Zonen und Berechtigungen: das Konzept vor der Technik
Der Bundesverband Sicherheitstechnik BHE beschreibt die Hauptaufgabe einer Zutrittskontrollanlage als Steuerung des Personenflusses: wer, wo und wann einen gesicherten Bereich betreten darf. Deshalb spricht die Branche auch von Zutrittssteuerung. Die Anlage soll Berechtigte so wenig wie möglich behindern und Nichtberechtigte ausschließen. Bevor Sie über Leser und Karten sprechen, brauchen Sie also eine Antwort auf diese drei Fragen für jeden Bereich Ihres Unternehmens.
Zonen bilden
In der Praxis bewährt sich ein Schalenmodell. Die äußere Zone umfasst Grundstück, Parkplatz und Lieferzone. Die öffentliche Zone ist der Empfang oder die Lobby, in die jeder hineinkommt. Danach folgen die internen Büroflächen, zu denen nur Beschäftigte und angemeldete, begleitete Gäste Zugang haben. Im Kern liegen die Hochsicherheitsbereiche: Serverraum, Archiv mit Personalakten, Forschung und Entwicklung, Kasse, Lager mit wertvoller Ware. Das Bundesamt für Sicherheit in der Informationstechnik empfiehlt für Zutrittsregelungen genau das: klar abgegrenzte Bereiche, feste Verantwortlichkeiten und bei Besuchern eine Prüfung, ob der Zutritt überhaupt nötig ist.
Rollen und Zeitfenster festlegen
Berechtigungen vergeben Sie nicht an Personen, sondern an Rollen. Die Buchhaltung braucht das Archiv, aber nicht die Werkhalle. Das Reinigungsteam braucht Zugang am frühen Morgen, aber nicht am Wochenende. Externe Techniker bekommen Zutritt zu einem bestimmten Technikraum für die Dauer ihres Auftrags. Wer Rollen sauber definiert, kann beim Eintritt, Wechsel oder Austritt eines Beschäftigten die Rechte mit wenigen Handgriffen anpassen. Vergessene Altberechtigungen sind in gewachsenen Anlagen eine typische Schwachstelle.
Risiko je Zutrittsstelle bewerten
Der BHE empfiehlt eine Planung mit Risikoanalyse, bei der für jede Zutrittsstelle ein Sicherheitsgrad nach DIN EN 60839-11 festgelegt wird. Nicht jede Tür braucht dasselbe Niveau. Die Glastür zur Teeküche ist eine andere Aufgabe als die Tür zum Rechenzentrum. Die Einstufung bestimmt später, welche Technik, welche Notstromversorgung und welche Überwachung an welcher Tür nötig sind.
Hausrecht klären
Wer entscheidet im Zweifel, ob jemand hineindarf? Die Antwort ist eindeutig: Das Hausrecht und die Regeln liegen beim Unternehmen als Auftraggeber. Ein Sicherheits- oder Empfangsdienst setzt sie um, entscheidet aber nicht aus Gefälligkeit. Wer ein Gebäude trotz ausgesprochenen Verbots betritt oder auf Aufforderung nicht verlässt, kann den Tatbestand des Hausfriedensbruchs nach § 123 StGB erfüllen. Damit das im Ernstfall trägt, gehört die Zutrittsregel schriftlich in eine Dienstanweisung und sichtbar in die Hausordnung.
Der Besucherprozess in fünf Schritten
Besucher sind der schwierigste Fall der Zutrittskontrolle. Sie sind fremd, bleiben nur kurz und müssen trotzdem an Orte gelangen, die sonst geschützt sind. Ein guter Prozess macht aus einem unbekannten Menschen eine identifizierte Person mit Zweck, Ansprechpartner, Bereich und Zeitfenster. Fünf Schritte haben sich bewährt.
1. Voranmeldung durch den Gastgeber
Der Mitarbeiter, der einen Besuch erwartet, meldet ihn vorher an: Name, Firma, Datum, Uhrzeit, Anlass, besuchter Bereich. Digitale Besuchermanagement-Systeme verschicken dem Gast vorab eine Einladung mit Anfahrt und Hinweisen und benachrichtigen den Gastgeber bei der Ankunft automatisch. Nach Angaben aus der Praxis werden an einem Werkstor drei Besucher am selben Morgen völlig unterschiedlich behandelt: der angemeldete Vertreter eines Zulieferers, der Wartungstechniker für einen technischen Bereich und der Bewerber, den die Personalabteilung abholt. Diese Unterschiede lassen sich nur abbilden, wenn der Anlass vorher bekannt ist.
