KRITIS-konforme Zutrittskontrolle: Wie Berlin-Chemie sein Sicherheitsökosystem modernisiert und resilient aufstellt
Mit dem KRITIS-Dachgesetz hat die Bundesregierung erstmals einen verbindlichen Rahmen geschaffen, der Betreiber kritischer Infrastrukturen verpflichtet, ihre Resilienz transparent nachzuweisen. Unternehmen aus regulierten Branchen stehen damit vor der Aufgabe, Risiken zu minimieren und auch ihre physische Sicherheit nach aktuellen technischen Standards auszurichten. Zutrittskontrolle wird damit zum zentralen Baustein gesetzlich geforderter Regularien.
Das traditionsreiche deutsche Pharmaunternehmen Berlin-Chemie ist als KRITIS-Betrieb von diesen Regularien betroffen. Es ist seit mehr als 130 Jahren am Markt, mit fünf Standorten in Berlin und rund 5.000 Beschäftigten. Eine abteilungsübergreifende Task Force analysierte das bestehende Zutrittssystem, das sich über viele Jahre hinweg entwickelt hatte. Das Ergebnis zeigt ein Bild, das für viele Bestandsanlagen typisch ist. Schnell wurde deutlich: Hier besteht Handlungsbedarf. Die technische Basis war geprägt durch ein veraltetes RS485-Bussystem, das gebäudeübergreifend installiert war. Dadurch kam es zu Störanfälligkeiten, Spannungsschwankungen führten zu Ausfällen und zu einer instabilen Protokollierung.
Aufgrund der historisch gewachsenen Struktur kamen an den Standorten zudem Zutrittskontrollkomponenten unterschiedlichster Hersteller zum Einsatz. Ergänzend wurden RFID-Technologien verwendet, deren Verschlüsselung nicht mehr dem aktuellen Stand der Technik entsprach.
Besonders kritisch war die Situation in den sensiblen Bereichen der Rechenzentren: Die notwendige Zwei-Faktor-Authentifizierung ließ sich mit dem bestehenden System nicht umsetzen.
Hinzu kam, dass auch die eingesetzte Zutrittskontrollsoftware veraltet war und nicht mehr weiterentwickelt wird – ein erheblicher Nachteil sowohl aus funktionaler Sicht als auch im Hinblick auf Dokumentations- und Auditfähigkeit.
Das Fazit der Prüfung fiel eindeutig aus: Das bestehende Zutrittskontrollsystem ist nicht KRITIS-konform und musste grundlegend erneuert werden. Teamlead Operational Technology Jörg Kaumanns bringt es auf den Punkt: „Wir haben ein recht altes Zutrittssystem betrieben, das über die Jahre gewachsen ist. Die KRITIS-Regularien fordern jedoch eine Umsetzung nach dem Stand der Technik und eine möglichst geringe Störanfälligkeit.“
Von der Analyse zur Lösung
Nach einer umfassenden Marktanalyse entschied sich das Unternehmen für PCS Systemtechnik als Partner. Ausschlaggebend war insbesondere das breite Produktportfolio, mit dem sich die meisten Anforderungen des Pharmaunternehmens abdecken ließen. Die Task Force definierte daraufhin eine standardisierte Hardwarebasis für die gesamte Zutrittskontrolle. Diese Standardisierung erleichtert unter anderem die Bevorratung von Ersatzgeräten. Überzeugt hat PCS zudem durch das Konzept, die Migration im laufenden Betrieb umzusetzen. So konnte eine schrittweise, möglichst störungsfreie Umstellung über einen längeren Zeitraum realisiert werden.
Ein zentraler Schritt war die Migration der eingesetzten RFID-Technologie. Während der Umstellungsphase nutzten die Mitarbeiter sogenannte Kombikarten, die sowohl das bestehende Legic-prime-Verfahren als auch das neue, verschlüsselte Mifare-Desfire-Format unterstützen. Dadurch konnten die Zutrittsleser sukzessive ausgetauscht werden, ohne den Zugang zu einzelnen Bereichen zu beeinträchtigen.
Für Hochsicherheitszonen wie die Rechenzentren implementierte Berlin-Chemie eine Zwei-Faktor-Authentifizierung auf Basis von RFID und biometrischer Handvenenerkennung. Der Zutrittsleser Intus PS zeichnet sich dabei durch hohe Fälschungssicherheit, Nutzerfreundlichkeit und datenschutzkonforme Verarbeitung aus.
Eine weitere Herausforderung stellte die Absicherung von Brandschutztüren dar. Diese dürfen baulich nicht verändert werden und eignen sich daher nicht für verkabelte Zutrittsleser. Hier kamen mechatronische Schließsysteme Intus Flex zum Einsatz, die direkt im Türgriff integriert sind. Eine Funkvernetzung sorgt dafür, dass Berechtigungen zentral gesteuert und sofort wirksam werden.
