Alte RFID-Systeme: Wenn RFID-Systeme zur Schwachstelle werden
Facility Management: Zutritt » Strategie » Selbsteinschätzung » Alte RFID-Systeme
Zutritt mit Risiko: Wenn RFID-Systeme zur Schwachstelle werden
Viele Zutritts- und Ausweissysteme in Unternehmen basieren noch auf Technologien aus den 1990er- und frühen 2000er‑Jahren. Damals stand Cybersicherheit kaum im Lastenheft – wichtig war, dass Türen zuverlässig öffnen und sich Ausweise komfortabel verwalten lassen. Technisch laufen diese Systeme oft bis heute unauffällig. Aus Risikosicht ist das ein Problem.
Parallel haben sich Bedrohungslage und Rechtsrahmen massiv verändert. Mit KRITIS‑Dachgesetz, NIS‑2, der Radio Equipment Directive (RED) samt Cybersecurity‑Delegated‑Act und dem Cyber Resilience Act (CRA) wird klar: Physische Zutrittskontrolle ist heute integraler Teil der Cyber- und Resilienzstrategie – und damit reguliert.
Alte RFID-Systeme und Sicherheitsrisiken
- Warum Zutritt heute „Cyber-Thema“ ist
- Radio Equipment Directive
- Security by Design für Zutrittssysteme
- Risiken veralteter RFID-Systeme
- Unsichere Leserschnittstellen und Controller
- Organisatorische Schwachstellen
- Fehlende Protokollierung und Nachweisbarkeit
- Compliance-Lücke: „Alt, aber noch in Betrieb“
- Wie herausfinden, ob das eigene RFID-System
- Technologie-Check der Identmedien
- Architektur-Check: Vom Leser bis ins Netzwerk
- Prozess- & Compliance-Check
- Security-Audit & Penetrationstest
- Vorteile aktueller RFID-Technologien
- Sichere Protokolle und offene Standards
- Mobile Credentials und Multifaktor
- Compliance-Funktionen ab Werk
- Regulatorische Einordnung und Sicherheitskonzept
- Migrationsstrategie von Legacy-RFID zu sicheren Medien
- Multi-Faktor-Authentifizierung und physische Vereinzelung
- Zentrale Zutrittssoftware und Integration in die Sicherheitslandschaft
- Betrieb, Schulung und kontinuierliche Verbesserung
- Zutritt als regulierte Sicherheitsfunktion denken
KRITIS‑Dachgesetz / CER-Richtlinie
Mit dem geplanten KRITIS‑Dachgesetz setzt Deutschland die EU‑Richtlinie 2022/2557 zur Resilienz kritischer Einrichtungen (CER) in nationales Recht um. Ziel ist ein einheitlicher Rahmen zum Schutz kritischer Infrastrukturen – quer über Sektoren wie Energie, Wasser, Gesundheit, Transport, ITK und mehr.
Kernbotschaften:
Physische Sicherheit wird Pflicht: Betreiber kritischer Einrichtungen sollen künftig ausdrücklich „einen angemessenen physischen Schutz von Liegenschaften und kritischen Anlagen gewährleisten“.
All-Gefahren-Ansatz: Abzusichern sind nicht nur Cyberangriffe, sondern auch Sabotage, Terror, technische Ausfälle und Naturereignisse – inklusive Zugangskontrollen, Überwachung und Betriebserhalt (Notstrom etc.).
Digitale UND physische Sicherheit müssen gleichwertig betrachtet und zu einem ganzheitlichen Sicherheitskonzept verzahnt werden.
Hinweis:
Damit wird die Zutrittskontrolle – bislang oft „nur“ Facility‑Thema – zur regulierten Sicherheitsfunktion. Alte Zutrittstechnik lässt sich künftig nicht mehr mit „läuft doch noch“ begründen.
NIS‑2: Physische Zutrittskontrolle als Audit-Thema
Die NIS‑2‑Richtlinie (EU) 2022/2555 erweitert die bisherigen Vorgaben an Betreiber wesentlicher und wichtiger Dienste. Sie verlangt technische und organisatorische Maßnahmen zum Risikomanagement – ausdrücklich inklusive physischer Sicherheit und physischer Zutrittskontrolle.
Im Annex 13.3 heißt es sinngemäß: Organisationen müssen
unbefugten physischen Zutritt zu Netz- und Informationssystemen verhindern und überwachen,
auf Basis einer Risikobewertung Sicherheitsperimeter definieren und mit geeigneten Zutrittskontrollen schützen,
physische Sicherheitsmaßnahmen für Büros, Räume und Betriebsstätten konzipieren und umsetzen,
die Räumlichkeiten kontinuierlich auf unbefugten Zutritt überwachen,
und Maßnahmen zur physischen Zutrittskontrolle regelmäßig testen und aktualisieren.
Radio Equipment Directive (RED) mit Cybersecurity-Delegated‑Act
Die Radio Equipment Directive (RED) regelt das Inverkehrbringen von Funkanlagen in der EU. Ein Delegated‑Act (2022/30/EU) aktiviert zusätzliche Sicherheitsanforderungen nach Artikel 3(3) d, e, f für bestimmte Gerätekategorien, etwa wenn diese
Radio Equipment Directive
über das Internet kommunizieren,
personenbezogene, Verkehrs- oder Standortdaten verarbeiten,
oder Zahlungsfunktionen unterstützen.
Hinweis:
Die Umsetzung des Delegated‑Act wurde auf den 1. August 2025 verschoben. Ab diesem Datum müssen betroffene Funkgeräte – etwa bestimmte Funk-Zylinder, UHF‑Weitbereichsleser oder WLAN/BLE‑Reader – verpflichtend Anforderungen zu Netzwerkschutz, Datenschutz/Privatsphäre und Betrugsschutz erfüllen.
