ISO 27001 A.7.4: Physische Sicherheitsüberwachung richtig regeln

Ich hatte einmal einen Kunden, dessen Büros unmittelbar mit dem Wohnhaus verbunden waren. Nachts schlief der Familienhund in den Büroräumen.

Auf die Frage nach der physischen Sicherheitsüberwachung war die Antwort sinngemäß: „Wenn hier nachts jemand hineinkommt, merkt der Hund das.“

Das ist nicht einmal eine völlig alberne Antwort. Ein Hund kann hören, riechen, anschlagen und einen ungebetenen Besucher ausgesprochen nachdrücklich davon überzeugen, dass er den falschen Eingang gewählt hat. Nur entstehen sofort Anschlussfragen: Ist der Hund wirklich jede Nacht dort? Was passiert im Urlaub? Wer reagiert, wenn er bellt? Und ist ein schlafendes Tier eine planbare Sicherheitsmaßnahme oder vor allem ein sympathischer Mitbewohner mit gelegentlicher Nebenbeschäftigung?

Anhang A.7.4 der ISO 27001 verwendet ein wichtiges Wort: Räumlichkeiten müssen ständig auf unbefugten physischen Zugang überwacht werden. Nicht nur während der Bürozeiten. Nicht nur, wenn zufällig jemand aus dem Fenster schaut. Und nicht nur in Nächten, in denen der Familienhund gerade Dienst hat.

Auditoren wollen hier selten eine Hochsicherheitsanlage sehen. Sie wollen aber erkennen, dass Ihre Organisation sich Gedanken gemacht hat: Welche Bereiche müssen überwacht werden? Wie wird ein unbefugter Zugang erkannt? Was passiert anschließend? Und wer sorgt dafür, dass die gewählte Lösung auch morgen noch funktioniert?

Die kurze Antwort

ISO 27001 A.7.4 verlangt kein bestimmtes Fabrikat und auch nicht zwingend Videoüberwachung. Gefordert ist eine ständige, zum Risiko passende Überwachung auf unbefugten physischen Zugang. Das kann je nach Umgebung über Alarmanlagen, Einbruchmeldeanlagen, Bewegungsmelder, Glasbruchsensoren, Fenster- und Türöffnungssensoren, Zutrittskontrollsysteme, einen Wachdienst, die Aufschaltung auf eine Leitstelle oder andere geeignete Maßnahmen gelöst werden. Kameras sind eine Möglichkeit unter vielen.

Entscheidend ist nicht die Show im Audit, sondern die dauerhafte Wirksamkeit. Noch praktischer formuliert: Es reicht nicht, im Audit zu sagen: „Ja, da ist eine Alarmanlage.“ Die interessanteren Fragen lauten: Wo ist festgelegt, was mindestens vorhanden sein muss? Wer prüft die Funktion? Wer reagiert bei einer Störung? Und wie bemerken Sie, wenn die bisherige Lösung still und leise nicht mehr tut, was sie soll?

Was „ständig“ praktisch bedeutet

Das Wort „ständig“ bedeutet nicht zwingend, dass 24 Stunden am Tag ein Mensch vor einem Monitor sitzen muss. Es bedeutet aber sehr wohl, dass das vorgesehene Überwachungssystem ohne zeitliche Lücke bereitsteht. Ihr Schutzkonzept darf nicht davon abhängen, ob zufällig jemand am Empfang sitzt oder der Hausmeister gerade noch einmal durchs Gebäude läuft.

Wenn die Überwachung nur während der Anwesenheitszeiten funktioniert, ist das keine ständige Überwachung, sondern eine zeitweise Beobachtung. Ein besetzter Empfang kann ein sinnvoller Baustein sein. Allein ist er aber selten die vollständige Lösung.

Die Überwachung muss außerdem zu den tatsächlich schutzbedürftigen Bereichen passen. Wer noch nicht einmal sauber weiß, welche Gebäude, Räume, Geräte und Informationen geschützt werden müssen, sollte zuerst sein Asset Management aufräumen. Sonst wird womöglich der repräsentative Haupteingang wunderbar überwacht, während der Nebeneingang zum Serverraum mit einem freundlichen Schild und viel Gottvertrauen auskommen muss.

