Startseite · Blog · Zutrittskontrolle
Zugangssicherheit für Serverraum und Archiv
Kurze Antwort
In sensiblen Bereichen wie Serverraum und Archiv sollte der Zutritt nur Personen gewährt werden, die beruflich hinein müssen, und nur protokolliert. Dafür werden Zutritt per Karte oder Biometrie, nach Möglichkeit Zwei-Faktor-Authentifizierung (zum Beispiel Karte und Passwort), Türoffen-Alarm und eine Kamera, die die Tür erfasst, gemeinsam installiert. Wird die Zugriffsliste nicht regelmäßig überprüft, verlieren die technischen Maßnahmen mit der Zeit ihre Wirkung.
Warum eine eigene Zugangsebene?
Die Zutrittskontrolle am Haupteingang eines Gebäudes regelt, wer das Gebäude betritt. Der Serverraum ist dagegen ein eigener Schutzbereich im Gebäude. Hier stehen Server, Netzwerk-Switches, Rekorder und Sicherungskopien. Wer physisch Zugang zu diesem Raum hat, kann viele softwareseitige Sicherheitsmaßnahmen umgehen: Er kann durch Ziehen eines Kabels den Dienst stoppen, eine Festplatte mitnehmen oder ein unbefugtes Gerät ans Netz anschließen.
Beim Archivraum ist die Lage ähnlich. Personalakten, Patientenunterlagen, Verträge und Buchhaltungsbelege enthalten auch auf Papier personenbezogene Daten. Das Gesetz Nr. 6698 verlangt von denen, die personenbezogene Daten verarbeiten, geeignete technische und organisatorische Maßnahmen; die physische Zugangskontrolle ist Teil dieser Maßnahmen. Welche Maßnahmen für Sie als ausreichend gelten, dazu empfehlen wir, den Rat einer Rechtsberatung einzuholen.
Wer sollte hinein, wer nicht?
Bevor man zur technischen Lösung übergeht, muss eine Zugriffsliste erstellt werden. In den Serverraum geht das IT-Team. Reinigungskraft, Gebäudewartungstechniker, Klimaservice und Mitarbeiter externer Firmen sollten nur in Begleitung oder mit befristeter Berechtigung hinein. Zum Archiv sollten nur die zuständigen Abteilungsverantwortlichen Zugang haben.
Je kürzer die Liste, desto einfacher die Kontrolle. Ein häufiger Fehler ist, der Einfachheit halber die Serverraum-Berechtigung auf die Karte aller Beschäftigten zu legen. In diesem Fall muss man bei einem Vorfall, selbst wenn Zutrittsprotokolle geführt werden, Dutzende Personen befragen, um herauszufinden, wer hineingegangen ist.
Legen Sie eine schriftliche Regel für den Zutritt externer Firmen fest. Wer begleitet den Servicetechniker, wer gibt die befristete Karte für welche Dauer aus, wie wird die Karte nach der Arbeit zurückgenommen? Befristet definierte temporäre Karten, die nach einer bestimmten Uhrzeit von selbst ungültig werden, schließen die Lücke, die vergessene, nicht zurückgegebene Karten verursachen. Auch wer diese Aufgabe an Tagen übernimmt, an denen die Leitung abwesend ist, sollte festgelegt werden.
Expertenhinweis: Überprüfen Sie die Zugriffsliste bei jedem Eintritt, Austritt und Aufgabenwechsel. Die alte Berechtigung eines Mitarbeiters, dessen Aufgabenbereich sich ändert, wird oft vergessen und bleibt jahrelang offen. Machen Sie es zur Regel, dass die Personalabteilung diese Änderungen der IT am selben Tag meldet.
Welche Maßnahmen sollte es an der Tür geben?
Auch die Serverraumtür selbst ist wichtig. Selbst wenn an eine Holz- oder Glas-Bürotür das beste Lesegerät montiert wird, kann die Tür aufgebrochen werden. Nach Möglichkeit sollten eine Stahl- oder Brandschutztür, ein stabiler Rahmen und ein Türschließer verwendet werden, der die Tür selbsttätig schließt.
- Karten- oder biometrisches Lesegerät, nach Möglichkeit Karte und Passwort zusammen
- Elektrisches Schloss und Akkuversorgung, die auch bei Stromausfall funktioniert
- Magnetkontakt, der Alarm schlägt, wenn die Tür offen bleibt
- Erkennung von Türaufbruch und Benachrichtigung der IT
- Kamera, die die Tür und das Gesicht der eintretenden Person erfasst
- Taster oder Hebel für den Ausgang von innen, Schloss, das im Notfall geöffnet werden kann
- Besucherbuch oder temporäre Karte für den Zutritt externer Firmen
- Zugriffsliste kurz und aktuell
- Stabile Tür und Türschließer
- Zwei Faktoren mit Karte und Passwort
- Türoffen-Alarm
- Kamera erfasst die Tür
- Benachrichtigung bei Zutritt außerhalb der Arbeitszeit
- Gerätezeiten aus einer Quelle
- Rack-Schränke verschlossen
Zwei-Faktor-Zutritt und Anti-Passback
Die Zwei-Faktor-Zutrittskontrolle verlangt für das Öffnen der Tür zwei verschiedene Nachweise: etwas, das man besitzt (Karte), und etwas, das man weiß (Passwort), oder die Person selbst (Fingerabdruck). Selbst wenn die Karte verloren geht oder gestohlen wird, öffnet sich die Tür nicht ohne Kenntnis des Passworts. In Bereichen wie dem Serverraum bietet dieses Verfahren einen deutlich stärkeren Schutz als eine Karte allein.
