Zutrittskontrolle im Unternehmen: Besuchermanagement richtig aufsetzen

    Nehmen Sie Kontakt auf

    Detaillierte Anfrage

     HINWEIS:  Hier keine Bewerbungen einreichen! Bewerbung hier

    Zutrittskontrolle im Unternehmen legt fest, wer wann welchen Bereich betreten darf, und sorgt dafür, dass Berechtigte zügig hineinkommen und Unberechtigte draußen bleiben. Sie besteht immer aus zwei Teilen: einem organisatorischen Konzept mit Zonen, Rollen und einem geregelten Besucherprozess und der Technik, die dieses Konzept an den Türen durchsetzt. Wie nötig das ist, zeigt die Bitkom-Studie Wirtschaftsschutz 2026: 60 Prozent der befragten Unternehmen waren vom Diebstahl von IT- oder Telekommunikationsgeräten betroffen oder vermuten es, 33 Prozent vom Abhören von Besprechungen vor Ort. Beides setzt voraus, dass jemand ins Gebäude gelangt ist.

    Warum Zutrittskontrolle im Unternehmen mehr als eine Tür ist

    Bei Angriffen auf Unternehmen denken viele zuerst an Hacker. Die Zahlen des Digitalverbands Bitkom zeigen ein anderes Bild. Für die Studie Wirtschaftsschutz 2026 hat Bitkom Research 1.003 Unternehmen ab zehn Beschäftigten befragt. 96 Prozent von ihnen waren in den vergangenen zwölf Monaten von Datendiebstahl, Industriespionage oder Sabotage betroffen oder vermuten es. Den Schaden beziffert der Verband auf 211 bis 270,8 Milliarden Euro pro Jahr.

    Ein erheblicher Teil dieser Vorfälle ist analog. 60 Prozent der Unternehmen meldeten den Diebstahl von IT- oder Telekommunikationsgeräten, sicher oder vermutet. 37 Prozent verloren physische Dokumente, Personalakten, Muster oder Bauteile. 33 Prozent berichten vom Abhören von Besprechungen oder Telefonaten vor Ort, 23 Prozent von physischer Sabotage an Anlagen oder Betriebsabläufen. Jeder dieser Fälle beginnt mit einem Menschen, der an einem Ort steht, an dem er nicht sein sollte.

    Analoge und digitale Angriffe auf Unternehmen und Social Engineering in Zahlen

    BPS Protect Infografik · interaktiv
    Wie Angreifer in Unternehmen gelangen
    Ergebnisse der Bitkom-Studien Wirtschaftsschutz 2025 und 2026. Fahren Sie über Balken und Kacheln, um Werte und Quellen zu sehen.
    96 %
    Unternehmen betroffen oder mit Verdacht
    Diebstahl, Spionage oder Sabotage, 12 Monate
    211 Mrd. €
    Mindestschaden 2026
    Korridor bis 270,8 Mrd. €
    49 %
    beobachten Social-Engineering-Versuche
    21 % häufig, 28 % vereinzelt
    Ansicht:

    Analoge Angriffe auf Unternehmen 2026

    Anteil der Unternehmen, die in den letzten zwölf Monaten sicher oder vermutlich betroffen waren, in Prozent.

    0 %10 %20 %30 %40 %50 %60 %Diebstahl IT- oder TK-GeräteDiebstahl IT- oder TK-Geräte: 60 %60 %Diebstahl physischer DokumenteDiebstahl physischer Dokumente: 37 %37 %Abhören von Besprechungen vor OrtAbhören von Besprechungen vor Ort: 33 %33 %Physische SabotagePhysische Sabotage: 23 %23 %

    Quelle: Bitkom Research im Auftrag des Bitkom, Wirtschaftsschutz 2026, Befragung von 1.003 Unternehmen ab 10 Beschäftigten, Mehrfachnennungen möglich.

