Cyberpediavon Brain
DEENFR

Ausweise, Besucher und Brandschutztüren

Ein Unbekannter in Technikerkleidung, eine aus Höflichkeit aufgehaltene Tür: wie Social Engineering in Gebäude gelangt und was Sie tun können.

In 30 Sekunden

Wo es passiert
Am Eingang der Räumlichkeiten, an zutrittsgeschützten Türen, am Empfang und in den Büros, wenn ein „Dienstleister“ allein unterwegs ist.
Was der Angreifer will
Hineinkommen, beobachten, ein Gerät platzieren3 oder Informationen beschaffen4 und dabei die Höflichkeit der Beschäftigten ausnutzen.
Der Reflex
Lassen Sie niemanden durch, den Sie nicht kennen, fragen Sie bei der erwarteten Person nach und bringen Sie den Unbekannten zum Empfang.
Wenn es schon passiert ist
Informieren Sie sofort den Werkschutz oder das Sicherheitsteam, auch wenn Sie sich nicht sicher sind.

Worum es geht

Ein Angriff läuft nicht immer über einen Bildschirm. Er kann am Gebäudeeingang beginnen, mit einer Person, die aussieht, als gehöre sie dazu: Technikerkleidung, ein Paket im Arm, ein Ausweis, der echt wirkt. Die Tür öffnet sich nicht wegen einer technischen Schwachstelle, sondern wegen des Vertrauens einer Mitarbeiterin oder eines Mitarbeiters.

Diese Seite erklärt, wie dieser Trick funktioniert und was jeder an seinem Arbeitsplatz tun kann, um einen Besucher zu empfangen, ohne einen Unbekannten hereinzulassen. Die hier zitierten Quellen behandeln vor allem Social Engineering im Allgemeinen und den Zugang über vor Ort angeschlossene Hardware3. Die unten beschriebenen Empfangsregeln sind Faustregeln des gesunden Menschenverstands, die Sie mit den Vorgaben Ihres Unternehmens abgleichen sollten.

Direkte Fragen

Warum spricht man bei einem physischen Eindringen von Social Engineering?

Weil das Vorgehen dasselbe ist wie bei einer präparierten E-Mail: Eine Person wird getäuscht. Die CISA beschreibt einen Angreifer, der menschliche Interaktion nutzt, um Informationen über eine Organisation oder ihre Systeme zu erhalten1. Er kann „unassuming and respectable“ (unauffällig und respektabel) wirken und sich als neuer Mitarbeiter, Handwerker oder Forscher ausgeben, manchmal mit Ausweispapieren zur Untermauerung1.

Wer kann an der Tür stehen?

Zum Beispiel Dienstleister. MITRE weist darauf hin, dass Organisationen externen Anbietern oft weitreichenden Zugang gewähren, darunter Infrastrukturdienstleistern wie Heizung und Klimatechnik, Aufzügen oder physischer Sicherheit2. Ein Besucher in Berufskleidung ist also ein alltäglicher Fall, und das macht den Trick glaubwürdig.

Was will jemand, der ohne Einladung hereinkommt?

Laut MITRE kann ein Angreifer Zubehör, Netzwerkhardware oder andere Geräte physisch in ein System oder Netzwerk einbringen, um sie als Zugangsweg zu nutzen3. MITRE beschreibt außerdem Phishing for Information als Versuch, Opfer zur Preisgabe von Daten zu bewegen, oft von Zugangsdaten4. Zu den Mitteln zählt MITRE den Einsatz mehrerer Nachrichten, die dringend wirken4.

Was tun bei einer unbekannten Person ohne Begleitung?

Die CISA empfiehlt, bei unaufgeforderten Anrufen, Besuchen oder E-Mails von Personen misstrauisch zu sein, die nach Beschäftigten oder internen Informationen fragen1. Beruft sich der Unbekannte auf eine seriöse Organisation, rät die CISA, seine Identität direkt bei dieser Organisation zu überprüfen1. In der Praxis lehnen Sie höflich ab, ihn durchzulassen, bringen ihn zum Empfang und informieren den Werkschutz.

Ist ein vergessener oder verlorener Ausweis wirklich ein Problem?

Die hier zitierten Quellen behandeln verlorene Ausweise nicht. Das Prinzip bleibt einfach: Ein Ausweis öffnet Türen für den, der ihn trägt, wer immer das ist. Melden Sie den Verlust sofort, damit der Zutritt gesperrt werden kann.

1Wie es funktioniert1 min

Ein Eindringen per Social Engineering beruht auf Glaubwürdigkeit. Die CISA erklärt: Wenn der Angreifer von einer Person nicht genug Informationen erhält, kann er eine andere Person derselben Organisation kontaktieren und sich auf das stützen, was die erste gesagt hat, um vertrauenswürdiger zu wirken1. Wer bestätigt „Ja, er wird erwartet“, ohne nachgefragt zu haben, dient dem Unbekannten so für den weiteren Verlauf als Rückversicherung.

Die CISA hält fest, dass jedes Mitglied der Gemeinschaft, Kolleginnen und Kollegen eingeschlossen, „the first line of defense“ (die erste Verteidigungslinie) für die Sicherheit ist5. Das NIST führt den physischen und umgebungsbezogenen Schutz in seinem Katalog SP 800-53 als eine der Kontrollfamilien auf, neben Sensibilisierung und Schulung6. Türen, Ausweise und die Schulung der Menschen gehören also zum selben Sicherheitskonzept wie Passwörter.

2Was Sie tun1 min

Die folgenden Maßnahmen sind Vorsichtsregeln. Nur die Überprüfung der Identität bei der betreffenden Organisation wird von den hier zitierten Quellen gestützt1.

