Stellen Sie sich folgendes vor: In Ihrem Betrieb arbeiten täglich Menschen, die nicht bei Ihnen angestellt sind. Reinigungskräfte, die nachts kommen. Wartungstechniker, die in den Serverraum müssen. Lieferanten, die das Lager betreten. IT-Dienstleister, die an der Infrastruktur arbeiten. Paketboten, Caterer, Auditoren.

Wie viele davon werden systematisch erfasst? Wie viele haben nach ihrem letzten Einsatz noch aktive Zugangsdaten? Wie viele waren in Bereichen, in denen sie nichts zu suchen hatten?

Die meisten Betriebe können diese Fragen nicht beantworten. Nicht weil sie es nicht wollen – sondern weil sie kein System haben, das es ermöglicht. Das ist das eigentliche Risiko. Nicht die Fremdfirmen. Das fehlende System.

Gelegenheit schafft Risiko

Externe Dienstleister ohne strukturierte Zugangskontrolle können unbeabsichtigt zum Sicherheitsrisiko werden – durch eigenes Fehlverhalten, durch Unachtsamkeit, oder weil ihr Zugang von Dritten ausgenutzt wird. Das ist kein Generalverdacht gegen Servicekräfte. Das ist eine nüchterne Risikobetrachtung.

Wer unbegleitet Zugang zu sensiblen Bereichen hat, hat Gelegenheit. Gelegenheit schafft Risiko. Und ein Betrieb, der dieses Risiko nicht aktiv steuert, hat keine Kontrolle über das, was auf seinem eigenen Gelände passiert.

Dazu kommt die Haftungsfrage. Wenn ein externer Dienstleister auf dem Betriebsgelände einen Schaden verursacht – durch Fahrlässigkeit, durch Fehlverhalten, durch einen Unfall – ist die entscheidende Frage: Wer war berechtigt, wann, wo zu sein? Wer das nicht dokumentiert hat, steht in diesem Gespräch schwach. Und Gespräche dieser Art finden meistens mit einer Versicherung oder einem Anwalt statt.

Was strukturiertes Fremdfirmenmanagement konkret bedeutet

Es geht nicht um Misstrauen. Es geht um Klarheit.

Externe bekommen Zugang nur für die Bereiche, die für ihre Tätigkeit notwendig sind. Dieser Zugang ist zeitlich begrenzt – auf den Auftragszeitraum, auf die vereinbarten Einsatzzeiten. Nach Auftragsende wird der Zugang gesperrt, automatisch oder manuell. Jeder Zugang wird protokolliert.

Das klingt aufwändig. Mit dem richtigen System ist es weniger Aufwand als das, was viele Betriebe heute tun: Schlüssel ausgeben, Listen führen, nachfragen ob zurückgegeben wurde, hoffen dass nichts passiert ist. Temporäre digitale Berechtigungen lassen sich in Minuten konfigurieren und nach Ablauf automatisch deaktivieren. Keine Rückgabe, kein Verlust, kein Nachhaken.

Der Schlüssel ist das Problem

In vielen Betrieben bekommen externe Dienstleister physische Schlüssel – für den Serverraum, das Lager, den Technikbereich. Manchmal werden sie zurückgegeben. Manchmal nicht. Manchmal wurden sie kopiert. Manchmal sind sie einfach weg.

Wer weiß, wie viele Kopien von welchem Schlüssel gerade im Umlauf sind? Ehrliche Antwort: Fast niemand.

Mechanische Schließanlagen haben hier eine strukturelle Schwäche. Kontrolle ist aufwändig, Widerruf ist teuer – ein neues Schloss, ein neuer Schlüssel, neue Übergabe an alle Berechtigten. Eine elektronische Schließanlage mit digitalem Berechtigungsmanagement löst dieses Problem an der Wurzel. Der Zugang wird im System geändert. Das wars. Kein Schloss, kein Schlüssel, kein Aufwand.

Zutrittskontrolle und Video: Zwei Systeme, ein vollständiges Bild

Zutrittskontrolle dokumentiert, wer berechtigt war. Videoüberwachung dokumentiert, was tatsächlich passiert ist. Beide Systeme zusammen schließen die Lücke, die jedes für sich lässt.

Wenn aus einem Lager Ware fehlt und die Zugangsprotokolle zeigen, welche drei Personen in dem fraglichen Zeitraum dort waren – und die Kamera zeigt, was dort passiert ist – dann ist die Beweislage klar. Das schreckt ab. Und Abschreckung ist immer billiger als Aufklärung.

Wo anfangen?

Eine Bestandsaufnahme ist der erste Schritt: Wer hat aktuell Zugang zu welchen Bereichen? Welche dieser Zugänge sind wirklich notwendig? Welche wurden nach Auftragsende nicht gesperrt? Wie werden externe Besuche heute dokumentiert?

Diese Fragen lassen sich ohne großen Aufwand beantworten. Die Antworten sind oft unangenehm. Das ist in Ordnung. Unangenehme Wahrheiten, die vor dem Schadensfall bekannt sind, lassen sich beheben. Danach nicht mehr.