    Quellen: Bitkom, Wirtschaftsschutz 2026 · Bitkom, Studienbericht Wirtschaftsschutz 2025
    Stand: 24.09.2026
    Datengrundlage: Bitkom, Wirtschaftsschutz 2026 (Befragung von 1.003 Unternehmen ab 10 Beschäftigten); Bitkom, Studienbericht Wirtschaftsschutz 2025.

    Der zweite Einfallsweg ist der Mensch am Empfang oder an der Tür. Im Studienbericht Wirtschaftsschutz 2025 gaben 49 Prozent der Unternehmen an, Versuche beobachtet zu haben, Angriffe per Social Engineering vorzubereiten. 21 Prozent erleben das häufig, 28 Prozent vereinzelt. Gemeint sind Techniken, bei denen Angreifer Hilfsbereitschaft, Zeitdruck oder Autorität ausnutzen: der angebliche Techniker ohne Termin, der Bote mit dem dringenden Paket für die Geschäftsführung, der freundliche Besucher, der hinter einem Mitarbeiter durch die Sicherheitstür schlüpft. Dieses Hinterherlaufen heißt Tailgating. Es lässt sich mit keiner Karte der Welt verhindern, solange niemand hinschaut.

    Daraus folgt die wichtigste Erkenntnis für die Planung. Eine elektronische Anlage protokolliert, welche Karte an welcher Tür benutzt wurde. Sie weiß nicht, ob der Mensch mit der Karte der richtige ist, ob er allein durch die Tür gegangen ist und warum er da ist. Diese Fragen beantwortet der Besucherprozess. Zutrittskontrolle im Unternehmen funktioniert deshalb nur als Kombination aus Regeln, geschultem Personal und Technik.

    Haben Sie Fragen zu Objektschutz, Werkschutz oder Sicherheitstechnik?

    Nehmen Sie heute noch Kontakt zu uns auf

    Wir stehen für alle Anliegen zur Verfügung und freuen uns darauf, Sie beraten zu dürfen. Kontaktieren Sie uns gerne - per Anruf, Mail, oder Kontaktformular.

    info@bps-protect.de

    Zonen und Berechtigungen: das Konzept vor der Technik

    Der Bundesverband Sicherheitstechnik BHE beschreibt die Hauptaufgabe einer Zutrittskontrollanlage als Steuerung des Personenflusses: wer, wo und wann einen gesicherten Bereich betreten darf. Deshalb spricht die Branche auch von Zutrittssteuerung. Die Anlage soll Berechtigte so wenig wie möglich behindern und Nichtberechtigte ausschließen. Bevor Sie über Leser und Karten sprechen, brauchen Sie also eine Antwort auf diese drei Fragen für jeden Bereich Ihres Unternehmens.

    Zonen bilden

    In der Praxis bewährt sich ein Schalenmodell. Die äußere Zone umfasst Grundstück, Parkplatz und Lieferzone. Die öffentliche Zone ist der Empfang oder die Lobby, in die jeder hineinkommt. Danach folgen die internen Büroflächen, zu denen nur Beschäftigte und angemeldete, begleitete Gäste Zugang haben. Im Kern liegen die Hochsicherheitsbereiche: Serverraum, Archiv mit Personalakten, Forschung und Entwicklung, Kasse, Lager mit wertvoller Ware. Das Bundesamt für Sicherheit in der Informationstechnik empfiehlt für Zutrittsregelungen genau das: klar abgegrenzte Bereiche, feste Verantwortlichkeiten und bei Besuchern eine Prüfung, ob der Zutritt überhaupt nötig ist.

    Rollen und Zeitfenster festlegen

    Berechtigungen vergeben Sie nicht an Personen, sondern an Rollen. Die Buchhaltung braucht das Archiv, aber nicht die Werkhalle. Das Reinigungsteam braucht Zugang am frühen Morgen, aber nicht am Wochenende. Externe Techniker bekommen Zutritt zu einem bestimmten Technikraum für die Dauer ihres Auftrags. Wer Rollen sauber definiert, kann beim Eintritt, Wechsel oder Austritt eines Beschäftigten die Rechte mit wenigen Handgriffen anpassen. Vergessene Altberechtigungen sind in gewachsenen Anlagen eine typische Schwachstelle.

