Cyberangriffe bleiben längst nicht mehr im Rechenzentrum. Wer Kritische Infrastruktur betreibt, muss 2026 die Tür genauso ernst nehmen wie die Firewall. Für Betreiber heißt das konkret: Zutrittskontrolle ist zu einem sicherheitskritischen Prozess geworden – und damit zur Chefsache.
Zwei Gesetze, ein gemeinsamer Auftrag
Die Bedrohungslage hat sich verschärft. Laut einer Bitkom-Erhebung meldeten rund 73 Prozent der Unternehmen binnen zwölf Monaten eine Zunahme von Cyberangriffen. Der Gesetzgeber hat mit zwei eng verzahnten Regelwerken reagiert: Das NIS-2-Umsetzungsgesetz trat im Dezember 2025 in Kraft und adressiert die digitale Resilienz. Das KRITIS-Dachgesetz zog im Frühjahr 2026 nach und nimmt die physische Sicherheit in die Pflicht. Durch neue Schwellenwerte fallen rund 30.000 zusätzliche Unternehmen unter die verschärften Mindestanforderungen. Zutrittskontrolle sowie Identitäts- und Berechtigungsmanagement gelten damit offiziell als sicherheitskritische Prozesse.
Warum der beste Firewall-Schutz an der Tür endet
Die Rechnung ist simpel: Der stärkste digitale Schutz verpufft, wenn jemand unbemerkt am Serverschrank steht. Genau hier liegt das Risiko vieler KRITIS-Betriebe – ob Strom, Gas, Wasser oder Abwasser. Denn nach wie vor sichern viele Anlagen ihre Türen rein mechanisch. Ein mechanischer Schlüssel gilt rund um die Uhr, lässt sich unter Umständen kopieren, und geht er verloren, müsste streng genommen das gesamte Schloss getauscht werden. Ohne Videoüberwachung bleibt zudem unklar, wer wann Zutritt hatte. Für sensible Bereiche ist das ein schwer tragbares Restrisiko.
Drei Wege zur elektronischen Zutrittskontrolle
Wer modernisiert, hat grundsätzlich drei Systemwege zur Wahl – abgestuft vom Offline- zum Online-Betrieb:
- Schlüsselbasiert und offline: Die Intelligenz sitzt im Schlüssel, die Tür bleibt kabellos. Systeme wie eCLIQ von Assa Abloy ersetzen den mechanischen Zylinder ohne Verkabelung, WLAN oder Stromanschluss. Zutrittsrechte werden personengebunden und zeitlich exakt vergeben – etwa für externe Dienstleister nur werktags zu festen Zeiten. Ideal für weit verstreute Außenanlagen ohne Netz.
- Kartenbasiert und offline: Die Energiequelle wandert in die Tür, geöffnet wird per RFID-Chip oder Mitarbeiterausweis. Auch das lässt sich ohne Verkabelung nachrüsten und zentral über eine Software verwalten.
- Kartenbasiert und online: Die investitionsintensivste Variante mit voll vernetzten Türen. Dafür wirken Sperrungen sekundengenau und Türzustände lassen sich in Echtzeit abfragen. Sinnvoll an zentralen Standorten, an der Grenze bei Außenstellen ohne Mobilfunk- oder WLAN-Empfang.
Der pragmatische Weg: kombinieren statt verkomplizieren
Unser Rat als Errichter, der Klartext bevorzugt: Es muss nicht die teure Online-Lösung an jeder Tür sein. Meist trägt eine Kombination am weitesten – eine vernetzte Sicherheitstür am Haupteingang, kartenbasierte Offline-Komponenten im Innenbereich und schlüsselbasierte Offline-Zylinder für sensible Serverschränke oder abgelegene Außenstationen. Das Ergebnis: eine einheitliche Struktur, eine zentrale Berechtigungsverwaltung über nur eine Oberfläche und spürbar weniger Verwaltungsaufwand – bei gleichzeitiger Erfüllung der gesetzlichen Vorgaben.
Was Sie jetzt tun sollten
- Prüfen, ob Ihr Betrieb unter NIS-2 oder das KRITIS-Dachgesetz fällt.
- Eine ehrliche Bestandsaufnahme Ihrer Türen und Zutrittswege vornehmen – besonders an Serverräumen und Nebenzugängen.
- Klären, welche Kombination aus offline und online zu Ihrer Struktur passt, bevor investiert wird.
Klartext zum Schluss: Cyberabwehr hört an der Serverraumtür nicht auf. Wer Millionen in Firewalls steckt, aber den kritischen Zugang mit einem 20 Jahre alten Schließzylinder sichert, hat die Lücke nur verschoben. Lassen Sie Ihre Zutrittswege prüfen, bevor es jemand anderes tut – wir sagen Ihnen ehrlich, was reicht und was überdimensioniert ist.
