Zutrittskarten für Unternehmen und bestehende Zutrittssysteme

Ihre Anlage entscheidet, nicht Ihre Karte

Eine Zutrittskarte wird für ein System bestellt, das schon im Haus läuft oder gerade entsteht: Leser an Türen, Drehkreuzen und Schranken, dazu eine Software, die weiß, wer wohin darf. Diese Anlage legt fest, welche Karte sie erkennt. Die Technologie, den Chiptyp, die Kennung und oft auch Daten, die auf dem Chip liegen müssen.

Deshalb beginnt jede Zutrittskarte bei uns mit derselben Frage: Was erwartet Ihre Anlage?

Messen statt raten

Die beste Ausgangsbasis liegt oft schon in Ihrem Haus: eine Karte, die heute funktioniert. Schicken Sie uns eine davon und nennen Sie uns Zutrittssystem und Errichter. Wir prüfen, welche Kartentechnologie vorliegt und welche Informationen sich aus dem vorhandenen Medium zuverlässig bestimmen lassen.

Was die Anlage tatsächlich auswertet, klären wir anschließend mit Ihren Systemdaten oder gemeinsam mit Ihrem Errichter. Bei einfachen Systemen kann das die Chipkennung sein. Bei anderen liegt die relevante Information in einer geschützten Anwendung auf der Karte.

Erst wenn das geklärt ist, reden wir über Gestaltung, Foto und Personalisierung.

Was wir können, und wo die Grenze liegt

Wir stellen fest, welche Kartentechnologie vorliegt, und lesen die Kartenkennung aus. Geschützte Speicherinhalte lesen oder entschlüsseln wir nicht. Chips codieren wir nicht. Müssen Daten auf den Chip geschrieben werden, übernimmt das Ihr System oder Ihr Systempartner. Die Kontrolle über Schlüssel und Berechtigungen bleibt bei Ihnen.

Warum eine Zutrittskarte kein Druckauftrag ist

Bei einer Kundenkarte ist ein Fehler ärgerlich. Bei einer Zutrittskarte steht er am Montagmorgen vor verschlossener Tür, zusammen mit der Frühschicht.

Eine Zutrittskarte muss drei Dinge gleichzeitig können. Sie muss von jedem Leser Ihrer Anlage erkannt werden, an jedem Standort. Sie muss die Information liefern, unter der Ihre Software die Person führt. Und wenn sie zugleich Ausweis ist, muss sie aussehen wie ein Ausweis Ihres Unternehmens, jeden Tag, über Jahre. Die ersten beiden entscheiden, ob sie funktioniert. Die dritte entscheidet, ob sie getragen wird.

Welche Technologie in Ihrer Anlage steckt

Bei kontaktlosen Zutrittskarten begegnen uns vor allem zwei Frequenzbereiche: 125 kHz und 13,56 MHz. Auf 125 kHz arbeiten viele ältere und einfache Anlagen, auf 13,56 MHz die meisten neueren, häufig mit MIFARE Classic und MIFARE DESFire. Ein Leser für den einen Frequenzbereich erkennt eine Karte des anderen nicht, egal wie gut sie bedruckt ist.

Innerhalb eines Frequenzbereichs entscheidet der Chiptyp, und innerhalb des Chiptyps entscheidet, was die Anlage abfragt. Manche Systeme verwenden eine Kennung des Chips. Andere lesen Daten aus einem geschützten Bereich, der mit den Schlüsseln Ihrer Anlage angelegt wurde. Zwei Karten mit identischem Chip können sich deshalb an derselben Tür völlig unterschiedlich verhalten.

Deshalb bitten wir um eine funktionierende Karte und um die Angaben zu Ihrem System. Das Medium zeigt uns die Technologie. Was die Anlage damit tut, zeigen Systemdaten und Errichter. Wie RFID-Karten grundsätzlich funktionieren, erklärt das #monsterlab.

Wenn Ihre Anlage eine Chipkennung zur Identifikation verwendet

Dann müssen wir zuerst klären, welche Kennung der Leser tatsächlich liefert und in welcher Form Ihre Software sie erwartet. Je nach Technologie und Konfiguration kann das eine feste UID sein. Andere Konfigurationen liefern beim normalen Lesevorgang eine andere Kennung.