2. Identität prüfen und abgleichen
Am Empfang weisen sich Besucher üblicherweise mit Personalausweis, Reisepass oder Führerschein aus. Das Empfangspersonal gleicht Namen und Anlass mit der Voranmeldung ab. Fehlt die Anmeldung oder ist der Gastgeber nicht erreichbar, bleibt der Besucher zunächst im öffentlichen Bereich, und die vereinbarte Kontaktstelle wird eingeschaltet. Auch bekannte Gesichter sollten nicht automatisch von jeder Prüfung ausgenommen werden. Gerade die Vertrautheit mit Stammlieferanten nutzen Angreifer aus.
3. Besucherausweis mit Bereich und Zeitfenster
Ein Besucherausweis ist gut sichtbar zu tragen. Er enthält mindestens den Namen des Besuchers, den Gastgeber und das Datum. Aus Datenschutzsicht wird empfohlen, nur den Nachnamen oder eine Besucher-ID aufzudrucken. Ein Foto darf nur mit ausdrücklicher Einwilligung auf den Ausweis. Entscheidend ist: Der Ausweis öffnet nicht jede Tür. Er gehört zu einem Zweck, einem Bereich und einem Zeitfenster. Ist er mit der elektronischen Anlage gekoppelt, sollte die Berechtigung automatisch am Ende des Besuchstages erlöschen.
4. Begleitung und Unterweisung
Besucher in internen Zonen werden begleitet, in Hochsicherheitsbereichen ohne Ausnahme. In Produktionsbetrieben kommt eine kurze Sicherheitsunterweisung hinzu, etwa zu Gefahrenbereichen, Schutzausrüstung und Sammelplatz. Viele Unternehmen lassen Geheimhaltungsvereinbarungen oder die Hausordnung beim Check-in bestätigen, digital oder auf Papier.
5. Abmeldung und Rücknahme
Der Besuch endet erst mit der Abmeldung. Ausweis zurück, Zeit erfasst, Berechtigung gesperrt. Ohne diesen Schritt weiß im Evakuierungsfall niemand, wer sich noch im Gebäude befindet. Eine Echtzeitübersicht der anwesenden Personen ist deshalb eine der wichtigsten Funktionen digitaler Systeme. Offene Vorgänge wie ein nicht zurückgegebener Ausweis gehören in die Schichtübergabe.
Tipp: Legen Sie für Lieferanten, Handwerker und Bewerber je einen eigenen Ablauf fest und hängen Sie ihn als Kurzanweisung an den Empfang. Wer bei jedem Besucher neu überlegen muss, macht unter Zeitdruck Ausnahmen, und genau darauf setzt Social Engineering.
Datenschutz: Besucherdaten nach DSGVO erfassen
Sobald ein Besucher Namen, Firma und Uhrzeit angibt, verarbeitet Ihr Unternehmen personenbezogene Daten. Das gilt für die Papierliste genauso wie für das Tablet am Empfang. Die Datenschutz-Grundverordnung verlangt deshalb einige Grundentscheidungen, bevor der erste Gast kommt.
Grundsätze und Rechtsgrundlage
Artikel 5 DSGVO gibt die Grundsätze vor: Rechtmäßigkeit, Zweckbindung, Datenminimierung, Speicherbegrenzung, Integrität und Vertraulichkeit sowie Rechenschaftspflicht. Als Rechtsgrundlage nach Artikel 6 kommt bei der Besuchererfassung in der Regel das berechtigte Interesse des Unternehmens an Sicherheit und Hausrecht in Betracht. Erfassen Sie nur, was Sie für diesen Zweck brauchen: Name, Unternehmen, Gastgeber, Zeitpunkt. Privatadresse oder Geburtsdatum gehören nicht in eine normale Besucherliste.
Information und Dienstleister
Nach Artikel 13 DSGVO müssen Besucher beim Check-in über die Verarbeitung informiert werden: wer verantwortlich ist, zu welchem Zweck, wie lange gespeichert wird und welche Rechte sie haben. Ein Aushang oder eine Seite im Tablet-Check-in genügt, wenn sie vor der Erfassung sichtbar ist. Setzen Sie eine Software eines externen Anbieters ein, ist ein Vertrag zur Auftragsverarbeitung nach Artikel 28 DSGVO nötig. Der Prozess gehört außerdem ins Verzeichnis der Verarbeitungstätigkeiten.
