Physisch oder digital?
Ein Mitarbeitender darf ein Gebäude betreten, sich an einem System anmelden und auf bestimmte Daten zugreifen.
Was im Arbeitsalltag selbstverständlich wirkt, wird organisatorisch häufig über unterschiedliche Systeme und Zuständigkeiten geregelt.
Das kann zum Sicherheitsrisiko werden. Denn eine gesperrte Zutrittskarte schützt wenig, wenn ein digitaler Zugang weiterhin aktiv ist. Umgekehrt nützt ein sauber geregeltes Benutzerkonto nur begrenzt, wenn sensible Räume mit veralteten Zutrittsberechtigungen betreten werden können.
Physische und digitale Sicherheit haben deshalb eine gemeinsame Grundlage: Identitäten, Rollen und Berechtigungen müssen konsistent geregelt sein.
Zutritt, Zugang und Zugriff sind unterschiedliche Ebenen derselben Sicherheitsfrage
Das Bundesamt für Sicherheit in der Informationstechnik (BSI) unterscheidet drei Begriffe, die im Alltag häufig vermischt werden:
Zutritt
Zutritt regelt, wer Gebäude, Räume oder geschützte Bereiche betreten darf.
Zugang
Zugang beschreibt die Berechtigung, IT-Systeme, Netze oder Anwendungen zu nutzen.
Zugriff
Zugriff bestimmt, welche Informationen, Daten oder Funktionen innerhalb dieser Systeme genutzt werden dürfen.
Für die Sicherheitsorganisation ist diese Unterscheidung wichtig
Denn eine Person kann auf einer Ebene korrekt berechtigt sein und auf einer anderen zu viele Rechte besitzen.
Ein Administrator benötigt beispielsweise Zugriff auf bestimmte IT-Systeme. Daraus folgt jedoch nicht automatisch, dass er jederzeit jeden technischen Raum betreten darf. Ebenso kann ein externer Dienstleister für einen begrenzten Zeitraum Zugang zu einem Gebäude benötigen, ohne deshalb umfassende Zugriffsrechte auf interne Informationen zu erhalten.
Das Sicherheitsprinzip dahinter ist einfach: Jede Person erhält genau die Rechte, die sie für ihre aktuelle Aufgabe benötigt.
Vertrauen braucht Sicherheit
Mitarbeitende vertrauen ihren Kollegen. Führungskräfte vertrauen ihren Teams. Und Unternehmen vertrauen darauf, dass sensible Bereiche und Informationen geschützt bleiben. Damit dieses Vertrauen bestehen kann, müssen Berechtigungen klar geregelt sein. Physisch wie digital.
Sicherheitslücken entstehen häufig an den Übergängen
Problematisch wird es vor allem dort, wo Berechtigungen unabhängig voneinander gepflegt werden.
Eine organisatorische Änderung kann gleichzeitig mehrere Sicherheitsbereiche betreffen. Wechselt eine Person ihre Aufgabe, können andere Räume, Anwendungen, Daten oder technische Funktionen relevant werden. Bei externen Dienstleistern enden Berechtigungen möglicherweise nach einem Projekt. Beim Ausscheiden müssen physische und digitale Rechte zuverlässig entzogen werden.
Werden diese Änderungen in mehreren Systemen manuell und unabhängig voneinander vorgenommen, können unterschiedliche Berechtigungsstände entstehen.
Das Risiko liegt dann nicht darin, dass überhaupt keine Sicherheitsregeln existieren. Das Risiko entsteht durch Regeln, die nicht mehr zur tatsächlichen Rolle einer Person passen.
Das BSI weist entsprechend darauf hin, dass Berechtigungen dokumentiert, regelmäßig überprüft und bei personellen Veränderungen angepasst beziehungsweise nicht mehr benötigte Rechte entzogen werden sollten.
Ein gemeinsames Berechtigungsmodell schafft Konsistenz
Physische und digitale Sicherheit zusammenzudenken bedeutet nicht, dass sämtliche Sicherheitsfunktionen in einem einzigen System liegen müssen.
Entscheidend ist vielmehr, dass Systeme verlässliche Informationen austauschen können und eine gemeinsame Logik für Identitäten und Berechtigungen besteht.
Dafür braucht es vor allem
- eindeutig zugeordnete Identitäten
- definierte Rollen und Verantwortlichkeiten
- nachvollziehbare Berechtigungsregeln
- geregelte Prozesse für Änderungen
- aktuelle Informationen über den Status einer Person
- dokumentierte sicherheitsrelevante Vorgänge
- Schnittstellen zwischen beteiligten Systemen
Systemintegration wird damit selbst zu einem Sicherheitsfaktor.