Für Zufahrten mit größerem Abstand wurde die Infrastruktur durch Weitbereichsleser ergänzt.
Eine zentrale Rolle spielt zudem die neue Zutrittskontrollsoftware: Statt Einzelberechtigungen erfolgt die Verwaltung nun über ein strukturiertes Rollen- und Zonenkonzept. Das verbessert die Übersicht und reduziert Fehler. „Mit Hilfe der Schnittstellen konnten wir die Anbindung an unser Corporate CRM realisieren. Das Rollen- und Zonenkonzept vereinfacht zusätzlich die Administration der Zutrittsrechte erheblich“, so Projektleiter Jörg Kaumanns.
Ein weiterer Schwerpunkt lag auf der revisionssicheren Dokumentation des gesamten Systems. Sämtliche Komponenten wurden erfasst, getestet und dokumentiert. Moderne Protokollierungsmechanismen gewährleisten, dass Zutritte und Zutrittsversuche zuverlässig gespeichert werden. Für den Fall eines Stromausfalls erfolgt eine gesicherte Zwischenspeicherung im Zutrittskontrollmanager mit zusätzlicher Notstromversorgung – ein Konzept, das sich bereits im Ernstfall bewährt hat.
Schrittweise Migration für den Neustart
Die Modernisierung erfolgte in mehreren Phasen. Zunächst wurde die neue Zutrittslösung im Rahmen eines Pilotprojekts getestet. Ein ausgewähltes Gebäude diente dabei als Testumgebung.
Ein technikaffines Team evaluierte das System zwei Monate lang unter realen Bedingungen. Erst nach erfolgreicher Testphase begann der unternehmensweite Rollout.
Parallel zum Austausch der Zutrittshardware begann die Migration der Ausweise mit Hilfe von Kombikarten, die sowohl alte als auch neue Technologien unterstützen. Zusätzlich wurde neue Zutrittshardware genutzt, die Kombinationsleser für alte und neue Ausweise verwendet. Mit dieser doppelten Kombivariante lief der Wechsel auf die neue Technologie nahezu problemlos. Die Installationsarbeiten der Hardware selbst fanden bevorzugt in den produktionsfreien Wartungsfenstern der Berlin-Chemie statt. Die enge Abstimmung zwischen dem internen Projektteam und den Technikern von PCS erwies sich dabei als entscheidend. Die Techniker von PCS waren vor Ort und konnten durch ihr Know-how aktiv die Installationsbedingungen gestalten.
KRITIS-konform und zukunftssicher
Nach Einschätzung des Projektleiter Kaumanns sind mit diesem neuen Sicherheitskonzept die Anforderungen für eine resiliente Gebäudesicherheit im Sinne des KRITIS-Dachgesetzes sehr gut umgesetzt. Mit inzwischen 64 Zutrittskontrollmanagern, 180 Online-Zutrittslesern, drei Handvenenlesern, zehn mechatronischen Schließsystemen und fünf Weitbereichslesern verfügt das Unternehmen über eine standardisierte und umfassend dokumentierte Infrastruktur. Neben der sicheren RFID-Technologie und der biometrischen Authentifizierung trägt auch die Entscheidung für eine On-Premises-Lösung zur Resilienz bei. Das System ist bewusst autark ausgelegt und nach außen abgeschottet. Besonders bewährt hat sich bereits die Notstromversorgung der Zutrittskontrollmanager: Bei einem länger andauernden Stromausfall in Berlin blieb das System betriebsfähig und konnte anschließend ohne Datenverlust wieder gestartet werden.
Mit dem erfolgreichen Go-Live des Projekts ist sichergestellt, dass alle Berliner Standorte modernisiert sind und sich die gesamte Zutrittsinfrastruktur zentral administrieren lässt.
Ein jährlicher Hardware Check stellt sicher, dass Firmware, Gerätezustand und Verkabelung kontinuierlich überprüft und dokumentiert werden – ein zentraler Baustein für die langfristige Auditfähigkeit.
Das Sicherheitsökosystem wächst weiter
Die Modernisierung der Zutrittskontrolle bildet die Grundlage für weitere Projekte. Geplant ist unter anderem die Nutzung der neuen RFID-Ausweise für Zeiterfassung und Follow-Me-Printing.
Zudem soll das bislang papierbasierte Besuchermanagement durch eine digitale Lösung ersetzt werden. Künftig könnten beispielsweise externe Techniker temporäre Besucherausweise erhalten. Auch Sicherheitsunterweisungen sollen digital erfolgen und dokumentiert werden. So entsteht Schritt für Schritt ein integriertes Sicherheitsökosystem, das weit über die Zutrittskontrolle hinausgeht.
