Die richtigen Zutrittsmedien für Ihr Ökosystem auswählen
Welche Zutrittsmedien passen wirklich? Entscheidend sind Infrastruktur, Nutzergruppen, Lifecycle und Sicherheitsanforderungen.
Posted by
Lizelle Maas
Posted date
September 18, 2026
Welche Zutrittsmedien passen wirklich? Entscheidend sind Infrastruktur, Nutzergruppen, Lifecycle und Sicherheitsanforderungen.
Die meisten Gespräche über Zutrittsmedien beginnen mit der Frage, was eine Person künftig mit sich tragen soll, um Zugang zu erhalten. Sollen Mitarbeitende weiterhin Karten nutzen? Lohnt sich der Umstieg auf mobile Credentials? Können biometrische Verfahren die Sicherheit in sensiblen Bereichen erhöhen? Und mit der zunehmenden Bedeutung von FIDO2 stellt sich auch die Frage, ob physische und digitale Authentifizierung stärker zusammenwachsen sollten.
Das sind alles berechtigte Fragen. Sie lassen sich jedoch besser beantworten, wenn zunächst das gesamte Ökosystem betrachtet wird.
Ein Credential ist Teil eines größeren Identity- und Access-Ökosystems. Wie sinnvoll es ist, hängt davon ab, wer es nutzt, welche Leser bereits vorhanden sind, mit welchen Systemen es zusammenspielen muss, welches Sicherheitsniveau erforderlich ist und wie es im Laufe seines Lebenszyklus ausgegeben, geändert und widerrufen wird.
Karte, Smartphone, Schlüsselanhänger oder USB-Sicherheitsschlüssel beschreiben zunächst nur, in welcher Form ein Zutrittsmedium genutzt wird. Das eigentliche Zutritts- und Sicherheitsmodell liegt dahinter.
Drei Karten, die nahezu identisch aussehen, können technisch völlig unterschiedlich aufgebaut sein. Eine wird vielleicht ausschließlich für den physischen Zutritt verwendet. Eine andere unterstützt verschlüsselte Authentifizierung. Eine dritte verbindet den Gebäudezutritt mit der Authentifizierung an digitalen Systemen.
Mit FIDO2 wird diese Unterscheidung besonders relevant. FIDO2 wird häufig mit USB-Sicherheitsschlüsseln für passwortlose oder Multi-Faktor-Authentifizierung in Verbindung gebracht. Es gibt jedoch auch Karten, die FIDO2 unterstützen. Dadurch kann ein einziges physisches Credential sowohl für den physischen als auch für den digitalen Zugang genutzt werden.
Das kann die Nutzung für Mitarbeitende vereinfachen, wirft aber gleichzeitig neue Fragen auf: Unterstützen die vorhandenen Leser das Credential? Wie erfolgt die Provisionierung? Wie wird der Lebenszyklus gesteuert? Und wer trägt die Verantwortung über physische und digitale Systeme hinweg?
Eine vermeintlich einfache Mitarbeiterausweis [EG1.1]kann heute Teil einer deutlich komplexeren Authentifizierungsarchitektur sein.
Nicht jeder Bereich innerhalb eines Unternehmens hat dasselbe Risikoprofil.
Für den Zutritt zu einem normalen Bürobereich kann ein gültiges Unternehmens-Credential ausreichen. Für ein Labor, ein Rechenzentrum, einen Hochspannungsbereich in der Produktion oder eine andere sensible Zone kann eine höhere Sicherheit erforderlich sein. Dort muss möglicherweise zusätzlich sichergestellt werden, dass die Person tatsächlich diejenige ist, für die das Credential ausgestellt wurde, oder dass die notwendigen Qualifikationen und Freigaben vorhanden sind.
In manchen Bereichen reicht deshalb ein einzelnes Credential aus. In anderen Fällen kann ein zweiter Faktor wie z.B. PIN oder[EG2.1] eine biometrische Verifikation sinnvoll sein. Bei der digitalen Authentifizierung können wiederum andere Anforderungen gelten.
Die Credential-Strategie sollte diese Unterschiede berücksichtigen, anstatt überall denselben Authentifizierungsansatz vorauszusetzen.
Die vorhandene Infrastruktur hat großen Einfluss darauf, was praktisch umsetzbar ist.
Ein Unternehmen mit Tausenden von Lesern in Büros, Produktionsstandorten, Drehkreuzen und Außenstandorten muss Alter, Konfiguration und technische Möglichkeiten dieser Infrastruktur berücksichtigen, bevor eine neue Credential-Technologie eingeführt wird.
Ein neues Credential kann umfangreiche Leserwechsel erforderlich machen. In anderen Fällen unterstützt die bestehende Hardware bereits zusätzliche Technologien oder kann entsprechend aktualisiert werden.
Das wird bei FIDO2 besonders interessant. Wie wir bereits in unserem Artikel zu FIDO2 und Reader-Updates beschrieben haben, lassen sich bestimmte bestehende Reader-Umgebungen aktualisieren, anstatt die Hardware vollständig auszutauschen. Gleichzeitig muss jedoch auch das Credential selbst die notwendige Funktionalität unterstützen.
