Was das Audit übersteht

Ihnen gegenüber sitzt eine Prüferin. Nicht die Brandschau, nicht die Versicherung. Diejenige, die entscheidet, ob Ihr Standort den Standard noch erfüllt, an dem er gemessen wird. Sie hat eine einzige Frage, und sie wird sie in einem Dutzend Varianten stellen, bis sie zufrieden ist. Zeigen Sie mir, wer die wichtigste Tür an Ihrem Standort öffnen konnte, wann, nach welcher Regel und wer es freigegeben hat. Und zeigen Sie mir, wie sich das in den letzten achtzehn Monaten verändert hat.

In der ersten Ausgabe habe ich dargelegt, dass die Frage der Identität entschieden ist. Okta und Workday haben dieses Feld vor einem Jahrzehnt besetzt, und die Zutrittsbranche war nie mit am Tisch. Die Debatte ist weitergezogen, und hier steht sie heute. Nicht bei der Frage, wer jemand ist. Sondern bei dem, was das Audit übersteht.

Ein ernstzunehmendes Zutrittssystem muss zwei Dinge leisten, auf die es der Prüferin ankommt, und beide ziehen in unterschiedliche Richtungen. Es muss den richtigen Zutritt aufrechterhalten, während nichts Sichtbares geschieht. Kein Vorfall, kein Alarm, niemand schaut zu. Der Zutritt der externen Kraft endet, wenn ihr Vertrag endet, ob sich jemand daran erinnert oder nicht. Und es muss Nachweise hinterlassen, die auch achtzehn Monate später noch tragen, wenn diejenigen, die entschieden haben, längst weitergezogen sind und nur noch die Aufzeichnung bleibt.

Beides liegt nicht in der Identität. Die Identität weiß, wer die externe Kraft ist. Sie weiß nicht, welche drei Schlüssel noch in ihrer Schublade liegen, welche Türen sie öffnen oder dass einer davon schon im März hätte zurückkommen müssen. Die Regel liegt nicht in ihr, und der Nachweis auch nicht.

Ihr Arbeitstag besteht aus kleinen Bewegungen. Jemand kommt neu hinzu, jemand wechselt das Gebäude, jemand geht, eine externe Kraft braucht für eine Woche einen Schlüssel, eine Führungskraft genehmigt am Telefon eine Ausnahme, weil die Regel um vier Uhr nachmittags gerade unpassend ist. Jede Einzelne ist unbedeutend. Keine davon wirkt wie das, woran sich eine Prüferin festbeißen würde. Der Tag der Prüferin ist das Gegenteil. Die tausend kleinen Bewegungen interessieren sie nicht. Sie interessiert sich für die eine, die nicht hätte passieren dürfen, oder die eine, von der Sie nicht belegen können, dass sie so gewollt war.

Das ist die Ebene, an der die Branche immer wieder vorbeigeht. Die Identität sagt, wer jemand ist. Die Ebene darunter sagt, was hätte geschehen sollen, und belegt dann, was geschah. Zeitpläne, Zonen, Fristen, die Regel, die festlegt, welche Rolle welche Türen zu welchen Zeiten öffnet und keine andere. Die Aufzeichnung, wer welchen Schlüssel hatte, wer dafür unterschrieben hat und wann er zurückkam. Im HR-System steht das nicht. Das Schloss kann es nicht festhalten. Das ist die Ebene, die die Regel trägt und den Nachweis bewahrt, und der einzige Ort, an dem sich die Frage der Prüferin tatsächlich beantworten lässt.

Es gibt eine bequeme Antwort auf all das, und sie ist die falsche. Sie lautet: ein besserer Zylinder. Ein intelligenteres Schloss, ein mechatronischer Kern, ein digitaler Schlüssel, den man per Bildschirm abschalten kann. Alles nützliche Hardware. Aber ein ernstzunehmender Standort wird nicht durch ein clevereres Schloss an der Tür sicher. Sicher wird er durch die Ebene, die wusste, dass die Tür letzten März für drei Personen offenstehen sollte, die genau belegen kann, dass diese drei die Schlüssel hatten, und die den Tag festhält, an dem die vierte von der Liste gestrichen wurde. KRITIS ist kein Hardware-Problem. Das war es nie.

Das ist der Teil des Systems, der unsichtbar bleibt, solange die Arbeit gut läuft, und der einzige Teil, der zählt, sobald jemand Sie auffordert, es zu belegen.

Nichts von der täglichen Arbeit verschwindet. Schlüssel wandern, Menschen gehen, Freigaben werden spontan erteilt. Die richtige Ebene hält nichts davon auf. Sie zeichnet es auf, prüft es gegen die Regel und hält die Antwort bereit für den Tag, an dem danach gefragt wird. Der Zylinder tut, was man ihm sagt. Das Audit fragt, wer es ihm gesagt hat, und warum.