Tailgating ist das unbefugte Mitgehen durch eine gesicherte Tür im Windschatten einer berechtigten Person – ein physischer Angriff, der Höflichkeit und Gewohnheit ausnutzt.
Tailgating – auch Piggybacking genannt – ist ein physischer Angriff auf den Zutrittsschutz: Eine unbefugte Person gelangt durch eine gesicherte Tür, indem sie dicht hinter einer berechtigten Person mitgeht, während diese die Tür ohnehin geöffnet hat. Der Angriff nutzt keine technische Lücke im Schließsystem, sondern eine soziale: Die meisten Menschen halten einer nachkommenden Person die Tür auf, besonders wenn diese die Hände voll hat, eine Lieferung trägt oder gestresst wirkt. Höflichkeit und Gewohnheit setzen die eigentlich vorhandene Zugangskontrolle außer Kraft.
Streng genommen unterscheidet man Tailgating (das Mitgehen ohne Wissen der berechtigten Person) von Piggybacking (die berechtigte Person lässt bewusst herein). In der Praxis werden die Begriffe oft synonym verwendet. Tailgating ist ein klassischer Bestandteil des Physical Red Teaming und wird fast immer durch einen glaubwürdigen Vorwand (Pretexting) vorbereitet.
So funktioniert es
Ein typischer Ablauf, wie wir ihn in Einsätzen nachbilden:
- Vorbereitung: Recherche zu Kleiderordnung, Dienstleistern, Lieferzeiten und Gebäudelayout über OSINT und Beobachtung vor Ort. Welche Firma liefert, welcher Techniker kommt regelmäßig?
- Tarnung: Passende Kleidung, eine plausible Rolle (Paketbote, Handwerker, neuer Kollege) und Requisiten wie Kartons, Werkzeugkoffer oder ein scheinbar vergessener Ausweis.
- Der Moment: Der Angreifer timt die Annäherung an die Tür so, dass eine berechtigte Person kurz vor ihm aufschließt – und geht im Windschatten mit. Volle Hände und ein freundliches Nicken erledigen den Rest.
- Nach dem Zutritt: Im Gebäude sucht der Angreifer unbeaufsichtigte Arbeitsplätze, Netzwerkdosen, Serverräume oder liegengelassene Unterlagen – der physische Zugang wird zum Einstieg in die IT.
Besonders anfällig sind Nebeneingänge, Raucherbereiche, Tiefgaragen und Anlieferzonen, weil dort der Durchgangsverkehr hoch und die Aufmerksamkeit gering ist.
Bedeutung für Unternehmen
Physischer Zutritt hebelt viele digitale Schutzmaßnahmen aus. Wer im Gebäude steht, kann ein Gerät an eine Netzwerkdose hängen, an einem ungesperrten Rechner arbeiten, vertrauliche Unterlagen fotografieren oder einen manipulierten USB-Stick platzieren. Mit dem Inkrafttreten des KRITIS-Dachgesetzes im März 2026 hat die physische Resilienz zusätzlich regulatorisches Gewicht bekommen. Der verbreitete Fehler ist, Zutrittsschutz als reine Technikfrage (Karten, Schleusen) zu behandeln und das Verhalten davor zu vernachlässigen.
In unseren Physical-Red-Teaming-Einsätzen ist Tailgating eine der verlässlichsten Methoden, um Zutritt zu erlangen – nicht, weil Mitarbeitende nachlässig wären, sondern weil Freundlichkeit tief verankert ist. Der Wert des Tests liegt darin, diese Lücke sichtbar zu machen, ohne jemanden vorzuführen.
Schutz und Prüfung
- Vereinzelung an kritischen Punkten: Drehkreuze oder Personenschleusen an Haupteingängen und vor sensiblen Bereichen lassen nur eine Person je Freigabe passieren.
- Klare, entlastende Regel: Jede Person badget sich selbst; niemandem die Tür aufzuhalten ist ausdrücklich erwünscht und keine Unhöflichkeit. Diese Haltung muss die Führung vorleben.
- Sichtbare Kennzeichnung: Gut erkennbare Ausweise für Beschäftigte, Besucher und Dienstleister; Besuchende werden angemeldet und begleitet.
- Clean Desk und Gerätesperre: Automatische Bildschirmsperre, weggeschlossene Unterlagen und gesicherte Netzwerkdosen begrenzen den Schaden eines gelungenen Zutritts.
- Realistisch testen: Unser Ratgeber Physical Red Teaming und Zutrittsschutz zeigt, wie sich die Wirksamkeit dieser Maßnahmen rechtssicher und fair überprüfen lässt.