Zutrittskarte oder Biometrie: Welches System ist das richtige für die Sicherheit Ihres Unternehmens?

Wer seine Räumlichkeiten schützt, schützt weit mehr als nur vier Wände. Es geht darum, sensible Daten, Produktionsanlagen und vor allem die Menschen zu schützen, die dort täglich arbeiten. Angesichts zunehmender Einbrüche und vorsätzlicher Gefährdungen ist die Zutrittskontrolle zu einem unverzichtbaren Bestandteil der Sicherheitsstrategie von Unternehmen geworden.

Unter Zutrittskontrolle versteht man alle technischen und organisatorischen Maßnahmen, mit denen der Zutritt einer Person zu einem bestimmten Bereich erlaubt oder verweigert wird. Dabei wird die Identität oder die Zutrittsberechtigung geprüft, bevor ein Durchgang physisch freigegeben wird.

Heute dominieren zwei große Lösungsgruppen den Markt: Zutrittskarten und biometrische Verfahren. Beide verfolgen unterschiedliche Ansätze und haben jeweils eigene Stärken und Grenzen. Die Wahl zwischen diesen beiden Systemen hängt von mehreren Kriterien ab: dem verfügbaren Budget, dem erforderlichen Sicherheitsniveau je nach zu schützendem Bereich sowie den rechtlichen Rahmenbedingungen der DSGVO und des jeweiligen nationalen Datenschutzrechts. Dieser Artikel hilft Ihnen, die Besonderheiten der einzelnen Technologien zu verstehen und die für Ihr Unternehmen passende Lösung zu wählen.

Die Zutrittskarte gehört nach wie vor zu den am weitesten verbreiteten Lösungen in Unternehmen. Sie ist einfach und schnell einzuführen und hat sich vielfach bewährt.

Ein RFID-Kartenleser arbeitet mit kontaktloser Identifikation. Der in die Karte integrierte Chip sendet ein Signal, das vom Lesegerät erfasst wird. Anschließend prüft das System die mit dieser Kennung verknüpften Zutrittsrechte. Auf dem Markt kommen verschiedene Technologien zum Einsatz:

Die RFID-Technologie (Radio Frequency Identification) ist weiterhin die am weitesten verbreitete Technologie für die Zutrittskontrolle in Unternehmen. Die neuere NFC-Technologie (Near Field Communication) ermöglicht eine Kommunikation über sehr kurze Distanzen und lässt sich problemlos in Smartphones integrieren. Darüber hinaus hat sich der MIFARE-Standard aufgrund seiner Verschlüsselung und Zuverlässigkeit etabliert.

Man unterscheidet außerdem zwischen physischen Zutrittsmedien in Form einer Karte oder eines Schlüsselanhängers und virtuellen Zutrittsmedien, die digitalisiert und direkt in einer mobilen Anwendung gespeichert sind. Dieses zweite Format gewinnt an Bedeutung, insbesondere weil keine physischen Medien verwaltet werden müssen und sich Berechtigungen aus der Ferne einfacher entziehen lassen.

Die Zutrittskarte überzeugt vor allem durch ihre Einfachheit. Hier sind die wichtigsten Vorteile, die ihren anhaltenden Erfolg erklären:

• Schnelle Einführung: Ein Zutrittskartensystem lässt sich in der Regel innerhalb weniger Tage und ohne größere Bauarbeiten installieren.
• Überschaubare Kosten: Die Preise für Lesegeräte und Karten sind auch für kleine und mittlere Unternehmen mit begrenztem Budget erschwinglich.
• Einfache Nutzung: Für die Mitarbeitenden ist keine besondere Schulung erforderlich.
• Sofortige Sperrung: Bei Verlust einer Karte oder beim Ausscheiden eines Mitarbeitenden kann der Zutritt mit wenigen Klicks deaktiviert werden, ohne die Schlösser austauschen zu müssen.

Eine Zutrittskarte ist jedoch nicht unfehlbar. Ihre größte Schwachstelle liegt in ihrer Beschaffenheit: Sie ist ein Gegenstand und kann verloren, gestohlen oder weitergegeben werden.

• Verlust oder Vergessen: Eine verlegte Karte stellt eine unmittelbare Sicherheitslücke dar, insbesondere wenn der Verlust nicht schnell gemeldet wird.
• Weitergabe unter Kollegen: Diese weit verbreitete Praxis untergräbt die individuelle Nachvollziehbarkeit von Zutritten.
• Klonrisiko: Ältere Karten mit einfachen Chips, etwa mit 125-kHz-Technologie, können mit leicht zugänglicher Ausrüstung innerhalb weniger Minuten kopiert werden. Neuere, mit MIFARE DESFire verschlüsselte Karten sind gegen diese Art von Angriff deutlich widerstandsfähiger.