Der häufigste Denkfehler

Der häufigste Denkfehler lautet: „Wir haben doch eine verschlossene Tür. Das wird schon reichen.“

Nein. Zutrittssteuerung und Überwachung sind nicht dasselbe. Eine verschlossene Tür erschwert den Zutritt. Sie merkt aber nicht automatisch, ob jemand sie aufhebelt, manipuliert, einen Schlüssel missbraucht oder sich abends im Gebäude einschließen lässt.

Der zweite Denkfehler lautet: „Hauptsache, wir können im Audit zeigen, dass es irgendeine Technik gibt.“ Auch das ist zu kurz. Ein Bewegungsmelder mit leerer Batterie, eine Kamera mit blindem Winkel, eine Alarmanlage ohne Aufschaltung oder ein System, dessen Störung niemand bemerkt, schützt vor allem den guten Glauben des Unternehmens.

Physische Zugangssysteme und Überwachungssysteme sind selbst technische Systeme. Sie können falsch konfiguriert sein, ausfallen, manipuliert werden oder jahrelang niemanden interessieren. NIST betrachtet solche Systeme im OT-Kontext deshalb ebenfalls als schutzbedürftige Systeme und nicht als unfehlbares Gebäudemobiliar.

Welche Möglichkeiten es gibt

Die Bandbreite ist größer, als viele denken. Vor der Kamera liegen viele Maßnahmen, die häufig weniger Daten über Personen erzeugen und den eigentlichen Zweck trotzdem erfüllen.

Öffnen und Durchbrechen erkennen

Tür- und Fensterkontakte melden, wenn eine Öffnung außerhalb der vorgesehenen Zeiten benutzt wird. Sie können außerdem erkennen, dass eine Tür ungewöhnlich lange offensteht. Glasbruchsensoren reagieren je nach Bauart auf typische Geräusche oder Erschütterungen. Vibrations- und Erschütterungsmelder können Manipulationsversuche an Türen, Wänden, Fenstern, Zäunen oder besonders geschützten Schränken erkennen.

Auch Rolltore, Dachluken, Lichtschächte und Wartungszugänge lassen sich überwachen. Gerade die unscheinbaren Öffnungen sind interessant: Der Haupteingang besitzt häufig bereits alles, was der Sicherheitskatalog hergibt. Der Lieferzugang hinter dem Gebäude wird dagegen von einem Bewegungsmelder geschützt, dessen Batterie seit dem letzten Firmenjubiläum leer ist.

Bewegung und Anwesenheit erkennen

Bewegungsmelder können mit Infrarot, Mikrowelle oder mehreren Verfahren arbeiten. Lichtschranken erkennen, wenn jemand einen festgelegten Bereich durchquert. In besonderen Umgebungen kommen Druckmatten, Zaunüberwachung, Radar- oder andere Präsenzsensoren infrage.

Solche Systeme müssen zur Umgebung passen. Ein Bewegungsmelder, der bei jeder Heizungsluft, flatternden Plane oder streunenden Katze Alarm auslöst, sorgt nicht für besonders viel Sicherheit. Er trainiert die Empfänger vor allem darin, Alarme zu ignorieren.

Vorhandene Zutrittstechnik mitbenutzen

Elektronische Zutrittssysteme können ungewöhnliche Ereignisse melden: eine aufgehaltene Tür, wiederholte Fehlversuche, Nutzung außerhalb zulässiger Zeiten oder einen Zutritt mit gesperrtem Badge. Kontakte an Serverschränken, Schlüsselkästen oder anderen besonders geschützten Behältnissen können ergänzen, was auf Raumebene fehlt.

Ein Protokolleintrag allein ist allerdings noch keine Überwachung. Wenn das System am Montagmorgen mitteilt, dass am Samstag eine Tür offenstand, kann das für die Aufklärung nützlich sein. Für eine Reaktion am Samstag ist es etwas spät.

