--- id: CP-365 slug: zutrittskontrolle-ausweise-dienstleister lang: de title: Ausweise, Besucher und Brandschutztüren description: "Ein Unbekannter in Technikerkleidung, eine aus Höflichkeit aufgehaltene Tür: wie Social Engineering in Gebäude gelangt und was Sie tun können." canonical_url: https://startbrain.io/cyberpedia/de/articles/zutrittskontrolle-ausweise-dienstleister/ markdown_url: https://startbrain.io/cyberpedia/de/articles/zutrittskontrolle-ausweise-dienstleister.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Ausweise, Besucher und Brandschutztüren“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/zutrittskontrolle-ausweise-dienstleister/ (CC BY 4.0) wing: 5 theme: handle_scams reflex: cr-084 schema: G5 updated: "2026-11-03" translations: de: https://startbrain.io/cyberpedia/de/articles/zutrittskontrolle-ausweise-dienstleister/ fr: https://startbrain.io/cyberpedia/fr/articles/securite-physique-badges-prestataires/ en: https://startbrain.io/cyberpedia/en/articles/physical-security-badges-visitors/ es: https://startbrain.io/cyberpedia/es/articles/seguridad-fisica-credenciales-visitantes/ sources: - "n": 1 title: Avoiding Social Engineering and Phishing Attacks publisher: CISA url: https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks published: "2021-02-01" accessed: "2026-11-03" - "n": 2 title: Trusted Relationship, Technique T1199 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1199/ accessed: "2026-11-03" - "n": 3 title: Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1200/ accessed: "2026-11-03" - "n": 4 title: Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1598/ accessed: "2026-11-03" - "n": 5 title: Physical Security | Cybersecurity and Infrastructure Security Agency CISA publisher: CISA url: https://www.cisa.gov/topics/physical-security accessed: "2026-11-03" - "n": 6 title: SP 800-53 Rev. 5, Security and Privacy Controls for Information Systems and Organizations | CSRC publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final accessed: "2026-11-03" --- # Ausweise, Besucher und Brandschutztüren Ein Angriff läuft nicht immer über einen Bildschirm. Er kann am Gebäudeeingang beginnen, mit einer Person, die aussieht, als gehöre sie dazu: Technikerkleidung, ein Paket im Arm, ein Ausweis, der echt wirkt. Die Tür öffnet sich nicht wegen einer technischen Schwachstelle, sondern wegen des Vertrauens einer Mitarbeiterin oder eines Mitarbeiters. Diese Seite erklärt, wie dieser Trick funktioniert und was jeder an seinem Arbeitsplatz tun kann, um einen Besucher zu empfangen, ohne einen Unbekannten hereinzulassen. Die hier zitierten Quellen behandeln vor allem Social Engineering im Allgemeinen und den Zugang über vor Ort angeschlossene Hardware [3]. Die unten beschriebenen Empfangsregeln sind Faustregeln des gesunden Menschenverstands, die Sie mit den Vorgaben Ihres Unternehmens abgleichen sollten. ## In 30 Sekunden - Wo es passiert: am Eingang der Räumlichkeiten, an zutrittsgeschützten Türen, am Empfang und in den Büros, wenn ein „Dienstleister“ allein unterwegs ist. - Was der Angreifer will: hineinkommen, beobachten, ein Gerät platzieren [3] oder Informationen beschaffen [4] und dabei die Höflichkeit der Beschäftigten ausnutzen. - Der Reflex: Lassen Sie niemanden durch, den Sie nicht kennen, fragen Sie bei der erwarteten Person nach und bringen Sie den Unbekannten zum Empfang. - Wenn es schon passiert ist: Informieren Sie sofort den Werkschutz oder das Sicherheitsteam, auch wenn Sie sich nicht sicher sind. ## Direkte Fragen ### Warum spricht man bei einem physischen Eindringen von Social Engineering? Weil das Vorgehen dasselbe ist wie bei einer präparierten E-Mail: Eine Person wird