Anti-Passback ist eine Funktion, die verhindert, dass jemand, der ohne Kartenlesung beim Eintritt hineingelangt ist, beim Austritt lesen kann, und umgekehrt. So wird in den Protokollen sichtbar, wenn eine Person ihre Karte an eine andere weitergibt und zwei Personen hineingehen oder wenn jemand die Tür offen hält und eine weitere Person hinterhergeht. Sind im Serverraum Leser sowohl am Eingang als auch am Ausgang vorhanden, zeigt das außerdem, wer wie lange drinnen geblieben ist.
Falls ein biometrisches Verfahren eingesetzt wird, beachten Sie, dass Fingerabdruck- und Gesichtsdaten nach dem KVKK als besondere Kategorien personenbezogener Daten gelten. Auch in einem Bereich, zu dem nur wenige Personen Zugang haben, muss vor der Verarbeitung biometrischer Daten eine rechtliche Prüfung erfolgen.
Protokolle und Überwachung
Die Zutrittskontroll-Software protokolliert jede Kartenlesung, abgelehnte Versuche, die Zeiten, in denen eine Tür offen blieb, und gewaltsame Öffnungen. Diese Protokolle nützen nur, wenn jemand hineinschaut. Für Zutritte außerhalb der Arbeitszeit, abgelehnte Versuche und offen stehende Türen sollte eine Benachrichtigung per E-Mail oder Nachricht an die für die IT zuständige Person eingerichtet werden.
Die Uhrzeiten der Kameraaufzeichnung und des Zutrittsprotokolls müssen übereinstimmen. Wenn alle Geräte die Zeit von einem Zeitserver im Netzwerk beziehen, lässt sich bei der Untersuchung eines Vorfalls der Moment der Kartenlesung leichter dem Kamerabild zuordnen. In Organisationen, die ein Informationssicherheits-Managementsystem (wie ISO/IEC 27001) betreiben, gehören Protokolle des physischen Zutritts bei Audits häufig zu den angeforderten Unterlagen.
Maßnahmen im Raum
Die Zutrittssicherheit endet nicht an der Tür. Abgeschlossene Rack-Schränke im Serverraum, Klarheit darüber, wer die Schlüssel hat, und Sensoren, die melden, wenn eine Schranktür geöffnet wird, schaffen eine zusätzliche Schutzebene. Im Raum sollten außerdem Temperatur-, Feuchtigkeits- und Wassersensoren vorhanden sein; auch wenn diese Sensoren nicht direkt mit dem Zutritt zu tun haben, können sie an dasselbe Überwachungssystem angeschlossen werden.
Im Sommer ist ein Klimaausfall in Şanlıurfa ein ernstes Risiko für den Serverraum. Wenn der Klimaservice den Raum betreten muss, sorgen eine temporäre Karte und die Protokollierung des Zutritts sowohl für Sicherheit als auch für einen Servicenachweis. Zu weiteren Fehlern bei der Serverraum-Infrastruktur können Sie auch unseren Ratgeber zur Netzwerkinfrastruktur lesen.
Desa Bilişim übernimmt für Organisationen die Installation von Serverräumen und die Zutrittskontrolle aus einer Hand. Wir können den Zutrittsstatus Ihres Serverraums und Ihres Archivs vor Ort prüfen und Mängel schriftlich mitteilen.
Häufige Fragen
Reicht eine Karte für den Serverraum?
Eine Karte allein birgt das Risiko von Verlust und Weitergabe. In sensiblen Bereichen wie dem Serverraum wird empfohlen, zusätzlich zur Karte ein Passwort oder eine biometrische Bestätigung zu verlangen. Welche Methode gewählt wird, hängt von der Bedeutung des Bereichs und von der KVKK-Bewertung ab.
Was passiert mit der Serverraumtür bei Stromausfall?
Das hängt vom Schlosstyp und von der Installationseinstellung ab. Eine Akkuversorgung hält das System bei einem Ausfall eine Zeit lang in Betrieb. Für jemanden, der im Raum eingeschlossen ist, muss von innen immer ein Ausgang möglich sein; die Brand- und Fluchtbedingungen der Tür sollten in der Planung geprüft werden.
Braucht auch ein Archivraum eine Zutrittskontrolle?
Enthält das Archiv Dokumente mit personenbezogenen Daten, gehören die Einschränkung und Protokollierung des physischen Zugangs zu den zu treffenden Maßnahmen. Zutritt per Karte und ein Zutrittsprotokoll sind dafür ein praktischer Weg. Wenden Sie sich für Pflichten, die speziell Ihre Einrichtung betreffen, an eine Rechtsberatung.
Lassen Sie uns die Zutrittssicherheit Ihres Serverraums prüfen
Wir prüfen Ihre Tür-, Protokoll- und Berechtigungsstruktur vor Ort und senden Ihnen Mängel und Empfehlungsliste schriftlich zu.
