Implementierungskonzept

Betreiber-IT: Verantwortlich für die technische Infrastruktur (Server, Netzwerk, Cyber-Security) und die SAP-Integration. Sie pflegen SAP-Stammdaten (Personal, Rollen) als Basis für die Zutrittssteuerung. In der Betriebsphase kümmern sie sich um Systembetrieb und Updates.

Facility Management / Gebäudebetrieb: Zuständig für die bauliche Umsetzung (Einbau von Türen, Schleusen, Verkabelung) sowie organisatorische Abläufe (Ausweiserstellung, Besucher- und Fremdfirmenmanagement). Sie koordinieren die Nutzung der Zutrittskontrolle im Tagesbetrieb und prüfen Vorgänge (Schlüsselverwaltung, Zutrittslisten).

Anbieter-Projektleitung / Errichter: Der Systemintegrator steuert das Projekt (Fachhandel/Hersteller), koordiniert alle Nachunternehmer (z. B. Zutrittskontrollsystem-Lieferant, Elektroinstallateur, IT-Dienstleister, Toranbieter) und stellt die fachgerechte Installation sicher. Er erstellt gemeinsam mit dem Betreiber Planungspakete, Pflichtenheft und Zeitplan. In Test- und Schulungsphasen liefert er Know-how und führt Abnahmen durch.

Fachplaner Sicherheit / Sicherheitsberater: Eine externe Planungsinstanz (Sicherheitsfachplaner) erstellt das ganzheitliche Zutrittskonzept und berät in allen Fragen der physischen Sicherheit. Vor Projektstart führt er Risikoanalysen durch und definiert ein Konzept, das bauliche, technische und organisatorische Maßnahmen integriert. Während des Projekts prüft er stichprobenhaft Planungsunterlagen und Qualität, um die Umsetzung im Sinne des Konzepts zu kontrollieren.

Sicherheits- und Datenschutzbeauftragte: Interne Rollen im KRITIS-Unternehmen, die die Einhaltung von Vorgaben (z.B. BSI-KritisV, Datenschutz) überwachen. Sie sind in Reviews eingebunden und geben Behördenabnahme frei.

SAP-Verantwortliche / HR: Stellen die Personaldaten und Berechtigungsinformationen aus SAP bereit. Sie stimmen sich mit Betreiber-IT ab, um die SAP-Schnittstelle zu konfigurieren und zu testen.

SAP (HR-System): Das Zutrittsmanagement nutzt SAP als führendes System für Personaldaten und Berechtigungen. Über eine zertifizierte Schnittstelle (SAP-HR-PDC) importiert die Zutrittssoftware automatisch Mitarbeiter-, Fremdfirmen- und Besucherdaten. Änderungen in SAP (z.B. Neueinstellungen, Austritte) werden zeitnah übernommen, womit im Zutrittssystem stets der aktuelle Berechtigungsstand sichergestellt ist.

Fremdfirmen- und Besuchermanagement: Ein Fremdfirmenportal (oder VMS) ermöglicht es, alle Qualifikationsnachweise, Zertifikate und Sicherheitsbelehrungen externer Dienstleister zu verwalten. Über Workflow-Integration können Fremdfirmenzugänge beantragt und zeitlich begrenzt erteilt werden. Moderne Systeme bieten Self-Check-In-Terminals, in die Gäste oder Monteure sich einbuchen und automatisch Zutrittsmedien erhalten. So lassen sich große Personengruppen oder wechselnde Fremdfirmen-Einsätze effizient abwickeln, ohne manuelles Eingreifen.

Videoüberwachung / Kennzeichenerkennung: Zutrittspunkte werden häufig durch Kameras überwacht. Die Zutrittssoftware kann Ereignisse (z.B. ungültiger Ausweisversuch) mit Videomaterial verknüpfen und Sicherheitszentrale alarmieren. Kameras erfassen Kennzeichen bei Fahrzeugzufahrten, um etwa nur autorisierte Lkw einzulassen. Remote-Wärterplätze haben so in Echtzeit Zugriff auf die Bilder und können bei Alarm sofort reagieren.

