Märchen als Frühwarnsystem für reale Risiken
Schon früh hat man durch Märchen Menschen auf Risiken und Gefahren aufmerksam gemacht – in Form einfacher Geschichten mit klarer Botschaft:
„Traue nicht jedem. Prüfe, wer zu dir will. Schütze, was dir wichtig ist.“
Diese Warnungen galten einst Kindern, gelten heute aber auch Unternehmen – insbesondere solchen mit kritischer Infrastruktur. Die zugrunde liegende Botschaft ist zeitlos: Wer seine Schwelle nicht sichert, wird angreifbar.
Märchen wie „Die sieben Geißlein“ oder „Rotkäppchen“ vermitteln auf symbolische Weise, was in Kliniken mit unzureichender Zutrittskontrolle zur Realität werden kann: Täuschung, unerlaubter Zutritt, Sicherheitsversagen – mit teils schwerwiegenden Folgen.
KRITIS-Relevanz: Warum Zutrittskontrolle in Kliniken sicherheitskritisch ist
Krankenhäuser zählen zur Kritischen Infrastruktur (KRITIS), wenn sie eine bestimmte Versorgungskapazität überschreiten – doch auch kleinere Einrichtungen geraten zunehmend in den Fokus gezielter Angriffe. Dabei ist der physische Zugang zu besonders schützenswerten Bereichen ein zentrales Einfallstor für Risiken.
Typische Zielbereiche:
-
Intensivstationen, OPs, Isolationsräume
- Forschungslabore
-
Arzneimittellager (z. B. Betäubungsmittel)
-
Server- und Netzwerkräume
-
Notaufnahmen und psychisch belastete Patientenbereiche
Die Zutrittskontrolle dient hier nicht nur der Ordnung, sondern dem aktiven Schutz von Menschenleben, Technik und sensiblen Informationen.
Das Märchen als Spiegel: Die sieben Geißlein und der Wolf
Im Märchen „Die sieben Geißlein“ wird das Haus verschlossen – Zutritt nur für die Mutter. Der Wolf, ein geschickter Angreifer, nutzt jedoch soziale Täuschung, um die Zugangskriterien zu erfüllen: Er verändert Stimme und Pfoten, manipuliert sozusagen die „Authentifizierung“. Die Geißlein lassen ihn ein – der Schutzmechanismus versagt.
Moderne Entsprechung im Klinikalltag:
-
Der „Wolf“ trägt einen weißen Kittel, stellt sich freundlich vor, trägt eine Zugangskarte.
-
Er passiert ungehindert Türen – niemand überprüft Identität oder Berechtigung.
-
Zutritt erfolgt nicht technisch, sondern „zwischenmenschlich“ – und genau hier liegt das Risiko.
Typische Schwachstellen in der Praxis
Trotz gesetzlicher Anforderungen zeigen sich in der täglichen Realität immer wieder kritische Schwachstellen:
-
Einfache Schlüsselvergabe ohne Dokumentation
-
Keine Trennung zwischen Besucher-, Personal- und Lieferantenzugängen
-
Unzureichende Überwachung von Seiteneingängen oder Kellerzugängen
-
Verzicht auf Schleusensysteme in hochsensiblen Bereichen
-
Notausgänge ohne elektronische Alarmierung oder Fluchtsperre
-
Manipulierbare Chipkarten ohne Zwei-Faktor-Authentifizierung
Beobachtbar ist zudem ein Gewöhnungseffekt: Bei hohem Besucheraufkommen oder Zeitdruck werden Sicherheitstüren offen gelassen, Personal „winkt durch“, Kontrolle wird zu einem optionalen Vorgang. Dies erhöht das Risiko gezielter Angriffe deutlich.
Risiken bei unzureichender Zutrittskontrolle
Die Folgen eines unbefugten Zutritts können vielfältig und gravierend sein:
-
Diebstahl sensibler Daten oder Medikation
-
Manipulation von Geräten oder IT-Systemen (z. B. durch physischen USB-Angriff)
-
Störung von Behandlungen oder OP-Abläufen
-
Gefährdung von Patienten in Notaufnahmen oder psychiatrischen Abteilungen
-
Reputationseinbruch bei Bekanntwerden eines Vorfalls
Hinzu kommt die potenzielle Nicht-Konformität mit ISO 27001, B3S Gesundheit oder dem IT-Sicherheitsgesetz – verbunden mit Reputations- und Haftungsrisiken für die Klinikleitung.
Handlungsempfehlungen für Kliniken und Betreiber
Kurzfristige Maßnahmen
-
Zugang zu Hochrisikobereichen auf namentlich registrierte Personen beschränken
-
Einführung von Besucherausweisen mit zeitlicher Begrenzung
-
Schulung des Personals zur Erkennung und Meldung verdächtiger Zutrittsversuche
-
Visuelle Zutrittskontrolle durch Empfang oder Pforte stärken
Mittelfristige Maßnahmen
-
Implementierung eines elektronischen Zutrittsmanagementsystems mit Protokollierung
-
Trennung von Funktions-, Versorgungs- und Patientenwegen durch bauliche Maßnahmen
-
Einführung von Zutrittsschleusen an besonders sensiblen Stellen
-
Integration in das Notfall- und Krisenmanagement (KRITIS-Konzept)
Langfristige Strategien
-
Einbindung der Zutrittskontrolle in eine umfassende Sicherheitsarchitektur (inkl. Videoüberwachung, Alarmierung, IT-Schnittstellen)
-
Regelmäßige Risikoanalysen nach BSI-Empfehlungen
-
Aufbau eines interdisziplinären Sicherheitsboards (Technik, IT, Medizin, Sicherheit)
-
Simulation realer Angriffszenarien zur Überprüfung der physischen Sicherheit
Fazit: Wer nur die Tür abschließt, hat noch keine Sicherheit geschaffen
Die Zutrittskontrolle ist kein technisches Randthema, sondern ein zentraler Bestandteil des Risikomanagements in kritischen Infrastrukturen. Die Märchen zeigen uns auf einfache, aber eindringliche Weise: Täuschung, menschliche Fehlannahmen und zu einfache Systeme führen zu katastrophalen Folgen.
Kliniken sollten dieses Thema nicht nur technisch, sondern auch kulturell und strategisch adressieren – und so die Grundlage schaffen für echte Resilienz im Spannungsfeld zwischen Alltag, Krise und Angriff.