Ein Gasmelder löst in der Nähe einer Verladebrücke aus. Die Leitstelle muss den Standort überprüfen, den nächsten Bediener kontaktieren, die betreffende Kamera einblenden, das Personal im betroffenen Bereich warnen und das Einsatztteam benachrichtigen. Wenn Telefone, Funkgeräte, Beschallungsanlagen, Videoüberwachung und Alarmsysteme unabhängig voneinander arbeiten, erfordert jeder Schritt eine andere Konsole, Kontaktliste oder Bedienungsanleitung.

Eine einheitliche Kommunikationslösung führt diese Kanäle in einer kontrollierten Betriebsumgebung zusammen. Sie muss nicht jedes vorhandene Netzwerk ersetzen. Stattdessen ermöglicht sie es Festnetztelefonen, Funksystemen, Rufanlagen, mobilen Endgeräten, Kameras und industriellen Alarmen, genehmigte Informationen auszutauschen und eine koordinierte Reaktion zu unterstützen.

Kommunikationslücken im verteilten Betrieb

Öl- und Gasbetriebe kombinieren gefährliche Prozessbereiche, entfernte Produktionsstätten und rund um die Uhr besetzte Leitstände. Eine Raffinerie kann auf Industrietelefone und Werksruf angewiesen sein, während ein Ölfeld mobilen Funk, private Mobilfunkabdeckung und Satellitenverbindungen nutzt. Pipeline-Personal kann Hunderte von Kilometern von der Hauptzentrale entfernt sein.

Diese Ressourcen werden oft in verschiedenen Projektphasen installiert. Sie können separate Nummerierungspläne, Funkgruppen, Verwaltungsplattformen und Wartungsverfahren verwenden. Bediener können diese Unterschiede im Routinebetrieb meist ausgleichen. Bei einem Gasaustritt, Brand, Stromausfall oder Pipeline-Zwischenfall kann jedoch das Umschalten zwischen isolierten Systemen die Überprüfung und Reaktion verzögern.

Eine Kommunikationsbewertung sollte den betrieblichen Ablauf für jede Ereignisart nachzeichnen:

• Wie ein Feldarbeiter eine abnormale Bedingung meldet

• Welcher Leitstandplatz den ersten Anruf erhält

• Wie der Standort des Anrufers und der Gerätebereich identifiziert werden

• Welche Einsatzgruppen kontaktiert werden müssen

• Welche Beschallungszonen Sicherheitsanweisungen erhalten

• Welche Kameras und Prozesssignale die Überprüfung unterstützen

• Welcher Kommunikationsweg bei Ausfall des Hauptnetzes verfügbar bleibt

Routinekoordination und Notfallbearbeitung sollten nicht dem gleichen Arbeitsablauf folgen. Ein Wartungsanruf kann einen Standard-Durchwahlweg verwenden. Ein bestätigter Gasaustritt kann vorrangige Anrufe, zonale Rufauslösung, Videoanzeige, Ereignisaufzeichnung und Eskalation an mehrere Abteilungen auslösen.

Aufbau der Architektur um fünf Betriebsebenen

Ein schichtweiser Aufbau erleichtert die Definition der Systemverantwortlichkeiten und verhindert, dass die Plattform zu einer unkontrollierten Sammlung von Schnittstellen wird.

Feld- und Sensorebene

Die Feldebene enthält die Geräte, die Anrufe, Audio, Video und Alarminformationen erzeugen. Typische Geräte sind Industrietelefone, explosionsgeschützte Telefone, Funkhandgeräte, Gegensprechstationen, Ruf-Lautsprecher, Kameras, Notfalltaster und Umgebungssensoren.

Prozessinstrumente und Sicherheitssensoren können Temperatur, Druck, Füllstand, Durchfluss, Rauch oder Konzentration brennbarer Gase melden. Die Kommunikationsplattform ersetzt kein Prozessleitsystem oder sicherheitstechnisches System. Sie empfängt genehmigte Ereignisinformationen und wandelt sie in Bedienerbenachrichtigungen, Anrufe oder Rundrufaktionen um.

Personenortungs-Tags und Fahrzeugortungsgeräte können nützlichen Kontext liefern. Bei einem Alarm oder Notruf kann der Dispatcher nahegelegene Teams identifizieren, anstatt jede Feldgruppe zu kontaktieren.