Die offene Besucherliste
Der häufigste Fehler ist das ausliegende Besucherbuch. Jeder neue Gast sieht Namen, Firmen und Uhrzeiten aller Vorgänger, und damit auch, welche Wettbewerber oder Bewerber am selben Tag im Haus waren. Datenschutzberater empfehlen stattdessen ein eigenes Blatt für jeden Besucher oder eine digitale Erfassung, bei der Einträge nur für Berechtigte sichtbar sind. Weitere typische Verstöße sind fehlende Löschfristen, ein fehlender Auftragsverarbeitungsvertrag und Besucher, die nie erfahren, was mit ihren Daten passiert.
Wie lange Sie Besucherdaten aufbewahren dürfen
Eine feste gesetzliche Frist gibt es nicht. Die Dauer richtet sich nach dem Zweck, und den müssen Sie festlegen und dokumentieren.
| Zweck der Erfassung | Angemessene Speicherdauer | Hinweis |
| Anwesenheit bei Brand oder Evakuierung | bis Ende des Besuchstags | Zweck ist mit dem Verlassen des Gebäudes erfüllt, Löschung am Abend |
| Übliche Praxis bei Besucherdokumentation | drei Monate | ältere Einträge monatsweise sicher vernichten |
| Wahrung des Hausrechts, Aufklärung von Straftaten | bis zu sechs Monate | nur wenn dieser Zweck ausdrücklich festgelegt ist |
| Foto auf dem Besucherausweis | nur mit Einwilligung | Einwilligung vor dem Druck einholen |
| Biometrische Merkmale (z. B. Fingerabdruck) | besondere Kategorie nach Art. 9 DSGVO | für Besucher in der Regel ungeeignet |
Die ersten drei Zeilen beruhen auf den Empfehlungen des Datenschutzberaters team-datenschutz. Digitale Systeme mit automatischen Löschfristen sind in der Praxis der zuverlässigste Weg, weil niemand am Monatsende an den Aktenvernichter denken muss.
Gut zu wissen: Den Namen des Besuchers auf dem Ausweis zu zeigen, ist datenschutzrechtlich zulässig, weil das Unternehmen ein berechtigtes Interesse daran hat, Gäste erkennbar zu machen. Für ein Foto gilt das nicht, dafür brauchen Sie die ausdrückliche Einwilligung der Person.
Technik: Zutrittskontrollanlagen nach DIN EN 60839-11
Für elektronische Zutrittskontrollanlagen gilt in Deutschland die Normreihe DIN EN 60839-11. Teil 1 (DIN EN 60839-11-1, VDE 0830-8-11-1, Ausgabe 2013-12) beschreibt Mindestfunktionen, Leistungsanforderungen und Prüfverfahren für Anlagen und Geräte, die den physischen Zutritt in und um Gebäude steuern, und zwar beim Eintritt wie beim Austritt. Teil 2 enthält die Anwendungsrichtlinien für Projektierung, Planung, Installation, Betrieb und Wartung. Die Risikoanalyse selbst ist nicht Gegenstand der Norm, sie muss der Betreiber liefern.
Vier Sicherheitsgrade
Die Norm unterscheidet vier Sicherheitsgrade, von Grad 1 für niedrige Risiken bis Grad 4 für sehr hohe Risiken. Mit dem Grad steigen die Anforderungen an Funktion, Manipulationsschutz, Umweltbeständigkeit und Stromversorgung. Ein Beispiel aus dem BHE-Fachpapier: Anlagen der Grade 3 und 4 müssen bei Netzausfall 2 beziehungsweise 4 Stunden weiterarbeiten. Teil 1 verlangt das nur für das Zutrittskontrollsystem selbst, Teil 2 zusätzlich für Bedienplatz und Stellglieder wie Türöffner. Gemeinsam genutzte zentrale Komponenten müssen immer den höchsten Grad erfüllen, den sie bedienen. Eine Zentrale, die neben der Bürotür auch den Serverraum steuert, richtet sich also nach dem Serverraum.
Identifikationsmedien
Am weitesten verbreitet sind RFID-Karten und Transponder, weil sie günstig und leicht zu verwalten sind. Für mittlere Anforderungen sollten die Karten verschlüsselt sein, einfache unverschlüsselte Medien lassen sich kopieren. Ergänzend kommen PIN-Eingabe, Smartphone-Lösungen und biometrische Verfahren zum Einsatz. Biometrie erhöht die Sicherheit, weil ein Fingerabdruck nicht weitergegeben werden kann, verarbeitet aber besondere Kategorien personenbezogener Daten und erfordert eine sorgfältige Datenschutzprüfung. Für Hochsicherheitsbereiche verbinden viele Betreiber zwei Faktoren, etwa Karte und PIN. Gegen Tailgating helfen Vereinzelungsanlagen wie Drehsperren oder Schleusen, die nur eine Person pro Berechtigung durchlassen.