    Risiko je Zutrittsstelle bewerten

    Der BHE empfiehlt eine Planung mit Risikoanalyse, bei der für jede Zutrittsstelle ein Sicherheitsgrad nach DIN EN 60839-11 festgelegt wird. Nicht jede Tür braucht dasselbe Niveau. Die Glastür zur Teeküche ist eine andere Aufgabe als die Tür zum Rechenzentrum. Die Einstufung bestimmt später, welche Technik, welche Notstromversorgung und welche Überwachung an welcher Tür nötig sind.

    Hausrecht klären

    Wer entscheidet im Zweifel, ob jemand hineindarf? Die Antwort ist eindeutig: Das Hausrecht und die Regeln liegen beim Unternehmen als Auftraggeber. Ein Sicherheits- oder Empfangsdienst setzt sie um, entscheidet aber nicht aus Gefälligkeit. Wer ein Gebäude trotz ausgesprochenen Verbots betritt oder auf Aufforderung nicht verlässt, kann den Tatbestand des Hausfriedensbruchs nach § 123 StGB erfüllen. Damit das im Ernstfall trägt, gehört die Zutrittsregel schriftlich in eine Dienstanweisung und sichtbar in die Hausordnung.

    Der Besucherprozess in fünf Schritten

    Besucher sind der schwierigste Fall der Zutrittskontrolle. Sie sind fremd, bleiben nur kurz und müssen trotzdem an Orte gelangen, die sonst geschützt sind. Ein guter Prozess macht aus einem unbekannten Menschen eine identifizierte Person mit Zweck, Ansprechpartner, Bereich und Zeitfenster. Fünf Schritte haben sich bewährt.

    1. Voranmeldung durch den Gastgeber

    Der Mitarbeiter, der einen Besuch erwartet, meldet ihn vorher an: Name, Firma, Datum, Uhrzeit, Anlass, besuchter Bereich. Digitale Besuchermanagement-Systeme verschicken dem Gast vorab eine Einladung mit Anfahrt und Hinweisen und benachrichtigen den Gastgeber bei der Ankunft automatisch. Nach Angaben aus der Praxis werden an einem Werkstor drei Besucher am selben Morgen völlig unterschiedlich behandelt: der angemeldete Vertreter eines Zulieferers, der Wartungstechniker für einen technischen Bereich und der Bewerber, den die Personalabteilung abholt. Diese Unterschiede lassen sich nur abbilden, wenn der Anlass vorher bekannt ist.

    2. Identität prüfen und abgleichen

    Am Empfang weisen sich Besucher üblicherweise mit Personalausweis, Reisepass oder Führerschein aus. Das Empfangspersonal gleicht Namen und Anlass mit der Voranmeldung ab. Fehlt die Anmeldung oder ist der Gastgeber nicht erreichbar, bleibt der Besucher zunächst im öffentlichen Bereich, und die vereinbarte Kontaktstelle wird eingeschaltet. Auch bekannte Gesichter sollten nicht automatisch von jeder Prüfung ausgenommen werden. Gerade die Vertrautheit mit Stammlieferanten nutzen Angreifer aus.

    3. Besucherausweis mit Bereich und Zeitfenster

    Ein Besucherausweis ist gut sichtbar zu tragen. Er enthält mindestens den Namen des Besuchers, den Gastgeber und das Datum. Aus Datenschutzsicht wird empfohlen, nur den Nachnamen oder eine Besucher-ID aufzudrucken. Ein Foto darf nur mit ausdrücklicher Einwilligung auf den Ausweis. Entscheidend ist: Der Ausweis öffnet nicht jede Tür. Er gehört zu einem Zweck, einem Bereich und einem Zeitfenster. Ist er mit der elektronischen Anlage gekoppelt, sollte die Berechtigung automatisch am Ende des Besuchstages erlöschen.

