Physische Zugriffskontrollen: Ausweise, Schlösser und Schleusen

Physischer Zugriff auf Hardware macht fast jede logische Kontrolle unwirksam. Ein Angreifer mit physischem Zugriff auf einen Server kann von einem externen Medium booten, die Festplattenverschlüsselung ohne den Schlüssel umgehen (Cold-Boot-Angriff), Hardware-Keylogger installieren, Festplatten entfernen oder die Geräte einfach mitnehmen. Keine noch so umfangreiche Firewall, Verschlüsselung oder Authentifizierung schützt Daten, wenn eine unbefugte Person die Hardware physisch berühren kann. Physische Sicherheit bildet die Grundlage für alle anderen Kontrollen.

Wirksame physische Sicherheit verwendet mehrere Zonen mit zunehmend strengeren Zugriffsbeschränkungen. Die äußerste Zone ist der Gebäudeperimeter (Umzäunung, Sicherheitskräfte, Kameras auf dem Parkplatz). Die nächste Ebene ist der Gebäudeeingang (Badge-Lesegeräte, Empfang). Zu den inneren Zonen gehören Bürobereiche (Badge-Zugriff je Abteilung), Serverräume (Zugriff mit hoher Sicherheitsstufe) und der Kern des Rechenzentrums (am stärksten beschränkt). Jede Ebene verfügt über eigene Kontrollen – ein Eindringen in die äußerste Ebene gewährt keinen Zugriff auf die innerste.

Zugangs-Badges sind das gängigste physische Zugangsmittel. Moderne Badges verwenden Nahbereichstechnologie (RFID/NFC), die von Lesegeräten kontaktlos erkannt wird, oder Smartcard-Technologie mit integrierten kryptografischen Chips. Smartcards sind sicherer, da der Chip eine kryptografische Challenge-Response-Prüfung durchführt, anstatt lediglich eine ID-Nummer zu übertragen. PIV-Karten (Personal Identity Verification), die an US-Regierungsmitarbeiter ausgegeben werden, erfüllen die Standards von FIPS 201 und unterstützen sowohl den physischen als auch den logischen (Computer-)Zugriff.

Für Bereiche mit hoher Sicherheitsstufe ist eine physische Multi-Faktor-Authentifizierung erforderlich – eine Kombination aus etwas, das Sie besitzen (Badge), etwas, das Sie wissen (PIN), und etwas, das Sie sind (biometrisches Merkmal). Eine häufige Kombination für den Zugang zu Rechenzentren ist: Badge vorhalten + PIN eingeben + Fingerabdruck scannen. Dadurch wird sichergestellt, dass ein gestohlener Badge allein keinen Zugriff gewährt, ein fotografierter Fingerabdruck ohne den Badge nicht funktioniert und eine bekannte PIN ohne den physischen Badge nicht verwendet werden kann. Eine Drei-Faktor-Authentifizierung für den physischen Zugriff ist in der Verteidigungs- und Finanzbranche üblich.

Ein Mantrap (auch Schleuse oder Zugangskontrollvorraum genannt) ist ein kleiner Raum mit zwei miteinander verriegelten Türen: Die erste Tür muss geschlossen und verriegelt sein, bevor sich die zweite Tür öffnen kann. Dieser physische Mechanismus verhindert Tailgating (dass eine unbefugte Person einer befugten Person durch eine gesicherte Tür folgt). Mantraps können Gewichtssensoren, Infrarot-Zähler und Kameras enthalten, um zu erkennen, ob mehr als eine Person den Raum betritt. Wird ein Tailgating-Versuch erkannt, löst das System automatisch einen Alarm aus.

Tailgating liegt vor, wenn eine unbefugte Person einer befugten Person durch eine gesicherte Tür folgt, ohne dass die befugte Person dies bemerkt. Piggybacking ist ähnlich, geschieht jedoch mit der Unterstützung der befugten Person – sie hält die Tür offen. Beide Methoden umgehen physische Zugangskontrollen vollständig. Zu den Schutzmaßnahmen gehören Mantraps, Drehkreuze, die pro Badge-Vorhalten nur eine Person durchlassen, Schulungen zur Sicherheitskultur (Mitarbeiter dürfen unbekannten Personen nicht die Tür aufhalten) sowie Kameras zur Erkennung von Tailgating mit Videoanalyse.

