Cloudbasierte und vernetzte Zutrittskontrollsysteme eröffnen Unternehmen neue Möglichkeiten bei Verwaltung, Skalierung und Transparenz. Gleichzeitig wächst mit jeder zusätzlichen digitalen Abhängigkeit die Frage nach der Ausfallsicherheit. Was geschieht, wenn Netzwerk, Cloud-Verbindung oder Stromversorgung nicht verfügbar sind? Salto Systems zeigt anhand von Salto Space und Salto KS, wie unterschiedlich sich Resilienz in modernen Zutrittsarchitekturen umsetzen lässt.

Elektronische Zutrittskontrolle hat sich in den vergangenen Jahren grundlegend verändert. Wo früher vor allem lokal installierte Systeme dominierten, werden Berechtigungen heute zunehmend zentral verwaltet, standortübergreifend synchronisiert und über Cloud-Plattformen administriert. Das erhöht Komfort und Flexibilität erheblich, schafft zugleich aber neue Abhängigkeiten von Netzwerkverbindungen, Gateways und zentralen Plattformen. Für Sicherheitsverantwortliche wird deshalb eine Frage immer wichtiger: Wie viel Funktionalität bleibt erhalten, wenn genau diese Infrastruktur zeitweise nicht zur Verfügung steht?

Gerade bei Zutrittskontrolle ist diese Frage besonders sensibel. Ein Kommunikationsausfall darf weder dazu führen, dass berechtigte Personen plötzlich keinen Zugang mehr erhalten, noch darf die Sicherheitslogik eines Gebäudes außer Kraft gesetzt werden. Die Resilienz eines Systems entscheidet sich deshalb nicht allein daran, ob es im Normalbetrieb zuverlässig arbeitet, sondern daran, wie kontrolliert es auf Störungen reagiert. Salto Systems verfolgt mit Salto Space und Salto KS zwei unterschiedliche technische Ansätze, die genau an diesem Punkt ansetzen.

Salto Space setzt auf dezentrale Entscheidungsfähigkeit

Salto Space basiert auf einer Architektur, bei der Zutrittsentscheidungen nicht zwingend von einer permanenten Verbindung zu einem zentralen Server abhängen. Eine zentrale Rolle spielt dabei das Salto Virtual Network, kurz SVN, in Verbindung mit dem Data-on-Card-Prinzip. Berechtigungsinformationen können auf dem jeweiligen Identmedium gespeichert und vom elektronischen Schloss direkt ausgewertet werden. Die Tür verfügt damit selbst über die notwendigen Informationen, um eine Zugangsentscheidung zu treffen.

Dieser Ansatz reduziert die Abhängigkeit von einer dauerhaft verfügbaren Kommunikationsverbindung erheblich. Selbst wenn Teile des Netzwerks nicht erreichbar sind, kann ein elektronisches Schloss weiterhin prüfen, ob ein Nutzer über die erforderliche Berechtigung verfügt. Informationen werden über die Nutzung der Identmedien innerhalb des virtuellen Netzwerks verteilt und bei späterer Kommunikation erneut synchronisiert. Die Zutrittskontrolle bleibt damit auch in einer eingeschränkten Kommunikationssituation handlungsfähig.

Hinzu kommt die lokale Energieversorgung der elektronischen Schlösser. Da diese batteriebetrieben arbeiten, führt ein Ausfall der zentralen Gebäudeversorgung nicht zwangsläufig dazu, dass die Zutrittsfunktion an der Tür ebenfalls ausfällt. Insbesondere in weitläufigen Gebäuden, dezentralen Standorten oder Bereichen mit begrenzter Netzwerkinfrastruktur schafft diese Architektur eine zusätzliche operative Unabhängigkeit.

Aus Sicht der Business Continuity ist das ein wesentlicher Vorteil: Die zentrale Infrastruktur übernimmt Verwaltung und Synchronisation, die eigentliche Zutrittsentscheidung bleibt jedoch weitgehend dezentral. Damit folgt Salto Space einem Prinzip, das auch aus anderen sicherheitskritischen IT-Architekturen bekannt ist – zentrale Steuerung dort, wo sie sinnvoll ist, aber ausreichend lokale Intelligenz, um den Betrieb bei einer Störung fortzuführen.

Salto KS verbindet Cloud-Management mit lokalen Rückfallebenen

Anders ist die Architektur von Salto KS ausgerichtet. Als cloudbasierte Plattform legt das System den Schwerpunkt auf zentrale Administration, standortübergreifendes Management und die Möglichkeit, Zugangsrechte aus der Ferne zu steuern. Gerade für Unternehmen mit mehreren Niederlassungen oder verteilten Immobilienportfolios ist dieser Ansatz attraktiv, weil sich Berechtigungen und Systemzustände zentral verwalten lassen.

Eine Cloud-Architektur stellt allerdings besondere Anforderungen an die Ausfallsicherheit. Salto KS begegnet diesem Risiko mit mehreren lokalen Rückfallebenen. Unterstützte Schlösser können so konfiguriert werden, dass bestimmte Zugangsberechtigungen lokal gespeichert werden. Wird die Verbindung zum sogenannten IQ – der Kommunikationsschnittstelle zwischen den Schlössern und der Cloud – unterbrochen, können diese lokal verfügbaren Informationen weiterhin für die Zutrittsentscheidung genutzt werden.

