Das Gehirn der gesamten Lösung. PSA integriert Kioske, Kameras, IP-Ein- und -Ausgänge, LED-Anzeigen und Zutrittscontroller und entscheidet, wer durchfährt. Erst PSA macht aus einem Kiosk eine e-Vrátnice.
Auf dem PSA-Anwendungsserver läuft die gesamte Lösungsebene: Web-Administration, ein MQTT-Broker als Bus für Kioske und Peripherie, eine lokale Datenbank und ein Reservierungsserver für Voranmeldungen.
Die Komponenten kommunizieren über ein dediziertes Netz. Die Datenbank läuft lokal und ist nicht nach außen exponiert, MQTT-Verkehr darf das dedizierte Segment nicht verlassen und der Servicezugang erfolgt ausschließlich über ein gesichertes VPN. Keine PSA-Komponente ist direkt aus dem öffentlichen Internet erreichbar.
Für den Sicherheitsdienst kann eine dedizierte Operator-Station bereitgestellt werden, physisch und logisch von Ihrem Büronetz getrennt.
Ein Detail, das darüber entscheidet, wo man einen Fehler sucht — und deshalb eine Erklärung wert.
Die in die Fahrbahn eingelassene Schleife erkennt die Metallmasse des Fahrzeugs und sendet einen Impuls. Pro Fahrspur werden zwei installiert.
Das Modul überwacht Zustände und schaltet die Schranken. Es ist das Modul, das dem System meldet, dass jemand am Tor steht.
Erst auf den Impuls hin entnimmt die Software ein Bild der Kamera und erkennt das Kfz-Kennzeichen. Die Kamera selbst löst nichts aus.
Es gleicht das Kennzeichen mit dem Datenbestand ab, prüft Berechtigung und Zeitfenster, öffnet die Schranke, schaltet auf Grün und protokolliert die Durchfahrt mit Fotodokumentation.
Ein Überblick über die vom System genutzten Ports. Das vollständige Segmentierungsschema liefern wir in der Projektphase.
| Web-Administration | HTTP 80 / HTTPS 443 |
|---|---|
| Bus für Kioske und Peripherie | MQTT, TCP 1883 |
| Kameras zur Kennzeichenerfassung | RTSP, TCP 554 |
| Zutrittscontroller | TCP 4701 |
| LED-Anzeigen | TCP 10001 |
| IP-Ein-/Ausgangsmodule | TCP 55555 |
| Ausgehende E-Mail | SMTP 25 |
| Fernwartung | VPN, RDP 3389 / HTTPS 443 |
| Reservierungsportal → PSA | Site-to-Site IPsec |
| Datenbank | lokal, kein Netzwerkzugriff |
Alle PSA-Komponenten in einem dedizierten, isolierten Netz innerhalb Ihrer Infrastruktur. Ihre Firewall kontrolliert den Perimeter, die Fernwartung erfolgt über Ihr VPN. Reservierungsdaten aus dem öffentlichen Portal fließen über einen verschlüsselten Tunnel herein.
PSA-Komponenten in einem physisch getrennten Netz, unabhängig von Ihrer IT. Unser Router kontrolliert den Perimeter, der Reservierungsserver ist Teil des Anwendungsservers. Geeignet dort, wo Sie keinen Platz im eigenen Netz bereitstellen wollen oder können.
Jede Durchfahrt hat eine Zeit, ein Kennzeichen, ein Bild und die Information, ob sie das System oder ein Bediener freigegeben hat. Genau das ist bei einem Vorfall oder einer Reklamation das Einzige, was sich belegen lässt.
Das System steuert den physischen Zutritt zum Werksgelände, also ist es ein Sicherheitselement — und wird entsprechend behandelt. Segmentierung in ein dediziertes Netz, keine Komponente aus dem Internet erreichbar, Servicezugang nur über VPN, Beschränkung des MQTT-Verkehrs auf das dedizierte Segment, um die laterale Ausbreitung eines Angreifers im Netz zu verhindern.
Die Sprachautorisierung der Zufahrt hat einen eigenen Schutz: Das GSM-Modul des Kiosks kann nur ausgehende Anrufe tätigen, sodass von außen nicht hineingerufen werden kann. Der Gastgeber gibt die Zufahrt per Tonwahl frei, der Kiosk macht daraus eine gesicherte Nachricht und das System legt einen Audit-Eintrag an. Der Sprachkanal ist physisch vom Datennetz getrennt und lässt sich daher nicht als Weg in Ihr LAN nutzen.
Das Verkehrsleitsystem wird in Ihr Netz eingebunden — und die IT-Abteilung fragt zu Recht, was das für die Sicherheit bedeutet. Die Antwort ist im Konzept verankert: keine PSA-Komponente ist direkt aus dem Internet erreichbar, die Datenbank läuft lokal und ist nicht nach außen exponiert, und die Systemkomponenten befinden sich in einem dedizierten, getrennten Netz (DMZ / VLAN), sodass sich ein möglicher Angriff nicht über das Werksgelände ausbreitet. Der Servicezugang erfolgt nur über VPN, nicht über einen offenen Port.
Die Bereitstellung ist je nach Ihrer Richtlinie auf zwei Arten möglich: on-premise in Ihrer DMZ hinter einer Firewall, die Sie verwalten, oder als eigenständige Einheit mit eigener Mobilfunkverbindung dort, wo Sie das System gar nicht ins Firmennetz lassen wollen. Reservierungsdaten aus dem öffentlichen Portal fließen über einen verschlüsselten Tunnel herein, nicht über direkten Zugriff.
Es ist ein Konzept im Einklang mit den NIS2-Prinzipien, kein Zertifikat — die Richtlinie erfüllt der Betreiber, und wir liefern eine Technologie, die ihm das nicht erschwert, sondern erleichtert.
Ja, das ist der Kern von PSA. Die Kamera liest das Kfz-Kennzeichen, das System gleicht es mit den Berechtigungen ab und öffnet die Schranke ohne Eingriff des Bedieners. Ein unbekanntes Kennzeichen wird am Kiosk oder telefonisch abgefertigt — die Regeln legen Sie fest.
Die Zufahrt wird so ausgelegt, dass ein Ausfall kein geschlossenes Tor bedeutet: Die Modi zum Öffnen der Schranken definieren wir nach Ihren Regeln, einschließlich eines Brandszenarios, das an die Brandmeldeanlage angebunden ist. Das Verhalten bei einem Ausfall ist Teil des Prozesskonzepts, kein Zusatz.
Auf Basis der Betriebsdaten unserer Installationen werden über 99 % der Durchfahrten automatisch abgefertigt. Den Rest — beschädigte oder ausländische Kennzeichen — deckt ein Rückfallverfahren ab: Kiosk, QR-Code oder telefonische Verifizierung.
Ja, jede Durchfahrt wird mit Zeit, Richtung, Kfz-Kennzeichen und Foto gespeichert. Die Historie lässt sich filtern und exportieren — für Audits, die Versicherung und die Klärung strittiger Situationen.
Beschreiben Sie uns, wie es bei Ihnen heute läuft. Wir melden uns mit einem Vorschlag zum Umfang und einem Preis — oder stellen Sie zunächst Ihre Anforderung im Konfigurator zusammen.
