Smartphone als Zutrittsmedium: Vorteile, Risiken und sichere Einführung

Was mobiler Zutritt ist und wann er sich lohnt

Ein Smartphone kann Karte und Schlüssel als Zutrittsmedium gut ersetzen, wenn das System dafür ausgelegt ist. Der größte Vorteil: Berechtigungen werden aus der Ferne ausgestellt und gesperrt, ohne dass jemand Karten ausgeben oder einsammeln muss. Sicher wird die Lösung durch verschlüsselte Kommunikation, eine aktive Bildschirmsperre, einen klaren Ablauf bei Verlust und ein Ersatzmedium für den Fall eines leeren Akkus.

Technisch speichert das Smartphone eine digitale Berechtigung in einer App oder in der Wallet des Betriebssystems. Hält man es an den Leser oder nähert sich der Tür, tauschen Telefon und Leser verschlüsselte Daten aus. Ob die Tür öffnet, entscheidet wie bei einer Karte die Zutrittskontrolle anhand von Person, Tür und Uhrzeit.

Bluetooth, NFC oder Wallet: die Varianten im Vergleich

Am Markt haben sich drei Verfahren etabliert, dazu kommt der QR-Code als Sonderfall für Besucher. Viele aktuelle Leser beherrschen mehrere davon gleichzeitig.

Wichtig für die Planung: Nicht jeder Leser, nicht jedes System und nicht jedes Telefon unterstützt jede Variante. Wallet-Ausweise setzen eine ausdrückliche Unterstützung durch den Hersteller der Zutrittskontrolle voraus, und auf dem iPhone konnten Apps anderer Anbieter NFC lange nicht als Kartenersatz nutzen. Klären Sie das vor der Auswahl der Hardware, nicht danach.

Die Vorteile für Unternehmen

• Keine Karten ausgeben: Neue Mitarbeitende können ihre Berechtigung schon vor dem ersten Arbeitstag per Einladung auf das Smartphone erhalten.
• Sofort sperren: Verlässt jemand das Unternehmen, wird die Berechtigung zentral entzogen. Niemand muss einer Karte nachlaufen.
• Befristete Zugänge: Handwerker, Reinigungsfirmen oder Projektpartner bekommen Zutritt nur an bestimmten Tagen und zu bestimmten Türen.
• Zusätzlicher Schutz durch das Gerät: Muss das Telefon zum Öffnen per PIN, Fingerabdruck oder Gesicht entsperrt werden, verbindet der Zutritt Besitz mit Wissen oder Biometrie. Das Prinzip kennen Sie vielleicht von der Multi-Faktor-Authentifizierung.
• Weniger Verwaltungsaufwand: Kein Druck, kein Versand und keine Inventur von Karten, besonders bei mehreren Standorten.

Risiken und wie Sie sie beherrschen

Verlorenes oder gestohlenes Smartphone

Verlassen Sie sich bei einem Verlust nicht allein auf die Bildschirmsperre. Wallet-Ausweise im Expressmodus und das Öffnen per Bluetooth bei Annäherung können je nach Konfiguration auch am gesperrten Gerät funktionieren. Legen Sie daher fest, dass Verluste sofort gemeldet werden und wer die Berechtigung dann sperrt, auch am Wochenende.

Bei Firmenhandys kann zusätzlich eine Geräteverwaltung (MDM) das Gerät sperren oder löschen. Setzen Sie Offline-Komponenten wie batteriebetriebene Schließzylinder ein, klären Sie, wie rasch eine Sperre dort wirksam wird. Eine neue Berechtigung für ein Ersatzgerät ist in der Regel schnell ausgestellt.

Leerer Akku und fehlender Empfang

Ohne Strom öffnet ein Smartphone keine Tür. Manche Geräte halten Wallet-Ausweise zwar noch eine Zeit lang bereit, nachdem sie sich wegen eines leeren Akkus abgeschaltet haben, verlassen sollten Sie sich darauf aber nicht. Planen Sie deshalb ein Ersatzmedium wie Karte oder PIN ein. Fehlender Mobilfunkempfang, etwa in der Tiefgarage, ist dagegen meist kein Problem: Die Berechtigung liegt auf dem Gerät und wird vor Ort von Leser und Steuerung geprüft. Lassen Sie sich das vom Anbieter bestätigen.

