Mobile Access: aber wann?

Eigentlich haben wir uns ja bereits daran gewöhnt: Wir gewähren uns selbst den Zutritt. Das online gebuchte Konzert­ticket verschafft uns während einer vorher bestimmten Zeit an einem vorher bestimmten Ort Zugang zu einer bestimmten Dienstleistung. Während «Print at home» und E-Tickets darauf beruhen, dass vor Ort ein Strichcode eingelesen wird, geht’s mit der App jetzt einen Schritt weiter: das eigentliche Öffnen der Türe. Insbesondere für Hotels ist die Anwendung sehr beliebt. Auch hier haben wir uns bereits daran gewöhnt, für die Buchung unsere Kundendaten selbst zu erfassen, und auch der Bezahlvorgang wird eigenhändig vorgenommen.

Damit haben wir uns auch hier die «Berechtigung» erworben, während einer bestimmten Zeit an einem bestimmten Ort Zutritt zu erhalten. Die automatische Übertragung dieser Berechtigung auf eine App ist nur der nächste konsequente Schritt. Längst gibt es Praxisbeispiele, bei denen der Hotelgast direkt mit der App seine Zimmertüre öffnet, ohne vorher ein Check-in besucht zu haben. Selbstverständlich können, falls gebucht, auch weitere Zugänge wie Einstellhalle, Wellness, Lounge oder auch die Öffnung der Minibar freigeschaltet werden. Dies alles automatisch und ganz ohne personelle Ressourcen des Hotels.

Mobile Access im Trend?

Die dazugehörige Technologie ist für Smartphones seit rund zehn Jahren verfügbar. Voraussetzung für die Nutzung ist ein NFC- und BLE-fähiges Gerät, und eben, die passende App. Auch hier gilt: Wir haben uns bereits daran gewöhnt. Bezahlvorgänge, E-Banking und Patienten-Apps für Laborberichte oder die Swiss-Covid-App: Für viele sensitive Anwendungen nutzen wir eine oder gleich mehrere Apps.

Wieso also nicht auch für den Zutritt? Natürlich muss auch die Infrastruktur, also der Öffnungsmechanismus der Türe, für die Anwendung bereit sein: BLE- bzw. NFC-fähige Lesung des Signals und eine Integration (Onboarding) von mobiler Zutrittskontrolle in das System bilden die Grundvoraussetzung für die gewünschte Türöffnung per Smartphone.

Breites Einsatzspektrum

Temporäre Freischaltung von Zugängen kennen wir insbesondere von elektronischen Zutrittskontrollen schon länger. Auch dass die erfolgten Zutritte elektronisch erfasst und damit nachvollziehbar sind, ist schon länger üblich. Allerdings war bei konventionellen Systemen die Berechtigung an ein Schliessmedium respektive an einen Identifikationsmerkmalträger (IMT) gebunden.

Diese Aufgaben übernimmt beim Mobile Access das Smartphone respektive die (herstellerspezifische) App. Daraus ergeben sich eine Vielzahl von Einsatzmöglichkeiten. So kann variabel eingesetztes Personal direkt für den jeweiligen Einsatz respektive für die Öffnung der betreffenden Türen berechtigt werden. Sei dies nun beispielsweise für Springer im Tankstellenshop oder den Servicetechniker im Rechenzentrum.

Also alles im Griff?

Die (standortunabhängige) Freischaltung von Berechtigungen geschieht heute herstellerspezifisch. Oft stehen proprietäre (Cloud-)Lösungen im Einsatz. Einzelne Lösungsanbieter sind dabei, hersteller­unabhängige Lösungen anzubieten respektive verschiedene Anbieter über Schnittstellen zu integrieren. Generell gilt hier der Grundsatz: je mehr Schnittstellen, desto höher die Anzahl möglicher Sicherheitslücken. Die physische Sicherheit auf der Türe wird also auch abhängig von der IT-Security des Gesamtsystems. Auch ist festzuhalten, dass beim vorgängig erwähnten Einsatzbeispiel Springer im Tankstellenshop nicht unbedingt davon ausgegangen werden kann, dass ein firmeneigenes Smartphone zur Verfügung steht. Ist es also zulässig, dass der Mitarbeitende gezwungen wird, geschäftlich genutzte Apps auf seinem Smartphone zu installieren? Und ist es umgekehrt aus Arbeitgebersicht wünschenswert, dass sicherheitsrelevante Vorgänge auf einem privaten Smartphone abgewickelt werden? Und um auch den Servicetechniker einzubeziehen: Ist es wirklich sinnvoll, den Zugang zum IT-Rack im Rechenzentrum via App freizuschalten?

Der Sicherheitsbedarf ist entscheidend

Nicht alle Räume respektive deren Inhalte/Nutzungen haben denselben Sicherheitsbedarf. Während in der IT oft der Ausdruck Schutzbedarfsanalyse verwendet wird, ist das Ziel auch bei der physischen Sicherheit identisch: die Anforderungen an die Sicherheit festzulegen. Daraus ergeben sich oft auch Anforderungen an die Zutrittsorganisation und die eingesetzten technischen Hilfsmittel. Es ist kein Zufall, dass die Marktdurchdringung von Mobile Access im «Consumer»-Segment steigend ist. Hotelanwendungen, Sitzungszimmer und generell Bereiche mit tiefen Sicherheitsanforderungen sind prädestiniert für solche Anwendungen. Umso mehr aber der Sicherheitsbedarf steigt, desto mehr Vorsicht ist angebracht. Allenfalls kann mit einem zusätzlichen Identifikationsmerkmal dem erhöhten Sicherheitsbedarf Rechnung getragen werden. Für Anwendungen im Hochsicherheitsbereich wie zum Beispiel bei Rechenzentren, Tresoren, Haftanstalten oder bei Munitionslagern ist Mobile Access aktuell aber (noch) ungeeignet.