Übertragungsebene

Die Übertragungsebene kann industrielles Ethernet, Glasfaserringe, privates 4G oder 5G, digitalen Bündelfunk, industrielle Funknetze und Satellitenkommunikation kombinieren. Jede Technologie adressiert andere Betriebsbedingungen.

Glasfaser bietet stabile Kapazität in Raffinerien und Terminals. Private Mobilfunknetze unterstützen mobiles Sprach-, Video- und Datenübertragung in großen Produktionsbereichen. Digitalfunk bleibt wertvoll für sofortige Gruppenkommunikation, während Satellitenverbindungen grundlegende Dienste auf Offshore-Plattformen, abgelegene Bohrstellen und Orte außerhalb der terrestrischen Abdeckung ausdehnen.

Netzwerktechnologien sollten nach Abdeckung, Latenz, Verfügbarkeit und Wiederherstellungsanforderungen ausgewählt werden. Spezielle deterministische Netzwerke sollten nur in Betracht gezogen werden, wenn sie eine klar definierte betriebliche Anwendung unterstützen.

Plattformebene

Die Plattformebene bietet Anrufsteuerung, Medienverarbeitung, Benutzerverwaltung, Aufzeichnung, Geräteüberwachung und Systemintegration. Sie kann Kommunikationsressourcen unter praktischen Namen wie „Tanklager-Funk“, „Kaianlage-Hotline“ oder „Pipeline-Sektor 4“ darstellen, anstatt den Dispatchern technische Portnummern preiszugeben.

Gateways können analoge Telefone, Funknetze und ältere Rufanlagen mit einer IP-Umgebung verbinden. Dies ermöglicht eine schrittweise Migration und erlaubt es, betriebliche Geräte weiterzunutzen, wenn sie für den Standort noch geeignet sind.

Anwendungsebene

Anwendungen wandeln Kommunikationsfunktionen in betriebliche Arbeitsabläufe um. Dazu können Sprachdispatch, Videoanrufe, GIS-Darstellung, Notruffunktion, Einsatzkonferenzen, Aufzeichnung, Schichtverwaltung und Alarmverknüpfung gehören.

Die Integration mit SCADA oder DCS sollte über genehmigte und klar definierte Schnittstellen erfolgen. Die Kommunikationsplattform kann einen Alarmstatus, eine Gerätekennung oder einen Standortverweis empfangen, aber Steuerbefehle müssen weiterhin den Sicherheits- und Autorisierungsregeln der Anlage unterliegen.

Bediener- und Präsentationsebene

Einsatzleitkonsolen, Workstation-Clients, Großbildanzeigen und autorisierte mobile Geräte bilden die Präsentationsebene. Die Leitstandsoberfläche sollte Ressourcen nach Standort, Einheit und betrieblicher Funktion organisieren, nicht nach Protokoll oder technischer Adresse.

Während eines Vorfalls sollte der Dispatcher in der Lage sein, die Quelle zu identifizieren, eine Sprachverbindung herzustellen, verfügbare Videos einzusehen und die richtige Einsatzgruppe zu kontaktieren, ohne in nicht zusammenhängenden Gerätelisten zu suchen.

Eine schichtweise Architektur verbindet Feldtelefone, Funk, Video, Sensoren und Rufressourcen, während gleichzeitig die betrieblichen Grenzen zwischen Kommunikations- und Prozessleitsystemen gewahrt bleiben.

Verbindung von Sprache, Video, Daten und Feldalarmen

Vereinheitlichung von Fest- und Mobilfunk

Festnetztelefone bleiben wichtig in Pumpenräumen, Verladestationen, Kontrollgebäuden und Notfallmeldepunkten. In gefährdeten Bereichen müssen Telefon, Kabeleinführungen, Stromversorgung und Zubehör die Zulassungsanforderungen der Installationszone erfüllen.

Funksysteme bieten Mobilität und sofortige Gruppenkommunikation. Ein Funk-Gateway oder eine unterstützte Systemschnittstelle kann ausgewählte Sprechgruppen für die Einsatzplattform zugänglich machen. Autorisierte Dispatcher können Aktivitäten überwachen, Push-to-Talk initiieren und bei Bedarf eine Funkgruppe mit Telefon- oder Mobilfunkteilnehmern verbinden.

Die Integration muss die Funkdisziplin wahren. Nicht jeder Telefonbenutzer sollte Zugang zu jeder Sprechgruppe haben, und Telefon-Funk-Konferenzen sollten einen kritischen Kanal nicht länger als nötig belegen.