Verschlüsselung, App-Sicherheit und Updates

Achten Sie darauf, dass die Kommunikation zwischen Telefon und Leser verschlüsselt ist und die Schlüssel im geschützten Speicher des Geräts liegen. Verbindungen zwischen Lesern, Steuerungen und Server gehören in ein eigenes Netzsegment, etwa ein VLAN. Verlangt das System bei Bluetooth eine Entsperrung des Telefons oder eine bewusste Geste, erschwert das sogenannte Relay-Angriffe, bei denen Angreifer das Funksignal unbemerkt verlängern. Und weil die Sicherheit auch vom Betriebssystem abhängt, sollte die App Telefone mit veralteten Betriebssystemen ohne Sicherheitsupdates erkennen und ablehnen.

Datenschutz: worauf Sie achten sollten

Zutrittsprotokolle sind personenbezogene Daten, egal ob sie von einer Karte oder einem Smartphone stammen. Legen Sie fest, welche Daten gespeichert werden, wer sie einsehen darf und wann sie gelöscht werden. Prüfen Sie zudem, welche Daten die App selbst verarbeitet und welche Berechtigungen sie verlangt. Fingerabdruck oder Gesichtserkennung am Smartphone bleiben in der Regel auf dem Gerät und werden nicht an das Zutrittssystem übertragen.

Heikel ist die Nutzung privater Smartphones. Bieten Sie mobilen Zutritt als freiwillige Option an und halten Sie Karte oder Firmenhandy als Alternative bereit. In Österreich ist in Betrieben mit Betriebsrat für Systeme, die Daten von Mitarbeitenden verarbeiten, oft eine Betriebsvereinbarung nötig. Die Details klären Sie am besten mit Ihrer Rechtsberatung und der für Datenschutz zuständigen Person.

Mischbetrieb mit Karten, Zeitprofilen und Besuchern

Mobiler Zutritt ersetzt Karten selten vollständig. Bewährt hat sich ein Mischbetrieb mit Lesern, die verschlüsselte Karten und Smartphones gleichermaßen akzeptieren. Beide Medien hängen an derselben Person und denselben Berechtigungen. Zeitprofile gelten deshalb unabhängig vom Medium: Wer nur werktags von 7 bis 19 Uhr in das Lager darf, kommt auch mit dem Smartphone am Sonntag nicht hinein.

Für Besucher eignen sich zeitlich eng begrenzte Einladungen, die per E-Mail oder App zugestellt werden. QR-Codes sind bequem, lassen sich aber per Screenshot weitergeben und sollten daher nur kurz gültig sein. Mit einer Video-Gegensprechanlage samt App sehen Sie, wer läutet, und öffnen die Tür auch aus der Ferne. Diese Fernöffnung sollte protokolliert und der Zugang zur App mit einem starken Login geschützt werden.

Checkliste für die Einführung

1. Welche Türen, Tore und Schranken sollen per Smartphone bedient werden, und unterstützen die vorhandenen Leser das?
2. Welche Verfahren werden genutzt: Bluetooth, NFC, Wallet oder eine Kombination?
3. Welches Ersatzmedium gibt es für leere Akkus, Gäste und Personen ohne Smartphone?
4. Wer sperrt Berechtigungen bei Verlust oder Austritt, und wie schnell?
5. Öffnen Wallet-Ausweise oder Bluetooth auch am gesperrten Telefon, und ist das gewollt?
6. Sind Protokolle, Löschfristen und die Nutzung privater Geräte datenschutzrechtlich geklärt?
7. Laufen Leser, Steuerungen und Server in einem abgesicherten Netzsegment mit aktuellen Updates?

Fazit: Komfort und Sicherheit schließen sich nicht aus

Das Smartphone als Zutrittsmedium spart Verwaltungsaufwand und macht Berechtigungen flexibler. Sicher wird es durch gute Planung: verschlüsselte Verfahren, klare Abläufe bei Verlust, ein Ersatzmedium und ein abgesichertes Netzwerk. Wenn Sie mobilen Zutritt einführen oder eine bestehende Anlage modernisieren möchten, unterstützt Sie Q-entra bei der Zutrittskontrolle und mit passenden Maßnahmen der Cyber Security.