November 6, 2025

Anhang A 7.1 Physische Sicherheitsperimeter

(nach ISO/IEC 27001:2022 und ISO/IEC 27002:2022)

Physische Sicherheitsperimeter sollen Bereiche schützen, in denen sich kritische Informationswerte, IT-Systeme oder unterstützende Infrastrukturen befinden. Ziel ist es, unbefugten Zugriff, Beschädigungen oder Störungen zu verhindern. Organisationen müssen physische Grenzen definieren, um sowohl externe als auch interne Bedrohungen zu kontrollieren. Diese Perimeter bilden die erste Verteidigungslinie gegen physische Sicherheitsvorfälle.

Zweck des Controls

Das Control A 7.1 fordert die Umsetzung wirksamer physischer Schutzmaßnahmen zur Abgrenzung von Bereichen, die Informationen oder informationsverarbeitende Einrichtungen enthalten. Durch klar definierte und kontrollierte Sicherheitszonen sollen Risiken wie Diebstahl, Sabotage, unbefugter Zutritt oder Umwelteinflüsse reduziert werden.

Anforderungen und Maßnahmen

1. Definition und Einrichtung physischer Sicherheitszonen

Organisationen müssen physische Sicherheitszonen identifizieren, klassifizieren und definieren. Dies umfasst unter anderem:

  • Bereiche mit sensitiven Informationen oder kritischen Systemen (z. B. Serverräume, Archivräume, Netzwerkverteilerräume).
  • Zonen, die abhängig vom Schutzbedarf unterschiedliche Sicherheitsstufen erfordern.
  • Festlegung von Zutrittsberechtigungen und entsprechenden Prozessen.

Physische Perimeter können baulicher, mechanischer oder elektronischer Natur sein. Dazu gehören Türen, Wände, Zugangsschleusen, Umzäunungen, Videoüberwachung oder andere Zutrittskontrollsysteme.

2. Barrieren und Zugangskontrollen

Die Sicherheitsperimeter müssen so gestaltet werden, dass sie einen unbefugten Zutritt verhindern. Geeignete Maßnahmen können sein:

  • Zutrittskontrollsysteme (z. B. Kartenleser, biometrische Systeme, PIN-Codes).
  • Mechanische Schutzmaßnahmen wie verstärkte Türen, Sicherheitszylinder und Schutzbeschläge.
  • Schleusen oder Zwei-Faktor-Kontrollpunkte als Übergang in hochkritische Bereiche.
  • Protokollierung und Überwachung aller Zutrittsversuche, inklusive erfolgloser Versuche.

Ziel ist sicherzustellen, dass nur autorisierte Personen kontrolliert Zugang erhalten und der Zutritt nachvollziehbar dokumentiert wird.

3. Schutz vor äußeren Einflussfaktoren

Sicherheitsperimeter müssen so ausgelegt werden, dass sie Risiken durch Umwelteinflüsse oder Ereignisse minimieren. Dazu zählen:

  • Wettereinflüsse (Feuchtigkeit, Hitze, Kälte).
  • Brand- und Rauchschutz.
  • Schutz gegen Überschwemmung, Leckagen, Schadstoffe oder elektromagnetische Störungen.
  • Berücksichtigung von Standort- und Gebäuderisiken.

Diese Anforderungen dienen dazu, physische Störungen und Schäden an Informationswerten zu vermeiden.

4. Überwachung und Detektion

Kritische Bereiche sollten überwacht werden, um unbefugte Aktivitäten zu erkennen. Mögliche Maßnahmen:

  • CCTV-Systeme (Videoüberwachung) mit angemessener Speicherdauer.
  • Einbruchmeldeanlagen und Sensorik (Bewegung, Öffnung, Glasbruch).
  • Alarmierungssysteme mit externer oder interner Leitstelle.
  • SMS/E-Mail-Benachrichtigungen für sicherheitsrelevante Ereignisse.

Die Überwachung muss konzeptionell dokumentiert und in ein übergreifendes Incident-Management integriert sein.