Physische Schlösser reichen von einfachen bis zu hochsicheren Ausführungen. Stiftzuhaltungsschlösser sind einfach und anfällig für Lockpicking und das Kopieren von Schlüsseln. Hochsicherheitsschlösser (Medeco, Abloy) verfügen über aufbruchhemmende Mechanismen und kontrollierte Schlüsselverwaltung. Kombinationsschlösser erfordern eine bekannte PIN, verfügen jedoch über keine Protokollierung. Elektronische Schlösser mit Schlüsselkarten oder PIN-Tastenfeldern führen Zugangsprotokolle und können aus der Ferne gesperrt werden. Codeschlösser (Tasten) erfordern einen gemerkten Code – eine Karte ist nicht nötig, aber die Kombination ist statisch und wird von den befugten Benutzern gemeinsam verwendet.

Biometrische Kontrollen authentifizieren anhand einzigartiger körperlicher Merkmale. Zu den gängigen Typen gehören Fingerabdruckscanner (schnell, kostengünstig und am weitesten verbreitet), Handgeometrie-Lesegeräte (ältere Technologie, in Rechenzentren zu finden), Irisscanner (sehr hohe Genauigkeit, teuer) und Gesichtserkennung (komfortabel, aber bei schwacher Beleuchtung möglicherweise ungenau). Wichtige Metriken für biometrische Systeme sind: False Acceptance Rate (FAR) – wie häufig eine unbefugte Person eingelassen wird – und False Rejection Rate (FRR) – wie häufig einer befugten Person der Zutritt verweigert wird.

Besucher, Auftragnehmer und Wartungspersonal, die berechtigterweise physischen Zugang benötigen, müssen kontrollierten Verfahren unterliegen. Zu den bewährten Verfahren gehören: die Vorabgenehmigung aller Besucher vor ihrer Ankunft, die Überprüfung eines amtlichen Ausweises am Empfang, die Ausgabe von zeitlich begrenzten Besucherausweisen, die automatisch deaktiviert werden, die Benennung einer verantwortlichen Begleitperson, die den Besucher durchgehend begleitet, sowie die Führung eines Besucherprotokolls mit Ankunftszeit, Abreisezeit, betretenen Bereichen und Besuchszweck. Besucherprotokolle unterstützen die forensische Untersuchung, wenn es nach dem Besuch zu einem Vorfall kommt.

Physische Sicherheitskontrollen sollten regelmäßig durch physische Penetrationstests (Red-Team-Übungen) überprüft werden. Tester versuchen Tailgating, Social Engineering am Empfang, das Klonen von Badges und Lockpicking, um Schwachstellen zu identifizieren, bevor Angreifer dies tun. Badge-Audits stellen sicher, dass Zugangsdaten ausgeschiedener Mitarbeiter umgehend deaktiviert werden. Zugriffsüberprüfungen stellen sicher, dass nur aktuell befugte Personen weiterhin Zugriff auf sensible Bereiche haben. Regelmäßige Tests zeigen, ob Kontrollen, die auf dem Papier funktionieren, auch in der Praxis wirksam sind.

Jedes Ereignis an einer türgesteuerten Zutrittskontrolle sollte protokolliert werden: wer (Ausweis-ID), wo (Tür/Raum), wann (Zeitstempel) und ob der Zutritt gewährt oder verweigert wurde. Diese Protokolle ermöglichen bei Vorfällen Sicherheitsuntersuchungen („War jemand im Serverraum, als die Geräte verschwanden?“), Compliance-Audits (Wer hatte Zugriff auf PCI-DSS-Zonen?) und die Erkennung von Anomalien (ein Mitarbeiter betritt am Wochenende um 3 Uhr morgens das Gebäude). Protokolle der Zutrittsausweise sollten sicher gespeichert und mindestens 90 Tage lang aufbewahrt werden – oder länger, wenn dies aufgrund von Compliance-Anforderungen erforderlich ist.

In dieser Lektion haben Sie gelernt: Physische Sicherheit nutzt mehrschichtige Zonen mit schrittweise strengeren Kontrollen in Richtung sensibler Bereiche, Mantraps verhindern Tailgating, indem sich eine Tür erst schließen muss, bevor die nächste geöffnet wird, und mehrfaktorielle physische Authentifizierung, die Ausweise, PINs und biometrische Merkmale kombiniert, stellt sicher, dass gestohlene Zugangsdaten allein keinen Zutritt ermöglichen. Als Nächstes befassen wir uns mit Überwachungssystemen – CCTV, Bewegungssensoren und Protokollierung zur Überwachung der physischen Sicherheit.