Viele Sicherheitskonzepte setzen beim Login an und enden an der Gebäudetür. Zutrittssysteme, Videoüberwachung und der Serverraum laufen als Gebäudetechnik, organisatorisch getrennt von der IT-Sicherheit. Diese Trennung täuscht: Fast jeder ernstzunehmende Angriff hat einen menschlichen und häufig auch einen physischen Ansatzpunkt. Wer diese Ebene ausblendet, verteidigt sein Netz mit offener Flanke.
Wie physische und digitale Angriffe ineinandergreifen
Die Übergänge sind fließender, als getrennte Zuständigkeiten vermuten lassen. Schlüpft eine unbefugte Person hinter einem Berechtigten durch die Schleuse, steht sie unter Umständen direkt vor frei zugänglicher Netzwerktechnik. Ein präpariertes USB-Gerät oder ein heimlich am Switch platzierter Kleinstrechner verschafft Angreifern dauerhaften Zugang. Offen im Regal gelagerte Backup-Medien enthalten eine vollständige Kopie des Datenbestands. Und der Werksausweis eines längst ausgeschiedenen Dienstleisters öffnet nicht selten noch Monate später Türen. Typische Muster:
- Tailgating, also das Mitlaufen durch gesicherte Bereiche im Windschatten Berechtigter
- Manipulation frei zugänglicher Netzwerk- und Serverhardware
- eingeschleuste Fremdgeräte, etwa USB-Sticks oder Rogue Devices am Switch
- ungeschützt gelagerte Backup-Medien und Datenträger
- weiterhin gültige Ausweise und Konten ausgeschiedener Beschäftigter oder Dienstleister
Zumindest der digitale Teil solcher Angriffe lässt sich erkennen, wenn das lokale Netz professionell betrieben und durchgehend überwacht wird, etwa über Managed-LAN-Services im 24/7-Modell, bei denen ein fremdes Gerät am Switch eher auffällt als in einem unbeobachteten Netz.
Gestaffelte Verteidigung beginnt an der Tür
Defense in Depth ist in der IT seit Langem etabliert. Nur endet das Prinzip nicht an der Firewall. Jede zusätzliche physische Schicht treibt den Aufwand für Angreifer nach oben und erhöht die Wahrscheinlichkeit, dass ein Versuch bemerkt wird. Voraussetzung ist, dass IT-Sicherheit, Gebäudemanagement und externe Spezialisten mit klar verteilten Rollen an einer gemeinsamen Architektur arbeiten, statt nebeneinanderher zu laufen. Physische und logische Kontrollen müssen dieselbe Sprache sprechen.
IAM: eine Identität für Tür und Login
Der größte Hebel liegt darin, Gebäudezutritt und Systemzugriff an dieselbe digitale Identität zu koppeln. Wird eine Person eingestellt, versetzt oder verabschiedet (Joiner-Mover-Leaver), sollten sich Zutrittsrechte und Systemberechtigungen automatisch und im Gleichschritt ändern. Ein Offboarding, das zwar das Active-Directory-Konto deaktiviert, den Werksausweis aber vergisst, bleibt Stückwerk. Rollenbasierte Vergabe nach dem Least-Privilege-Prinzip, für Türen ebenso wie für Anwendungen, stellt sicher, dass Menschen nur dorthin gelangen, wo sie tatsächlich hingehören.
SOC: Zutritts- und Systemereignisse gemeinsam auswerten
Richtig wertvoll wird die Kopplung, sobald ein Security Operations Center beide Ereignisströme korreliert. Manche Anomalien entstehen überhaupt erst im Zusammenspiel: eine Systemanmeldung, obwohl die Person das Gebäude nie betreten hat, Zutritte derselben Identität an zwei Standorten zur gleichen Zeit, Zugriffe weit außerhalb der üblichen Arbeitszeiten oder gehäuft fehlgeschlagene Badge-Versuche an einer sensiblen Tür. Solche Muster sind starke Frühwarnsignale, vorausgesetzt, Zutritts- und Anmeldedaten laufen in derselben Auswertung zusammen.