Verknüpfung von Anrufen mit Video und Standort

Eine Telefonnummer identifiziert einen Endpunkt, aber ein standortbasierter Gerätedatensatz gibt dem Bediener nützlicheren Kontext. Jedes Feldgerät kann mit einem Standort, einer Prozesseinheit, einem Stockwerk, einem Zugangsweg, einer nahegelegenen Kamera und einer verantwortlichen Abteilung verknüpft werden.

Wenn ein Notruf eingeht, kann die Plattform den registrierten Standort anzeigen und Zugriff auf die relevante Kameraansicht bieten. Video hilft dem Bediener, die sichtbaren Bedingungen zu beurteilen, ersetzt jedoch nicht die Bestätigung durch das Prozessleitsystempersonal oder die Arbeiter vor Ort.

GIS ist besonders nützlich für Pipelines, Bohrstellen und weit verteilte Anlagen. Es kann den Meldepunkt, nahegelegene Teams, Zufahrtsstraßen und verfügbare Kommunikationsabdeckung anzeigen. Die Karte sollte sich auf die für die Reaktion erforderlichen Informationen konzentrieren, anstatt das vollständige Asset-Management-System zu duplizieren.

Umwandlung von Alarmsignalen in gezielte Benachrichtigungen

Brandmeldezentralen, Gasdetektionssysteme, Notfalltaster und Perimetermelder können Ereignissignale an die Kommunikationsplattform liefern. Jedes genehmigte Signal sollte einem definierten Arbeitsablauf zugeordnet werden, anstatt eine allgemeine standortweite Benachrichtigung auszulösen.

Ein brennbares Gas-Alarm nahe einer Verladebrücke könnte die folgende Sequenz auslösen:

1. Anzeige der Alarmquelle und des zugehörigen Betriebsbereichs.

2. Benachrichtigung der festgelegten Leitstandplätze.

3. Öffnen der relevanten Kameragruppe, sofern integriert.

4. Herstellen einer Verbindung mit dem örtlichen Bediener oder Einsatztteam.

5. Senden einer vorab genehmigten Nachricht an die betroffene Rufzone.

6. Aufzeichnung von Bestätigungs-, Eskalations- und Abschlusszeiten.

Automatische Durchsagen sollten auf Ereignisse mit gesicherter Quelle und klar definierter Reaktion beschränkt sein. Ereignisse, die interpretiert werden müssen, können zunächst an der Einsatzleitkonsole zur Bestätigung durch den Bediener erscheinen.

Vorfall aktiv halten bis zur Lösung

Ein Notfallprotokoll sollte so lange aktiv bleiben, bis der verantwortliche Bediener das Ergebnis bestätigt. Ein grünes Gerätesymbol, ein quittierter Alarm oder eine abgeschlossene Rundrufaufgabe beweisen nicht, dass die Situation vor Ort gelöst ist.

Der Vorfallsdatensatz kann den ursprünglichen Alarm mit Anrufen, Rufaufgaben, Videoverweisen, Bedieneraktionen und Feldrückmeldungen verknüpfen. Dies erzeugt einen chronologischen Datensatz für die Nachbesprechung und hilft, Verzögerungen bei der Bestätigung oder Eskalation zu erkennen.

Ein genehmigter Arbeitsablauf verbindet die Ereignisquelle mit Bedienerverifizierung, Feldkommunikation, gezielter Rufauslösung und Reaktionsverfolgung.

Auslegung auf Ausfälle vor einem Vorfall

Öl- und Gas-Kommunikationssysteme müssen auch bei Geräteausfällen, beschädigten Verbindungen und vorübergehendem Verlust der externen Konnektivität weiterarbeiten. Redundanz sollte plausible Ausfallszenarien abdecken, anstatt einfach doppelte Geräte hinzuzufügen.

Wiederherstellungsziele für den gesamten Dienst definieren

Wiederherstellungszeit, Dienstverfügbarkeit und Funkabdeckungsziele sollten für jedes Projekt gemäß Betriebsrisiko, Netzwerkarchitektur und ausgewählter Ausrüstung definiert werden. Eine schnelle Glasfaserring-Wiederherstellung oder hohe Serververfügbarkeit allein garantiert nicht, dass ein Feldbenutzer nach einem Fehler einen Anruf abschließen kann.