Einbruch- und Gefahrenmanagement: Das Zutrittskontrollsystem kann bei Feuer- oder Einbruchsmeldern Aktionen auslösen (z.B. automatische Entriegelung von Fluchttüren, Blockade von Gefahrenzonen). Die Systeme kommunizieren etwa über OPC oder HTTP, so dass bei einer Brandmeldung alle betroffenen Türen in Notöffnungsstellung gehen und gleichzeitig der Alarm ausgelöst wird.

Weitere Schnittstellen: Beispiele sind Zeiterfassungssysteme (das Zutrittsystem kann Arbeitszeiterfassung übernehmen), Aufzugssteuerungen (Zugang nur bei freigegebenem Bereich) oder Kartenpersonalisation (Ausweisdruck über zentrale Drucksysteme). Moderne Lösungen bieten offene Schnittstellen, um Gebäudeautomation und IT (z.B. Active Directory) einzubinden.

Normenkonformität: Die Umsetzung orientiert sich an DIN EN 60839-11, wobei für Hochsicherheitsbereiche üblicherweise der Sicherheitsgrad 4 angestrebt wird. KRITIS-Betreiber müssen außerdem nationale Gesetze (z.B. IT-Sicherheitsgesetz 2.0, KritisV) sowie EU-Richtlinien (NIS2) erfüllen. Planungs- und Betriebsdokumentation sind so anzulegen, dass Prüfer (BSI, TÜV, Behörden) jederzeit die Wirksamkeit der Zutrittskontrolle nachvollziehen können.

Redundanz und Ausfallsicherheit: Alle zentralen Komponenten (Server, Datenbank, Netzwerkhardware) werden doppelt ausgelegt. Beispielsweise kann ein sekundärer Zutrittsserver an einem anderen Standort betrieben werden, um Einzelstörungen zu kompensieren. Wichtige Elemente verfügen über USV-Versorgung. Türen werden mit Fail-Safe- und Fail-Secure-Logik betrieben: Bei Stromausfall bleiben sie gesichert (fail-secure), während im Brandfall alle Rettungswege automatisch entriegelt werden (fail-safe). Auch Controller und Leser sind gegen Sabotage geschützt.

Notfallbetrieb: Das System ist auf den Betrieb im Krisenfall ausgelegt. Die Anforderungen beinhalten automatisches Blockieren des Zugangs zu Gefahrenbereichen, Schließen von Schleusen sowie Öffnen von Rettungswegen bei Alarm. Notfalltüren und -schleusen müssen schnell aktivierbar sein und mit akustischen/optischen Warnsignalen gekoppelt werden. Ein Evakuierungsmanagement ist integriert, sodass im Ernstfall sofort alle Personenstandorte (Mitarbeiter, Besucher, Fremdfirmen) erfasst werden können.

Revisionssicherheit und Auditfähigkeit: Jede Zutrittsentscheidung wird detailliert protokolliert (Zeitstempel, Tür-ID, Personalnummer) und manipulationssicher archiviert. Es besteht eine zentrale Protokollierung aller erlaubten und verweigerten Zugriffsversuche. Regelmäßige Prüfungen (z.B. halbjährliche Rezertifizierung von Berechtigungen) sind fest eingeplant. Zudem werden alle betrieblichen Abläufe schriftlich dokumentiert (Zutrittsrichtlinie, Schulungsnachweise, Wartungspläne) und für Behördenvorlagen bereitgehalten.

Behördenabnahmen und Prüfungen: In einigen KRITIS-Bereichen kann eine formelle Abnahme durch Aufsichtsbehörden erforderlich sein (z.B. Brandschutz, Sicherheitsbehörden). Das Projekt berücksichtigt daher zu Beginn auch die Planung von Prüfbesuchen. Der Nachweis der Erfüllung aller Anforderungen erfolgt durch Übergabe von Unterlagen und durch Vorführungen während Audits.