Dieser Unterschied kann den Umfang eines Projekts erheblich verändern. Ein Reader-Austausch betrifft schließlich nicht nur die Hardwarekosten, sondern auch Installation, Tests, mögliche Ausfallzeiten und die Koordination über mehrere Standorte hinweg.
In großen Unternehmen erfolgt der Wechsel auf eine neue Credential-Technologie nur selten auf einmal. Tausende Karten und Leser an mehreren Standorten zu ersetzen, kann Monate oder sogar Jahre dauern.
In dieser Zeit müssen alte und neue Umgebungen parallel funktionieren. Einige Standorte unterstützen vielleicht bereits das neue Credential, während andere weiterhin auf der bisherigen Technologie basieren. Mitarbeitende, die zwischen Standorten wechseln, müssen möglicherweise in beiden Umgebungen funktionieren. Neue Credentials müssen unter Umständen auch mit älteren Lesern kompatibel bleiben.
Deshalb sollte die Migration früh geplant werden. Es muss festgelegt werden, welche Standorte oder Nutzergruppen zuerst umgestellt werden, wie lange beide Technologien parallel betrieben werden und wann das alte Credential endgültig außer Betrieb genommen werden kann.
Ein Credential kann für die zukünftige Umgebung ideal sein. Entscheidend ist aber auch, wie praktikabel es sich in die bestehende Infrastruktur einführen lässt.
Ein Credential auszugeben ist meist der einfache Teil. Schwieriger ist es, sicherzustellen, dass es dauerhaft zum Status der dahinterliegenden Identität passt.
Menschen wechseln Rollen oder Standorte, verlieren Karten, tauschen Geräte aus, absolvieren Schulungen oder verlassen das Unternehmen. Vertragslaufzeiten von externen Mitarbeitenden ändern sich. Besucher kommen erneut. Jeder dieser Vorgänge kann Einfluss auf den Zutritt haben.
Besonders relevant wird das, wenn ein Credential mehrere Funktionen erfüllt. Wird eine Karte sowohl für den Gebäudezutritt als auch für digitale Authentifizierung genutzt, kann ihr Verlust mehrere Systeme gleichzeitig betreffen.
Hier treffen Credential Management und PIAM direkt aufeinander. Ein Credential bleibt nur dann vertrauenswürdig, wenn Identität, Berechtigungen und Lebenszyklus im Hintergrund ebenfalls aktuell bleiben.
Nicht jede Nutzergruppe muss zwangsläufig denselben Formfaktor verwenden.
Festangestellte Mitarbeitende können beispielsweise von personalisierten Smartcards profitieren, die sowohl Zutritt ermöglichen als auch eine sichtbare Identifikation bieten. Externe Mitarbeitende können dieselbe Credential-Technologie verwenden, haben aber häufig andere Lifecycle-Anforderungen, da ihr Zutritt an Vertragslaufzeiten, Schulungen oder Zertifizierungen gekoppelt ist. Für Besucher eignen sich je nach Prozess möglicherweise wiederverwendbare Ausweise oder mobile Credentials besser.
Schlüsselanhänger bleiben dort sinnvoll, wo Robustheit wichtiger ist als eine sichtbare Identifikation. Biometrische Verfahren können in ausgewählten Hochsicherheitsbereichen zusätzliche Sicherheit bieten, wobei Datenschutz, Zuverlässigkeit und Akzeptanz im Unternehmen berücksichtigt werden müssen.
Viele ausgereifte Umgebungen setzen daher bewusst mehrere Credential-Typen ein. Die Konsistenz entsteht durch die einheitliche Steuerung von Identitäten und Berechtigungen im Hintergrund.
Eine gute Credential-Strategie muss auch dann funktionieren, wenn etwas schiefgeht oder sich kurzfristig ändert.
Was passiert, wenn ein Mitarbeitender vor einer Frühschicht seine Karte verliert? Wenn ein Firmenhandy ausfällt? Wenn ein Vertrag kurzfristig verlängert wird? Wenn jemand für eine Woche Zugang zu einem anderen Standort benötigt? Oder wenn eine Zertifizierung über Nacht abläuft?
Solche Situationen zeigen schnell, wo operative Schwachstellen liegen.
Wenn jede Ausnahme manuelle Eingriffe oder Spezialwissen erfordert, kann der administrative Aufwand die Vorteile des Credentials schnell überwiegen. Sind die Lifecycle-Prozesse dagegen gut integriert, lassen sich dieselben Situationen deutlich einfacher steuern.
RFID-Karten, Schlüsselanhänger, mobile Credentials, biometrische Verfahren und FIDO2-fähige Authentifikatoren können alle sinnvoll sein.
Welche Lösung passt, hängt vom gesamten Ecosystem ab. Die vorhandene Leser-Infrastruktur bestimmt, was sich einfach einführen lässt. Das Risiko des jeweiligen Bereichs beeinflusst das notwendige Sicherheitsniveau. Unterschiedliche Nutzergruppen haben unterschiedliche operative Anforderungen. Und die Lifecycle-Prozesse entscheiden darüber, ob Zutrittsrechte langfristig korrekt bleiben.
Eine gute Credential-Strategie beginnt deshalb mit dem Ecosystem, den Identitäten darin und den Veränderungen, die diese Umgebung in Zukunft unterstützen muss.
Die Auswahl des Credentials ergibt sich daraus.
