Mitarbeiteridentifikation – eine schwerwiegende Sicherheitslücke bei Großveranstaltungen

Bei großen Events, wie beispielsweise einem Musikfestival, arbeiten oft innerhalb der Veranstaltung mehrere Unternehmen zusammen. Dies führt dazu, dass neben den Mitarbeitern des Eventorganisators auch externe Arbeitskräfte einen Mitarbeiterstatus vor Ort genießen. Um bei dem Beispiel eines Musikfestivals zu bleiben: zählt man das gesamte Barpersonal, alle Aussteller, Security-Kräfte, Bühnenbauer und sonstiges Personal zusammen, kommt man schnell auf über 1.000 Mitarbeiter, die sich auf dem Veranstaltungsgelände aufhalten. In der Regel wird bei der Zutrittskontrolle aber nur wenig differenziert – z.B. lediglich durch einen AAA-Ausweis für wichtige Personen. Wir haben selbst beobachtet, wie einfach es ist, mit einem Mitarbeiterband in den Backstage-Bereich zu gelangen. Was hat ein Barmitarbeiter aber dort verloren und was bedeutet das für die Veranstaltungssicherheit? 

Wir möchten jetzt keineswegs Schwarzmalerei betreiben und von irgendwelchen bösen Absichten der Mitarbeiter ausgehen. Tatsächlich sollten sich Veranstalter aber überlegen, welchen Personen sie den Zutritt zu bestimmten Bereichen erteilen möchten und welchen Personen eben nicht!

Wir schlagen unseren Kunden meistens folgende Veranstaltungssicherheitslösungen vor:

• Step 1: Registrierung jedes Mitarbeiters: Jedes Unternehmen muss seine Mitarbeiter vorab anmelden und gewisse Stammdaten erfassen (z.B. Name, Telefonnummer, Email, Wohnanschrift, Ausweiskopie). Die Mitarbeiter werden vom Veranstalter in Gruppen eingeteilt, beispielsweise in Bühnenbauer, Barpersonal, Backstage-Betreuung und AAA

• Step 2: Regulierung der Zutrittsberechtigung: Gemeinsam mit dem Eventveranstalter überlegen wir uns ein Sicherheitskonzept, das die Veranstaltung in mehrere Bereiche unterteilt – beispielsweise: Backstage, Frontstage, AAA-Area, Presse- & VIP-Bereich, Mitarbeitercamping und Catering. Danach wird definiert, welche Mitarbeitergruppen den Zutritt zu den bestimmten Bereichen erhalten
• Step 3: Ausstattung mit einem NFC-Armband: Bei der Akkreditierung vor Ort bekommen die Eventmitarbeiter gegen Vorlage eines gültigen Lichtbildausweises ein personalisiertes NFC-Armband
• Step 4: Zutrittskontrolle: Das Sicherheitspersonal bei den Eingängen der gesperrten Bereiche bekommt kleine Handheldgeräte, mit denen die NFC-Armbänder gescannt werden und der Zutritt gewährt oder verboten wird

Ein weiterer Vorteil eines derartigen Systems ist, dass sämtliche Eventmitarbeiter zentral beim Veranstalter registriert werden. Somit weiß man immer Bescheid, welche Mitarbeiter am Gelände aus- und eingehen – und zwar in Echtzeit.

Wenn man die Veranstaltungssicherheit bei bestimmten Kongressen oder Events mit öffentlich bekannten Personen weiter erhöhen möchte, empfehlen sich auch NFC-fähige Mitarbeiterausweise mit Lichtbild, die sichtlich am Körper getragen werden müssen. Eine derartig hohe Sicherheitsstufe haben wir aber bisher selten erlebt.

Besucheridentifikation – lerne deine Eventbesucher näher kennen

Vergleichbar mit der Mitarbeiteridentifikation kann ein ähnliches System auch auf die Besucher der Veranstaltung übertragen werden. Der wichtigste Aspekt in Bezug auf Veranstaltungssicherheit ist hier, dass Tickets nicht mehr anonym erworben und eingelöst werden können, sondern jeder Eventbesucher persönlich bekannt ist. Das große Musikfestival Tomorrowland zeigt, dass dies auch im großen Stil umsetzbar ist.