Auch das IQ selbst kann verschlüsselte Credential-Daten lokal vorhalten. Besteht weiterhin eine Stromversorgung, während die Internet- beziehungsweise Cloud-Verbindung unterbrochen ist, bleibt der Betrieb mit bereits bekannten Berechtigungen daher grundsätzlich möglich. Nicht oder nur eingeschränkt verfügbar sind während dieser Zeit naturgemäß Funktionen, die eine aktuelle Verbindung zur Cloud voraussetzen, etwa unmittelbar vorgenommene Änderungen oder bestimmte Echtzeitinformationen. Nach Wiederherstellung der Kommunikation können die Systeme wieder synchronisiert werden.

Damit entsteht eine hybride Resilienzstrategie: Die Cloud bleibt das zentrale Managementelement, während lokal gespeicherte Informationen verhindern sollen, dass eine vorübergehende Kommunikationsstörung unmittelbar zum vollständigen Funktionsverlust führt. Für besonders sensible Standorte kann zudem eine zusätzliche Kommunikationsverbindung, etwa über Mobilfunk, die Verfügbarkeit erhöhen.

Netzwerk- und Stromausfall müssen getrennt betrachtet werden

Für Betreiber ist dabei entscheidend, unterschiedliche Störungsszenarien nicht miteinander zu vermischen. Ein Ausfall der Internetverbindung stellt andere Anforderungen an ein Zutrittskontrollsystem als ein Ausfall der Stromversorgung. Während die elektronischen Schlösser sowohl bei Salto Space als auch bei entsprechenden Salto-KS-Konfigurationen durch eigene Batterien versorgt werden können, benötigt das IQ von Salto KS eine externe Energieversorgung.

Fällt diese aus und steht keine unterbrechungsfreie Stromversorgung zur Verfügung, kann das IQ seine Funktion nicht weiter erfüllen. In diesem Fall hängt die verbleibende Zutrittsfunktion davon ab, welche Berechtigungen unmittelbar am Schloss gespeichert sind und wie die jeweilige Anlage konfiguriert wurde. Gerade diese Differenzierung ist für die Sicherheitsplanung relevant, denn die Aussage, ein System sei „offlinefähig“, reicht allein nicht aus, um seine tatsächliche Resilienz zu beurteilen.

Sicherheitsverantwortliche müssen vielmehr wissen, welche Komponenten bei welchem Ausfallszenario weiterhin arbeiten, welche Informationen lokal verfügbar bleiben und an welcher Stelle ein möglicher Single Point of Failure entsteht. Erst aus dieser Betrachtung lässt sich ableiten, ob zusätzliche Maßnahmen wie USV-Systeme, redundante Netzwerkverbindungen oder alternative Kommunikationswege erforderlich sind.

Ausfallsicherheit wird zum Architekturthema

Der Vergleich von Salto Space und Salto KS zeigt damit weniger einen Wettbewerb zwischen zwei technischen Konzepten als zwei unterschiedliche Antworten auf dieselbe grundlegende Herausforderung. Salto Space setzt stärker auf eine dezentrale Architektur, in der das Schloss selbst eine weitgehende Entscheidungsfähigkeit behält. Salto KS kombiniert dagegen die Vorteile zentraler Cloud-Verwaltung mit lokalen Mechanismen, die den Betrieb bei temporären Kommunikationsstörungen absichern sollen.

Welche Architektur besser geeignet ist, hängt stark vom Einsatzumfeld ab. Ein Unternehmen mit zahlreichen kleineren, geografisch verteilten Standorten stellt andere Anforderungen an die zentrale Administration als ein einzelner Hochsicherheitsstandort. Ebenso unterscheiden sich die Folgen eines Ausfalls in einem Bürogebäude erheblich von denen in einem Krankenhaus, einem Rechenzentrum oder einer Produktionsanlage mit rund um die Uhr erforderlichen Zugangsprozessen.

Deshalb sollte Resilienz bereits während der Planung eines Zutrittskontrollsystems definiert werden. Betreiber müssen festlegen, welche Türen auch bei vollständigem Kommunikationsausfall funktionsfähig bleiben müssen, wie lange lokal gespeicherte Berechtigungen akzeptiert werden sollen, welche Komponenten redundant ausgelegt werden und welche Systeme eine abgesicherte Stromversorgung benötigen. Auch die Frage, wie Änderungen und Ereignisdaten nach einer Störung synchronisiert werden, gehört in dieses Konzept.

Cloud-Komfort braucht lokale Resilienz

Die zunehmende Vernetzung physischer Sicherheitssysteme verändert damit auch die Bewertung ihrer Zuverlässigkeit. Moderne Zutrittskontrolle muss nicht nur unbefugten Zugang verhindern, sondern gleichzeitig sicherstellen, dass digitale Abhängigkeiten nicht selbst zum Betriebsrisiko werden. Cloud-Plattformen, mobile Credentials und zentrale Managementsysteme bieten erhebliche Vorteile, erhöhen aber zugleich die Bedeutung durchdachter Rückfallebenen.

Für Sicherheitsverantwortliche verschiebt sich der Fokus deshalb von der einfachen Frage, ob ein System offline arbeiten kann, hin zu einer deutlich präziseren Betrachtung: Welche Funktionen bleiben unter welchen Bedingungen erhalten, welche Entscheidungen können lokal getroffen werden und wie schnell erreicht das System nach einer Störung wieder seinen vollständigen Betriebszustand?

Genau darin liegt letztlich der entscheidende Maßstab für Resilienz. Ein Zutrittskontrollsystem muss nicht nur im störungsfreien Betrieb überzeugen. Seine Qualität zeigt sich ebenso darin, wie berechenbar und sicher es reagiert, wenn Cloud, Netzwerk oder Stromversorgung zeitweise nicht zur Verfügung stehen. [ML]