Die Firewall allein ist nicht genug

Cyberangriffe sind eine Gefahr für die deutsche Wirtschaft: 84 % der deutschen Unternehmen sind von Spionage, Sabotage und Diebstahl betroffen. Das ergab eine Studie des Digitalverbands Bitkom aus dem ersten Quartal 2022. Darin wurden Unternehmen zu ihren Erfahrungen in den vergangenen zwölf Monaten befragt. Gestohlen wurden IT-Ausrüstung und Daten. Damit entstand der deutschen Wirtschaft ein Schaden von rund 203 Mrd. EUR. In den kommenden Monaten erwarten Unternehmen sogar noch mehr Cyberangriffe als bisher. Im Oktober 2022 meldete die Bitkom bei der Eröffnung der IT-Sicherheitsmesse It-Sa, dass für IT-Sicherheit in Deutschland so viel Geld ausgegeben wird wie noch nie zuvor. Für das Jahr 2022 wurden Ausgaben in Höhe von rund 7,8 Mrd. EUR prognostiziert – 13 % mehr als 2021. Udo Littke, Bitkom-Hauptvorstand betont: „IT-Sicherheit muss Thema des Top-Managements sein und mit entsprechenden personellen und finanziellen Ressourcen ausgestattet werden.“ Doch dabei nur auf IT-Unternehmenssicherheit zu setzen, reicht nicht aus. Selbst die beste Abwehr gegen Ransomware-Angriffe, Zero-Day-Exploits, Spyware-Attacken oder zukünftige mögliche Angriffe mit Quantencomputern schützt nicht ausreichend: Denn Serverräume und Rechenzentren sind nur so sicher wie die Zutrittskontrolle, die unbefugte Personen vor dem physischen Zugriff abhalten soll.

Es gilt, IT-Sicherheit ganzheitlich als einen aufeinander abgestimmten Mix aus digitalen und physischen Schutzmaßnahmen zu betrachten und nicht nur als Schutz der Unternehmensnetzwerke. Die Frage lautet: Wer hat wann, wie und wo Zugriff oder Zutritt? Daran setzt ein zeitgemäßes Zutrittsmanagement an. Eine solche Lösung ist beispielsweise das Zutrittskontrollsystem IF-6040 von Interflex, das sich speziell für besonders komplexe Sicherheitsanforderungen eignet. Die Software bildet den Kern eines modernen Sicherheitskonzepts. Verantwortliche in Unternehmen können sie, je nach Anforderungen der IT-Strategie, als On-Premise- oder auch als Cloud-Service betreiben. Die Zutrittskontrolle und das Identitätsmanagement sind eng miteinander verflochten und so ein wesentlicher Teil der IT-Unternehmenssicherheit. So lässt sich das System IF-6040 per Open-ID Connect an einen zentralen Identity-Provider anbinden, um die Zugriffe zentral zu steuern. Denn Zutrittskontrolle basiert darauf, nur berechtigten Personen Zugang zu gewähren. Das bedeutet auch, dass Verantwortliche nachvollziehen können, wer zu einer bestimmten Zeit an einem bestimmten Ort Zutritt hat – und diesen auch genutzt hat. Ein wesentlicher Vorteil des zentral verwalteten Zutrittskontrollsystems ist es deshalb, dass Zutrittsberechtigungen mit wenigen Klicks entzogen werden können. Das ist besonders hilfreich, wenn ein Identifikationsmedium verlegt, verloren oder gestohlen wird. Doch für ein umfassendes und wirksames Zutrittsmanagement benötigen Unternehmen auf die Software abgestimmte Hardware.

