Ein Handwerker kommt zur Wartung. Er trägt sich in die Papierliste am Empfang ein, bekommt einen Schlüssel ausgehändigt und geht allein in den Keller. Zwei Stunden später ist er fertig – oder auch schon früher, ohne dass es jemand bemerkt hätte. Ob er tatsächlich weg ist, weiß niemand mit Sicherheit. Ob er dabei war, wo er hätte sein sollen, auch nicht.

Dieses Szenario ist in deutschen Unternehmen kein Randfall. Es ist Alltag. Und es zeigt, warum Besuchermanagement eine ernsthaftere Aufgabe ist, als es das Klemmbrett am Eingang vermuten lässt.

Was Besuchermanagement tatsächlich umfasst

Besuchermanagement beginnt nicht am Empfang. Es beginnt mit der Einladung. Und es endet nicht mit dem Check-out. Es endet, wenn alle Berechtigungen deaktiviert, alle Nachweise dokumentiert und alle sicherheitsrelevanten Daten revisionssicher gespeichert sind.

Dazwischen liegen mehrere Kontrollpunkte, die in einem strukturierten System ineinandergreifen: die Vorab-Registrierung mit Identitätsprüfung, die Sicherheitsunterweisung vor Betreten des Geländes, die temporäre und zonengebundene Zutrittsberechtigung, die Protokollierung aller Bewegungen und der dokumentierte Checkout mit automatischer Deaktivierung aller Berechtigungen.

Jeder dieser Punkte, der fehlt oder manuell gehandhabt wird, ist eine potenzielle Lücke – für Sicherheitsvorfälle, für Compliance-Versagen und für Haftungsfragen.

Die drei Besuchergruppen, die unterschiedlich behandelt werden müssen

Nicht jeder Besucher ist gleich. Ein strukturiertes Besuchermanagement unterscheidet mindestens drei Kategorien, die unterschiedliche Prozesse erfordern.

Externe Gäste – Geschäftspartner, Auditoren, Behördenvertreter – kommen für definierte Termine in Begleitperson. Ihr Zugang beschränkt sich auf öffentliche oder semiprivate Bereiche. Die Anforderungen hier sind vor allem DSGVO-Konformität bei der Datenerfassung und ein professionelles Besuchserlebnis.

Fremdfirmen und Dienstleister – Wartungstechniker, Reinigungsdienste, IT-Dienstleister, Bauhandwerker – sind die kritischere Gruppe. Sie arbeiten oft unbegleitet, in technischen Bereichen mit erhöhtem Schutzanspruch, über längere Zeiträume und mit wechselndem Personal. Hier reicht eine Papierliste nicht aus. Notwendig sind individuelle, zeitlich begrenzte Berechtigungen für genau die Bereiche, die für den jeweiligen Auftrag relevant sind – und eine Protokollierung, die im Schadensfall nachweist, wer wann wo war.

Wiederkehrende externe Mitarbeitende – Leihkräfte, Projektmitarbeiter, Berater – bewegen sich über Wochen oder Monate im Unternehmen. Das Risiko hier liegt nicht im ersten Tag, sondern im letzten: Berechtigungen, die nach Auftragsende nicht gesperrt werden, bleiben aktiv. Wer keinen automatisierten Prozess für den Berechtigungsentzug hat, baut systematisch Sicherheitslücken auf.

Was ein digitales Besuchermanagementsystem leisten muss

Die Kernanforderungen an ein professionelles System lassen sich klar benennen. Vorabregistrierung mit digitaler Einladung und Identitätserfassung vor dem Termin. Sicherheitsunterweisung digital bestätigbar, mit Nachweis und Ablaufdatum. Temporäre Zutrittsberechtigungen, die automatisch nach Ablauf des Zeitfensters deaktiviert werden. Protokollierung aller Zutrittsereignisse in einer zentralen, auswertbaren Datenbank. Nahtlose Integration mit dem Zutrittssystem des Gebäudes, damit Papierausweise und digitale Berechtigung nicht auseinanderlaufen. Automatischer Checkout und Deaktivierung, die nicht von einer Empfangsmitarbeiterin abhängen, die gerade ein Telefonat führt.

Dazu kommt bei Unternehmen, die unter erhöhte regulatorische Anforderungen fallen, die Prüfung externer Dienstleister gegen Sanktionslisten – ein Schritt, der manuell kaum leistbar und systematisch fehleranfällig ist.

Der Compliance-Aspekt: Besuchermanagement als Nachweispflicht

Für Unternehmen unter NIS2, dem KRITIS-Dachgesetz oder ISO 27001 ist Besuchermanagement keine Kür. Es ist Pflicht. Die Anforderung, nachweisbar zu kontrollieren, wer wann in sicherheitsrelevante Bereiche Zutritt hatte, gilt ausdrücklich auch für externe Personen.

Wer im Prüffall keine vollständige Besucherhistorie für einen definierten Zeitraum vorlegen kann, hat eine Compliance-Lücke – unabhängig davon, wie gut das übrige Sicherheitskonzept aufgestellt ist. Das gilt besonders für Vorfälle: Wenn nach einem Diebstahl, einem Datenleck oder einem Sachschaden die Frage gestellt wird, welche externen Personen sich im relevanten Zeitraum im betroffenen Bereich aufgehalten haben, muss die Antwort aus einem System kommen – nicht aus Erinnerungen.

Integration mit der Zutrittskontrolle: Zwei Systeme, ein vollständiges Bild

Besuchermanagement entfaltet seinen vollen Nutzen erst, wenn es mit der Gebäude-Zutrittskontrolle integriert ist. Dann dokumentiert das Besuchersystem die Berechtigung, und das Zutrittssystem dokumentiert die tatsächliche Nutzung. Beide Protokolle zusammen geben Antwort auf die zentrale Frage jeder Sicherheitsuntersuchung: War die Person dort, wo sie berechtigt war – und nur dort?

Konntec plant und integriert Zutrittssysteme, die eine nahtlose Anbindung an digitale Besuchermanagementlösungen ermöglichen. Der Ausgangspunkt ist das konkrete Objekt: Welche Besucher- und Dienstleistergruppen gibt es, welche Bereiche sind betroffen, welche Compliance-Anforderungen gelten?

Quelle: Fachrecherche, u.a. secuconcept.de, KRITIS-Dachgesetz (BGBl. 2026), NIS2-Umsetzungshinweise BSI, August/September 2026.