Neben der geschaffenen Besuchertransparenz – wodurch beispielsweise verhindert werden kann, dass international gesuchte Personen das Veranstaltungsgelände betreten – ist ein weiterer Vorteil der Ticketpersonalisierung, dass erworbene Tickets nicht am Schwarzmarkt zu unkontrollierten Preisen weiterverkauft werden können.

Eine Besucheridentifikation vorab kann für Marketingzwecke und zur Steigerung des Eventerlebnisses verwendet werden. Neben den klassischen veranstaltungsbezogenen Aussendungen (Mail und ggf. auch Post) kann auf Erlebnisstationen vor Ort eine weitere Integration geschaffen werden. Im Fokus soll dabei immer eine Win-Win-Situation für Besucher und Veranstalter stehen. Des Weiteren ist ein personalisiertes Ticket nicht nur für die Veranstaltungssicherheit von Bedeutung, sondern auch der erste Schritt zur erfolgreichen Umsetzung eines Cashless Payment Systems.

Aber Achtung! Die Verwendung der Besucherdaten sollte unbedingt in die AGB der Veranstaltung aufgenommen werden. Für eine weitere Nutzung der Kontaktdaten (z.B. Newsletter Aussendungen) müssen unbedingt die gesetzlichen Regelungen bezüglich des Opt-In beachtet werden (in Österreich im TKG § 107 geregelt).

Datenschutz

George Orwell hat uns schon in seinem 1949 erschienen Roman „1984“ eine totalitäre Überwachung kritisch „prophezeit“. Der Schutz der Privatsphäre ist selbstverständlich ein wichtiges Anliegen der meisten Menschen. Zweck einer Mitarbeiter- und auch Besucheridentifikation soll deshalb auch keine reine Überwachung sein. Ganz lässt sich eine derartige Kontrolle im Zuge der Veranstaltungssicherheit aber nicht vermeiden. Um den bitteren Beigeschmack für die Gäste und Mitarbeiter so süß wie möglich zu gestalten, muss die Einführung eines Gäste- bzw. Mitarbeiteridentifikationssystems transparent kommuniziert werden. Kommuniziere keine klassischen Werbefloskeln, sondern spreche die Problematik ehrlich an: Es geht um die Veranstaltungssicherheit!

Vom technischen Aspekt ist der Datenschutz einer Mitarbeiter- und Besucherregistrierung mit personalisierten NFC-Tags in allen Phasen gewährleistet. 

Ein kleiner Tipp am Rande: Achte stets auf einen sicheren und geschützten Server des Anbieters – egal bei welcher Softwarelösung.

Durch eine Gäste- und Mitarbeiteridentifikation wird nicht nur die Veranstaltungssicherheit gesteigert. Besucher profitieren von weiteren Benefits, wie kürzere Wartezeiten bei den Check-Ins und vollautomatisierten Erlebnisstationen. Veranstalter können über die NFC-Ausweise für Mitarbeiter auch das Catering automatisieren. 

Arten von Zutrittskontrollen

Zutrittskontrollen regeln den Ablauf beim erstmaligen und wiederholten Betreten einer Veranstaltung. Es kann auf unterschiedliche Arten der Kontrolle zurückgegriffen werden: Bei Großveranstaltungen gibt es häufig eine Schleuse bzw. ein Gate, wo Besucher von Securities gecheckt werden. Bei kleinen exklusiven Veranstaltungen erfolgt die Kontrolle der Gäste meist ohne strikte Absperrungen direkt beim Empfang der Eventlocation.

