Ein Zugangskontrollsystem mit Badge basiert auf drei aufeinanderfolgenden Mechanismen: Authentifizierung des Trägers, Überprüfung der Berechtigungen in einem Verzeichnis und dann die Steuerung eines Verriegelungsmechanismus. Hinter dieser einfachen Abfolge bestimmen die technologischen Entscheidungen, die Netzwerkarchitektur und das Identitätsmanagement das tatsächliche Sicherheitsniveau. Hier erläutern wir die technischen Punkte, die den Unterschied zwischen einer zuverlässigen Installation und einem umgehbaren System ausmachen.
RFID-Protokolle und Verschlüsselung: Was ein sicheres Badge von einem klonbaren Badge trennt
Die Funkfrequenz und das Kommunikationsprotokoll beeinflussen direkt die Widerstandsfähigkeit gegen Klonen. Ein 125 kHz Badge ohne Verschlüsselung (Typ EM4100) überträgt seine Identifikation im Klartext. Ein Piratenlesegerät für ein paar Dutzend Euro reicht aus, um es zu duplizieren.
Die in Frankreich weit verbreiteten MIFARE Classic Badges verwenden die Verschlüsselung Crypto-1. Dieses Protokoll wurde öffentlich geknackt, was diese Badges anfällig für Relay- oder Brute-Force-Angriffe auf den Sektorenschlüssel macht. Wir empfehlen, sie als ein mittleres Sicherheitsniveau zu betrachten, das für Bereiche mit geringem Risiko akzeptabel ist.
MIFARE DESFire EV2 oder EV3 mit AES 128-Bit-Verschlüsselung stellt heute den Standard für sensible Standorte dar. Die Kommunikation zwischen dem Badge und dem Lesegerät ist Ende-zu-Ende verschlüsselt, mit gegenseitiger Authentifizierung. Jede Transaktion generiert einen einzigartigen Sitzungsschlüssel, was passive Abhörangriffe neutralisiert.
Die Architektur des Systems ist ebenso wichtig wie das Badge selbst. Wenn das Zugangskontrollbadge mit einem Controller verbunden ist, der über eine lokal synchronisierte Berechtigungstabelle verfügt und mit einem zentralen Server verbunden ist, bleibt die Öffnungsentscheidung auch bei einem Netzwerkunterbruch funktionsfähig. Dieser hybride Modus (lokale Entscheidung, zentralisierte Verwaltung) vermeidet einen einzelnen Ausfallpunkt.
Konvergenz von physischem Badge und IT-Identifikatoren: das PIAM-Modell
Der strukturellste Trend im Bereich der Zugangskontrolle ist nicht der Wechsel des Mediums, sondern die Vereinheitlichung der physischen und logischen Identität. Das PIAM-Modell (Physical Identity and Access Management) fusioniert das Zutrittsbadge zum Gebäude und die IT-Identifikatoren (Arbeitsplatz-Session, VPN, Fachanwendungen) in einem einzigen Verzeichnis.
Der Sicherheitsvorteil ist direkt: Ein Mitarbeiter, dessen Vertrag gekündigt wird, sieht seine physischen und digitalen Zugriffsrechte gleichzeitig widerrufen. Ohne Konvergenz lässt der Zeitraum zwischen der Deaktivierung des IT-Kontos und dem Entzug des Badges ein Expositionsfenster, das wir regelmäßig bei Audits beobachten.
Für das Unternehmen vereinfacht dieses Modell das Management der Berechtigungen. Ein einziger Workflow provisioniert oder deprovisioniert alle Zugänge. Dies reduziert auch die Fläche der Nichteinhaltung der DSGVO, da die Nachverfolgbarkeit der Identifikationsdaten in einem einzigen System zentralisiert wird, anstatt zwischen der Zugangskontrollsoftware und dem Active Directory verstreut zu sein.
Digitales Badge auf Smartphone: Migration zu mobilen Berechtigungen
In den letzten Jahren beschleunigt sich der Übergang zu mobilen Identifikatoren. Das Badge wird durch ein Credential ersetzt, das im Secure Element oder im TEE (Trusted Execution Environment) des Smartphones gespeichert ist. Die Kommunikation mit dem Lesegerät erfolgt über NFC oder BLE (Bluetooth Low Energy).
