bzw. auch nicht vor der vollständigen Vorlage aller Dokumentationsunterlagen erfolgen.

Fazit

Wenn man selbst das nötige Know-how nicht mitbringt, sollte man sich an Leute wenden, die über die entsprechenden Fachkenntnisse verfügen. Das gilt neben vielen Sachen auch für die erfolgreiche Implementierung von komplexen Zutrittssystemen. Ohne den richtigen Plan und die entsprechende Vorgehensweise scheitern kostspielige Installation oft am Ende und es leidet neben dem Geldbeutel vor allem die Sicherheit im Unternehmen.