Besuchermanagement nach TISAX: Worauf Auditoren achten

Besuchermanagement im Audit: Die Prüfung beginnt am Empfang

Bevor ein Auditor die erste Richtlinie liest, ist er schon Besucher gewesen. Er kommt durch die Tür, meldet sich am Empfang und wird angemeldet oder eben nicht. In diesen ersten Minuten sieht er mehr über Ihre gelebte Informationssicherheit als in manchem Dokument.

Bei einem unserer Kunden war genau das der Befund im TISAX-Assessment: die Besucherliste auf Papier am Empfang. Der Prozess existierte, die Liste wurde geführt. Trotzdem reichte sie nicht. Wir haben dort Besuchermanagement 365 eingeführt, und das Audit war innerhalb einer Woche bestanden. Wie dieses Projekt im Einzelnen ablief, steht in Besucherliste DSGVO-konform in einer Woche umstellen.

Das Problem ist selten, dass ein Unternehmen gar nichts regelt. Das Problem ist, dass die Regelung am Empfang anders aussieht als im Handbuch. Dieser Beitrag zeigt, was TISAX und ISO 27001 vom Besucherempfang verlangen, wie Auditoren das prüfen und wie ein Ablauf aussieht, der im Audit einfach funktioniert.

Woher die Anforderungen an den Besucherempfang kommen

Zwei Regelwerke sind für die meisten Unternehmen entscheidend: die internationale Norm ISO 27001 für Informationssicherheit und TISAX, der Prüfstandard der Automobilindustrie. TISAX baut auf ISO 27001 auf, geht an einigen Stellen aber weiter.

ISO 27001: physischer Zutritt

In der aktuellen Fassung ISO/IEC 27001:2022 steht das Thema im Anhang A unter Control 7.2, „Physischer Zutritt”. Die Begleitnorm ISO 27002 erklärt, wie das umgesetzt werden soll. Für Besucher heißt das sinngemäß:

Die Identität des Besuchers wird auf geeignete Weise geprüft
Ankunft und Abgang werden mit Datum und Uhrzeit festgehalten
Zutritt gibt es nur für einen bestimmten, genehmigten Zweck, zusammen mit einer Unterweisung zu Sicherheitsregeln und Notfällen
Besucher werden beaufsichtigt, außer es gibt eine ausdrückliche Ausnahme

Dazu kommt, dass alle Personen im Gebäude eine sichtbare Kennzeichnung tragen sollen. So erkennt jeder Mitarbeiter auf einen Blick, wer Gast ist und wer nicht.

Wer noch mit älteren Unterlagen arbeitet, findet das Thema dort unter Kapitel A.11. Das ist die Nummerierung der Fassung von 2013. Seit der Umstellung auf 2022 ist A 7.2 der richtige Bezug.

TISAX: Sicherheitszonen und Prototypenschutz

TISAX prüft nach einem Fragenkatalog des Verbands der Automobilindustrie, dem VDA ISA (Information Security Assessment). Dort taucht das Besuchermanagement an zwei Stellen auf.

Im Pflichtteil Informationssicherheit gehört es zu den Sicherheitszonen (Kapitel 3.1.1, in ISA 6 und ISA2027 gleich). Pflicht ist ein Konzept für Sicherheitszonen, das ausdrücklich auch Anlieferung und Versand einschließt, und die Verhaltensregeln der Zonen müssen allen Beteiligten bekannt sein. Regeln für das Besuchermanagement, also Registrierung und Begleitung von Besuchern, stehen dort als Soll-Anforderung. Das heißt im VDA ISA nicht „freiwillig“: Soll-Anforderungen sind grundsätzlich umzusetzen, und wer davon abweicht, muss das plausibel begründen.

Deutlich strenger wird es, wenn Ihr Unternehmen Prototypen verarbeitet, also Fahrzeuge oder Bauteile, die noch nicht öffentlich sind. Dann gilt das Modul Prototypenschutz (in ISA 6 Kapitel 8.1.7). Hier sind die Anforderungen Pflicht: Jeder Besucher wird registriert, die Geheimhaltung ist vor dem Zutritt dokumentiert, und Sicherheits- und Besucherregeln sind veröffentlicht.

Wichtig für Ihre Planung: Für alle TISAX-Assessments, die ab dem 1. Januar 2027 beauftragt werden, gilt der neue Katalog ISA2027. Der Prototypenschutz wurde darin neu gegliedert: Das Besuchermanagement steht dort in Kapitel 8.1.8, die Anforderungen selbst sind unverändert. Vorsicht bei älteren Unterlagen: Unter 8.1.7 steht in ISA2027 der Zutritt zu Sicherheitsbereichen.