    4. Begleitung und Unterweisung

    Besucher in internen Zonen werden begleitet, in Hochsicherheitsbereichen ohne Ausnahme. In Produktionsbetrieben kommt eine kurze Sicherheitsunterweisung hinzu, etwa zu Gefahrenbereichen, Schutzausrüstung und Sammelplatz. Viele Unternehmen lassen Geheimhaltungsvereinbarungen oder die Hausordnung beim Check-in bestätigen, digital oder auf Papier.

    5. Abmeldung und Rücknahme

    Der Besuch endet erst mit der Abmeldung. Ausweis zurück, Zeit erfasst, Berechtigung gesperrt. Ohne diesen Schritt weiß im Evakuierungsfall niemand, wer sich noch im Gebäude befindet. Eine Echtzeitübersicht der anwesenden Personen ist deshalb eine der wichtigsten Funktionen digitaler Systeme. Offene Vorgänge wie ein nicht zurückgegebener Ausweis gehören in die Schichtübergabe.

    Tipp: Legen Sie für Lieferanten, Handwerker und Bewerber je einen eigenen Ablauf fest und hängen Sie ihn als Kurzanweisung an den Empfang. Wer bei jedem Besucher neu überlegen muss, macht unter Zeitdruck Ausnahmen, und genau darauf setzt Social Engineering.

    Datenschutz: Besucherdaten nach DSGVO erfassen

    Sobald ein Besucher Namen, Firma und Uhrzeit angibt, verarbeitet Ihr Unternehmen personenbezogene Daten. Das gilt für die Papierliste genauso wie für das Tablet am Empfang. Die Datenschutz-Grundverordnung verlangt deshalb einige Grundentscheidungen, bevor der erste Gast kommt.

    Grundsätze und Rechtsgrundlage

    Artikel 5 DSGVO gibt die Grundsätze vor: Rechtmäßigkeit, Zweckbindung, Datenminimierung, Speicherbegrenzung, Integrität und Vertraulichkeit sowie Rechenschaftspflicht. Als Rechtsgrundlage nach Artikel 6 kommt bei der Besuchererfassung in der Regel das berechtigte Interesse des Unternehmens an Sicherheit und Hausrecht in Betracht. Erfassen Sie nur, was Sie für diesen Zweck brauchen: Name, Unternehmen, Gastgeber, Zeitpunkt. Privatadresse oder Geburtsdatum gehören nicht in eine normale Besucherliste.

    Information und Dienstleister

    Nach Artikel 13 DSGVO müssen Besucher beim Check-in über die Verarbeitung informiert werden: wer verantwortlich ist, zu welchem Zweck, wie lange gespeichert wird und welche Rechte sie haben. Ein Aushang oder eine Seite im Tablet-Check-in genügt, wenn sie vor der Erfassung sichtbar ist. Setzen Sie eine Software eines externen Anbieters ein, ist ein Vertrag zur Auftragsverarbeitung nach Artikel 28 DSGVO nötig. Der Prozess gehört außerdem ins Verzeichnis der Verarbeitungstätigkeiten.

    Die offene Besucherliste

    Der häufigste Fehler ist das ausliegende Besucherbuch. Jeder neue Gast sieht Namen, Firmen und Uhrzeiten aller Vorgänger, und damit auch, welche Wettbewerber oder Bewerber am selben Tag im Haus waren. Datenschutzberater empfehlen stattdessen ein eigenes Blatt für jeden Besucher oder eine digitale Erfassung, bei der Einträge nur für Berechtigte sichtbar sind. Weitere typische Verstöße sind fehlende Löschfristen, ein fehlender Auftragsverarbeitungsvertrag und Besucher, die nie erfahren, was mit ihren Daten passiert.

    Wie lange Sie Besucherdaten aufbewahren dürfen

    Eine feste gesetzliche Frist gibt es nicht. Die Dauer richtet sich nach dem Zweck, und den müssen Sie festlegen und dokumentieren.