Menschen, Leitstellen und Kombinationen

Ein besetzter Empfang, Kontrollgänge, Wachdienst, Nachbarschaft oder ein aufmerksamer Hausmeister können sinnvolle Bausteine sein. Klassische Alarm- und Einbruchmeldeanlagen bündeln Sensoren und können Meldungen intern oder an eine Leitstelle weitergeben.

Meist entsteht eine belastbare Lösung aus mehreren Schichten: Ein Türkontakt erkennt die Öffnung, eine Alarmanlage bewertet das Ereignis, eine Leitstelle nimmt die Meldung entgegen und eine festgelegte Person oder ein Sicherheitsdienst reagiert. Technik, die nur sehr gewissenhaft piept, aber niemanden erreicht, hat ihre Aufgabe noch nicht zu Ende gedacht.

Nicht jedes Unternehmen braucht alles. Ein kleiner Beratungsbetrieb mit zwei Büroräumen benötigt etwas anderes als ein Rechenzentrum, eine Werkhalle oder ein Unternehmen mit Publikumsverkehr. Genau deshalb sollte die Auswahl aus dem Risikomanagement kommen und nicht aus dem Katalog desjenigen, der zufällig die Alarmanlage verkauft.

Wenn Kameras Teil der Lösung sind, kommt ein zweites Thema hinzu: der Schutz personenbezogener Daten. Die Bundesbeauftragte für den Datenschutz und die Informationsfreiheit weist darauf hin, dass Videoüberwachung geeignet sein und zugleich das mildeste der verfügbaren Mittel darstellen muss. Zweck, Erforderlichkeit, erfasster Bereich, Speicherdauer, Zugriffsrechte und Informationspflichten gehören sauber geprüft und dokumentiert.

Wenn ein Türkontakt zuverlässig melden kann, dass nachts die Hintertür geöffnet wird, kann eine Kamera auf den gesamten Flur schwerer zu begründen sein. Kamera drauf und fertig ist also keine gute Idee – schon gar nicht, wenn vorsichtshalber Arbeitsplätze, Nachbargrundstück und der halbe Gehweg mitgefilmt werden.

Nachhaltige Sicherheit statt Audit-Theater

Der entscheidende Punkt bei A.7.4 ist nicht die bloße Existenz irgendeiner Maßnahme, sondern ihre Verlässlichkeit im Betrieb. Wer die physische Sicherheitsüberwachung ernst nimmt, legt fest:

• welche Bereiche überwacht werden müssen,
• welches Mindestniveau dort gilt,
• welche technischen und organisatorischen Maßnahmen eingesetzt werden,
• wie Störungen und Ausfälle erkannt werden,
• wer auf einen Alarm reagiert,
• wer Wartung und Funktionsprüfungen organisiert und
• wie Änderungen an Räumen oder Nutzung berücksichtigt werden.

Gerade der letzte Punkt wird gern vergessen. Ein Raum wird umgenutzt, eine Zwischenwand eingezogen oder ein neuer Lieferant bekommt regelmäßig Zugang. Die Alarmanlage bleibt technisch unverändert – und plötzlich passt sie nicht mehr zur Wirklichkeit. Physische Sicherheit muss daher ebenso gepflegt werden wie andere sicherheitsrelevante Prozesse.

Auch die Reaktion gehört dazu. Ein Alarm, auf den niemand reagiert, ist lediglich ein besonders nervöses Geräusch. Bei kritischen Standorten sollte klar sein, wer informiert wird, wie eskaliert wird und was geschieht, wenn der Standort tatsächlich nicht mehr nutzbar ist. Damit berührt das Thema auch das Business Continuity Management.

Und der Familienhund?

Zurück zu meinem Kunden. Der Hund war real, schlief tatsächlich häufig in den Büroräumen und hätte wahrscheinlich angeschlagen, wenn nachts jemand durch das Büro gelaufen wäre. Das darf man bei der Risikobetrachtung durchaus erwähnen.

Als alleinige Umsetzung von A.7.4 taugt es trotzdem nur schwer. „Ständig“ verlangt Verlässlichkeit. Ein Hund hat Urlaub, wird krank, schläft einmal besonders fest oder befindet sich gerade bei der Familie im Wohnbereich. Außerdem braucht auch sein Anschlagen eine Reaktion. Wenn niemand das Bellen hört oder jeder annimmt, draußen laufe nur wieder ein Igel vorbei, bleibt die Alarmkette bemerkenswert kurz.