Wenn unterschiedliche Systeme mit konsistenten Informationen arbeiten, sinkt das Risiko widersprüchlicher Berechtigungen. Gleichzeitig lässt sich besser nachvollziehen, welche Person zu welchem Zeitpunkt welche Rechte besaß.
Auch physische Sicherheitssysteme sind heute digitale Infrastruktur
Die Verbindung reicht noch weiter. Moderne Zutrittssteuerung, IP-Kameras, Alarmanlagen, Türsteuerungen und Gebäudesysteme arbeiten zunehmend vernetzt.
Zutrittslösungen können beispielsweise über Netzwerkstrukturen angebunden, mit Video oder Alarmsystemen verbunden sowie als lokale, Cloud oder hybride Lösungen betrieben werden.
Damit werden Komponenten der physischen Sicherheit gleichzeitig Teil der digitalen Infrastruktur.
Für Sicherheitsverantwortliche bedeutet das: Nicht nur die Tür oder Kamera selbst muss betrachtet werden. Auch Netzwerkverbindungen, Benutzerkonten, Administrationsrechte, Konfigurationen und die eingesetzten Systeme gehören zum Sicherheitskonzept.
Das entspricht auch der Logik des IT-Grundschutzes. Das BSI berücksichtigt bei der Informationssicherheit neben IT-Systemen ausdrücklich Gebäude, Räume und physische Zutrittssteuerung.
Physische Sicherheit schützt somit digitale Infrastruktur. Gleichzeitig muss digitale Sicherheit dafür sorgen, dass vernetzte physische Sicherheitssysteme selbst geschützt betrieben werden.
NIS2 verstärkt den Blick auf Berechtigungen und Organisation
Auch regulatorisch gewinnt diese Verbindung an Bedeutung. Für wichtige und besonders wichtige Einrichtungen verlangt § 30 BSIG im Rahmen der NIS2-Umsetzung unter anderem Konzepte zur Personalsicherheit, zur Zugriffskontrolle und zur Verwaltung von IKT-Systemen, Produkten und Prozessen. Das BSI ordnet Identitätsmanagement und Berechtigungsmanagement ausdrücklich diesem Themenfeld zu.
Damit wird deutlich: Informationssicherheit meint nicht allein den technischen Schutz eines Servers. Rollen, Personen, Berechtigungen und organisatorische Prozesse gehören ebenso dazu.
Fünf Fragen für die eigene Sicherheitsorganisation
Ein erster Praxischeck kann deshalb mit wenigen Fragen beginnen:
1. Ist eindeutig geregelt, wer Zutritt zu welchen Gebäuden und Bereichen erhält?
2. Werden digitale Zugänge und Zugriffsrechte nach denselben Rollen und Verantwortlichkeiten vergeben?
3. Wie schnell werden Änderungen in allen betroffenen Systemen wirksam?
4. Können nicht mehr benötigte Berechtigungen zuverlässig erkannt und entzogen werden?
5. Lassen sich physische und digitale Sicherheitsereignisse nachvollziehbar zuordnen?
Je stärker diese Fragen über verschiedene Abteilungen oder Systeme verteilt beantwortet werden müssen, desto wichtiger werden abgestimmte Prozesse und verlässliche Schnittstellen.
Fazit: Sicherheit braucht eine gemeinsame Logik
Physische und digitale Sicherheit sind keine voneinander unabhängigen Welten mehr.
Gebäude, Systeme, Daten und vernetzte Sicherheitstechnik sind Teil derselben organisatorischen Infrastruktur. Entscheidend ist deshalb nicht nur, ob einzelne Sicherheitsmaßnahmen vorhanden sind. Entscheidend ist, ob Identitäten, Rollen und Berechtigungen über Systemgrenzen hinweg zusammenpassen.
Wer Zutritt, Zugang und Zugriff gemeinsam betrachtet, schafft eine bessere Grundlage für nachvollziehbare Berechtigungen, geringere Sicherheitsrisiken und eine Sicherheitsorganisation, die auch bei Veränderungen beherrschbar bleibt.
Sicherheit beginnt mit der richtigen Entscheidung
Wer Menschen, Werte und Informationen schützen will, sollte Sicherheit nicht dem Zufall überlassen. Bringen Sie physische und digitale Sicherheit zusammen und schaffen Sie Strukturen, auf die Sie sich jeden Tag verlassen können.
Hinweis: Dieser Beitrag dient ausschließlich der allgemeinen Information und stellt keine Rechtsberatung dar. Trotz sorgfältiger Recherche wird keine Gewähr für Vollständigkeit, Aktualität oder rechtliche Verbindlichkeit der Inhalte übernommen. Für die rechtliche Bewertung konkreter Einzelfälle sollte stets fachkundiger rechtlicher Rat eingeholt werden.