  • Empfangen Sie den Besucher am Empfang, nicht auf dem Flur, und begleiten Sie ihn während des gesamten Besuchs bis zum Ausgang.
  • Prüfen Sie seine Identität und seinen Ausweis bei der Person, die ihn erwartet, und zwar mit einer Nummer, die Sie bereits kennen, nicht mit der, die der Besucher Ihnen nennt.
  • Halten Sie einer Person, die Sie nicht kennen, keine Tür auf, auch nicht, wenn sie Kartons trägt. Bieten Sie an, sie zum Empfang zu begleiten.
  • Verleihen Sie niemals Ihren Ausweis und lassen Sie ihn nicht von einer Kollegin, einem Kollegen oder einem Dienstleister an Ihrer Stelle benutzen.
  • Melden Sie einen verlorenen oder vergessenen Ausweis sofort, nicht erst am nächsten Tag.
  • Blockieren Sie eine Brandschutztür niemals in geöffneter Stellung und entriegeln Sie sie nie aus Bequemlichkeit. Wenn sie stört, sagen Sie dem Werkschutz Bescheid.
  • Ist eine unbekannte Person allein unterwegs, fragen Sie höflich, wen sie besuchen möchte, und bringen Sie sie dann zum Empfang oder alarmieren Sie den Werkschutz.
3Die Fallstricke1 min

Drei Muster tauchen in Berichten über Social Engineering immer wieder auf. Die hier zitierten Quellen belegen die ersten beiden für andere Kanäle als die Eingangstür, sie gelten aber auch am Empfang.

  • Vorgetäuschte Dringlichkeit. MITRE nennt den Versand mehrerer Nachrichten, die dringend wirken, um das Opfer zu einer Antwort zu drängen4. Am Eingang wird daraus: „Ich bin spät dran, das Team wartet auf mich.“
  • Falsche Legitimation. Die CISA stellt fest, dass sich der Angreifer als Handwerker ausgeben und Ausweispapiere vorzeigen kann1. Kleidung und Ausweis beweisen nichts, solange die erwartete Person nicht bestätigt hat.
  • Höflichkeit. Sie wird in den hier zitierten Quellen nicht erwähnt. Dennoch verleitet sie dazu, jemanden durchzulassen, um ihn nicht zu verärgern. Höflich abzulehnen ist kein Fehler.

Ein weiterer Fallstrick liegt in dem, was man nicht sieht: ein kleines Gerät unter einem Schreibtisch oder an einer Netzwerkdose. MITRE nennt als Fähigkeiten dieser Hardware das passive Mitlesen des Netzwerks, die Veränderung des Datenverkehrs, das Einspeisen von Tastatureingaben und das Hinzufügen von WLAN-Zugangspunkten3. Ein unbekanntes Gerät oder ein Kabel, das nicht dorthin gehört, wird gemeldet und nicht selbst abgezogen.

4Reale Fälle1 min

DarkVishnya, Banken durch direkte Verbindung angegriffen

MITRE nennt die Gruppe DarkVishnya, die Geräte (einen Bash Bunny, einen Raspberry Pi, günstige Netbooks und Laptops) physisch in der Umgebung der angegriffenen Organisation anschloss, um Zugang zu deren lokalem Netzwerk zu erhalten3. MITRE verweist auf eine Analyse vom 6. Dezember 2018 mit dem Titel „DarkVishnya: Banks attacked through direct connection to local network“3. Die hier zitierten Quellen geben nicht an, wie die Geräte in die Räumlichkeiten gelangten.

MITRE weist außerdem darauf hin, dass öffentlich dokumentierte Verwendungen durch böswillige Akteure selten sind, während viele Penetrationstest-Teams diese Hardware-Ergänzungen als ersten Zugang nutzen3.

Merkblatt

Kennung
CP-365
Flügel
5. Büroalltag und Reflexe
Brain-Kompetenz
Betrug abwehren (handle_scams)
Brain-Reflex
cr-084
Schema
G5 · Entscheidungsbaum Reflex
Sprachen
de, en, fr
Quellen
6 Quellen geprüft am 3. November 2026
Quellen6 Quellen
  1. CISA, „Avoiding Social Engineering and Phishing Attacks“, 1. Februar 2021. https://www.cisa.gov/news-events/news/avoiding-social-engineering-and-phishing-attacks (abgerufen am 3. November 2026)
  2. MITRE ATT&CK, „Trusted Relationship, Technique T1199 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1199/ (abgerufen am 3. November 2026)
  3. MITRE ATT&CK, „Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1200/ (abgerufen am 3. November 2026)
  4. MITRE ATT&CK, „Phishing for Information, Technique T1598 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1598/ (abgerufen am 3. November 2026)
  5. CISA, „Physical Security | Cybersecurity and Infrastructure Security Agency CISA“. https://www.cisa.gov/topics/physical-security (abgerufen am 3. November 2026)
  6. NIST, „SP 800-53 Rev. 5, Security and Privacy Controls for Information Systems and Organizations | CSRC“. https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final (abgerufen am 3. November 2026)

Diesen Artikel zitieren

Brain, „Ausweise, Besucher und Brandschutztüren“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/zutrittskontrolle-ausweise-dienstleister/

BibTeX 
@misc{brain_cp365_de_2026,
  author = {Brain},
  title = {Ausweise, Besucher und Brandschutztüren},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/de/articles/zutrittskontrolle-ausweise-dienstleister/},
  note = {CC BY 4.0}
}
Lizenz CC BY 4.0