Eine Kontrolle findet bei (nahezu) allen Veranstaltungen statt, es wird jedoch auf verschiedene Aspekte wertgelegt, die wichtigsten umfassen:

• Ticketgültigkeit / Gültigkeit der Zutrittsberechtigung
• Taschenkontrolle
• Versteckte und / oder verbotene Gegenstände
• Kleidung & Auftreten der Person
• Weitere Punkte der Hausordnung

In punkto Check-In Arten können folgende Szenarien unterschieden werden:

• Bemannter Check-In: Besetzt von Securities oder Promotion-Mitarbeitern. Manueller, händischer Sicherheitscheck der Besucher.
• Teilunterstützter Check-In: Ebenfalls besetzt von Security- oder Promotion-Mitarbeitern. Hier erfolgt eine Unterstützung durch technische Geräte, wie zum Beispiel Metalldetektoren, NFC-Reader, Drehkreuze, Gepäckscanner, QR / Barcode Reader, ….
• Automatisierter Check-In: Nicht von Mitarbeitern aktiv besetzt. Der Check-In wird durch die Besucher selbst ausgelöst, beispielsweise durch das Scannen des Besucherausweises an einem Drehkreuz.

Wiederholter Check-in

Es gibt zwar Veranstaltungen, bei denen ein One-Way Check-In vorgesehen ist, bei den meisten Events ist den Besuchern allerdings ein mehrfaches Betreten gestattet. Um den gesamten Prozess zu beschleunigen, kann die erneute Ticketvalidierung mittels Besucherausweisen oder Event-Armbändern erfolgen. Somit verkürzt sich der erneute Check-In auf den Sicherheitscheck (beispielsweise auf verbotene Gegenstände).

Bei der Erstellung eines Sicherheitskonzepts können bestimmte Bereiche der Eventlocation definiert werden, bei denen ein erneuter Check erfolgen muss. Bei Musikfestivals ist dies beispielsweise im Bereich der Bühnen der Fall. Oftmals ist es sinnvoll, den erstmaligen vom wiederholten Check-In zu trennen. Somit wird eine schnellere Abwicklung garantiert. Der Einsatz von technischen Geräten unterstützt ebenfalls den gesamten Check-In-Prozess. Werden die Checks nur mangelhaft vom Security Personal durchgeführt, genügen oftmals einfache Tarnungen (wie z.B. eine Leiter), um sich mitten in eine Veranstaltung hineinzuschleichen.

Arten von Ticketbetrug

Ticketbetrug ist nicht nur für Veranstalter eine unangenehme Sache, immer wieder werden auch Privatpersonen, die ihre Veranstaltungstickets nicht über offizielle Stellen kaufen, Opfer von Betrügern. Es müssen die Schwachstellen des Ticketverkaufs demnach erkannt werden, um einerseits die Veranstalter selbst zu schützen und andererseits auch um den potenziellen Besuchern einen sicheren Kauf zu ermöglichen.

Ticketbetrug kann auf unterschiedliche Arten geschehen, eine der einfachsten und banalsten Möglichkeiten ein Ticket zu fälschen, ist die simple Kopie. Eine bereits vorhandene und auch gültige Eintrittskarte wird reproduziert und beim Check-In der Veranstaltung eingelöst. Dies kann im Wissen des Ticketkäufers geschehen, der sich somit ebenfalls zum Betrüger macht. Oftmals ist der Besitzer des Originals aber nicht direkt involviert und die Kopie auf anderem Wege entstanden. Die häufigste Ursache hierfür ist das Kopieren von Eintrittskarten, die im Internet veröffentlicht wurden – beispielsweise über Social Media. Die britische Zeitung „The Guardian“ hat im Jahr 2016 einen kurzen Artikel zum Thema Ticketbetrug über digitale Kanäle veröffentlicht, in dem auch auf Social Media Bezug genommen wird (hier ein weiterer kurzer Artikel über Social Media Scamming aus dem Jahr 2015).

Eine weitere Betrugsmöglichkeit, die dem Kopieren von Tickets ähnlich ist, ist das Fälschen bzw. Erstellen von neuen Eintrittskarten. Es wird ebenfalls ein vorhandenes Ticket als Vorlage genutzt, um ein neues, echt aussehendes Ticket zu kreieren. Diese gefälschten Eintrittskarten werden oftmals auf dem Schwarzmarkt verkauft, wodurch unangenehme Überraschungen für unwissende Eventbesucher entstehen können. Der Tickethandel am Schwarzmarkt ist vielen Veranstaltern ein Dorn im Auge. Eine Möglichkeit, um diesen zu unterbinden, ist das Verkaufen von personalisierten Online-Tickets (so wie es beispielsweise das Tomorrowland Festival macht).