Kosten: Richtwerte statt Pauschalpreis
Einen Pauschalpreis pro Tür gibt es nicht. Die Kosten hängen von Türzahl, Technik, Verkabelung, Sicherheitsgrad und Software ab. Anbieter nennen für den deutschen Markt folgende Richtwerte:
| Komponente | Richtwert laut Anbieter | Quelle |
| Elektronischer Schließzylinder, Nachrüstung ohne Verkabelung | 200 bis 500 € pro Tür | Stahlbergen |
| Einzeltür-Set: Leser, Türcontroller, elektrischer Türöffner, 10 Karten | 800 bis 1.500 € inkl. Installation | Stahlbergen |
| Motorschloss am Haupteingang, verkabelt | 1.200 bis 2.000 € pro Tür | Stahlbergen |
| Lesegerät je nach Technologie | 200 bis 1.500 € pro Stück | KIM KEY |
| Karte oder Transponder, Nachkauf | 3 bis 6 € pro Stück | Stahlbergen |
| Wartung | 10 bis 15 % der Investition pro Jahr | KIM KEY |
| Mittelständisches Unternehmen mit rund 50 Türen | ab etwa 20.000 € gesamt | KIM KEY |
Die Werte sind Anbieterangaben und ersetzen kein Angebot. Planen Sie zusätzlich Elektroarbeiten, Brandschutzanforderungen an Fluchttüren und die laufenden Kosten für Software und Personal ein. Die größte Kostenposition über die Jahre ist oft nicht die Hardware, sondern die Verwaltung der Berechtigungen.
Personal an der Zutrittsstelle: Empfangsdienst, Pforte, Sicherheitsdienst
Technik protokolliert, Menschen entscheiden. An der Zutrittsstelle braucht es jemanden, der Ausweise prüft, unangemeldete Personen freundlich, aber bestimmt aufhält und bei Auffälligkeiten richtig reagiert. Je nach Objekt übernimmt das ein Empfangsdienst in der Lobby, eine Pforte oder ein Werkschutz am Werkstor.
Empfangsdienst als erste Stufe
Ein professioneller Empfangsdienst verbindet das Auftreten einer Rezeption mit Sicherheitsaufgaben: Begrüßung, Registrierung, Sichtprüfung von Ausweisen, Ausgabe und Rücknahme von Besucherausweisen, Telefon- und Postannahme sowie die erste Reaktion bei Vorfällen. Er ist damit die erste Eskalationsstufe vor dem klassischen Wachdienst. Wie das in einer Großstadt organisiert wird, beschreibt unser Ratgeber zum Empfangsdienst in Berlin.
Rechtlicher Rahmen für externe Dienstleister
Beauftragen Sie ein Bewachungsunternehmen, braucht es eine Erlaubnis nach § 34a Gewerbeordnung. Jede eingesetzte Wachperson muss mindestens die Unterrichtung bei der IHK absolviert haben: 40 Unterrichtsstunden zu je 45 Minuten, mit Sprachkenntnissen mindestens auf Niveau B1 (§ 6 Bewachungsverordnung). Vor dem ersten Einsatz erhält sie einen Dienstausweis, der die Identifikationsnummern von Wachperson und Unternehmen aus dem Bewacherregister trägt (§ 18 BewachV). Als Auftraggeber sollten Sie diese Angaben prüfen. Wie das geht, zeigt der Beitrag zu Bewacherregister und die Bewacher-ID prüfen. Die Haftpflichtversicherung des Unternehmens muss nach § 14 BewachV mindestens 1.000.000 Euro für Personenschäden und 250.000 Euro für Sachschäden abdecken.
Was Personal kostet
In Berlin und Brandenburg gilt seit dem 1. Januar 2026 der allgemeinverbindliche Entgelttarifvertrag für Sicherheitsdienstleistungen. Die Stundenlöhne liegen je nach Entgeltgruppe zwischen 15,15 Euro und 21,80 Euro, ab 1. Januar 2027 zwischen 15,70 Euro und 22,65 Euro. Für Nachtarbeit zwischen 22 und 6 Uhr kommen 15 Prozent Zuschlag hinzu, sonntags 25 Prozent, an Feiertagen 50 Prozent. Das sind die Löhne der Beschäftigten, nicht die Verrechnungssätze. Darauf kommen Lohnnebenkosten, Ausfallzeiten, Schulung und Einsatzleitung.
