Zugangsschutz bedeutet, dass Sie nachweisen können, wer Zugang zu welchen Systemen, Räumen oder Daten hat, und dass dieser Zugang entzogen wird, sobald jemand ihn nicht mehr benötigt. Für einen Installationsbetrieb geht das über eine Passwortrichtlinie im Büro hinaus: es geht auch um Schlüssel von Kundengebäuden, Ausweise für technische Räume und Fernzugriff auf Gebäudemanagementsysteme, die Ihre Techniker betreuen.
Der Grund, warum dieses Thema immer wieder in Cybersicherheits-Checklisten auftaucht, ist einfach: ein Techniker, der sich ohne Passwort in eine Heizungsregelung einloggen kann, oder ein ehemaliger Mitarbeiter, der noch mit einem Schlüssel in einen Serverraum kann, ist genau das Risiko, auf das ein Auftraggeber mit einer Sorgfaltspflicht achten muss. Wer diese Frage mit einem Schulterzucken beantwortet, verliert schneller einen Auftrag als jemand, der eine kurze, ehrliche Antwort geben kann.
Zwei Arten von Zugang, ein Register
Bei einem Installationsbetrieb vermischen sich zwei Welten. Auf der einen Seite gibt es Zugang zu Ihren eigenen Systemen: die Verwaltung, die Planungssoftware, das Postfach. Auf der anderen Seite gibt es physischen und digitalen Zugang beim Kunden: Schlüssel, Alarmmeldercodes, VPN-Verbindungen zu einem Gebäudemanagementsystem, Anmeldedaten für eine Klimaregelung, die ferngesteuert wird.
Beides fällt unter die gleiche Frage: wer darf darauf zugreifen, und warum. Ein fortlaufendes Register, in dem pro System oder pro Schlüsselbund verzeichnet ist, wer Zugang hat, seit wann, und wer das genehmigt hat, ist für die meisten Installationsbetriebe bereits ausreichend, um diese Frage zu beantworten. Es muss kein kompliziertes System sein; eine genaue Übersicht, die Sie vorzeigen können, wiegt schwerer als eine umfassende Richtlinie, die niemand befolgt.
Schlüssel und Ausweise: der vergessene Teil des Zugangsschutzes
Viele Installationsbetriebe denken beim Zugangsschutz sofort an Anmeldedaten und vergessen die physische Seite. Schlüsselbunde von Kundenstandorten, Ausweise für technische Räume und Codes von Alarmsystemen sind genauso Zugang wie ein Passwort und verdienen die gleiche Disziplin: festhalten, wer welchen Schlüssel hat, wann dieser ausgegeben wurde, und einen festen Zeitpunkt, zu dem dieser zurückgefordert oder entzogen wird.
Dies wird oft erst sichtbar, wenn etwas schiefgeht: ein Techniker, der aus dem Dienst ausscheidet, aber noch einen Schlüsselbund von drei Kunden im Auto hat, oder ein Subunternehmer, der nach Abschluss eines Projekts noch immer auf ein Administratorkonto zugreifen kann. Ein Kunde, der Ihnen diese Frage über eine Cybersicherheits-Checkliste stellt, möchte vor allem wissen, ob Sie solche Situationen strukturell verhindern, nicht ob es jemals schief gelaufen ist.
Fernzugriff auf Systeme beim Kunden
Installationsbetriebe, die Systeme beim Kunden aus der Ferne überwachen oder eingreifen, zum Beispiel zur Fehlerdiagnose bei einer Klimaanlage oder einem Energiemanagementsystem, brauchen oft einen eigenen Zugriffspfad: ein VPN, eine Remote-Desktop-Verbindung oder eine herstellereigene Plattform. Dieser Zugriffspfad ist genau die Art von Verbindung, auf die ein Auftraggeber mit einer Sorgfaltspflicht fragt, weil eine Schwachstelle bei Ihnen sich direkt in ein Risiko bei ihm übersetzen kann.
Fragen, die dabei häufig auftauchen, beziehen sich auf Mehrstufige Authentifizierung auf diesem Fernzugriff, darauf, wer die Konten verwaltet, und darauf, was passiert, wenn ein Laptop mit diesem Zugriff gestohlen wird. Es ist nicht nötig, auf jede Frage eine umfassende technische Antwort zu haben; es ist aber nötig zu wissen, wer in Ihrer Organisation solchen Zugriff gewährt und wieder entzieht, und das irgendwo festzuhalten.
Wo dies in das größere Bild passt
Die Zugriffskontrolle ist eine der Maßnahmen, die unter die Sorgfaltspflicht fallen, und diese Sorgfaltspflicht betrifft Installationsbetriebe meist nicht, weil sie selbst unter das Gesetz fallen, sondern weil ein Auftraggeber, auf den das zutrifft, diese von ihnen abfragt. Wer noch nicht weiß, ob das auf die eigene Situation zutrifft, kann das in ein paar Fragen sehen. Für diejenigen, die die Frage bereits erhalten haben und wissen möchten, wie die Zugriffskontrolle zu den anderen neun Maßnahmen verhält, gibt es einen vollständigen Überblick pro Thema ausgearbeitet.
Es ist nicht Aufgabe eines Plattformanbieters wie secria.eu zu entscheiden, was in Ihrem konkreten Fall ausreichend ist; das bleibt eine Bewertung, die bei Ihnen selbst liegt oder, im Zweifelsfall, bei einem Juristen oder der zuständigen Regulierungsbehörde. Was jedoch zu tun ist: einen ehrlichen und aktuellen Überblick darüber führen, wer wo Zugang hat, damit ein Sicherheitsfragebogen keine Überraschung mehr ist, sondern ein Formular, das Sie in ein paar Minuten ausfüllen können. Mehr darüber, wie ein solcher Überblick in der Praxis aufgebaut wird, finden Sie auf der Seite, die zeigt woher die Informationen in der Dokumentation stammen.
Möchten Sie zunächst sehen, ob dieses Thema für Ihre Organisation relevant ist, und was eine Dokumentation dafür genau enthält? Führen Sie den kostenlosen Quick-Scan durch oder blättern Sie durch die Themen; beide sind ohne Konto abrufbar und geben direkt eine konkrete Antwort.