Aber nicht nur mit Ticketkopien und gefälschte Tickets wird betrogen. Auch Original-Eintrittskarten können hierfür herangezogen werden: In einem Whitepaper von Global Risk Technologies werden die Möglichkeiten von Ticketbetrug über Chargeback – also die Rückerstattung einer Zahlung – analysiert. Demnach kaufen Betrüger ein Ticket auf regulärem Weg (meist online) und versuchen danach mit einer Rückerstattungsforderung den Kaufpreis zurückzuerlangen. Diese Rückerstattungen werden in der Regel nur bei folgenden Fällen gewährt:

• Bei gestohlenen Kreditkarten (oder Kreditkartendaten)
• Bei einem Fehler des Verkäufers (z.B. doppelt abgebuchte Beträge)
• Eine „versehentliche“ oder nicht ausreichend geprüfte Rückerstattung

Wird von Seiten des Verkäufers nicht unmittelbar auf eine gewährte Rückerstattung reagiert und das Ticket gesperrt, freut sich der Betrüger über ein Original Ticket und den zurückerstatteten Kaufpreis. Bankinstitute sind glücklicherweise nicht auf den Kopf gefallen und lassen sich nicht so einfach hinters Licht führen. Deshalb wird der Ticketbetrug in der Praxis meist durch das Fälschen oder Kopieren von Tickets durchgeführt. Nichtsdestotrotz ist es wichtig, auch über die Möglichkeit eines Chargeback-Betrugs Bescheid zu wissen, um gegebenenfalls Präventivmaßnahmen zu treffen.

Warum ist Sicherheit ein Thema?

Einerseits sagt uns der gesunde Menschenverstand, dass als Eventveranstalter gewisse Sicherheitsvorkehrungen präventiv getroffen werden müssen. Gäste sollen sich ohne Bedenken den Erlebnissen vor Ort widmen können und mit einem guten Gefühl nach Hause gehen. Unvorhersehbares wird leider dennoch von Zeit zu Zeit passieren – in diesem Fall müssen Veranstalter rasch und zielgerichtet agieren.

Andererseits gibt es aber auch rechtliche Bestimmungen, die in Bezug auf Veranstaltungssicherheit beachtet werden müssen. Bei Nichteinhalten drohen saftige Strafen oder auch eine Absage des Events. Bei uns in Österreich sind gesetzliche Vorschriften zu Veranstaltungen, wie so oft, Ländersache. Somit ergeben sich 9 teils unterschiedliche Gesetzestexte – eben je nach Veranstaltungsstandort. Das meiste haben sie aber alle gemein: es geht vor allem um Fluchtwege, Feuerschutz, Sanitäter und Erste Hilfe. Aspekte wie Ticketbetrug, Diebstahlschutz, Mitarbeiter- und Besucheridentifikation kommen hier etwas zu kurz. Dennoch sind dies wichtige Punkte eines umfassenden Veranstaltungssicherheitskonzepts.

In diesem Teil unserer Insights-Serie möchten wir zum Thema „Identifikation“ etwas ins Detail gehen. Neben der Besucheridentifikation muss auch die Mitarbeiteridentifikation bedacht werden, da sich sonst massive Sicherheitslücken ergeben können.

Ein weiterer Vorteil eines derartigen Systems ist, dass sämtliche Eventmitarbeiter zentral beim Veranstalter registriert werden. Somit weiß man immer Bescheid, welche Mitarbeiter am Gelände aus- und eingehen – und zwar in Echtzeit.

Wenn man die Veranstaltungssicherheit bei bestimmten Kongressen oder Events mit öffentlich bekannten Personen weiter erhöhen möchte, empfehlen sich auch NFC-fähige Mitarbeiterausweise mit Lichtbild, die sichtlich am Körper getragen werden müssen. Eine derartig hohe Sicherheitsstufe haben wir aber bisher selten erlebt.