Diese Schwachstellen stellen den Nutzen von Zutrittskarten für allgemeine Zutritte nicht infrage. Sie zeigen jedoch ihre Grenzen auf, sobald ein höheres Sicherheitsniveau erforderlich ist.

Während die Zutrittskarte auf einem Gegenstand basiert, beruht die Biometrie auf der Person selbst. Dieser Unterschied ist entscheidend, insbesondere beim Schutz besonders sensibler Bereiche.

Es gibt verschiedene biometrische Zutrittstechnologien, die sich hinsichtlich Zuverlässigkeit und Kosten unterscheiden.

Der Fingerabdruck ist nach wie vor die verbreitetste und ausgereifteste Technologie und wird seit Jahren in zahlreichen Branchen eingesetzt. Die Gesichts- und Iriserkennung entwickeln sich schnell weiter, insbesondere wegen ihrer einfachen Anwendung: Es ist kein physischer Kontakt erforderlich. Die Erkennung des Venenmusters bietet schließlich eines der höchsten Sicherheitsniveaus auf dem Markt, da dieses Muster praktisch nicht gefälscht oder nachgebildet werden kann.

Der zentrale Vorteil der Biometrie liegt auf der Hand: Das Identifikationsmerkmal sind Sie selbst. Es kann weder verloren noch verliehen oder gestohlen werden.

Dieses Sicherheitsniveau macht die Biometrie zu einer geeigneten Lösung für besonders sensible Bereiche: Serverräume, Forschungslabore und Leitungsbereiche. Auch der Bedienkomfort ist ein nicht zu unterschätzender Vorteil: Die Zutrittskarte muss nicht mehr in der Tasche gesucht werden. Der Zutritt erfolgt auf natürliche Weise und teilweise sogar kontaktlos.

Biometrie betrifft besonders sensible Daten: den menschlichen Körper. Ihre Verwendung unterliegt daher den strengen Anforderungen der Datenschutz-Grundverordnung (DSGVO) und den einschlägigen nationalen Datenschutzvorschriften.

Ein zentraler Grundsatz ist die Verhältnismäßigkeit. Unternehmen können biometrische Verfahren nicht für beliebige Zwecke einsetzen: Sie müssen nachweisen, dass das angestrebte Sicherheitsniveau angesichts der Sensibilität des zu schützenden Bereichs oder der Daten tatsächlich erforderlich und angemessen ist. Die Absicherung des Zugangs zu gewöhnlichen Verwaltungsbüros erfüllt diese Voraussetzung in der Regel nicht.

Besondere Aufmerksamkeit verdient der Einsatz biometrischer Verfahren zur Arbeitszeiterfassung. In Deutschland ist eine solche Verarbeitung nicht pauschal verboten. Biometrische Daten gehören jedoch zu den besonderen Kategorien personenbezogener Daten nach Artikel 9 DSGVO. Nach § 26 Absatz 3 BDSG ist ihre Verarbeitung im Beschäftigungskontext nur zulässig, wenn sie zur Ausübung von Rechten oder zur Erfüllung rechtlicher Pflichten aus dem Arbeitsrecht erforderlich ist und keine überwiegenden schutzwürdigen Interessen der betroffenen Beschäftigten entgegenstehen. Der bloße Zweck der Zeiterfassung rechtfertigt den Einsatz biometrischer Daten daher nicht automatisch. Zudem kann bei technischen Einrichtungen, die zur Überwachung von Verhalten oder Leistung bestimmt sind, das Mitbestimmungsrecht des Betriebsrats nach § 87 Absatz 1 Nummer 6 BetrVG greifen.

Schließlich sind die Installationskosten in der Regel höher als bei einem Kartensystem. Gründe dafür sind die Kosten der Sensorik und der zugehörigen Verarbeitungssoftware.

Die Entscheidung lässt sich nicht pauschal treffen. Sie hängt von der Größe Ihres Unternehmens und vor allem von der Art der zu schützenden Bereiche ab. Der Eingangsbereich eines Industriestandorts stellt andere Sicherheitsanforderungen als ein Serverraum oder ein Forschungs- und Entwicklungslabor.

Für ein kleines oder mittleres Unternehmen mit üblichen Mitarbeiterströmen bleibt die Zutrittskarte häufig die sinnvollste Wahl: einfach, wirtschaftlich und für allgemeine Zutritte ausreichend. Bei einem Großunternehmen mit Bereichen von besonders hohem strategischem Wert bietet sich ein differenzierter Ansatz an, bei dem biometrische Verfahren an bestimmten kritischen Zugangspunkten eingesetzt werden, sofern dies rechtlich gerechtfertigt ist.