    Zweck der ErfassungAngemessene SpeicherdauerHinweis
    Anwesenheit bei Brand oder Evakuierungbis Ende des BesuchstagsZweck ist mit dem Verlassen des Gebäudes erfüllt, Löschung am Abend
    Übliche Praxis bei Besucherdokumentationdrei Monateältere Einträge monatsweise sicher vernichten
    Wahrung des Hausrechts, Aufklärung von Straftatenbis zu sechs Monatenur wenn dieser Zweck ausdrücklich festgelegt ist
    Foto auf dem Besucherausweisnur mit EinwilligungEinwilligung vor dem Druck einholen
    Biometrische Merkmale (z. B. Fingerabdruck)besondere Kategorie nach Art. 9 DSGVOfür Besucher in der Regel ungeeignet

    Die ersten drei Zeilen beruhen auf den Empfehlungen des Datenschutzberaters team-datenschutz. Digitale Systeme mit automatischen Löschfristen sind in der Praxis der zuverlässigste Weg, weil niemand am Monatsende an den Aktenvernichter denken muss.

    Gut zu wissen: Den Namen des Besuchers auf dem Ausweis zu zeigen, ist datenschutzrechtlich zulässig, weil das Unternehmen ein berechtigtes Interesse daran hat, Gäste erkennbar zu machen. Für ein Foto gilt das nicht, dafür brauchen Sie die ausdrückliche Einwilligung der Person.

    Technik: Zutrittskontrollanlagen nach DIN EN 60839-11

    Für elektronische Zutrittskontrollanlagen gilt in Deutschland die Normreihe DIN EN 60839-11. Teil 1 (DIN EN 60839-11-1, VDE 0830-8-11-1, Ausgabe 2013-12) beschreibt Mindestfunktionen, Leistungsanforderungen und Prüfverfahren für Anlagen und Geräte, die den physischen Zutritt in und um Gebäude steuern, und zwar beim Eintritt wie beim Austritt. Teil 2 enthält die Anwendungsrichtlinien für Projektierung, Planung, Installation, Betrieb und Wartung. Die Risikoanalyse selbst ist nicht Gegenstand der Norm, sie muss der Betreiber liefern.

    Vier Sicherheitsgrade

    Die Norm unterscheidet vier Sicherheitsgrade, von Grad 1 für niedrige Risiken bis Grad 4 für sehr hohe Risiken. Mit dem Grad steigen die Anforderungen an Funktion, Manipulationsschutz, Umweltbeständigkeit und Stromversorgung. Ein Beispiel aus dem BHE-Fachpapier: Anlagen der Grade 3 und 4 müssen bei Netzausfall 2 beziehungsweise 4 Stunden weiterarbeiten. Teil 1 verlangt das nur für das Zutrittskontrollsystem selbst, Teil 2 zusätzlich für Bedienplatz und Stellglieder wie Türöffner. Gemeinsam genutzte zentrale Komponenten müssen immer den höchsten Grad erfüllen, den sie bedienen. Eine Zentrale, die neben der Bürotür auch den Serverraum steuert, richtet sich also nach dem Serverraum.

    Identifikationsmedien

    Am weitesten verbreitet sind RFID-Karten und Transponder, weil sie günstig und leicht zu verwalten sind. Für mittlere Anforderungen sollten die Karten verschlüsselt sein, einfache unverschlüsselte Medien lassen sich kopieren. Ergänzend kommen PIN-Eingabe, Smartphone-Lösungen und biometrische Verfahren zum Einsatz. Biometrie erhöht die Sicherheit, weil ein Fingerabdruck nicht weitergegeben werden kann, verarbeitet aber besondere Kategorien personenbezogener Daten und erfordert eine sorgfältige Datenschutzprüfung. Für Hochsicherheitsbereiche verbinden viele Betreiber zwei Faktoren, etwa Karte und PIN. Gegen Tailgating helfen Vereinzelungsanlagen wie Drehsperren oder Schleusen, die nur eine Person pro Berechtigung durchlassen.