Was generell gilt

Das Zutrittskonzept ist Teil der Sicherheitsplanung, und hier gilt generell, dass nicht die Bedienerfreundlichkeit einer App, sondern der (Schutz-)Bedarf ausschlaggebend sind. Bevor also die Technik der Zutrittskontrolle ausgewählt wird, sollen im Rahmen eines Sicherheitskonzepts deren Anforderungen definiert werden. Dabei ist es durchaus üblich, dass nicht alle betroffenen Räume dieselben Sicherheitsanforderungen haben.

Ebenfalls typisch ist, dass nicht alle Nutzer für den Zutritt in alle Räume berechtigt sind. Und damit sind wir bei den nicht neuen, aber immer noch gültigen Grundsätzen des Zutrittskonzepts.

Zutrittsorganisation beginnt mit der Zonierung

Jede Nutzung wird einer Sicherheitszone zugeordnet und jede Zone bekommt eine Farbe. So entsteht ein farbiger Sicherheitsplan, welcher aufzeigt, auf welche Zonenübergänge besonders geachtet werden muss. Verkehrsflächen sind oft Mischnutzungen, teils mit halböffentlichem Charakter. Grenzt nun eine halb­öffentliche Fläche direkt an einen Hochsicherheitsbereich, steigen automatisch die Sicherheitsanforderungen an den Zonenübergang. Für eine Türe bedeutet dies klassischerweise erhöhte Anforderungen an den Einbruchwiderstand, die sogenannte Resistance Class (RC), welche auch einen Einfluss auf die Wahl der Verschlusstechnik, der Überwachung und damit unter Umständen auch auf die Wahl des Schliessmediums haben kann. Eine bei Nachrüstungen beliebte Mobile-Access-fähige Lösung ist der Einbau eines entsprechenden elektronischen Schliesszylinders, eines Digitalzylinders. Es gilt nun zu prüfen, ob die gewünschten RC-Anforderungen so erfüllt werden können. Zu beachten ist, dass heutige Mobile-Access-Lösungen noch nicht durchgängig mit widerstandsfähigen Türen (RC-Klasse) geprüft sind.

Hat der Schlüssel ausgedient?

Eine mechanische Schliessung ist nach wie vor die häufigste Form der Zutritts­organisation. Mit der Abgabe in grossen Stückzahlen steigt auch das Risiko für einen Schlüsselverlust, dem grössten Nachteil dieser Lösung. Wenn auch die Bewirtschaftung und das Berechtigungsmanagement mit mechanischen Schlies-sungen nicht sehr flexibel sind, gibt es aber nach wie vor Anwendungen im Hochsicherheitsbereich, bei denen mit Schlüsselwechslern oder Schlüsseltresoren und einer gesicherten Ausgabe mit einer Zweifaktoren-Identifikation der gewünschte Sicherheitsstandard erreicht werden kann.

Mechatronische Schliessungen verbinden die Vorteile einer robusten, mechanischen Schliessung und dem Vorteil, dass verlorene Schlüssel elektronisch gesperrt werden können und dadurch der kostspielige Austausch der Schliessung verhindert werden kann. Der Schlüssel ist hier also auch Identifikationsmerkmalträger (IMT). Ein IMT ist auch Voraussetzung für alle weiteren elektronischen Lösungen: angefangen bei Digitalzylindern, Beschlagsleser über die bekannten Offline- und Online-Zutrittskontrollanlagen bis hin zu funkvernetzten Lösungen. Nebst dem bekanntesten IMT, dem Badge, bietet der Markt hier eine Fülle an Farben und Formen. Mit Mobile Access gibt es nun also auch Lösungen, bei denen nicht mehr zwingend eine physische Übergabe des IMT notwendig ist.

Wann also Mobile Access?

Wie bereits erwähnt, hängt die Auswahl der richtigen Zutrittskontrolle auch vom Sicherheits- und Schutzbedarf ab. Mögliche (Cyber-)Risiken sind hier genauso zu berücksichtigen wie die physischen Sicherheitsanforderungen der Türe. Geht man aber von Anwendungen ohne erhöhte Sicherheitsanforderungen aus, gibt es durchaus Vorteile bei Mobile Access. Die schnelle und flexible Vergabe von Berechtigungen, die Nachvollziehbarkeit der Zutritte und nicht zuletzt die tendenziell steigende Akzeptanz der Benutzer haben das Potenzial für eine zunehmende Verbreitung der Lösung. Aus betriebswirtschaftlicher Sicht wird es dann besonders interessant, wenn sich der User selbst registriert und die Übertragung der Berechtigung automatisch geschieht – wenn also im Beispiel der Hotelbuchung das Zimmer und die gebuchten Zusatzleistungen direkt mit dem Bezahlvorgang auf der App freigeschaltet werden. Hoteliers werden so entlastet und können die freie Kapazität anders nutzen. Vielleicht, um im direkten Kundenkontakt einfach ein guter und entspannter Gastgeber zu sein.