Die folgende Tabelle fasst die wichtigsten Kriterien zusammen, die Sie bei Ihrer Entscheidung berücksichtigen sollten.

Zwischen einer reinen Kartenlösung und einem ausschließlich biometrischen System gibt es einen dritten Weg: die Kombination beider Verfahren. Dieses Prinzip wird als Mehr-Faktor-Authentifizierung (MFA) bezeichnet und hier auf die physische statt nur auf die digitale Welt angewendet.

Die Idee ist einfach: Für den Zutritt zu einem besonders geschützten Bereich werden sowohl die Karte als auch die biometrische Erkennung benötigt. Diese doppelte Überprüfung verringert das Risiko eines unbefugten Zutritts erheblich, selbst wenn die Karte gestohlen wurde.

Aus technischer Sicht besteht eine Möglichkeit darin, die biometrische Vorlage ausschließlich auf einem individuellen Medium, beispielsweise auf dem Chip der persönlichen Zutrittskarte, zu speichern, statt sie in einer zentralen Datenbank abzulegen, die bei einem Cyberangriff potenziell gefährdet wäre. Dieser dezentrale Ansatz kann die beim Unternehmen gespeicherten Daten begrenzen und die mit ihrer Speicherung verbundenen Risiken verringern. Er stellt jedoch weder eine offizielle allgemeine Empfehlung noch automatisch einen Nachweis für die DSGVO-Konformität dar. Die Verarbeitung muss weiterhin rechtlich gerechtfertigt sein und sämtliche Anforderungen der DSGVO und des anwendbaren nationalen Rechts erfüllen.

Zutrittskarte oder Biometrie: Es gibt keine allgemeingültige Antwort, sondern nur eine Lösung, die zum jeweiligen Kontext passt. Die Zutrittskarte bleibt eine zuverlässige und wirtschaftliche Standardlösung für den allgemeinen Zugang zu Ihren Räumlichkeiten. Biometrische Verfahren sollten Bereichen vorbehalten bleiben, in denen jede Sicherheitslücke schwerwiegende Folgen haben könnte, sofern ihr Einsatz gerechtfertigt ist.

Die richtige Strategie besteht häufig darin, beide Ansätze je nach Bereich zu kombinieren und sich dabei von Fachleuten unterstützen zu lassen, die den tatsächlichen Bedarf genau bewerten können. Genau darum geht es bei einem Sicherheitsaudit durch Experten, die sowohl die verfügbaren Technologien als auch die dafür geltenden rechtlichen Anforderungen kennen.

Möchten Sie herausfinden, welches Zutrittskontrollsystem am besten zu Ihrem Unternehmen passt? Die Experten von Scutum begleiten Sie von der Sicherheitsanalyse Ihrer Räumlichkeiten bis zur Installation der für Ihre Tätigkeit am besten geeigneten Lösung.

Das lässt sich nicht pauschal beantworten. In Deutschland ist die Verarbeitung biometrischer Daten zur Arbeitszeiterfassung nicht generell verboten, aber nur unter den engen Voraussetzungen der DSGVO und des § 26 Absatz 3 BDSG zulässig. Der Einsatz muss für die Ausübung von Rechten oder die Erfüllung rechtlicher Pflichten aus dem Arbeitsrecht erforderlich sein und darf die schutzwürdigen Interessen der Beschäftigten nicht überwiegen. Die bloße Erfassung der Arbeitszeit rechtfertigt den Einsatz biometrischer Daten nicht automatisch. Eine herkömmliche Zutrittskarte bleibt daher häufig die weniger eingriffsintensive Lösung.

Nicht unbedingt. Ein biometrisches System kann statt des ursprünglichen Fingerabdruckbildes eine biometrische Vorlage speichern. Die konkrete Speicherarchitektur muss sorgfältig geprüft werden: Eine Speicherung auf einem individuellen Medium, etwa einer Zutrittskarte, ist eine mögliche technische Lösung, aber keine automatische Garantie für die Rechtmäßigkeit der Verarbeitung. Entscheidend ist, dass die Verarbeitung insgesamt die Anforderungen der DSGVO und des anwendbaren nationalen Rechts erfüllt.

Ja, insbesondere ältere Technologien wie 125-kHz-Chips lassen sich leicht klonen. Moderne Karten mit verschlüsselten Protokollen wie MIFARE DESFire sind dagegen deutlich schwieriger zu kopieren.