Zutrittskontrolle

Zutrittskontrolle, Perimeter, Objektschutz: die physische Seite der Angriffsfläche

26.08.2026

Zutrittskontrolle und Perimeter: die physische Angriffsfläche

Physische Sicherheit ist kein Anhängsel der IT-Sicherheit, sondern in ISO/IEC 27001:2022 ein eigenes von vier Themenfeldern im Anhang A. Vierzehn Maßnahmen stehen dort, darunter Sicherheitsperimeter, physischer Zutritt, die Sicherung von Räumen und Einrichtungen sowie deren Überwachung. Wer ein Informationssicherheits-Managementsystem betreibt und diese Ebene an den Facility-Bereich delegiert, hat sie nicht abgedeckt, sondern nur verschoben.

Der Grund ist unangenehm einfach: Ein Angreifer, der im Serverraum steht, braucht keine Schwachstelle mehr. Er braucht einen Schraubendreher. Kein Endpoint-Schutz, keine Segmentierung und keine Multifaktor-Authentifizierung greifen gegen jemanden, der die Hardware in der Hand hält oder einen präparierten Datenträger anschließt.

Perimeterschutz, Zutritt, Raum: drei Ringe, von denen meist nur einer trägt

Physische Sicherheitskonzepte sind in Ringen gedacht: Gelände, Gebäude, Raum. Der äußere Ring heißt Perimeterschutz, der mittlere regelt den Zutritt ins Gebäude, der innere sichert den einzelnen Raum. Jeder Ring hat eine eigene Aufgabe, und ein Ring kann den Ausfall des nächsten nicht auffangen. In der Praxis ist meist der innerste Ring gut ausgebaut, weil dort die teure Hardware steht, während der äußere aus einem Zaun und einer Kamera besteht, deren Aufzeichnung niemand ansieht.

Die rechte Spalte ist der eigentliche Befund. Die Lücke liegt selten in der Technik, sondern in der Frage, wer auf ein Ereignis reagiert und wer es dokumentiert. Eine Detektionsanlage ohne Interventionskraft erzeugt Meldungen, keinen Schutz.

Der Besucherprozess ist die häufigste offene Flanke Ausweisleser und Vereinzelungsanlagen regeln zuverlässig, wer regulär hineinkommt. Sie regeln nicht, was mit dem Techniker der Klimaanlage passiert, mit der Reinigungskraft um 22 Uhr oder mit dem Handwerker, der einen Termin hat, den niemand hinterlegt hat. Genau diese Gruppe bewegt sich in vielen Liegenschaften mit einem Leihausweis und ohne Begleitung durch Bereiche, in denen kein Mitarbeiter ohne Freigabe stünde.

Social Engineering setzt hier an, nicht am Türblatt. Wer eine Warnweste, eine Auftragsnummer und Selbstverständlichkeit mitbringt, kommt an einem unbesetzten Empfang weiter als an einer Person, deren Aufgabe das Nachfragen ist. Der Unterschied zwischen einem Empfangsdienst und einer Zutrittskontrolle liegt genau darin: Der eine meldet an, die andere sagt im Zweifel Nein.

Was ein belastbarer Prozess mindestens leistet: Voranmeldung mit benanntem Gastgeber, Ausweis gegen Lichtbildabgleich, ein zugewiesener Aufenthaltsbereich, Begleitpflicht in Sicherheitsbereichen und ein Protokoll, das Ankunft und Verlassen des Geländes festhält. Nichts davon ist teuer. Es scheitert an der Zuständigkeit, nicht am Budget.

Personal ergänzt Technik, es ersetzt sie nicht

Der Streit „Technik oder Personal" geht am Problem vorbei, weil beide unterschiedliche Aufgaben haben. Technik erkennt, protokolliert und sperrt. Sie entscheidet nicht, und sie greift nicht ein. Eine Person entscheidet, greift ein und ist dabei fehlbar, aber sie kann auf etwas reagieren, das in keiner Regel steht.