5. Verwaltung des physischen Zutritts

Der körperliche Zugang ist systematisch zu steuern:

  • Rollenbasierte Zutrittsberechtigungen, abgestimmt auf Aufgaben und Verantwortlichkeiten.
  • Regelmäßige Überprüfung und Aktualisierung von Berechtigungen.
  • Besuchermanagement inklusive Anmeldung, Begleitung, Ausgabe temporärer Zutrittsmedien und Rückgabekontrolle.
  • Sofortige Sperrung von Zutrittsmedien bei Verlust oder Austritt von Mitarbeitenden.

Dokumentation und Protokollierung unterstützen die Nachvollziehbarkeit und verbessern die Fähigkeit, Vorfälle zu untersuchen.

6. Trennung von öffentlichen und gesicherten Bereichen

Öffentliche oder allgemein zugängliche Bereiche müssen klar von geschützten Bereichen getrennt sein. Beispiele:

  • Empfangs- oder Lobby-Bereiche.
  • Lieferzonen oder Übergabepunkte für Dienstleister.
  • Parkflächen, die öffentlich zugänglich sind.

Durch sichtbare und nachvollziehbare Trennung wird die Manipulation kritischer Bereiche reduziert. Beschilderung und Wegführung unterstützen zusätzlich den Schutz.

7. Regelmäßige Prüfung und Anpassung der Sicherheitsperimeter

Da Bedrohungen, Technologien und bauliche Gegebenheiten sich ändern können, sind regelmäßige Risikobewertungen notwendig. Ergebnisse solcher Bewertungen können dazu führen:

  • Perimeter anzupassen oder zu erweitern.
  • Sicherheitsmaßnahmen zu verstärken oder zu modernisieren.
  • Prozesse für Zutrittskontrolle und Überwachung zu überarbeiten.

Eine kontinuierliche Verbesserung ist ein wesentlicher Bestandteil des Controls.

Zusammenfassung

Das Control A 7.1 verlangt, dass Organisationen physische Sicherheitsperimeter einrichten, um die Informationswerte gegen unbefugten Zugang, Beschädigung und Umwelteinflüsse zu schützen. Der Fokus liegt auf klar definierten Schutzzonen, effektiven Barrieren, kontrolliertem Zutritt, angemessener Überwachung sowie regelmäßigen Überprüfungs- und Verbesserungsprozessen. Diese Maßnahmen bilden die Grundlage für einen robusten physischen Schutz im Rahmen des Informationssicherheitsmanagementsystems gemäß ISO/IEC 27001:2022.

Auditor prüft die Nachweis-Checkliste im ISO-27001-Audit
A 7.1 · in der Praxis

Was der Auditor hier sehen will

Vier Fragen, die im Zertifizierungsaudit zu A 7.1 tatsächlich gestellt werden – und woran sie sich entscheiden.

„Wo verlaufen Ihre Sicherheitsperimeter?“
Gefragt ist eine Zonierung: öffentlich, intern, geschützt. Ein Gebäude ohne Zonen hat keinen Perimeter.
„Was schützt den Perimeter physisch?“
Wände, Türen, Fenster, Schlösser – und ihre tatsächliche Beschaffenheit. Der Auditor geht die Grenze ab.
„Wo sind die Server- und Technikräume eingeordnet?“
Die schützenswertesten Räume liegen erstaunlich oft in der niedrigsten Zone.
„Wie ist der Perimeter bei Mietflächen geregelt?“
Bei geteilten Gebäuden endet Ihre Kontrolle an der Mietgrenze. Was dahinter liegt, muss vertraglich geregelt sein.
Das Dokument dazu

A 7.1-1 Richtlinie zur physischen Sicherheit

Zonenkonzept mit Perimetergrenzen und Schutzanforderungen je Zone · bauliche Maßnahmen · Sonderfall Mietfläche und geteilte Gebäude. In der ISMS-Plattform entsteht das Dokument aus Ihren Angaben und ist mit dem Control und seinen Nachweisen verknüpft.

Sie arbeiten die Norm gerade durch? Alle Klauseln und Controls im Überblick