getäuscht. Die CISA beschreibt einen Angreifer, der menschliche Interaktion nutzt, um Informationen über eine Organisation oder ihre Systeme zu erhalten [1]. Er kann „unassuming and respectable“ (unauffällig und respektabel) wirken und sich als neuer Mitarbeiter, Handwerker oder Forscher ausgeben, manchmal mit Ausweispapieren zur Untermauerung [1]. ### Wer kann an der Tür stehen? Zum Beispiel Dienstleister. MITRE weist darauf hin, dass Organisationen externen Anbietern oft weitreichenden Zugang gewähren, darunter Infrastrukturdienstleistern wie Heizung und Klimatechnik, Aufzügen oder physischer Sicherheit [2]. Ein Besucher in Berufskleidung ist also ein alltäglicher Fall, und das macht den Trick glaubwürdig. ### Was will jemand, der ohne Einladung hereinkommt? Laut MITRE kann ein Angreifer Zubehör, Netzwerkhardware oder andere Geräte physisch in ein System oder Netzwerk einbringen, um sie als Zugangsweg zu nutzen [3]. MITRE beschreibt außerdem Phishing for Information als Versuch, Opfer zur Preisgabe von Daten zu bewegen, oft von Zugangsdaten [4]. Zu den Mitteln zählt MITRE den Einsatz mehrerer Nachrichten, die dringend wirken [4]. ### Was tun bei einer unbekannten Person ohne Begleitung? Die CISA empfiehlt, bei unaufgeforderten Anrufen, Besuchen oder E-Mails von Personen misstrauisch zu sein, die nach Beschäftigten oder internen Informationen fragen [1]. Beruft sich der Unbekannte auf eine seriöse Organisation, rät die CISA, seine Identität direkt bei dieser Organisation zu überprüfen [1]. In der Praxis lehnen Sie höflich ab, ihn durchzulassen, bringen ihn zum Empfang und informieren den Werkschutz. ### Ist ein vergessener oder verlorener Ausweis wirklich ein Problem? Die hier zitierten Quellen behandeln verlorene Ausweise nicht. Das Prinzip bleibt einfach: Ein Ausweis öffnet Türen für den, der ihn trägt, wer immer das ist. Melden Sie den Verlust sofort, damit der Zutritt gesperrt werden kann. ## Wie es funktioniert Ein Eindringen per Social Engineering beruht auf Glaubwürdigkeit. Die CISA erklärt: Wenn der Angreifer von einer Person nicht genug Informationen erhält, kann er eine andere Person derselben Organisation kontaktieren und sich auf das stützen, was die erste gesagt hat, um vertrauenswürdiger zu wirken [1]. Wer bestätigt „Ja, er wird erwartet“, ohne nachgefragt zu haben, dient dem Unbekannten so für den weiteren Verlauf als Rückversicherung. Die CISA hält fest, dass jedes Mitglied der Gemeinschaft, Kolleginnen und Kollegen eingeschlossen, „the first line of defense“ (die erste Verteidigungslinie) für die Sicherheit ist [5]. Das NIST führt den physischen und umgebungsbezogenen Schutz in seinem Katalog SP 800-53 als eine der Kontrollfamilien auf, neben Sensibilisierung und Schulung [6]. Türen, Ausweise und die Schulung der Menschen gehören also zum selben Sicherheitskonzept wie Passwörter. ## Was Sie tun Die folgenden Maßnahmen sind Vorsichtsregeln. Nur die Überprüfung der Identität bei der betreffenden Organisation wird von den hier zitierten Quellen gestützt [1]. - Empfangen Sie den Besucher am Empfang, nicht auf dem Flur, und begleiten Sie ihn während des gesamten Besuchs bis zum Ausgang. - Prüfen Sie seine Identität und seinen Ausweis bei der Person, die ihn erwartet, und zwar mit einer Nummer, die Sie bereits kennen, nicht mit der, die der Besucher Ihnen nennt. - Halten Sie einer Person, die Sie nicht kennen, keine Tür auf, auch nicht, wenn sie Kartons trägt. Bieten Sie an, sie zum Empfang zu begleiten. - Verleihen Sie niemals Ihren Ausweis und lassen Sie ihn nicht von einer Kollegin, einem Kollegen oder einem Dienstleister an Ihrer Stelle benutzen. - Melden Sie einen verlorenen oder vergessenen Ausweis sofort, nicht