Abnahmetests sollten den gesamten Kommunikationsweg überprüfen, einschließlich Netzwerk-Wiederherstellung, Server-Failover, Medienwiederherstellung, Gateway-Wiederanbindung und Endpunktregistrierung. Diese Phasen können sich mit unterschiedlicher Geschwindigkeit erholen.

Heartbeat-Überwachung kann den Verlust eines Servers, Gateways oder Netzwerkpfads erkennen. Das gewählte Intervall und die Ausfallschwelle sollten eine rechtzeitige Wiederherstellung gegen unnötige Umschaltungen durch kurze Netzwerkstörungen ausbalancieren.

Nachrichtenintegritätsprüfungen können Übertragungsfehler erkennen, während Bestätigungsmechanismen sicherstellen, ob ein Endpunkt oder Bediener ein Ereignis erhalten hat. Für sicherheitskritische manuelle Aktionen kann das Projekt auch eine rollenbasierte Genehmigung oder die Bestätigung durch einen zweiten autorisierten Bediener verlangen.

Die Lieferkriterien müssen genau definiert sein. Je nach Anwendung kann eine erfolgreiche Zustellung bedeuten: Annahme durch den Server, Empfang durch den Endpunkt, bestätigte Wiedergabe im Feld oder Bestätigung durch einen Bediener.

Gemeinsame Ausfallpunkte beseitigen

Zwei Server, die an einen Switch und einen Stromkreis angeschlossen sind, bieten keine vollständige Redundanz. Die Systemüberprüfung sollte abdecken:

• Server- und Datenbankverfügbarkeit

• Kern- und Access-Switch-Pfade

• Glasfaserstrecken und Gebäudeeingänge

• USV-Kapazität und generatorgestützte Stromversorgung

• Funkcontroller und Gateway-Verbindungen

• Abhängigkeiten von WAN, privatem Mobilfunk und Satellit

• DNS-, NTP-, Authentifizierungs- und Zertifikatsdienste

Entfernte Einrichtungen können einen lokalen Kommunikationsknoten oder einen vordefinierten Ausweichweg vorhalten. Wenn die WAN-Verbindung nicht verfügbar ist, sollten die örtlichen Mitarbeiter weiterhin die werksinterne Leitstelle kontaktieren und erforderliche Warnungen ausgeben können.

Sicherheit an jeder Schnittstelle anwenden

Kommunikations-, Prozessleit- und Unternehmensnetze sollten gemäß der Sicherheitsarchitektur der Anlage getrennt werden. Firewalls und industrielle Sicherheitsgateways können den Datenverkehr auf genehmigte Signalisierungs-, Medien- und Verwaltungsdienste beschränken.

Jedes Endgerät sollte ein individuelles Konto oder eine Geräteidentität verwenden. Bediener-, Wartungs- und Administratorrollen benötigen separate Berechtigungen. Die Fernverwaltung sollte über kontrollierte Zugangspfade erfolgen, anstatt die Web-Schnittstellen von Feldgeräten direkt dem Internet auszusetzen.

Verschlüsselung kann Signalisierungs-, Medien- und Verwaltungsdatenverkehr schützen, sofern sie über den gesamten Pfad unterstützt wird. Kompatibilitätstests bleiben unerlässlich, denn eine Nichtübereinstimmung bei Transport, Zertifikaten oder Codecs kann die Kommunikation unterbrechen, selbst wenn einzelne Komponenten ordnungsgemäß funktionieren.

Kritische Aufzeichnungen können vor Ort oder in einer genehmigten privaten Umgebung verbleiben. Die endgültige Regelung sollte den Cybersicherheits-, Datenklassifizierungs- und behördlichen Anforderungen der Organisation folgen, anstatt dasselbe Speichermodell auf jedes Projekt anzuwenden.

Glasfaser-, privater Mobilfunk-, Funk- und Satellitenverbindungen bieten verschiedene Formen der Ausfallsicherheit, während die lokale Kommunikation den grundlegenden Dienst bei Verlust der Fernverbindung aufrechterhält.

Anpassung der Bereitstellung an jede Betriebsumgebung

Ölfelder und entfernte Produktionsstationen

Bohrköpfe, Messstationen und Sammelanlagen können über große Gebiete mit begrenzter fester Infrastruktur verteilt sein. Private Mobilfunk- oder industrielle Funkverbindungen können Sprache, Video und Felddaten übertragen, während Digitalfunk die Gruppenkommunikation für mobiles Personal unterstützt.