Wie Auditoren den Empfang prüfen

Ein Auditor will nicht wissen, ob Sie einen Prozess beschrieben haben. Er will sehen, ob er gelebt wird. Dafür nutzt er vier Werkzeuge, die sich in fast jedem Audit wiederfinden.

Beobachten. Der Auditor erlebt den Ablauf selbst. Wird er nach dem Ausweis gefragt? Bekommt er einen Besucherausweis? Holt ihn jemand ab, oder soll er schon mal vorgehen, „zweiter Stock, links”? Was er hier erlebt, wiegt schwerer als jede Folie.

Stichproben ziehen. Er wählt einen beliebigen Tag in der Vergangenheit und lässt sich zeigen, wer da war. Dann fragt er nach: Wann ist dieser Besucher gegangen? Hat er den Ausweis zurückgegeben? Wer hat ihn begleitet? Ein Besuchernachweis, in dem die Abgänge fehlen, beantwortet diese Fragen nicht.

Nach Ausnahmen fragen. Die Standardfälle laufen fast überall. Interessant wird es bei den Sonderfällen: der Mitarbeiter, der seinen Ausweis vergessen hat. Der Handwerker, der drei Tage im Haus ist. Der Kurierfahrer, der nur kurz etwas abgibt. Wer hier keine Antwort hat, hat eine Lücke.

Testen. Manche Auditoren probieren aus, ob sie hinter einem Mitarbeiter durch eine gesicherte Tür schlüpfen können. Das nennt man Tailgating. Spricht niemand den Fremden ohne Ausweis an, ist das ein Befund, ganz gleich, was in der Richtlinie steht.

Wie tief geprüft wird, hängt bei TISAX vom Prüfniveau ab, dem Assessment Level (AL). Bei AL3 kommt der Auditor vor Ort und begeht das Gebäude. Aber auch bei AL2 fragt er nach dem Besuchermanagement und verlangt Nachweise. Wer sich darauf verlässt, dass der Empfang „schon nicht so genau angeschaut wird”, plant mit dem falschen Szenario.

Warum Besuchermanagement im Audit selten an der Technik scheitert

Die meisten Unternehmen, die zur Prüfung antreten, haben einen Besucherprozess. Er steht im Handbuch, er ist freigegeben, und die Mitarbeiter am Empfang kennen ihn. Trotzdem gibt es Befunde. Der Grund liegt fast immer zwischen Papier und Alltag.

Ein typisches Beispiel ist der Stammlieferant. Er kommt jede Woche, alle kennen ihn, und irgendwann fragt niemand mehr nach Anmeldung, Ausweis oder Begleitung. Aus Sicht des Empfangs ist das Freundlichkeit. Aus Sicht des Auditors ist es ein Besucher, der unbegleitet und unregistriert durch das Gebäude geht.

Ähnlich ist es mit dem Ende des Besuchs. Die Anmeldung klappt, weil sie am Anfang steht und jemand daneben sitzt. Die Abmeldung vergisst man, weil der Besuch vorbei ist und alle mit etwas anderem beschäftigt sind. Das Ergebnis ist ein Nachweis, der nur halb stimmt, und Besucherausweise, die irgendwo in einer Jackentasche verschwinden.

Beides hat dieselbe Ursache: Der Prozess verlässt sich darauf, dass Menschen in jeder Situation an alles denken. Das tun sie nicht, und das ist ganz normal. Ein guter Ablauf macht den richtigen Weg zum bequemsten Weg, statt auf Disziplin zu hoffen.

Sicherheit gegen Datenschutz: der Zielkonflikt im Besucherbuch

Das Besucherbuch soll schützen und ist selbst ein Datenschutzproblem. Das klingt widersprüchlich, ist aber leicht zu sehen: Wer sich in eine offene Liste einträgt, liest die Namen, Firmen und Ansprechpartner aller Besucher vor ihm. Im Zweifel fotografiert er sie auch.

Die Datenschutz-Grundverordnung (DSGVO) verlangt, dass personenbezogene Daten vertraulich bleiben (Art. 5) und angemessen geschützt werden (Art. 32). Eine Liste, die jeder am Tresen durchblättern kann, erfüllt das kaum. Während der Corona-Zeit haben mehrere Datenschutzaufsichtsbehörden offene Gästelisten in der Gastronomie ausdrücklich für unzulässig gehalten. Für den Empfang im Unternehmen gilt dieselbe Logik.