Ist das geklärt, lesen wir die Kennung jeder Karte aus und liefern sie in einer Liste, eine Zeile pro Karte: Name, Personalnummer, Kennung. Ihre Software liest die Liste ein und ordnet jeder Kennung eine Person zu.

Entscheidend ist die Schreibweise. Dieselbe Kennung lässt sich hexadezimal oder dezimal darstellen, in der einen oder der umgekehrten Byte-Reihenfolge, mit oder ohne Trennzeichen. Stimmt die Darstellung nicht mit der Erwartung Ihrer Software überein, ist die Liste vollständig und korrekt, und trotzdem erkennt die Anlage keine einzige Karte. Deshalb legen wir das Format an einer Beispieldatei aus Ihrem System fest, nicht an einem Datenblatt.

Eine ehrliche Anmerkung: Eine Anlage, die nur eine Kennung auswertet, prüft eine Nummer. Wie gut sie geschützt ist, hängt dann an Ihrem System und Ihren Prozessen, nicht an der Karte.

Wenn Daten auf den Chip geschrieben werden müssen

Viele Anlagen verlangen mehr als eine Kennung: Daten an einer bestimmten Stelle des Chips, etwa eine Ausweisnummer, einen Standortcode oder eine Anwendung, die nur Leser mit den richtigen Schlüsseln lesen können.

Diese Codierung übernehmen wir nicht. Codiert wird die Karte in Ihrem System, durch Sie, Ihren Systemanbieter oder Ihren Errichter. Wir liefern die Karte mit dem passenden Chip, lesen die UID aus und drucken sie oder eine fortlaufende Nummer auf die Karte.

Geschützte Anwendungen können nur mit den dafür vorgesehenen Schlüsseln und Berechtigungen angelegt oder personalisiert werden. Diesen Schritt führen Sie oder Ihr Systempartner aus. Die Kontrolle über Schlüssel und Berechtigungen bleibt beim Betreiber beziehungsweise seinem autorisierten Systempartner.

Was Sie über ältere Technik wissen sollten

Wir liefern auch Karten für ältere Anlagen, und wir sagen dazu offen, was sie leisten.

Einfache 125-kHz-Identmedien, bei denen lediglich eine offen übertragene Kennung ausgewertet wird, bieten keinen kryptografischen Schutz dieser Kennung. MIFARE Classic wiederum verwendet Kryptografie, deren grundlegende Sicherheitsmechanismen seit 2008 öffentlich gebrochen sind.

Welche Konsequenz das für Ihre Anlage hat, hängt davon ab, wie das Gesamtsystem die Karte authentifiziert und welche weiteren Schutzmaßnahmen bestehen. Eine neue Kartenauflage ist aber ein guter Moment, mit Ihrem Errichter über die nächste Generation zu sprechen. Wenn Sie das tun, sagen Sie es uns. Dann planen wir die Karten so, dass sie den Übergang mitmachen.

Mehrere Standorte, mehrere Systeme

In gewachsenen Unternehmen läuft selten eine einzige Anlage. Das Stammwerk liest 125 kHz, die neue Verwaltung DESFire, der zugekaufte Standort ein drittes System. Und alle sollen denselben Ausweis tragen.

Manchmal lässt sich der Übergang in einer Karte abbilden. Hybridkarten können zwei unterschiedliche RFID-Technologien beziehungsweise Frequenzbereiche in einem Kartenkörper kombinieren, zum Beispiel 125 kHz für eine bestehende Anlage und 13,56 MHz für ein neueres System. Ob das sinnvoll und technisch möglich ist, prüfen wir anhand der beteiligten Leser und Anwendungen.

Das lässt sich aber nur lösen, wenn es vor der Produktion auf dem Tisch liegt. Wir brauchen dann von jedem Standort eine funktionierende Karte und die Angaben zur Anlage.

Die Karte, die sonst noch mitmacht

Eine Zutrittskarte öffnet selten nur Türen. Dieselbe Karte erfasst oft Arbeitszeiten, bezahlt in der Kantine, gibt den Drucker frei oder öffnet das Schließfach. Jede dieser Anwendungen hat eigene Leser, manchmal einen eigenen Betreiber, und alle müssen mit derselben Karte arbeiten.

Die Kantine betreibt vielleicht ein Caterer, die Zeiterfassung ein anderer Anbieter als die Zutrittsanlage. Bevor die Auflage läuft, gehört deshalb jedes System an den Tisch, das die Karte lesen soll. Nicht nur das, dessen Abteilung bestellt.