    Kosten: Richtwerte statt Pauschalpreis

    Einen Pauschalpreis pro Tür gibt es nicht. Die Kosten hängen von Türzahl, Technik, Verkabelung, Sicherheitsgrad und Software ab. Anbieter nennen für den deutschen Markt folgende Richtwerte:

    KomponenteRichtwert laut AnbieterQuelle
    Elektronischer Schließzylinder, Nachrüstung ohne Verkabelung200 bis 500 € pro TürStahlbergen
    Einzeltür-Set: Leser, Türcontroller, elektrischer Türöffner, 10 Karten800 bis 1.500 € inkl. InstallationStahlbergen
    Motorschloss am Haupteingang, verkabelt1.200 bis 2.000 € pro TürStahlbergen
    Lesegerät je nach Technologie200 bis 1.500 € pro StückKIM KEY
    Karte oder Transponder, Nachkauf3 bis 6 € pro StückStahlbergen
    Wartung10 bis 15 % der Investition pro JahrKIM KEY
    Mittelständisches Unternehmen mit rund 50 Türenab etwa 20.000 € gesamtKIM KEY

    Die Werte sind Anbieterangaben und ersetzen kein Angebot. Planen Sie zusätzlich Elektroarbeiten, Brandschutzanforderungen an Fluchttüren und die laufenden Kosten für Software und Personal ein. Die größte Kostenposition über die Jahre ist oft nicht die Hardware, sondern die Verwaltung der Berechtigungen.

    Personal an der Zutrittsstelle: Empfangsdienst, Pforte, Sicherheitsdienst

    Technik protokolliert, Menschen entscheiden. An der Zutrittsstelle braucht es jemanden, der Ausweise prüft, unangemeldete Personen freundlich, aber bestimmt aufhält und bei Auffälligkeiten richtig reagiert. Je nach Objekt übernimmt das ein Empfangsdienst in der Lobby, eine Pforte oder ein Werkschutz am Werkstor.

    Empfangsdienst als erste Stufe

    Ein professioneller Empfangsdienst verbindet das Auftreten einer Rezeption mit Sicherheitsaufgaben: Begrüßung, Registrierung, Sichtprüfung von Ausweisen, Ausgabe und Rücknahme von Besucherausweisen, Telefon- und Postannahme sowie die erste Reaktion bei Vorfällen. Er ist damit die erste Eskalationsstufe vor dem klassischen Wachdienst. Wie das in einer Großstadt organisiert wird, beschreibt unser Ratgeber zum Empfangsdienst in Berlin.

    Rechtlicher Rahmen für externe Dienstleister

    Beauftragen Sie ein Bewachungsunternehmen, braucht es eine Erlaubnis nach § 34a Gewerbeordnung. Jede eingesetzte Wachperson muss mindestens die Unterrichtung bei der IHK absolviert haben: 40 Unterrichtsstunden zu je 45 Minuten, mit Sprachkenntnissen mindestens auf Niveau B1 (§ 6 Bewachungsverordnung). Vor dem ersten Einsatz erhält sie einen Dienstausweis, der die Identifikationsnummern von Wachperson und Unternehmen aus dem Bewacherregister trägt (§ 18 BewachV). Als Auftraggeber sollten Sie diese Angaben prüfen. Wie das geht, zeigt der Beitrag zu Bewacherregister und die Bewacher-ID prüfen. Die Haftpflichtversicherung des Unternehmens muss nach § 14 BewachV mindestens 1.000.000 Euro für Personenschäden und 250.000 Euro für Sachschäden abdecken.

    Was Personal kostet

    In Berlin und Brandenburg gilt seit dem 1. Januar 2026 der allgemeinverbindliche Entgelttarifvertrag für Sicherheitsdienstleistungen. Die Stundenlöhne liegen je nach Entgeltgruppe zwischen 15,15 Euro und 21,80 Euro, ab 1. Januar 2027 zwischen 15,70 Euro und 22,65 Euro. Für Nachtarbeit zwischen 22 und 6 Uhr kommen 15 Prozent Zuschlag hinzu, sonntags 25 Prozent, an Feiertagen 50 Prozent. Das sind die Löhne der Beschäftigten, nicht die Verrechnungssätze. Darauf kommen Lohnnebenkosten, Ausfallzeiten, Schulung und Einsatzleitung.