Die Dienstanweisung
Ob eigenes Personal oder Dienstleister: Ohne schriftliche Dienstanweisung hängt die Qualität vom Einzelnen ab. Sie regelt, welche Personengruppen wie geprüft werden, wer Ausnahmen genehmigen darf, wie mit unangemeldeten Besuchern verfahren wird, welche Kontaktstellen im Zweifel erreichbar sind und was bei Verweigerung, Hausverbot oder Notfall geschieht. Bei einer externen Vergabe gehört sie ins Leistungsverzeichnis. Wer die Zugangskontrollen durch einen Sicherheitsdienst übernehmen lässt, sollte die Dienstanweisung gemeinsam mit dem Dienstleister vor dem Start durchgehen und nach den ersten Wochen anpassen.
Einführung und laufender Betrieb
Zutrittskontrolle ist kein Projekt mit Enddatum. Gebäude werden umgebaut, Abteilungen ziehen um, Beschäftigte kommen und gehen. Die folgenden Schritte helfen bei Einführung und Betrieb.
Bestandsaufnahme
Erfassen Sie alle Zugänge: Haupteingang, Nebentüren, Tiefgarage, Lieferrampe, Notausgänge, Dachzugänge. Notieren Sie, wer heute welche Schlüssel und Karten besitzt. In vielen Unternehmen ist diese Liste der erste Schreckmoment, weil niemand genau weiß, wie viele Generalschlüssel im Umlauf sind. Prüfen Sie auch Fluchttüren: Sie müssen sich im Notfall jederzeit von innen öffnen lassen, auch wenn die Zutrittskontrolle sie von außen sperrt.
Pilot und Schulung
Beginnen Sie mit einem Bereich, etwa dem Haupteingang und dem Serverraum. Schulen Sie Empfang und Beschäftigte gleichzeitig. Die wichtigste Botschaft an alle Mitarbeiter lautet: Niemanden ohne eigene Berechtigung mit durch die Tür nehmen, auch nicht aus Höflichkeit. Unbekannte Personen in internen Bereichen freundlich ansprechen und zum Empfang begleiten. Angesichts von 49 Prozent der Unternehmen mit beobachteten Social-Engineering-Versuchen ist diese Schulung keine Formsache.
Regelmäßige Kontrolle
Prüfen Sie Berechtigungen mindestens einmal im Jahr gegen die Personalliste und sperren Sie verwaiste Karten. Werten Sie Protokolle anlassbezogen aus, etwa bei abgewiesenen Zutrittsversuchen in der Nacht, und beachten Sie dabei die Mitbestimmung des Betriebsrats, wenn Daten zur Verhaltenskontrolle geeignet sind. Testen Sie den Prozess gelegentlich mit einem angekündigten Probebesuch: Wird der unangemeldete Gast wirklich aufgehalten? Gibt der Empfang Ausweise nur nach Abgleich aus? Kommen alle Besucherausweise am Abend zurück?
Wer diese Routine etabliert, hat am Ende ein System, das Besucher willkommen heißt und trotzdem jederzeit weiß, wer im Haus ist. Genau das ist der Maßstab für eine funktionierende Zutrittskontrolle im Unternehmen.
Quellen
- Bitkom e. V., Presseinformation „Angriffe auf die deutsche Wirtschaft: Spur führt immer öfter zu ausländischen Geheimdiensten“ vom 26.08.2026 und Studienbericht Wirtschaftsschutz 2026 (Bitkom Research)
- Bitkom e. V., Studienbericht Wirtschaftsschutz 2025, Kapitel Social Engineering
- DIN Media, DIN EN 60839-11-1 (VDE 0830-8-11-1):2013-12, Elektronische Zutrittskontrollanlagen
- BHE Bundesverband Sicherheitstechnik, Fachpapier „Die Zutrittskontrollzentrale – Herz und Hirn der ZK-Anlage“
- Datenschutz-Grundverordnung, Art. 5, 6, 9, 13, 28 und 30
- team-datenschutz, Praxistipp Besucherlisten und Datenschutz
- seatti, DSGVO-konformes Besuchermanagement
- FM-Connect, Empfangsservices: Anforderungen
- SecPlaner Journal, Besucher am Empfang sicher übergeben
- Kulig Security, Empfangsdienst in einem Industriebetrieb
- Aquila Security, Glossar Empfangsdienst
- Stahlbergen und KIM KEY, Kostenübersichten Zutrittskontrollsysteme 2026
- Gewerbeordnung § 34a, Bewachungsverordnung §§ 6, 14 und 18, Strafgesetzbuch § 123
- Entgelttarifvertrag für Sicherheitsdienstleistungen in Berlin und Brandenburg vom 18.11.2025, Allgemeinverbindlicherklärung (Bundesanzeiger)