Konzept-Vorschlag für den Umgang mit Mastercode & Managercode

Historisch bedingt wurden die Mastercodes häufig auf den Filialleiter und dessen Stellvertreter aufgeteilt. Dies war nachvollziehbar, da es aus organisatorischen Gründen sinnvoll war, um neue Benutzer anzulegen/zu löschen. Benutzer-Anlagen oder PIN-Code-Änderungen ließen sich andernfalls nur mit hohem (personellen) Aufwand zentral durchführen. Nichtsdestotrotz schreiben aktuelle Vorgaben und Grundsätze (z.B. MaRisk) eine Funktionstrennung vor. Die Mastercodes müssen zentral verwaltet werden und gehören nicht in die Geschäftsstelle. Denn hier wird andernfalls die Möglichkeit der Kontrolle und der Risikotransparenz außer Kraft gesetzt. Berechtigungen dürfen nach MaRisk nicht durch die „Fachlichkeit“ selbst vergeben werden. Öffnungsberechtigungen dürfen nicht selbst administriert werden. Dies muss ausgeschlossen sein, hier muss die Funktionstrennung Fachlichkeit (Bediener und Verantwortungsträger) greifen. Vor dem Hintergrund der MaRisk muss es daher das Ziel sein, Öffnungsberechtigungen zentral zu verwalten und zu administrieren. Organisatorische und personelle Probleme (Ressourcen), welche aus dieser Anforderung resultieren, lassen sich heute sehr komfortabel lösen. Zwei beispielhafte Lösungen wären: BioPIN-Konzept oder Netzwerkschlösser.

Diese Frage wird sehr häufig gestellt. Es müsste doch bereits den Sicherheitsanforderungen „genügen“, wenn man dem Master die Öffnungsberechtigung entzieht. Tatsächlich lassen sich die Öffnungsberechtigungen beim Master von der im Standard aktiven Einstellung auf „deaktiviert“ stellen. Dies war auch bei einigen Schlosstypen in der Vergangenheit eine „Methode“, das Gefühl für mehr Funktionstrennung und damit für mehr Sicherheit zu erhöhen. In der Praxis ist die Einstellung (der Master darf nicht öffnen) jedoch vollkommen sinnlos, da sich viele Parallelen zur Redewendung „…den Teufel mit dem Beelzebub austreiben…“ ergeben. Wenn der Master nicht selbst öffnungsberechtigt ist, jedoch Benutzer anlegen kann, welche öffnungsberechtigt sind, dann handelt es sich um eine „Schein-Restriktion“. Auf dem Papier sieht es auf den ersten Blick gut aus, da der Master ja nicht öffnen kann. In der Praxis werden „normale“ Benutzer dem Master aber immer die „Tür“ öffnen, da dieser als „Verantwortungsträger“ war genommen wird. Der „normale“ Benutzer wird in dieser Konstellation eigentlich zu Kontrollinstanz des Master und müsste somit beaufsichtigen, ob bei geöffnetem System der Master nur tatsächlich erforderliche Öffnungs-Berechtigungen für neue Benutzer vergibt (und nicht etwa für den Master selbst). Dies ist nicht praktikabel. Insofern sind Konzepte oder Lösungen, welche die Anforderungen der MaRisk und Revision unter Einbezug der Funktion „der Master darf nicht öffnen“ umsetzen, nicht anfällig für Manipulation und nicht „sauber“.

Sofern der WEB-Administrator nicht Träger des Mastercodes oder eines Bedienercodes ist, lässt sich eine sehr saubere und transparente Funktionstrennung der Fachlichkeiten (Bediener und Verantwortungsträger) durchführen. Der WEB-Administrator unterstützt bei der Benutzer-Anlage und Administration, kann jedoch selber nie tatsächlich öffnen. Das historische Dilemma, dass der Master Benutzer berechtigen sollte, jedoch eigentlich nicht selber (allein) öffnen durfte wird mit der Funktionstrennung des WEB-Administrators gelöst. Der WEB-Administrator kann neue Benutzer anlegen und berechtigen – für die eigentliche Code-Vergabe (oder das Anlernen einer Karte) wird jedoch (im 4-Augen-Prinzip) ein bereits öffnungsberechtigter Benutzer benötigt. Dieser Prozess ist hier beschrieben.

Um Fehlkonfiguration (z.B. „sich selbst aussperren“) zu vermeiden, ist für den Master das 4-Augen-Prinzip standardmäßig deaktiviert. Es gibt verschiedene Möglichkeiten, um das 4-Augen-Prinzip auch für den Master zu aktivieren.

