Die Auswahl eines Zugangsausweises zur Sicherung von Geschäftsräumen beschränkt sich nicht nur auf den Kauf von Lesegeräten und die Verteilung von Karten. Das Kommunikationsprotokoll zwischen dem Ausweis und dem Lesegerät, die gesetzlichen Anforderungen im Zusammenhang mit der DSGVO und die Fähigkeit des Systems zur Weiterentwicklung bestimmen die tatsächliche Robustheit des Systems. Der Vergleich dieser technischen Parameter vor dem Kauf vermeidet mittelfristig hohe Migrationskosten.
OSDP-Protokoll und AES-Verschlüsselung: die technische Grundlage eines zuverlässigen Zugangsausweises
Die Mehrheit der in den letzten Jahren installierten Systeme basiert noch auf dem Wiegand-Protokoll, einer unverschlüsselten Verbindung zwischen dem Ausweisleser und dem Controller. Die Daten werden im Klartext übertragen, was das System anfällig für Abhörung oder Klonen von Ausweisen macht.
Neue Installationen orientieren sich am OSDP-Protokoll (Open Supervised Device Protocol), das verschlüsselt und überwacht ist. Dieses Protokoll wird mittlerweile als der wichtigste Sicherheitsgewinn bei einem Modernisierungsprojekt angesehen. Konkret spezifiziert ein solides Lastenheft drei Elemente: Ausweis 13,56 MHz, AES-Verschlüsselung mit diversifizierten Schlüsseln und OSDP-Kommunikation zwischen Leser und Controller.
Der Unterschied zwischen diesen beiden Ansätzen wird anhand präziser Kriterien gemessen. Die folgende Tabelle fasst die Unterschiede zusammen.
| Kriterium | Wiegand (alter Standard) | OSDP (empfohlener Standard) |
|---|---|---|
| Datenverschlüsselung | Keine (Übertragung im Klartext) | AES 128 Bit, diversifizierte Schlüssel |
| Überwachung des Lesers | Nein (Fehlererkennung unmöglich) | Ja (Alarm bei Abreißen oder Sabotage) |
| Kommunikationsrichtung | Unidirektional (Leser zu Controller) | Bidirektional (Fernaktualisierung des Lesers) |
| Risiko des Klonens von Ausweisen | Hoch (unverschlüsselte Frequenz 125 kHz) | Niedrig (gegenseitige Authentifizierung Ausweis/Leser) |
| Erweiterbarkeit | Kompletter Austausch der Verkabelung erforderlich | Kompatibel mit bestehenden RS-485-Verkabelungen |
Für jedes Unternehmen, das einen sicheren Zugangsausweis einrichten möchte, ist die Forderung nach dem OSDP-Protokoll im Lastenheft die erste strukturelle Entscheidung. Ignoriert man diesen Punkt, installiert man ein bereits zum Zeitpunkt der Inbetriebnahme obsoletes System.
DSGVO-Pflichten und Konsultation des CSE vor der Einführung der Zugangskontrolle
Ein Ausweissystem protokolliert jeden Zugang: Identität des Trägers, Uhrzeit, Zugangspunkt. Diese Protokolle stellen personenbezogene Daten im Sinne der DSGVO dar. Vor der Inbetriebnahme sind drei Verpflichtungen zu beachten, deren Nichteinhaltung zu Sanktionen durch die CNIL führen kann.
- Vorherige Konsultation des CSE: Jedes System, das indirekt die Aktivitäten der Mitarbeiter kontrollieren kann, muss dem Sozial- und Wirtschaftsausschuss vorgelegt werden. Das Protokoll dieser Konsultation dient als Nachweis der Konformität im Falle einer Kontrolle.
- Individuelle und kollektive Information der Mitarbeiter: Jeder Mitarbeiter erhält ein Informationsblatt, das die Zwecke der Verarbeitung, die Kategorien der gesammelten Daten, die Dauer der Aufbewahrung der Zugangsdaten und die Rechte, die ihm zustehen (Zugang, Berichtigung, Widerspruch), beschreibt.
- Einschränkung der Dauer der Aufbewahrung der Protokolle: Die Zugangsdaten dürfen nicht unbegrenzt gespeichert werden. Die CNIL empfiehlt, diese Aufbewahrung auf einige Monate zu beschränken, es sei denn, es gibt spezifische branchenspezifische Verpflichtungen.
Ein häufiger Fehler besteht darin, diese Formalitäten nach der Installation als bloße Pflicht zu betrachten. In Wirklichkeit muss die Konsultation des CSE vor der Bestellung der Hardware erfolgen, da eine negative Stellungnahme den Umfang des Projekts (abgedeckte Bereiche, gesammelte Daten, Nachverfolgbarkeitszeiten) ändern kann.