Deshalb sitzt der Objektschutz für Gebäude und Anlagen in einem Sicherheitskonzept an der Stelle, an der Technik aufhört: Alarmverfolgung, Intervention, Besucher- und Fremdfirmenmanagement, dokumentierte Kontrollgänge außerhalb der Betriebszeiten. Für Rechenzentren regelt EN 50600 die baulichen und betrieblichen Anforderungen; für die Alarmaufschaltung gilt EN 50518, die Norm für Alarmempfangsstellen, in der Branche Notruf- und Serviceleitstelle genannt. Aquila Security etwa schaltet Objekte nach eigenen Angaben auf eine eigene Sicherheitszentrale nach EN 50518 auf und setzt Personal mit Sachkundeprüfung nach §34a Gewerbeordnung und Eintrag im Bewacherregister ein.

Die interessante Frage an einen Dienstleister ist deshalb nicht, ob er Streife geht, sondern was er tut, wenn die Anlage um drei Uhr nachts eine Meldung wirft: Wer fährt hin, in welcher Zeit, wer wird informiert, und in welcher Form steht das am nächsten Morgen im Protokoll.

Was das Gewerberecht für das eingesetzte Personal vorschreibt

Bewachung ist in Deutschland erlaubnispflichtig. Für einfache Bewachungsaufgaben genügt die Unterrichtung nach §34a Gewerbeordnung, eine Schulung ohne Prüfung. Die Sachkundeprüfung mit schriftlichem und mündlichem Teil wird zwingend, sobald eine der in §34a Absatz 1a genannten Tätigkeiten dazukommt. Das sind Kontrollgänge im öffentlichen Verkehrsraum oder in Hausrechtsbereichen mit tatsächlich öffentlichem Verkehr, der Schutz vor Ladendieben und die Bewachung im Einlassbereich gastgewerblicher Diskotheken. Bei Aufnahmeeinrichtungen und Gemeinschaftsunterkünften sowie bei zugangsgeschützten Großveranstaltungen verlangt das Gesetz die Sachkunde ausdrücklich nur in leitender Funktion.

Unabhängig davon muss jede Wachperson im bundesweiten Bewacherregister eingetragen sein. Das Register vergibt eine Bewacher-ID, und die lässt sich im Auftrag zusammen mit dem Namen dokumentieren. Die Unterweisung nach DGUV Vorschrift 23, der Unfallverhütungsvorschrift für Wach- und Sicherungsdienste, gilt für jede Sicherungskraft und nicht nur für bestimmte Einsatzarten. Im Werkschutz kommt die standortspezifische Einweisung in Abläufe, Tore und Meldewege hinzu.

Wer im Rahmen eines Managementsystems Nachweise führt, sollte diese drei Punkte in der Lieferantenakte haben und nicht nur im Angebot gelesen haben.

Woran die Kosten hängen

Der Stundensatz folgt dem Tarif, und der wird regional verhandelt. Eine eigene Lohnuntergrenze nach dem Arbeitnehmer-Entsendegesetz kennt das allgemeine Wach- und Sicherheitsgewerbe derzeit nicht; maßgeblich ist der gesetzliche Mindestlohn von 13,90 Euro, und die unterste tarifliche Stufe liegt mit knapp 15 Euro darüber. Bei geprüften Fachkräften trennen die Bundesländer mehrere Euro je Stunde, dazu kommen die Zuschläge für Nacht, Sonn- und Feiertage je nach Tarifgebiet.

Daraus folgt eine brauchbare Prüfregel für Angebote: Ein Netto-Stundensatz, der nur wenig über dem Tariflohn liegt, kann Arbeitgeberkosten, Urlaub, Ausfallzeiten, Schulung und Einsatzleitung nicht decken. Er ist entweder falsch kalkuliert oder er wird bei der Qualifikation des eingesetzten Personals eingespart. Beides fällt im Ernstfall auf den Auftraggeber zurück.

Für eine durchgehende Besetzung lohnt eine einfache Gegenrechnung: Eine Woche hat 168 Stunden, eine Vollzeitstelle rund 40. Ein rund um die Uhr besetzter Posten bindet also gut vier Vollzeitstellen, bevor Urlaub und Krankheit eingerechnet sind. Wer das einmal durchgerechnet hat, diskutiert Angebote anders.

