KNX-native RFID-Leser – MDT und Gira

KNX-RFID-Kartenleser sind busversorgte Geräte, die bündig in eine Standard-55-mm-Unterputzdose montiert werden. Sie senden direkt KNX-Telegramme auf den Bus, wenn eine Karte vorgelegt wird – für die einfache Türöffnungslogik ist keine separate Zutrittskontrollhardware erforderlich.

Beide Leser werden vollständig in ETS konfiguriert – für den Grundbetrieb ist keine externe Software erforderlich. Karten-UIDs werden als Hex-Strings auf der ETS-Parameterseite eingegeben, jeweils verknüpft mit einer KNX-Gruppenadresse. Wenn eine passende Karte vorgelegt wird, sendet der Leser ein binäres EIN-Telegramm an diese Gruppenadresse, das dann mit einem Türantriebsrelais oder einer Alarmzone verbunden wird.

Wie KNX-RFID-Zugang funktioniert – Telegrammablauf

Die Zugangsereigniskette vom Kartentippen bis zum Türöffnen umfasst KNX-Telegramme über drei Gerätetypen: den RFID-Leser, die Logik/Aktorik und das Türöffnerrelais.

DPT für Kartenleser — binär vs. UID-String

KNX-RFID-Leser verwenden unterschiedliche Datentypen, je nachdem, wo die Zugangsentscheidung getroffen wird – geräteseitig (binärer Ausgang) oder zentral (UID-String an Logik-Engine).

Für die meisten Wohn- und kleinen Gewerbeanlagen ist der binäre DPT 1.001-Ausgang ausreichend – UIDs werden über ETS im Leser gespeichert und die Zugangsentscheidung lokal getroffen. Die zentrale UID-Verwaltung (String DPT) wird bei großen Anlagen mit vielen Türen und Benutzern verwendet, die aus einer Datenbank verwaltet werden.

Mehrtürsystem – Zonentabelle und zentrale Logik

Für Gebäude mit mehreren kontrollierten Türen (Büroetagen, Wohnungsgemeinschaftsbereiche, Parkplätze) verwaltet eine zentrale KNX-Logik-Engine zonale Zugangsregeln. Der KNX-IP-Router (Weinzierl KNX IP Router 751, MDT IP Router SCN-IP100.02) fungiert in Kombination mit ETS-Logikfunktionen als Logik-Hub.

Jede Tür hat ihre eigene RFID-Leser-Gruppenadresse (Eingang) und Relaisausgangs-Gruppenadresse. Die ETS-Applikation verknüpft diese mit Zeitfunktionslogikblöcken. Leser an verschiedenen Türen können eine gemeinsame Karten-UID verwenden – dieselbe Karte funktioniert an allen autorisierten Türen – oder völlig getrennte Kartenlisten pro Tür haben.

Zeitpläne – Arbeitszeiten und Wochenendsperrung

KNX-Zeitfunktionen (in ETS als Logikfunktionsblöcke oder über Weinzierl BAOS/Gira X1 Timer-Zeitpläne verfügbar) ermöglichen eine automatische Zutrittskontrolle basierend auf Tageszeit und Wochentag.

Logikbeispiel — Karten-UID + zeitbasierter Zugriff

Das folgende Logikblock-Beispiel zeigt, wie eine KNX-Logik-Engine (ETS-Logikfunktion oder Weinzierl BAOS-Scripting) einen zeitlich begrenzten Zugriff für eine bestimmte Karten-UID implementiert.

// ETS Logic Function Block — pseudocode representation
// (implemented as AND logic with time comparator in ETS)

INPUT:
  card_uid_signal   = GA 7/0/1  (binary, DPT 1.001)
                      -- triggered by MDT SCN-RFID55 for card A1B2C3

  time_condition    = GA 8/0/1  (binary, from KNX time schedule)
                      -- ON between 08:00–18:00 Mon–Fri
                      -- OFF outside working hours

LOGIC:
  IF card_uid_signal == TRUE          // card A1B2C3 presented
  AND time_condition == TRUE          // within working hours
  THEN:
    SEND GA 7/1/1 = TRUE             // door strike relay ON
    DELAY 5000 ms
    SEND GA 7/1/1 = FALSE            // door strike relay OFF (relock)
    SEND GA 9/0/1 = TRUE             // access log telegram

