06215 Regelwerke der Zutrittskontrolle

Für die Absicherung kritischer und schützenswerter Bereiche mittels Zutrittskontrolle (ZK) ist neben technischen Fragen, Normen und Richtlinien auch eine Vielzahl organisatorischer, regulativer und rechtlicher Aspekte zu beachten.

Datenschutzmaßnahmen
Nach Art. 32 der Datenschutz-Grundverordnung sind alle Stellen, die personenbezogene Daten verarbeiten, erheben oder nutzen, dazu verpflichtet, technische und organisatorische Datenschutzmaßnahmen zu treffen. Die Zugriffs-, Zugangs- und Zutrittskontrolle (vgl. Tabelle 1) gehört zu diesen Maßnahmen und ist entsprechend anzuwenden. Die Begriffe werden jedoch gerade in diesem Bereich viel zu häufig falsch zugeordnet oder vertauscht.

Definitionen
Die folgenden Definitionen (basierend auf DIN EN 60839-11-1 [1] bzw. VdS 2358) sind zu beachten:

Zutrittist der Eintritt oder Austritt in oder aus eine(r) Raumzone.

Zutrittskontrolle (ZK)ist der Vorgang der maschinellen Prüfung der Zutrittsberechtigung zu Sicherungsbereichen und der Steuerung des Zutritts an einer Zutrittsstelle. Im Datenschutz werden damit Maßnahmen gemeint, die verhindern, dass unbefugte Personen den Zutritt zu Räumen erhalten, in denen sich IT-Geräte (Server, PCs, Notebooks, Smartphones, Kopierer etc.) befinden, die personenbezogene Daten verarbeiten.

Zutrittspunktekönnen z. B. Türen, Schranken, Schleusen oder Vereinzelungseinrichtungen sein. Solche Zugänge können mit drahtgebundenen Online-Zutrittslesern oder mechatronischen Offline-Modulen gesichert werden (siehe Abbildung 1).

Zutrittskontrollsystem (ZKS) Ein ZKS besteht aus einer oder mehreren ZKA inkl. der zugehörigen System- und ZK-Software.

Zutrittskontrollanlage (ZKA) Eine ZKA besteht aus allen für die ZK erforderlichen baulichen (Zutrittsstelle) und apparativen (Systemhardware wie ZKZ, Leser etc.) Gegebenheiten.

Zutrittskontrollzentrale (ZKZ)Die ZKZ (in der Praxis auch als Zutrittsmanager/-steuereinheit bezeichnet) speichert die Berechtigungsdaten und erhält über die angeschlossenen Eingabegeräte (wie PIN-Tastatur, Ausweis-/Biometrie-Leser) die Identifikationsdaten. Sie prüft die Zutrittsberechtigung und entscheidet über die Freigabe oder Sperrung des Zutritts.

Zugriff ist die (logische) Benutzung von Daten in Rechnern im Sinne von Lesen, Schreiben, Ändern und Löschen, also der Datei- und somit Informationszugriff.

Zugang ist die (logische) Einleitung der Nutzung eines IT-Systems oder Kommunikationsnetzes.

Zugangskontrolle ist der Vorgang der maschinellen Prüfung der Zugangsberechtigung zu IT-Systemen oder eines Netzes.

Für eine ausführliche Beschreibung mit Definitionen und Bestandteilen einer Zutrittskontrollanlage siehe Kap. 06222.

Regelwerk der ZK
Mit den Normen für Zutrittssteuerungstechnik verfügen alle Beteiligten – Planer, Errichter, Hersteller und Anwender – über ein umfassendes Regelwerk für diese komplexe Technik. In diesem Regelwerk werden die Anforderungen an Produkte oder Verfahren festlegt. Das schafft Klarheit über die Eigenschaften der angebotenen ZK-Systeme, und so werden diese auch besser vergleichbar. Außerdem können die Normen zur Erhöhung der Sicherheit und zur Qualitätsverbesserung herangezogen werden. Mit ihnen kann die Einhaltung des Stands der Technik nachgewiesen werden und belegt werden, dass geeignete Zutrittssteuerungssysteme zum Einsatz kommen.

Datenschutzrecht
Da ZK-Systeme selbst auch personenbezogene Daten erfassen und verarbeiten, muss auch ihr Einsatz konform mit dem geltenden Datenschutzrecht sein. Die Anforderungen haben sich mit der Datenschutz-Grundverordnung (DSGVO) verschärft (s. a. Abschnitt 3.3.2). Diese wird durch die Neufassung des Bundesdatenschutzgesetzes (BDSG n. F.) ergänzt, das weitere Vorschriften zum Arbeitnehmerdatenschutz enthält. Zudem ist zu beachten, dass der Einsatz solcher Systeme in der Regel mitbestimmungspflichtig ist (s. a. Abschnitt 3.3.4).

Zuordnung zu Gefahrenmeldeanlagen
ZKA werden im Bereich der Normen und Richtlinien den Alarmanlagen und somit den Sicherheits- und Gefahrenmeldeanlagen (GFA) zugeordnet, aber mit großen Unterschieden. Im Gegensatz zu GFA ist die ZK eine personenbezogene Anwendung, da die einzelnen Nutzer unterschiedliche Zutrittsrechte zu den einzelnen Räumen bzw. Raumzonen und zu unterschiedlichen Zeiten bzw. Zeitzonen besitzen können. Die ZK stellt also eine organisatorische und sicherheitstechnische Maßnahme dar, um Nutzern individuelle Zutrittsrechte zu Gebäuden und Räumen zu gewähren bzw. Unberechtigten den Zutritt zu verwehren. Dabei gibt die DIN EN 60839-11-1 vor, wie die funktionalen Anforderungen an das Zutrittssystem je nach benötigtem Sicherheitsgrad (1-4) erfüllt sein müssen.

Risikoanalyse
Vor der eigentlichen Planungsphase steht als Grundlage der weiteren Entscheidungen eine Risikoanalyse, in der die Notwendigkeit einer Zutrittssteuerung und ihre Aufgaben unter Sicherheits- und Sicherungsgesichtspunkten ermittelt werden. Zusätzlich sind aber bereits während der Planung auch Fragen der Betriebsabläufe und des Bedienungskomforts der Anlage zu klären. Bezüglich der Akzeptanz sind die berechtigten Benutzer der Anlage unbedingt in die Überlegungen einzubeziehen, um ein Scheitern des ZK-Projekts zu vermeiden. Denn während Mitarbeiter bei berechtigtem Zutritt z. B. zu Gebäuden oder gesicherten Arealen möglichst wenig von Einbruch- oder Brandmeldeanlagen bemerken, ja bemerken sollen, müssen sie die Zutrittssteuerung bewusst nutzen, um in Sicherheitsbereiche hineinzukommen und sich darin zu bewegen.