Dazu kommen drei Pflichten, die oft übersehen werden:

Besucher müssen informiert werden, welche Daten Sie wofür und wie lange speichern (Art. 13 DSGVO)
Die Besuchererfassung gehört in Ihr Verzeichnis der Verarbeitungstätigkeiten (Art. 30 DSGVO)
Die Daten werden gelöscht, wenn der Zweck erfüllt ist, nach einer festgelegten und dokumentierten Frist

Eine feste gesetzliche Löschfrist für Besucherdaten gibt es nicht. Sie legen sie selbst fest und begründen sie. Genau hier treffen sich die beiden Welten: Das ISMS möchte nachvollziehen können, wer wann im Haus war. Der Datenschutz möchte, dass diese Daten nicht länger als nötig liegen. Beides lässt sich vereinbaren, wenn die Frist bewusst gewählt und dann auch tatsächlich angewendet wird.

So sieht ein Empfang aus, der ein Audit gelassen nimmt

Stellen Sie sich den Empfang so vor, als würden Sie ihn heute neu einrichten. Der Besucher ist vorher angemeldet, weil sein Gastgeber ihn eingetragen hat. Am Empfang wird seine Identität kurz geprüft, er bestätigt die Hausregeln und, wenn nötig, die Geheimhaltung. Er bekommt einen Ausweis, der ihn sichtbar als Gast kennzeichnet, und wird abgeholt.

Beim Gehen wird er abgemeldet, der Ausweis kommt zurück. Keiner der anderen Besucher sieht seine Daten, und nach der festgelegten Frist sind sie gelöscht. Wenn der Auditor fragt, wer vor drei Wochen am Dienstag im Haus war, ist die Antwort ein Klick und kein Blättern.

Das Wichtigste daran: Nichts davon verlangt vom Empfangspersonal, an mehr zu denken als heute. Der Ablauf führt durch die Schritte, statt sie vorauszusetzen. Wir haben dafür Besuchermanagement 365 gebaut, das direkt in Ihrem Microsoft-365-Tenant läuft, sodass die Besucherdaten in Ihrer eigenen Umgebung bleiben. Das Prinzip funktioniert aber mit jedem Werkzeug, solange der Prozess dahinter stimmt.

Häufig gestellte Fragen

Reicht ein Besucherbuch aus Papier für TISAX oder ISO 27001?

Keine der beiden Normen schreibt ein bestimmtes Werkzeug vor. Ein Papierbuch muss aber dieselben Nachweise liefern wie ein digitales System und zugleich datenschutzkonform sein. Offene Listen, fehlende Abmeldungen und schwer nachvollziehbare Löschung machen das in der Praxis schwierig.

Müssen Besucher eine Geheimhaltungsvereinbarung unterschreiben?

Im TISAX-Modul Prototypenschutz ja, vor dem Betreten der geschützten Bereiche. Ohne Prototypen ist das keine feste Pflicht, kann aber je nach Schutzbedarf Ihrer Informationen sinnvoll sein.

Gilt das alles auch, wenn wir keine Prototypen haben?

Die Grundanforderungen ja. Registrierung, Kennzeichnung und Begleitung von Besuchern verlangen ISO 27001 und der Pflichtteil von TISAX auch ohne Prototypen. Der Prototypenschutz legt dann noch eine Schicht darauf.

Fazit: Der Empfang wird am Alltag gemessen, nicht am Handbuch

Auditoren prüfen am Empfang keine Dokumente, sondern Situationen: den vergessenen Ausweis, den bekannten Lieferanten, den Besucher, der ohne Abmeldung gegangen ist. Wer diese Situationen im Ablauf mitgedacht hat, muss sich vor dem Audit nicht vorbereiten, sondern nur zeigen, was ohnehin passiert.

Wenn Sie Ihren eigenen Empfang vor dem nächsten Audit prüfen möchten, nutzen Sie unseren Audit-Check Besucherempfang. Er enthält alle Prüfpunkte entlang eines Besuchs, jeweils mit der Frage, wie Sie den Punkt einem Auditor nachweisen. Den Audit-Check Besucherempfang kostenlos als PDF herunterladen (öffnet in neuem Tab).

Quelle: https://besuchermanagement365.de/blog/2026-09-25-besuchermanagement-tisax-auditoren/