Mit der online- und wireless-fähigen Produktlinie Opendor bietet Interflex die auf das Zutrittskontrollsystem IF-6040 abgestimmte Hardware an: bestehend aus elektronischem Spindschloss, Schließzylinder, Türdrücker und Türbeschlag. Damit geht Interflex auf die Anforderungen vieler Unternehmen ein, die zunehmend auf drahtlose, batteriebetriebene Schließsysteme setzen. Dabei berücksichtigt Interflex bereits bei der Entwicklung der Lösungen moderne Sicherheitskonzepte wie Security-by-Default und Security-by-Design. Sicherheitsaspekte wie Verschlüsselungstechnologien und Authentifizierungsmechanismen werden damit fortlaufend über den gesamten Produktlebenszyklus von Software und Hardware angepasst. Das gilt auch für das System IF-6040, dessen Kommunikationskanäle allesamt verschlüsselt sind. Und bei Bedarf lassen sich Sicherheits-Updates schnell einspielen.

Seit Anfang 2022 ist die Energieversorgung in Deutschland ein zentrales Thema für Unternehmen, insbesondere das Risiko von Blackouts oder Brownouts durch Energieknappheit. Sicherheitsverantwortliche sollten berücksichtigen, welche Auswirkungen das auf ihr Sicherheitskonzept haben könnte. Gleiches gilt auch für Hackerangriffe, die das Zutrittskontrollsystem oder die Unternehmens-IT lahmlegen können. Die Produktlinie Opendor ^air enthält ein dreistufiges Sicherheitskonzept, das Interflex für solche Szenarien entwickelt hat: Zutrittsberechtigungsdaten lassen sich damit aus dem System IF-6040 auf das Gateway, das die Funkverbindung zu den Schließkomponenten hält, übertragen und speichern. So sind die Daten auch bei unterbrochener Verbindung zum Zutrittskontrollsystem verfügbar und ermöglichen eine vollständige Zutrittsprüfung. Sollte auch das Gateway ausfallen oder die Verbindung zu den Schließkomponenten unterbrochen werden, übernimmt jede einzelne batteriebetriebene Schließkomponente die Zutrittssteuerung selbst – anhand einer dynamischen selbstlernenden und einer statischen Berechtigungsliste. Dadurch stehen Mitarbeiterinnen und Mitarbeiter im Falle eines Netzwerkausfalls oder Blackouts nicht vor verschlossenen Türen.

Zusätzlich zu den zugewiesenen Berechtigungen, benötigen Anwenderinnen und Anwender eines Zutrittskontrollsystems ein Identifikationsmedium, mit dem sie an Zugangstüren buchen. Das geht an Terminals für Zutrittskontrolle sowie an Schließkomponenten mit einem RFID-Ausweis oder bei Bedarf zusätzlich mit einer PIN-Verifikation. Aber auch das Smartphone wird mit der App Key von Interflex zum persönlichen Identifikationsmedium. Das vereinfacht die Verwaltung und Ausgabe von Ausweisen. Denn die Anwenderin oder der Anwender erhält den mobilen, digitalen Ausweis verschlüsselt über das Internet – und nicht physisch an einer Ausgabestelle. Zusätzlich ist ein mobiler Ausweis sicherer, weil auf das Smartphone mehr geachtet wird und es seltener verloren geht als herkömmliche, analoge Schlüssel oder klassische Identifikationsmedien wie Ausweiskarten oder Token. Noch mehr physische Sicherheit in der Zutrittskontrolle erzeugen beispielsweise Vereinzelungsanlagen, eine Zutrittswiederholprüfung oder eine Vier-Augen-Zutrittskontrolle. Und mit einer Raumzonenverfolgung kontrollieren und verfolgen Sicherheitsverantwortliche Zutrittsbewegungen. Für äußerst sensible Bereiche bieten sich zusätzlich biometrische Verfahren, beispielsweise Fingerprint-, Handvenen- oder Iriserkennung, zur Identifikation oder Verifikation an. Denn biometrische Merkmale eines Menschen können nicht weitergegeben werden wie ein physisches Identifikationsmedium.

Eine umfassende Cybersecurity ist nur so stark wie ihr schwächstes Glied. Deshalb muss in Unternehmen nicht nur die klassische IT-Sicherheit Thema des Top-Managements sein, sondern auch die Zutrittskontrolle zur IT-Infrastruktur. Denn Serverräume und Rechenzentren sind nur sicher, wenn Schutzmaßnahmen unbefugte Personen digital und physisch abhalten.