Vier Zonen, abgestufte Kontrollen
Als Ordnungsrahmen hat sich ein Modell bewährt, das Liegenschaften in vier Sicherheitszonen mit steigenden Anforderungen gliedert:
- Zone 1 (öffentlich): Empfang und Besucherbereiche; Identitätsprüfung am Eingang.
- Zone 2 (intern): nur für Beschäftigte; personalisierter Zutritt mit Protokollierung.
- Zone 3 (sensibel): ausschließlich für ausdrücklich berechtigte Personen; mehrstufige oder biometrische Kontrolle.
- Zone 4 (hochsicher): Serverraum und Kernsysteme; Mehr-Faktor-Zutritt, minimaler Personenkreis, lückenlose Aufzeichnung.
Die Stärke des Modells ist seine Konsequenz: Je tiefer die Zone, desto strenger die Kontrolle und desto enger die Verzahnung mit den digitalen Berechtigungen.
Regulatorik: aus guter Praxis wird Pflicht
Was lange als gute Praxis galt, schreiben Regelwerke zunehmend vor. NIS-2 hebt die Grundanforderungen an die Cybersicherheit europaweit an und bezieht physische Sicherheit ausdrücklich ein. Der BSI IT-Grundschutz, die KRITIS-Vorgaben für Betreiber kritischer Infrastrukturen und TISAX (vor allem in der Automobil- und Zulieferindustrie) verlangen im Kern dasselbe: systematische Risikoerhebung, dokumentierte Zutritts- und Zugriffskontrollen und jederzeitige Auditfähigkeit. Wer physische und digitale Kontrollen getrennt dokumentiert, erzeugt genau die Lücken, die im Audit auffallen.
Datenschutz gehört von Anfang an dazu
Zutrittsprotokolle, Videoaufnahmen und biometrische Merkmale sind personenbezogene Daten, zum Teil besonders schutzbedürftige. Eine tragfähige Architektur legt Zwecke eindeutig fest, begrenzt Speicherfristen, beschränkt Auswertungszugriffe auf das Notwendige und informiert Beschäftigte wie Gäste transparent. Der Grundsatz der Verhältnismäßigkeit ist dabei eher Qualitätsmerkmal als Hindernis: Wer ihn ernst nimmt, erreicht Sicherheit und DSGVO-Konformität in einem Zug.
Tür und Netz als eine Architektur
Physische Sicherheit ist Teil einer belastbaren, auditierbaren Sicherheits-Governance und kein Kostenposten der Gebäudetechnik. Das gilt erst recht in hybriden Umgebungen, in denen Edge- und On-Premise-Systeme in eigener Verantwortung bleiben. Identitätszentrierte Konzepte verbinden beide Ebenen: Zero-Trust-Prinzipien sorgen dafür, dass eine überwundene Tür nicht gleich das ganze Netz öffnet. Mikrosegmentierung begrenzt die Ausbreitung im Netz auf das betroffene Segment, und SASE/SSE-Dienste prüfen jeden Zugriff identitätsbasiert, unabhängig davon, wo jemand die physische Schwelle überschritten hat. Beide Welten gehören in eine gemeinsame Architektur, von der Zonenlogik bis zur Ereigniskorrelation im SOC.
Passende Managed Services
- Mikrosegmentierung – stoppt laterale Bewegung nach einem physischen Einbruch ins Netz; Least-Privilege-Regeln bis auf Workload-Ebene.
- Secure Access Service Edge (SASE/SSE) – identitätsbasierte Zugriffsprüfung (ZTNA) und Sicherheitsdienste aus der Cloud.
- Managed LAN – Planung, Betrieb und 24/7-Überwachung der lokalen Netzinfrastruktur.