    Die Dienstanweisung

    Ob eigenes Personal oder Dienstleister: Ohne schriftliche Dienstanweisung hängt die Qualität vom Einzelnen ab. Sie regelt, welche Personengruppen wie geprüft werden, wer Ausnahmen genehmigen darf, wie mit unangemeldeten Besuchern verfahren wird, welche Kontaktstellen im Zweifel erreichbar sind und was bei Verweigerung, Hausverbot oder Notfall geschieht. Bei einer externen Vergabe gehört sie ins Leistungsverzeichnis. Wer die Zugangskontrollen durch einen Sicherheitsdienst übernehmen lässt, sollte die Dienstanweisung gemeinsam mit dem Dienstleister vor dem Start durchgehen und nach den ersten Wochen anpassen.

    Einführung und laufender Betrieb

    Zutrittskontrolle ist kein Projekt mit Enddatum. Gebäude werden umgebaut, Abteilungen ziehen um, Beschäftigte kommen und gehen. Die folgenden Schritte helfen bei Einführung und Betrieb.

    Bestandsaufnahme

    Erfassen Sie alle Zugänge: Haupteingang, Nebentüren, Tiefgarage, Lieferrampe, Notausgänge, Dachzugänge. Notieren Sie, wer heute welche Schlüssel und Karten besitzt. In vielen Unternehmen ist diese Liste der erste Schreckmoment, weil niemand genau weiß, wie viele Generalschlüssel im Umlauf sind. Prüfen Sie auch Fluchttüren: Sie müssen sich im Notfall jederzeit von innen öffnen lassen, auch wenn die Zutrittskontrolle sie von außen sperrt.

    Pilot und Schulung

    Beginnen Sie mit einem Bereich, etwa dem Haupteingang und dem Serverraum. Schulen Sie Empfang und Beschäftigte gleichzeitig. Die wichtigste Botschaft an alle Mitarbeiter lautet: Niemanden ohne eigene Berechtigung mit durch die Tür nehmen, auch nicht aus Höflichkeit. Unbekannte Personen in internen Bereichen freundlich ansprechen und zum Empfang begleiten. Angesichts von 49 Prozent der Unternehmen mit beobachteten Social-Engineering-Versuchen ist diese Schulung keine Formsache.

    Regelmäßige Kontrolle

    Prüfen Sie Berechtigungen mindestens einmal im Jahr gegen die Personalliste und sperren Sie verwaiste Karten. Werten Sie Protokolle anlassbezogen aus, etwa bei abgewiesenen Zutrittsversuchen in der Nacht, und beachten Sie dabei die Mitbestimmung des Betriebsrats, wenn Daten zur Verhaltenskontrolle geeignet sind. Testen Sie den Prozess gelegentlich mit einem angekündigten Probebesuch: Wird der unangemeldete Gast wirklich aufgehalten? Gibt der Empfang Ausweise nur nach Abgleich aus? Kommen alle Besucherausweise am Abend zurück?

    Wer diese Routine etabliert, hat am Ende ein System, das Besucher willkommen heißt und trotzdem jederzeit weiß, wer im Haus ist. Genau das ist der Maßstab für eine funktionierende Zutrittskontrolle im Unternehmen.