erst am nächsten Tag. - Blockieren Sie eine Brandschutztür niemals in geöffneter Stellung und entriegeln Sie sie nie aus Bequemlichkeit. Wenn sie stört, sagen Sie dem Werkschutz Bescheid. - Ist eine unbekannte Person allein unterwegs, fragen Sie höflich, wen sie besuchen möchte, und bringen Sie sie dann zum Empfang oder alarmieren Sie den Werkschutz. ## Die Fallstricke Drei Muster tauchen in Berichten über Social Engineering immer wieder auf. Die hier zitierten Quellen belegen die ersten beiden für andere Kanäle als die Eingangstür, sie gelten aber auch am Empfang. - Vorgetäuschte Dringlichkeit. MITRE nennt den Versand mehrerer Nachrichten, die dringend wirken, um das Opfer zu einer Antwort zu drängen [4]. Am Eingang wird daraus: „Ich bin spät dran, das Team wartet auf mich.“ - Falsche Legitimation. Die CISA stellt fest, dass sich der Angreifer als Handwerker ausgeben und Ausweispapiere vorzeigen kann [1]. Kleidung und Ausweis beweisen nichts, solange die erwartete Person nicht bestätigt hat. - Höflichkeit. Sie wird in den hier zitierten Quellen nicht erwähnt. Dennoch verleitet sie dazu, jemanden durchzulassen, um ihn nicht zu verärgern. Höflich abzulehnen ist kein Fehler. Ein weiterer Fallstrick liegt in dem, was man nicht sieht: ein kleines Gerät unter einem Schreibtisch oder an einer Netzwerkdose. MITRE nennt als Fähigkeiten dieser Hardware das passive Mitlesen des Netzwerks, die Veränderung des Datenverkehrs, das Einspeisen von Tastatureingaben und das Hinzufügen von WLAN-Zugangspunkten [3]. Ein unbekanntes Gerät oder ein Kabel, das nicht dorthin gehört, wird gemeldet und nicht selbst abgezogen. ## Reale Fälle ### DarkVishnya, Banken durch direkte Verbindung angegriffen MITRE nennt die Gruppe DarkVishnya, die Geräte (einen Bash Bunny, einen Raspberry Pi, günstige Netbooks und Laptops) physisch in der Umgebung der angegriffenen Organisation anschloss, um Zugang zu deren lokalem Netzwerk zu erhalten [3]. MITRE verweist auf eine Analyse vom 6. Dezember 2018 mit dem Titel „DarkVishnya: Banks attacked through direct connection to local network“ [3]. Die hier zitierten Quellen geben nicht an, wie die Geräte in die Räumlichkeiten gelangten. MITRE weist außerdem darauf hin, dass öffentlich dokumentierte Verwendungen durch böswillige Akteure selten sind, während viele Penetrationstest-Teams diese Hardware-Ergänzungen als ersten Zugang nutzen [3]. ## Quellen 1. CISA, „Avoiding Social Engineering and Phishing Attacks“, 1. Februar 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (abgerufen am 3. November 2026) 2. MITRE ATT&CK, „Trusted Relationship, Technique T1199 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1199/ (abgerufen am 3. November 2026) 3. MITRE ATT&CK, „Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1200/ (abgerufen am 3. November 2026) 4. MITRE ATT&CK, „Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1598/ (abgerufen am 3. November 2026) 5. CISA, „Physical Security | Cybersecurity and Infrastructure Security Agency CISA“. https://www.cisa.gov/topics/physical-security (abgerufen am 3. November 2026) 6. NIST, „SP 800-53 Rev. 5, Security and Privacy Controls for Information Systems and Organizations | CSRC“. https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final (abgerufen am 3. November 2026) --- Originalquelle: Cyberpedia, die öffentliche Enzyklopädie zu Cybersicherheit und KI von Brain. Kanonische Version: https://startbrain.io/cyberpedia/de/articles/zutrittskontrolle-ausweise-dienstleister/ Sie dürfen diesen Text unter der Lizenz CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) frei weiterverwenden, sofern Sie „Brain, Cyberpedia“ mit einem Link auf die obige Adresse nennen.