Das mobile Credential beseitigt das Risiko des physischen Klonens des Badges. Das kryptografische Geheimnis wird niemals offengelegt: Es ist das Smartphone, das den Besitznachweis über ein Challenge-Response-Verfahren ausführt, ohne die Identifikation im Klartext zu übermitteln.
Drei technische Bedingungen müssen erfüllt sein, um eine zuverlässige Bereitstellung zu gewährleisten:
- Ein NFC- und BLE-kompatibles Lesegerät mit aktueller Firmware zur Verwaltung der OSDP v2-Protokolle (Verschlüsselung des Lesegerät-Controller-Kanals)
- Eine Cloud- oder On-Premise-Plattform, die in der Lage ist, Credentials aus der Ferne in Echtzeit zu provisionieren und zu widerrufen
- Eine Mobile Device Management (MDM)-Richtlinie, die sicherstellt, dass nur ein konformes Smartphone (aktuelle OS-Version, kein Root/Jailbreak) ein Credential empfangen kann
BLE bietet einen betrieblichen Vorteil: die fernbediente, kontaktlose Öffnung, die in Parkhäusern oder Lieferbereichen nützlich ist. Allerdings erfordert die größere Reichweite von Bluetooth eine feine Einstellung des RSSI-Schwellenwerts, um unbeabsichtigte Öffnungen zu vermeiden, wenn ein Träger ohne die Absicht, einzutreten, vorbeigeht.
Auswirkungen von NIS2 und dem Cyber Resilience Act auf Zugangskontrollsysteme
Das Inkrafttreten der NIS2-Richtlinie und des Cyber Resilience Act ändert die Anforderungen für Unternehmen, die verbundene Zugangskontrollsysteme betreiben. NIS2 erweitert den Umfang der betroffenen Entitäten und verlangt ein Risikomanagement, das ausdrücklich die physische Sicherheit abdeckt, wenn diese mit dem Informationssystem interagiert.
Konkrete bedeutet dies, dass ein Zugangskontroller, der mit dem IP-Netzwerk des Unternehmens verbunden ist, in den Geltungsbereich der Cybersicherheitsrichtlinie fällt. Firmware-Updates, das Härtung von Netzwerkports und die VLAN-Segmentierung des Sicherheitsunternetzes werden zu dokumentierten Verpflichtungen, nicht nur zu bewährten Praktiken.
Der Cyber Resilience Act richtet sich an Hersteller von Produkten mit digitalen Elementen. Lesegeräte, Controller und Überwachungssoftware müssen Sicherheit bereits bei der Konstruktion (Security by Design) integrieren und während der gesamten erwarteten Lebensdauer des Produkts Sicherheitsupdates bereitstellen. Für Installateure und Betreiber bedeutet dies, dass sie vertraglich eine Verpflichtung zur Softwarepflege beim Anbieter einfordern müssen.
Auswahlkriterien für ein Badge-System für einen Multi-Zugang-Standort
Wir empfehlen, das Lastenheft um vier technische Achsen zu strukturieren:
- Minimale Verschlüsselungsstufe: AES 128-Bit für sensible Bereiche, Diversifizierung der Schlüssel pro Standort, um zu verhindern, dass ein auf einem Standort geklontes Badge an einem anderen funktioniert
- Fähigkeit des Controllers, im degradierten Modus (außerhalb des Netzwerks) mit einer lokal synchronisierten Berechtigungstabelle zu arbeiten
- Kompatibilität mit mobilen Credentials, um die schrittweise Migration von physischen Badges vorherzusehen
- OSDP v2-Interoperabilität zwischen Lesegeräten und Controllern, unabhängig vom Hersteller, um proprietäre Lock-in-Effekte zu vermeiden
Die Dimensionierung des Identitätsmanagementsystems bleibt der am meisten unterschätzte Faktor. Ein Standort mit mehreren Hundert Mitarbeitern und regelmäßigen Dienstleistern und Besuchern erzeugt ein Volumen an Provisionierung und Deprovisionierung, das ohne Automatisierung innerhalb weniger Wochen zu Berechtigungsfehlern führt.
Die Wahl des Mediums (DESFire-Badge, Smartphone oder beides in Koexistenz) hängt vom Profil der Benutzer und dem bestehenden Bestand ab. Die Koexistenz von physischem Badge und mobilem Credential ist die häufigste Konfiguration in der Übergangsphase, vorausgesetzt, das Lesegerät verwaltet beide Protokolle, ohne das Sicherheitsniveau zu beeinträchtigen.