Verzeichnis der Verarbeitungstätigkeiten und rechtliche Grundlage
Die Zugangskontrolle per Ausweis wird im Verzeichnis der Verarbeitungstätigkeiten des Unternehmens erfasst. Die am häufigsten genutzte rechtliche Grundlage ist das berechtigte Interesse des Arbeitgebers, seine Räumlichkeiten und Vermögenswerte zu schützen. Die CNIL weist jedoch darauf hin, dass diese rechtliche Grundlage nicht die Nutzung der Ausweisdaten zur Überwachung individueller Arbeitszeiten erlaubt, es sei denn, eine separate rechtliche Grundlage rechtfertigt dies.
Segmentierung der Bereiche und Verwaltung der Zugangsrechte nach Profil
Allen Mitarbeitern das gleiche Zugangslevel zu gewähren, macht das System überflüssig. Die Segmentierung basiert auf einem einfachen Prinzip: Jeder Ausweis öffnet nur die Türen, die für die Funktion seines Trägers unbedingt erforderlich sind.
Ein klassischer tertiärer Standort gliedert sich in drei Ebenen. Die Gemeinschaftsbereiche (Halle, Cafeteria, Sanitäranlagen) sind für alle aktiven Ausweise zugänglich. Die Arbeitsbereiche (Büros, Besprechungsräume) sind auf die betreffenden Teams beschränkt. Die sensiblen Bereiche (Server, Archive, Geschäftsführung) sind nur für eine begrenzte Anzahl namentlich identifizierter Personen zugänglich.
Diese Kartierung wird vor der physischen Installation der Leser erstellt. Ein Lesegerät an einer Tür zu platzieren, ohne das Profil der autorisierten Benutzer definiert zu haben, führt zu einer Kettenreaktion von Änderungsanfragen, die mit erheblichen Verkabelungskosten verbunden sind.
Verwaltung des Lebenszyklus eines Ausweises im Unternehmen
Ein Ausweis ist kein statisches Objekt. Sein Lebenszyklus umfasst mehrere Ereignisse, die eine sofortige Reaktion des Systems erfordern:
- Ankunft eines Mitarbeiters oder Dienstleisters: Erstellung des Ausweises mit den Rechten, die dem vom Bereichsleiter genehmigten Profil entsprechen.
- Interne Versetzung: Aktualisierung der Rechte in der Verwaltungssoftware, Löschung der Zugänge zum alten Bereich, Hinzufügen der neuen.
- Verlust oder Diebstahl des Ausweises: sofortige Deaktivierung über die zentrale Software, noch bevor ein Ersatzausweis ausgestellt wird.
- Endgültiger Austritt: Löschung des Ausweises und Bereinigung der zugehörigen Rechte innerhalb kurzer Zeit, idealerweise am selben Tag.
Die Schnelligkeit der Deaktivierung eines verlorenen Ausweises oder eines ausgeschiedenen Mitarbeiters ist der tatsächliche Test für die Reife des Systems. Eine Verzögerung von mehreren Tagen zwischen der Meldung und der Deaktivierung schafft ein Risiko, das durch Verschlüsselung allein nicht behoben werden kann.
NFC-Mobilausweis und digitalisierte Berechtigungen: was sich für Unternehmen ändert
Die Alternative zum physischen Ausweis gewinnt an Bedeutung. Mobile Berechtigungen, die über NFC auf dem Smartphone gespeichert werden, ermöglichen es dem Mitarbeiter, mit seinem Telefon zu scannen. Dieser Ansatz beseitigt die Kosten für die Herstellung von Karten und reduziert Vorfälle im Zusammenhang mit dem Verlust von Ausweisen.
Der mobile Ausweis führt jedoch zu einer Abhängigkeit vom persönlichen Telefon des Mitarbeiters. Im Falle eines leeren Akkus oder eines vergessenen Telefons ist der Zugang zum Standort blockiert, wenn keine physische Ersatzkarte vorgesehen ist. Die Koexistenz beider Formate (physischer Ausweis und mobile Berechtigung) bleibt die realistischste Konfiguration für Standorte, an denen eine kontinuierliche Zugänglichkeit unverzichtbar ist.
Die Wahl des Protokolls, die Einhaltung der sozialen und DSGVO-Pflichten, die Granularität der Rechte nach Bereich und die strenge Verwaltung des Lebenszyklus der Ausweise bilden ein untrennbares Ganzes. Ein Zugangskontrollsystem ist nur so gut wie das schwächste Glied dieser Kette, sei es technischer, organisatorischer oder rechtlicher Natur.