Besucheridentifikation – lerne deine Eventbesucher näher kennen

Vergleichbar mit der Mitarbeiteridentifikation kann ein ähnliches System auch auf die Besucher der Veranstaltung übertragen werden. Der wichtigste Aspekt in Bezug auf Veranstaltungssicherheit ist hier, dass Tickets nicht mehr anonym erworben und eingelöst werden können, sondern jeder Eventbesucher persönlich bekannt ist. Das große Musikfestival Tomorrowland zeigt, dass dies auch im großen Stil umsetzbar ist.

Neben der geschaffenen Besuchertransparenz – wodurch beispielsweise verhindert werden kann, dass international gesuchte Personen das Veranstaltungsgelände betreten – ist ein weiterer Vorteil der Ticketpersonalisierung, dass erworbene Tickets nicht am Schwarzmarkt zu unkontrollierten Preisen weiterverkauft werden können.

Eine Besucheridentifikation vorab kann für Marketingzwecke und zur Steigerung des Eventerlebnisses verwendet werden. Neben den klassischen veranstaltungsbezogenen Aussendungen (Mail und ggf. auch Post) kann auf Erlebnisstationen vor Ort eine weitere Integration geschaffen werden. Im Fokus soll dabei immer eine Win-Win-Situation für Besucher und Veranstalter stehen. Des Weiteren ist ein personalisiertes Ticket nicht nur für die Veranstaltungssicherheit von Bedeutung, sondern auch der erste Schritt zur erfolgreichen Umsetzung eines Cashless Payment Systems.

Aber Achtung! Die Verwendung der Besucherdaten sollte unbedingt in die AGB der Veranstaltung aufgenommen werden. Für eine weitere Nutzung der Kontaktdaten (z.B. Newsletter Aussendungen) müssen unbedingt die gesetzlichen Regelungen bezüglich des Opt-In beachtet werden (in Österreich im TKG § 107 geregelt).

Datenschutz

George Orwell hat uns schon in seinem 1949 erschienen Roman „1984“ eine totalitäre Überwachung kritisch „prophezeit“. Der Schutz der Privatsphäre ist selbstverständlich ein wichtiges Anliegen der meisten Menschen. Zweck einer Mitarbeiter- und auch Besucheridentifikation soll deshalb auch keine reine Überwachung sein. Ganz lässt sich eine derartige Kontrolle im Zuge der Veranstaltungssicherheit aber nicht vermeiden. Um den bitteren Beigeschmack für die Gäste und Mitarbeiter so süß wie möglich zu gestalten, muss die Einführung eines Gäste- bzw. Mitarbeiteridentifikationssystems also transparent kommuniziert werden.

Vom technischen Aspekt ist der Datenschutz einer Mitarbeiter- und Besucherregistrierung mit personalisierten NFC-Tags in allen Phasen gewährleistet. Persönliche Daten werden nie auf den NFC-Badges selbst gespeichert, wodurch auch ein Verlust des Badges bedenkenlos ist – selbstverständlich muss der Datensatz im Backend gesperrt werden oder die Verknüpfung zum NFC-Badge aufgehoben werden (dies ist bei uns eine problemlose Angelegenheit von ca. einer Minute). Die Verknüpfung von NFC-Tag und Person wird durch die zugeordnete ID des Chips im Backendsystem geschaffen.

Ein kleiner Tipp am Rande: Achte stets auf einen sicheren und geschützten Server des Anbieters – egal bei welcher Softwarelösung.

Durch Gäste- und Mitarbeiteridentifikation wird nicht nur die Veranstaltungssicherheit gesteigert. Besucher profitieren von weiteren Benefits, wie kürzere Wartezeiten bei den Check-Ins und vollautomatisierten Erlebnisstationen. Veranstalter können über die NFC-Ausweise für Mitarbeiter auch das Catering automatisieren. Man könnte dies beispielsweise so gestalten, dass ein bestimmtes Guthaben automatisch auf die Mitarbeiterkarten geladen wird, welches beim Bezahlen der Mahlzeiten abgebucht wird. Eine andere Möglichkeit wäre ein regulierter Check-In für Frühstück, Mittag- und Abendessen, der nur eine Mahlzeit pro Mitarbeiter zulässt.