Der Familienhund kann also ein zusätzlicher Sensor mit Zähnen sein. Das Unternehmen sollte die ständige physische Sicherheitsüberwachung aber nicht vollständig auf seinen Dienstplan stützen.

Und was ist mit vollständig remote arbeitenden Unternehmen?

Ein Unternehmen ohne eigene klassische Zentrale darf nicht automatisch einen großen roten Strich durch A.7.4 ziehen. Zuerst muss es nüchtern prüfen, welche physischen Orte und Werte trotzdem relevant sind: Homeoffice-Arbeitsplätze, angemietete Besprechungsräume, Schließfächer, Archive, Colocation-Flächen, Lagerorte oder Geräte außerhalb der eigenen Räume.

Wenn die Maßnahme danach tatsächlich nicht erforderlich ist, muss der Ausschluss in der Anwendbarkeitserklärung nachvollziehbar begründet werden. „Wir haben kein Büro, also wird das schon weg können“ ist keine Begründung. Die passende Frage lautet vielmehr: Welche physischen Zugangsrisiken bestehen in unserem Anwendungsbereich – und wie werden sie behandelt?

Für Notebooks und andere Geräte außerhalb eigener Räume bleibt zudem die Sicherheit von Endgeräten relevant. Kein eigenes Büro zu haben bedeutet schließlich nicht, keine physischen Assets mehr zu besitzen.

Was will der Auditor sehen?

Ein Auditor will hier selten hören: „Wir haben da irgendwas installiert.“ Er will erkennen, dass Sie ein tragfähiges Konzept haben. Dazu gehören typischerweise eine Festlegung der überwachten Bereiche, passende Mindestmaßnahmen, klare Zuständigkeiten, die Behandlung von Alarmen und eine Form der Funktionskontrolle.

Als Nachweise helfen beispielsweise:

• eine kurze Regelung oder Arbeitsanweisung,
• ein Lageplan oder eine Zuordnung überwachter Bereiche,
• Wartungs- und Testnachweise,
• Zuständigkeiten und Eskalationswege für Störungsmeldungen,
• Verträge mit Errichtern, Leitstellen oder Sicherheitsdiensten,
• Beispiele behandelter Alarme oder Störungen und
• bei Videoüberwachung die erforderlichen Datenschutzunterlagen.

Der Auditor sucht kein Sicherheitsmuseum. Er sucht belastbare Verantwortung und eine Lösung, die außerhalb des Audittages ebenfalls funktioniert.

Der praktische Prüfblock

Physische Sicherheitsüberwachung muss über die benötigte Zeitspanne funktionieren. Kameras sind nur eine Möglichkeit; Türkontakte, Glasbruchsensoren, Alarmanlagen, Wachschutz und sogar organisatorische Kontrollen können je nach Risiko passender sein.

• Welche Bereiche müssen wann gegen unbemerkten Zutritt überwacht werden?
• Welches mildere und zugleich wirksame Mittel passt zum Zweck?
• Wer erhält Alarme und wie wird außerhalb der Arbeitszeit reagiert?
• Wie werden Fehlalarme, Wartung und Datenschutz berücksichtigt?

Was im Audit belastbar sein sollte

Der Artikel wurde bereits mit der Geschichte vom Familienhund modernisiert. Bild und Kerntext bleiben erhalten; ergänzt werden nur Anschlussfähigkeit und formale Konsistenz.

Im Rahmen eines Managementsystems nach ISO 27001 hängt das Thema außerdem mit Sicherheitsbereiche, Zutritt regeln, Büros schützen, Umgebungsgefahren und Clear Desk zusammen. Diese Verbindungen verhindern, dass eine einzelne Richtlinie oder ein einzelnes Werkzeug als isolierte Wunderwaffe behandelt wird.

Interesse geweckt?

Sie möchten das Thema in Ihrem Unternehmen sauber und pragmatisch angehen? Sprechen Sie mit uns.