Was in eine Ausschreibung gehört

In die Leistungsbeschreibung gehören das Schutzgut mit Ringzuordnung, also Gelände, Gebäude oder Raum, die Präsenzform mit Uhrzeiten, die Kontrollpunkte samt Taktung und Nachweisform, das Regime für Besucher und Fremdfirmen, der Eskalationsweg mit Name, Nummer und Vertretung sowie die Schnittstelle zur Technik, also wer auf welche Meldung in welcher Zeit reagiert. Dazu die Nachweise: Unterrichtung oder Sachkunde, Bewacherregister-Eintrag, Unterweisung nach DGUV Vorschrift 23 und die Haftpflichtdeckung je Schadensfall. Zuschläge für Nacht, Wochenende, Feiertag und Kurzfristigkeit gehören in Prozent ins Angebot, nicht in die Abrechnung.

Häufige Fragen

Deckt ISO 27001 die physische Sicherheit ab?

Ja. ISO/IEC 27001:2022 gliedert die Maßnahmen im Anhang A in vier Themenfelder, und eines davon ist die physische Sicherheit mit vierzehn Maßnahmen. Dazu gehören Sicherheitsperimeter, physischer Zutritt, die Sicherung von Büros, Räumen und Einrichtungen sowie deren Überwachung. Ein Managementsystem, das diese Ebene nicht belegt, hat eine Lücke im Anwendungsbereich.

Wie prüfe ich, ob eine Wachperson zulässig eingesetzt ist?

Lassen Sie sich für jede eingesetzte Person den Nachweis über Unterrichtung oder Sachkundeprüfung nach §34a Gewerbeordnung und die Bewacher-ID aus dem Bewacherregister geben und halten Sie beides in der Lieferantenakte. Ergänzend gehört dazu, welche Tätigkeiten am Standort anfallen: Sobald eine der in §34a Absatz 1a genannten dabei ist, reicht die Unterrichtung nicht.

Was kostet ein rund um die Uhr besetzter Posten?

Die Frage führt in die Irre, solange sie in Stunden gedacht wird. Der Posten läuft die ganze Woche, eine Vollzeitstelle deckt davon rund ein Viertel ab: Es braucht also mehr als vier Kräfte, Urlaub und Krankheit noch nicht eingerechnet. Diese Personalzahl, verrechnet mit dem Tarifsatz der Region und den Arbeitgeberkosten, ergibt die Größenordnung, gegen die sich jedes Angebot prüfen lässt.

Reicht eine Videoanlage statt Personal?

Für die Beweissicherung ja, für die Intervention nein. Eine Aufzeichnung zeigt im Nachhinein, was passiert ist. Ob jemand innerhalb von Minuten am Objekt ist, entscheidet sich an der Frage, wer auf die Meldung reagiert. Die belastbare Kombination ist Detektion plus definierte Interventionskette, nicht das eine oder das andere. Wer aufschaltet, sollte klären, auf welche Stelle: Aquila Security etwa schaltet Objekte nach eigenen Angaben auf eine eigene Sicherheitszentrale nach EN 50518 auf.

Wer trägt die Verantwortung für Fremdfirmen auf dem Gelände?

Das Hausrecht liegt beim Betreiber der Liegenschaft, und er entscheidet, wer sich wo aufhalten darf. Ein beauftragter Sicherheitsdienst handelt in seinem Auftrag und im Rahmen der Jedermannsrechte; hoheitliche Befugnisse hat er nicht. Wie weit die Begleitpflicht reicht und wer Zutritt freigibt, gehört deshalb schriftlich in die Leistungsbeschreibung und nicht in die mündliche Absprache am Empfang.

Über Aquila Security

Aquila Security ist ein Sicherheitsdienstleister mit Hauptsitz in Frankfurt am Main und bundesweitem Einsatzgebiet, mit Schwerpunkten in Objektschutz, Werkschutz und Baustellenbewachung. Das Unternehmen ist von der DEKRA nach ISO 9001 zertifiziert, setzt Personal mit Sachkundeprüfung nach §34a Gewerbeordnung und Eintrag im Bewacherregister ein und trägt eine Betriebshaftpflicht über 5 Millionen Euro je Schadensfall.