Entfernte Stationen können industrielle CPE verwenden, um lokale IP-Geräte mit dem verfügbaren WAN zu verbinden. Wo die terrestrische Abdeckung unzuverlässig ist, kann Satellitenkommunikation einen Backup-Pfad für essentielle Sprach- und Vorfallsmeldungen bieten.

Raffinerien und Verarbeitungsanlagen

Raffinerien kombinieren Leitstände, Prozessanlagen, Tanklager, Versorgungseinrichtungen und Verladebereiche. Feste Industrietelefone und Beschallungsendgeräte bieten vorhersehbare Kommunikationspunkte, während Funkhandgeräte Bediener unterstützen, die zwischen Arbeitsbereichen wechseln.

Die Alarmintegration muss die Prozess- und Sicherheitsgrenzen der Anlage respektieren. Ein Druck- oder Gasalarm kann die betroffene Einheit identifizieren und die Kommunikationsplattform benachrichtigen, aber die Nachricht, die Empfänger und der Rundrufbereich sollten in einer genehmigten Reaktionsmatrix definiert sein.

Offshore-Anlagen

Offshore-Plattformen erfordern zuverlässige lokale Kommunikation, auch wenn die Verbindung zum Festland nicht verfügbar ist. Die plattformeigenen Telefon-, Funk-, Ruf- und Allgemeinalarmfunktionen sollten nicht ausschließlich von einem entfernten Rechenzentrum abhängen.

Satelliten- oder Richtfunkverbindungen können die Plattform mit den landseitigen Operationen verbinden. Bandbreitenrichtlinien sollten bei Überlastung Sprache, Alarminformationen und betriebliches Video priorisieren. Nicht kritischer Verkehr kann eingeschränkt werden, damit die kritische Kommunikation verfügbar bleibt.

Lagertanks und Verladebereiche

Tanklager, Pumpenräume, LKW-Verladestellen und Kaianlagen erfordern klare Kommunikation zwischen Feldbedienern und der Leitstelle. Feste Rufpunkte sind nützlich, wenn Personal Handschuhe trägt, mobile Geräte eingeschränkt sind oder Maschinenlärm normale Telefone ungeeignet macht.

Zonenruf verhindert, dass eine routinemäßige Verladeanweisung das gesamte Terminal stört. Bei einem bestätigten Notfall kann der Bediener das Ziel von einer Verladebrücke auf das umliegende Tanklager und dann bei Bedarf auf die gesamte Anlage ausweiten.

Langstrecken-Pipelines

Die Pipeline-Kommunikation muss Kontrollzentren, Pumpstationen, Ventilstationen und mobile Inspektionsteams unterstützen. GIS kann Anrufe und Alarme mit Kilometermarkierungen, Zufahrtswegen und nahegelegenem Personal verknüpfen.

Feldteams können je nach lokaler Abdeckung privaten Mobilfunk, öffentliche Mobilfunkdienste, Digitalfunk oder Satellitenendgeräte nutzen. Die Einsatzplattform kann diese Ressourcen über ein einheitliches Betriebsverzeichnis darstellen, während ihre unterschiedlichen Verfügbarkeits-, Zugriffs- und Prioritätsregeln erhalten bleiben.

Verwandte Lösung: Becke Konvergierte Kommunikationssystem

Inbetriebnahme der gesamten Reaktionskette

Die Inbetriebnahme sollte die Art und Weise nachbilden, wie das Personal bei Routinebetrieb und Notfällen kommuniziert. Das Testen nur der SIP-Registrierung, der Funksignalstärke oder des Serverstatus lässt ungeprüfte Lücken zwischen den einzelnen Subsystemen.

Der Abnahmeplan sollte abdecken:

• Anrufe zwischen Feldtelefonen, Leitständen und autorisierten externen Zielen

• Funkgruppenauswahl, Push-to-Talk-Steuerung und Telefon-Funk-Verbindungen

• Beschallungsabdeckung unter normalen und lauten Betriebsbedingungen

• Genauigkeit von Anrufername, Gerätebereich und Kartenposition

• Alarmquellenzuordnung und Auswahl der richtigen Rufzone

• Videoanzeige und -aufzeichnung im Zusammenhang mit einem Vorfall

• Bedienerbestätigung, Eskalation und Ereignisabschluss

• Wiederherstellung nach Server-, Netzwerk-, Gateway- oder Stromausfall

• Lokale Kommunikation bei WAN- oder privatem Mobilfunkausfall

• Wiederherstellung von Geräteidentität, Priorität und Aufzeichnung nach Failover

Die Abdeckung muss in der tatsächlichen Betriebsumgebung verifiziert werden. Stahlkonstruktionen, Lagertanks, Prozessausrüstung, Wetter und Maschinenlärm können Ergebnisse liefern, die erheblich von Schreibtischberechnungen abweichen.

