Kurz gesagt: Ein Zutrittskontrollsystem prüft, ob eine Person an einer bestimmten Tür zu einer bestimmten Zeit hinein darf. Erkannt wird sie über etwas, das sie weiß, besitzt oder ist. Die größte Schwachstelle bleibt der Mensch, der einen anderen mit durchschlüpfen lässt.
Früher war der Schlüssel das Zutrittsmittel schlechthin. Wer einen hatte, kam rein, und wer einen verlor, sorgte für einen teuren Zylindertausch. Elektronische Zutrittskontrolle löst dieses Problem: Eine verlorene Karte wird gesperrt, Berechtigungen lassen sich minutengenau vergeben und jeder Zutritt wird protokolliert. Als Wachperson an der Pforte oder in der Leitstelle arbeitest du täglich mit solchen Systemen. Du gibst Besucherkarten aus, reagierst auf Alarme bei aufgehaltenen Türen und erkennst, wenn jemand das System umgeht.
Die drei Grundfragen
Jedes Zutrittskontrollsystem beantwortet dieselben Fragen:
- Wer? Welche Person oder Personengruppe.
- Wo? An welcher Tür, in welchem Bereich.
- Wann? An welchen Tagen, zu welchen Uhrzeiten.
Die Reinigungsfirma darf zum Beispiel werktags von 18 bis 22 Uhr in die Büroetagen, aber nie in den Serverraum. Die IT darf in den Serverraum, aber nicht ins Lager. Diese Kombination aus Personen, Türen und Zeitprofilen heißt Berechtigungsmodell.
Wie die Person erkannt wird
Für die Identifikation gibt es drei Arten von Merkmalen:
- Wissen: PIN oder Code. Billig, aber leicht weiterzugeben oder auszuspähen.
- Besitz: Karte, Transponder, Smartphone. Bequem, aber übertragbar. Wer die Karte hat, kommt rein, egal wer er ist.
- Biometrie: Fingerabdruck, Gesicht, Iris, Handvenen. Fest an die Person gebunden, aber teurer und datenschutzrechtlich heikel. Biometrische Daten zur eindeutigen Identifizierung gehören nach Artikel 9 DSGVO zu den besonderen Kategorien personenbezogener Daten und dürfen nur unter engen Voraussetzungen verarbeitet werden.
In sensiblen Bereichen kombiniert man zwei Merkmale, zum Beispiel Karte plus PIN. Das nennt man Zwei-Faktor-Identifikation. Wer nur die Karte findet, kommt dann trotzdem nicht rein.
Aufbau und Varianten
Ein System besteht aus Lesern an den Türen, Türsteuerungen, die Schloss und Türkontakt bedienen, und einer Zentrale mit Software, in der die Berechtigungen gepflegt werden.
- Online-System: Die Leser sind verkabelt und fragen jede Berechtigung in Echtzeit ab. Eine gesperrte Karte ist sofort an allen Türen gesperrt. Türzustände wie aufgehalten oder aufgebrochen werden sofort gemeldet.
- Offline-System: Elektronische Zylinder oder Beschläge arbeiten mit Batterie und speichern Berechtigungen selbst oder auf der Karte. Günstiger nachzurüsten, aber Sperrungen und Protokolle kommen erst mit Verzögerung an.
Die Norm DIN EN 60839-11-1 beschreibt elektronische Zutrittskontrollanlagen und teilt sie in vier Sicherheitsgrade ein, von niedrigem bis hohem Risiko. Der Betreiber legt für jeden Zutrittspunkt fest, welcher Grad nötig ist.
Typische Funktionen
- Türüberwachung: Bleibt eine Tür nach dem Öffnen zu lange offen, kommt ein Alarm. Wird sie ohne gültige Buchung geöffnet, ebenfalls.
- Anti-Passback: Wer mit seiner Karte einen Bereich betreten hat, kann mit derselben Karte nicht noch einmal hinein, bevor er wieder ausgebucht hat. Das verhindert, dass eine Karte zurückgereicht wird, damit der Nächste reinkommt.
- Besuchermanagement: Besucher bekommen zeitlich begrenzte Karten, die nach Ablauf automatisch ungültig werden.
- Protokoll: Jede Buchung wird gespeichert. Auch das sind personenbezogene Daten, die nur zweckgebunden ausgewertet werden dürfen.
Zutrittskontrolle und Fluchtwege
Ein Zutrittskontrollsystem darf nie dazu führen, dass Menschen im Notfall eingeschlossen sind. Türen in Fluchtwegen müssen sich nach der Arbeitsstättenregel ASR A2.3 von innen jederzeit ohne Schlüssel, Karte oder Code öffnen lassen. Elektrisch verriegelte Fluchttüren brauchen eine Notöffnung, die bei Stromausfall von selbst freigibt. Zutritt wird von außen kontrolliert, die Flucht nach innen bleibt frei.
Ein Fall aus dem Dienst
An der Pforte eines Forschungsinstituts meldet das System um 7:50 Uhr: Tür Labor 3 länger als 30 Sekunden offen. Über die Kamera siehst du, dass ein Mitarbeiter die Tür mit einem Karton aufhält, während eine zweite Person ohne Buchung hineingeht. Du sprichst beide an. Der Begleiter ist ein Handwerker, der erst später angemeldet werden sollte. Du schickst ihn zur Pforte, stellst eine Besucherkarte für den Laborbereich aus, die nur bis 16 Uhr gilt, und vermerkst den Vorfall im Wachbuch. Das Durchschlüpfen hinter einem Berechtigten heißt Tailgating und ist die häufigste Art, Zutrittskontrolle auszuhebeln. Wo es wirklich darauf ankommt, helfen Personenvereinzelungsanlagen.
Typische Prüfungsfallen
- Identifikationsmerkmale: Wissen, Besitz, Biometrie. Karte plus PIN ist Zwei-Faktor.
- Eine Karte identifiziert die Karte, nicht den Menschen. Biometrie ist personengebunden.
- Anti-Passback verhindert das Weiterreichen einer Karte, nicht das Mitlaufen ohne Karte.
- Fluchttüren müssen von innen ohne Karte oder Code zu öffnen sein.
- Biometrische Daten sind besonders geschützte Daten nach Artikel 9 DSGVO.
Zum mechanischen Gegenstück findest du mehr unter Schlüsselverwaltung.
Teste dich: Übungsfragen zu diesem Thema
Wie in der IHK-Prüfung können eine oder zwei Antworten richtig sein. Kreuze an und prüfe dann.
Welche Kombinationen gelten als Zwei-Faktor-Identifikation?
Was bewirkt die Anti-Passback-Funktion?
Welchen Vorteil hat ein Online-Zutrittskontrollsystem gegenüber einem Offline-System?
Warum sind biometrische Zutrittskontrollsysteme datenschutzrechtlich besonders heikel?
Eine Fluchttür ist an das Zutrittskontrollsystem angeschlossen und elektrisch verriegelt. Was muss gewährleistet sein?
Was ist mit Tailgating gemeint?
Mehr Fragen aus diesem Sachgebiet gibt es in der Prüfungssimulation und gesammelt auf der Seite Prüfungsfragen Grundzüge der Sicherheitstechnik.
Diese Seite ersetzt keine Rechtsberatung. Maßgeblich ist der aktuelle Gesetzestext.