• Mit der Konfigurationssoftware TwinComm kann das 4-Augen-Prinzip für den Master in der Benutzermatrix aktiviert werden. Hierzu einfach den Haken bei 2-Augen beim Benutzer 00 entfernen. Die Konfigurationssoftware TwinComm inkl. Schreibgerät für die Konfigurationskarten kann käuflich erworben werden.
• Ein Servicetechniker kann die Konfiguration (mit der TwinComm) vornehmen.
• ProtectMaster Online-Schlösser bieten die Möglichkeit der Konfiguration über den Webbrowser. Es lässt sich ein zusätzliches Servicemenü freischalten, welches Konfigurationseinstellungen für den Master ermöglicht. Das Servicemenü ist aus revisionsgründen standardmäßig deaktiviert und lässt sich mit einem kostenpflichtigen Freischaltcode aktivieren. Wir benötigen hierzu die Service-ID und die Freigabe Ihrer internen Revision (E-Mail in Kopie an die Revision ist ausreichend). Sie erhalten anschließend einen Freischaltcode für das Menü und können verschiedene Konfigurationseinstellungen für den Master vornehmen. Das Menü lässt sich anschließend wieder sperren und ist dann nur durch einen neuen, kostenpflichentigen Freischaltcode zugänglich. Achtung, der Freischaltcode gilt immer nur tagesaktuell am Tag der „Ausstellung“. Pro Freischaltcode wird eine Servicegebür von 19,00 EUR (zzgl. MwSt.) berechnet.

Der Mastercode muss bei der Inbetriebnahme eines Schlosses geändert werden und anschließend wird dieser im Normalfall nicht mehr benötigt (nur im Notfall oder bei Störungen). Der Master kann daher unter „Verschluss“ aufbewahrt werden. Im Idealfall wird der Mastercode von der Revision geändert und verwaltet. Ist dies aus organisatorischen Gründen nicht möglich, so bietet es sich an, den Mastercode in „Segmente“ aufgeteilt durch verschiedene Personen (z.B. Filialleiter, Mitarbeiter Orga oder IT) ändern zu lassen und getrennt an die Revision zu Verwahrung zu übermitteln. Keiner der Beteiligten kennt den gesamten Mastercode (nur die Revision).Sofern der WEB-Administrator nicht öffnungsberechtigt ist (siehe oben), kann dieser beliebigen Abteilungen zugeordnet sein (Organisation, IT/EDV, Sicherheit, Helpdesk, Leitstand). Der WEB-Administrator unterstützt im „Tagesgeschäft“, vergibt kurzfristig Öffnungsberechtigungen, deaktiviert und administriert bestehende Benutzer – ist aber selber nicht öffnungsberechtigt.

• PIN-Codes, Karten sind analog der Regelung zu Schlüsseln und Kombinationszahlen persönlich und sicher zu verwahren und geheim zu halten.
• Die Geheimhaltung umfasst auch (und gerade dann) den Umgang mit „allgemeinen“ Codes (sogenannten Gruppencodes). Die Geheimhaltung umfasst nicht nur den Umgang mit Externen (Dritten). Auch bei der internen Kommunikation mit Kollegen oder Vorgesetzten muss zwingend die Geheimhaltung gewahrt bleiben. Dies gilt auch (und gerade dann) bei „allgemeinen“ Codes (oder Karten), welche von Gruppen genutzt werden und auch wenn diese Gruppen-Codes zur Öffnung eine zusätzliche Freischaltung (z.B. biometrisch oder zentral) benötigen.
• PIN-Eingaben sind stets verdeckt vornehmen und stets durch den jeweiligen PIN-Inhaber alleine, um das Risiko des unbeabsichtigten Bekanntwerdens der persönlichen PIN weitestgehend auszuschließen. Besser ist es, die PIN-Eingabe durch eine Zufallskombination zu schützen. Die PIN-Eingabe erfolgt dann spionagesicher über die Pfeiltasten. Diese Einstellung ist bei VdS-C Systemen Pflicht und kann auch in „niedrigeren“ Sicherheitsstufen in den Einstellungen aktiviert werden.
• Die Anzahl der Öffnungs-PIN-Inhaber ist auf das dienstliche Erfordernis zu beschränken.
• Besteht der Verdacht, dass eine persönliche PIN bekannt geworden ist, muss die unverzüglich geändert oder gelöscht werden.
• PIN-Änderungen sind regelmäßig (z.B. im jährlichen Rhythmus) durchzuführen.
• Grundsätzlich ist ein Parallelcode (4-Augenprinzip / Öffnung durch zwei Benutzer) zu programmieren.
• Die gesetzlichen Vorgaben der Unfallkasse müssen Berücksichtigung finden. Als Träger der gesetzlichen Unfallversicherung (GUV) erlassen die Berufsgenossenschaften Unfallverhütungsvorschriften, welche verbindliche Pflichten bezüglich Sicherheit und Gesundheitsschutz am Arbeitsplatz darstellen (Arbeitsschutz). Neben dem 4-Augen-Prinzip ist hier der Zeitverschluss ein zentraler Punkt. Für Hintergrundbestände in §18 Geschäftsstellen gilt in der Regel analog zur PLUS-Geschäftsstelle oder §19 – in welcher grundsätzlich alle Bestände (z.B. WSS, GAA, AKT, PGS, KMF) mit eingebunden werden – ein ZV von min. 5 Min. Gleiches gilt für die Notwenigkeit einer Alarmierungsfunktion, welche in den Öffnungsvorgang integriert sein muss. In PLUS-Stellen müssen die Hintergrundbestände zwingend zusätzlich zum 4-Augen-Prinzip mit in das biometrische System integriert sein.