Foto, Name, Personalnummer

In vielen Unternehmen ist die Zutrittskarte gleichzeitig Sicht- oder Mitarbeiterausweis. Wer im Werk steht, soll erkennbar sein, ohne dass jemand nachfragen muss.

Name, Foto und Personalnummer kommen aus Ihrer Personalverwaltung. Damit geben Sie personenbezogene Daten an uns weiter. Vor der ersten Übermittlung klären wir deshalb die datenschutzrechtliche Grundlage, bei Bedarf mit einem Vertrag zur Auftragsverarbeitung. Schicken Sie nur die Felder, die auf die Karte kommen. Was nicht übermittelt wird, muss nicht geschützt werden.

Wie Nachzügler, Namensänderungen und verlorene Ausweise im Alltag laufen, steht ausführlich bei den Mitarbeiterausweisen.

Wenn der Betriebsrat mitredet

Eine elektronische Zutrittskontrolle kann Mitbestimmungsrechte berühren, insbesondere wenn das System personenbezogene Nutzungsdaten aufzeichnet und diese zur Überwachung von Verhalten oder Leistung geeignet sind. Ob und welche Mitbestimmung im konkreten Betrieb erforderlich ist, hängt von der technischen Ausgestaltung und den bestehenden betrieblichen Regelungen ab.

Für uns ist deshalb eine andere Frage wichtig: Ändert die neue Karte nur das Medium, oder verändert das Projekt gleichzeitig, welche Daten erhoben und welche Systeme miteinander verbunden werden?

Kommen beispielsweise Zeiterfassung, weitere Standorte oder zusätzliche Anwendungen hinzu, sollte das intern früh geklärt werden. Die arbeitsrechtliche Bewertung übernimmt Ihr Unternehmen. Wir sorgen dafür, dass die technische Kartenplanung keine Überraschung produziert.

Besucher, Fremdfirmen, Leihpersonal

Nicht jeder, der eine Tür öffnen muss, steht in Ihrer Personalverwaltung. Handwerker, Leiharbeit, Servicetechniker und Besucher brauchen Zutritt für einen Tag, eine Woche oder ein Projekt.

Bewährt haben sich dafür eigene Kartenserien: vorgedruckt, nummeriert, farblich klar von der Stammbelegschaft unterschieden, mit Chip, aber ohne Foto. Die Berechtigung vergibt Ihr System, zeitlich begrenzt. Wie Besucherausweise ohne Chip funktionieren, steht ebenfalls bei den Mitarbeiterausweisen.

Wenn Karten nachkommen

Eine Zutrittsanlage lebt länger als jede Auflage. Neue Mitarbeitende, verlorene Karten, ein zusätzlicher Standort: Jede Folgekarte braucht dieselbe Technologie, dieselbe Kennungs- oder Codierlogik und dasselbe Aussehen wie die erste.

Deshalb halten wir fest, was beim ersten Auftrag gilt: Chiptyp, Kennung, Listenformat, Layout. Braucht Ihr Ausweis eine Vorproduktion, liegt ein Bestand vorbedruckter Karten bei uns und wird personalisiert, wenn jemand Neues anfängt. Einzelne Karten mit festem Termin laufen über MonsterEXPRESS.

Aus der Produktion

Fünf Dinge, die eine Zutrittskarten-Auflage vom ersten Tag an funktionieren lassen.

01 — Eine funktionierende Karte pro Standort schicken. Eine Karte aus dem Stammwerk sagt nichts über die Anlage im Zweigwerk.

02 — Den Errichter früh ins Boot holen. Wer Ihre Anlage installiert hat, kennt ihre Einstellungen. Eine E-Mail von ihm spart drei Korrekturschleifen.

03 — Kennung und Listenformat an echten Dateien festlegen. „Hexadezimal“ ist eine Richtung. Eine Datei ist eine Antwort.

04 — Alle Systeme nennen, die die Karte lesen sollen. Tür, Zeiterfassung, Kantine, Drucker. Nicht nur das der Abteilung, die bestellt.

05 — Personalnummern als Text exportieren. Aus 004711 macht Excel gern 4711. Wenn dieses Feld für Import oder Zuordnung relevant ist, scheitert der Abgleich an einer Zahl, die für einen Menschen gleich aussieht.