Ein erfolgreicher Failover-Test muss mehr als nur die Netzwerkwiederherstellung bestätigen. Ingenieure sollten überprüfen, ob Feldanrufe immer noch den richtigen Bediener erreichen, Funkgruppen verfügbar bleiben, Alarme ihre Standortdaten behalten, Aufzeichnungen fortgesetzt werden und Notfallsendungen den regulären Verkehr übersteuern.

Die endgültige Dokumentation sollte Geräteidentitäten, Netzwerkverbindungen, Funkressourcen, Rufzonen, Alarmzuordnungen, Bedienerberechtigungen und Backup-Routen festhalten. Sie sollte auch angeben, wo jede Weiterleitungsregel gespeichert ist, damit zukünftige Änderungen keine widersprüchlichen Konfigurationen in Endgeräten, Gateways und Servern hinterlassen.

Die Wirksamkeit einer Öl- und Gas-Kommunikationslösung hängt von der Betriebskontinuität ab. Sie muss den richtigen Feldbenutzer mit der richtigen Leitstandsfunktion verbinden, die wesentliche Kommunikation bei Ausfall eines Teils der Infrastruktur aufrechterhalten und einen klaren Beleg dafür liefern, wie jeder Vorfall behandelt wurde.

FAQ

Sollte die Notruffunktion bei Ausfall der zentralen Plattform weiterhin verfügbar sein?

Die grundlegende Rufauslösung sollte über eine dokumentierte Ausweichmethode verfügen, die für die Anlage geeignet ist. Je nach Architektur kann dies ein lokaler Ruf-Controller, ein Notfallmikrofon, ein hartverdrahteter Eingang oder eine vordefinierte Edge-Rundruffunktion sein. Der Ausweichpfad sollte in Routineübungen und Abnahmetests enthalten sein.

Wie sollten Kommunikationsprioritäten während eines Vorfalls zugewiesen werden?

Die Priorität sollte einer genehmigten Reaktionsmatrix folgen. Notrufe, Alarmbenachrichtigungen und Evakuierungsmeldungen können den regulären Ruf oder nicht kritische Gespräche übersteuern, während der Zugang zu kritischen Funkgruppen autorisierten Bedienern vorbehalten bleibt. Diese Regeln sollten unter gleichzeitiger Verkehrslast getestet werden.

Wie viel Bandbreite benötigt ein entfernter Standort?

Die Bandbreite hängt von der Anzahl gleichzeitiger Sprachanrufe, Videostreams, Funkverbindungen und Datenanwendungen ab. Die Berechnung sollte Protokoll-Overhead, Spitzenauslastung und ausreichende Reserve für den Notbetrieb umfassen. Sprach- und Alarmverkehr sollte bei begrenzter Verbindung priorisiert werden.

Welche Kommunikationsaufzeichnungen sollten aufbewahrt werden?

Die aufzubewahrenden Informationen können Anrufaufzeichnungen, Bedieneraktionen, Alarmbestätigungen, Rufverlauf, Konfigurationsänderungen und autorisierte Sprachaufnahmen umfassen. Die Aufbewahrungsdauer sollte den Unternehmensrichtlinien, vertraglichen Verpflichtungen und geltenden Datenschutz- oder Branchenanforderungen entsprechen.

Wie sollten Auftragnehmer vorübergehenden Systemzugang erhalten?

Auftragnehmer sollten individuelle, zeitlich begrenzte Konten erhalten, die auf die für ihre Arbeit erforderlichen Standorte und Funktionen beschränkt sind. Gemeinsam genutzte Administratoranmeldeinformationen sollten nicht verwendet werden. Temporäre Berechtigungen sollten automatisch ablaufen, und ihre Erstellung, Nutzung und Entfernung sollten im Sicherheitsprüfprotokoll sichtbar bleiben.