  ELSE IF card_uid_signal == TRUE     // card presented but outside hours
  AND time_condition == FALSE
  THEN:
    SEND GA 9/0/2 = TRUE             // access denied log telegram
    SEND GA 7/2/1 = TRUE             // LED: red flash (denied)

// Note: ETS logic blocks implement this as:
// AND gate → card GA + time GA → output → auto-off timer → relay GA

In ETS wird diese Logik mit dem Logik-Funktionsbaustein aus dem ETS App Store (Thinka, Gira oder herstellerspezifisch) implementiert. Das UND-Gatter empfängt das Kartentelegramm und die Zeitplanausgabe, das Ergebnis steuert die Gruppenadresse des Relais. Ein Timer-Funktionsbaustein übernimmt automatisch die 5-Sekunden-Impulsbreite.

Audit-Logging – KNX-Gruppenmonitor zu InfluxDB

Der KNX-Gruppenmonitor-Verkehr kann zu Sicherheitsauditzwecken erfasst und gespeichert werden. Ein Raspberry Pi mit Calimero (Java-KNX-Bibliothek) oder knxd + Python erfasst alle Telegramme auf dem KNX-Bus und schreibt Zugriffsereignisse in InfluxDB.

import asyncio
from xknx import XKNX
from xknx.io import ConnectionConfig, ConnectionType
from influxdb_client import InfluxDBClient, WriteOptions

ACCESS_GAS = {
    "7/0/1": "Main Entrance",
    "7/0/2": "Server Room",
    "7/0/3": "Management Floor",
    "9/0/2": "ACCESS DENIED",
}

influx = InfluxDBClient(
    url="http://localhost:8086",
    token="your_token",
    org="panelcraft"
)
write_api = influx.write_api(write_options=WriteOptions(batch_size=1))

async def telegram_received(telegram):
    ga = str(telegram.destination_address)
    if ga in ACCESS_GAS:
        door_name = ACCESS_GAS[ga]
        point = {
            "measurement": "access_events",
            "tags": {"door": door_name, "ga": ga},
            "fields": {"value": int(telegram.payload.value)},
        }
        write_api.write(bucket="access_log", record=point)
        print(f"{door_name}: access event at {telegram.date_time}")

async def main():
    xknx = XKNX(connection_config=ConnectionConfig(
        connection_type=ConnectionType.TUNNELING,
        gateway_ip="192.168.1.10",
    ))
    xknx.telegram_queue.register_telegram_received_cb(telegram_received)
    await xknx.start()
    await asyncio.sleep(float("inf"))

asyncio.run(main())

Dies erstellt ein dauerhaftes Zugriffslog in InfluxDB, das über Grafana abfragbar ist. Ein Dashboard, das Türzugriffsereignisse pro Tag, pro Karte und pro Tageszeit anzeigt, bietet sowohl Sicherheitsüberwachung als auch betriebliche Einblicke (z. B. Erkennung von Zugriffsversuchen nach Feierabend). Die Aufbewahrungsrichtlinie kann für Compliance auf 365 Tage eingestellt werden.

Vergleich – KNX-RFID vs. 2N-Video-Gegensprechanlage vs. Nuki-Smartlock

Panel-Verkabelung – Stromversorgung für Türöffner und Magnetkontakt

Alle Stromversorgungen und Relaisausgänge für Türverriegelungskomponenten müssen vom Verteiler aus verdrahtet werden. Hier unterscheiden sich PanelCraft-Panels von vor Ort montierten Lösungen – alle Ausgänge für Türbeschläge sind vor der Auslieferung im Panel vorverdrahtet, beschriftet und getestet.

Panel DIN rail — Door Zone 1 (Main Entrance)

[24V PSU] ──── F1 (2A) ──── [KNX relay OUT 1] ──── X1:1 (strike +)
                                  ↑ NO contact      X1:2 (strike –, GND)
[KNX IP Router]
[MDT AKK-04UP]                   D1 (1N4007)       ← across X1:1/X1:2

[KNX binary IN] ─────────────── X2:1 (door sensor A)
                                  X2:2 (door sensor B)

[RFID reader KNX bus] ────────── KNX TP bus terminals

Terminal labels:
X1 = Door strike / maglock power output (PROTECTED)
X2 = Door sensor reed switch input
X3 = KNX TP bus to RFID reader in wall box