    Quellen

    • Bitkom e. V., Presseinformation „Angriffe auf die deutsche Wirtschaft: Spur führt immer öfter zu ausländischen Geheimdiensten“ vom 26.08.2026 und Studienbericht Wirtschaftsschutz 2026 (Bitkom Research)
    • Bitkom e. V., Studienbericht Wirtschaftsschutz 2025, Kapitel Social Engineering
    • DIN Media, DIN EN 60839-11-1 (VDE 0830-8-11-1):2013-12, Elektronische Zutrittskontrollanlagen
    • BHE Bundesverband Sicherheitstechnik, Fachpapier „Die Zutrittskontrollzentrale – Herz und Hirn der ZK-Anlage“
    • Datenschutz-Grundverordnung, Art. 5, 6, 9, 13, 28 und 30
    • team-datenschutz, Praxistipp Besucherlisten und Datenschutz
    • seatti, DSGVO-konformes Besuchermanagement
    • FM-Connect, Empfangsservices: Anforderungen
    • SecPlaner Journal, Besucher am Empfang sicher übergeben
    • Kulig Security, Empfangsdienst in einem Industriebetrieb
    • Aquila Security, Glossar Empfangsdienst
    • Stahlbergen und KIM KEY, Kostenübersichten Zutrittskontrollsysteme 2026
    • Gewerbeordnung § 34a, Bewachungsverordnung §§ 6, 14 und 18, Strafgesetzbuch § 123
    • Entgelttarifvertrag für Sicherheitsdienstleistungen in Berlin und Brandenburg vom 18.11.2025, Allgemeinverbindlicherklärung (Bundesanzeiger)

    Häufige Fragen

    Darf ein Unternehmen den Ausweis von Besuchern kontrollieren?

    Ja. Aus dem Hausrecht darf ein Unternehmen den Zutritt davon abhängig machen, dass sich Besucher ausweisen. Üblich ist eine Sichtprüfung von Personalausweis, Reisepass oder Führerschein und der Abgleich von Namen und Anlass mit der Voranmeldung.

    Wie lange dürfen Besucherdaten gespeichert werden?

    So lange, wie der festgelegte Zweck es erfordert. Für Evakuierungszwecke reicht der Besuchstag. Üblich sind drei Monate. Dient die Liste auch dem Hausrecht und der Aufklärung von Straftaten, können bis zu sechs Monate angemessen sein.

    Ist eine offen ausliegende Besucherliste erlaubt?

    Nein, in der Regel nicht. Jeder neue Besucher sieht dann die Daten aller Vorgänger. Datenschutzkonform sind ein eigenes Blatt je Besucher oder eine digitale Erfassung, bei der nur berechtigte Personen die Einträge einsehen können.

    Welche Norm gilt für elektronische Zutrittskontrollanlagen?

    Die DIN EN 60839-11. Teil 1 regelt Anforderungen und Prüfverfahren mit vier Sicherheitsgraden, Teil 2 Planung, Installation, Betrieb und Wartung. Anlagen der Grade 3 und 4 müssen bei Stromausfall 2 beziehungsweise 4 Stunden weiterarbeiten.

    Welche Qualifikation braucht Personal an der Zutrittskontrolle?

    Setzen Sie ein Bewachungsunternehmen ein, braucht es eine Erlaubnis nach § 34a GewO. Die Wachpersonen benötigen mindestens die IHK-Unterrichtung mit 40 Unterrichtsstunden und einen Dienstausweis mit Bewacherregister-ID nach § 18 BewachV.

    Was kostet eine elektronische Zutrittskontrolle pro Tür?

    Einen Pauschalpreis gibt es nicht. Anbieter nennen 200 bis 500 Euro für einen nachgerüsteten elektronischen Schließzylinder und 800 bis 1.500 Euro für ein komplettes Einzeltür-Set mit Installation. Verkabelte Motorschlösser liegen höher.

    Haben Sie Fragen?

    Nehmen Sie heute noch Kontakt zu uns auf

    Wir stehen für alle Anliegen zur Verfügung und freuen uns darauf, Sie beraten zu dürfen. Kontaktieren Sie uns gerne - per Anruf, Mail, oder Kontaktformular.

    info@bps-protect.de

    Mehr aus dem BPS Ratgeber

    Nehmen Sie Kontakt auf.

    Wir freuen uns darauf, Sie beraten zu dürfen. Kontaktieren Sie uns gerne - per Anruf, Mail, oder Kontaktformular.

    Rufen Sie uns an: 0334 3816 6436