Für Betreiber heißt das: Neue Generationen von Funk-Zutrittskomponenten werden cybersecurity‑regulierte Produkte. Alte, unverschlüsselte Funklösungen geraten unter Rechtfertigungsdruck.
Cyber Resilience Act (CRA): Security by Design für Zutrittssysteme
Der Cyber Resilience Act (CRA) ist der neue horizontale EU‑Rechtsrahmen für „Products with Digital Elements“ – also Hard‑ und Software, die vernetzt oder updatefähig ist.
Wesentliche Eckpunkte:
Inkrafttreten: 10. Dezember 2024
Hauptpflichten: ab 11. Dezember 2027 nach Übergangsfrist; Meldepflichten für Schwachstellen bereits ab 11. September 2026.
Pflichten für Hersteller: Security by Design und Default, Risikoanalysen, SBOMs (Software Bill of Materials), systematisches Vulnerability-Management, definierte Update-Strategien und koordinierte Vulnerability‑Disclosure‑Prozesse über den gesamten Produktlebenszyklus.
Für Zutrittskontrollsysteme bedeutet das:
Controller, Server-Software und Cloud‑Backends müssen von Haus aus sicher konzipiert, wartbar und updatefähig sein. Hersteller stehen in der Verantwortung; Betreiber müssen im Zweifel nachweisen, dass sie CRA‑konforme Produkte einsetzen und Sicherheitsupdates angemessen einspielen.
Risiken veralteter RFID-Systeme
Viele der heute installierten Zutrittssysteme tragen diese neuen Anforderungen nicht – schlicht, weil sie dafür nie gebaut wurden.
Typische Problemkandidaten:
125‑kHz‑LF‑Transponder (Hitag, EM4200, neXS, …)
Solche Low‑Frequency‑Karten waren lange Standard. Aufgrund physikalischer Grenzen unterstützen sie jedoch keine Verschlüsselung nach aktuellem Stand der Technik und gelten heute als unsicher.
MIFARE Classic & LEGIC prime
Beide wurden ab Ende der 2000er‑Jahre öffentlich gebrochen. Universitäten und der Chaos Computer Club demonstrierten, wie sich MIFARE‑Classic‑Karten klonen lassen; später folgte Legic prime. PCS fasst dies treffend zusammen: „Man kann davon ausgehen, dass alle Karten mit der Technologie aus den 90er Jahren ähnlich ‚unsicher‘ sind.“
Read‑Only‑Karten mit bloßer Seriennummer
In vielen Systemen genügt eine einfache ID (Seriennummer) ohne Kryptografie – oft implementiert mit sehr günstigen 125‑kHz‑Medien. Das Auslesen der Seriennummer ist mit frei erhältlichen Mitteln möglich, Klone lassen sich mit Komponenten aus dem Elektronik‑Versandhandel bauen.
Unsichere Leserschnittstellen und Controller
Wiegand-Schnittstelle: Die seit den 1980ern verbreitete Wiegand Verkabelung überträgt Kartendaten unverschlüsselt und unidirektional. Moderne Analysen weisen darauf hin, dass Angreifer die Signale einfach mitschneiden und replizieren können; ein Wiegand System ist damit anfällig für Abhören und Manipulation.
Veraltete Controller ohne Hardening: Alte Zutrittskontrollzentralen nutzen häufig unverschlüsselte TCP/Seriell Verbindungen, Standardpasswörter und proprietäre Update Mechanismen – wenn überhaupt Updates vorgesehen sind. Unter CRA Gesichtspunkten sind Systeme ohne Patch Pfad und ohne dokumentiertes Vulnerability Management kaum haltbar.)
UHF Weitbereichsleser: Für Zufahrten werden oft UHF Transponder eingesetzt. Wikipedia weist darauf hin, dass gängige UHF Systeme nicht als besonders sicher gelten und deshalb oft nur in Kombination mit aktiven Medien oder weiteren Faktoren für sicherheitskritische Szenarien verwendet werden sollten.
Organisatorische Schwachstellen
Technik ist nur ein Teil der Gleichung. PCS hat schon 2010 nüchtern darauf hingewiesen: Viel gefährlicher als das Hacken einer Karte sind offene Hintertüren, ungeschulte Mitarbeitende und schlecht gelebte Prozesse.
Typische Muster:
Karten werden verliehen oder achtlos getragen.
Mitarbeiterinnen und Mitarbeiter lassen Fremde „eben schnell“ mit ins Gebäude.
Zutrittsrechte werden nicht regelmäßig überprüft; Ex‑Mitarbeiter bleiben im System aktiv.
Es existiert kein zweites Merkmal (PIN, Biometrie) für sensible Bereiche.
Fehlende Protokollierung und Nachweisbarkeit
NIS‑2 verlangt umfassende Protokollierung, Speicherung und Auswertbarkeit von Sicherheitsereignissen – inklusive physischer Zutrittsereignisse.(Primion.io)
In der Praxis sieht man jedoch häufig:
Standalone‑Zutrittssysteme mit lokalem Speicher und proprietärem Exportformat,
keine Integration in SIEM / SOC,
keine Möglichkeit, 12 Monate an Zutrittsprotokollen auditfest vorzulegen,
keine Alarmierung bei auffälligen Mustern (z.B. viele Fehlversuche, Zutritt außerhalb definierter Zeitfenster).
Compliance-Lücke: „Alt, aber noch in Betrieb“
In Deutschland definieren BSI‑Dokumente wie TL 03402/TL 03403 und TR 03126-5 Anforderungen an Zutrittskontrollanlagen und den sicheren Einsatz von Chipkarten. Sie nennen u.a. den Einsatz von Crypto‑Chips mit Challenge‑Response‑Authentifizierung und AES als Stand der Technik.
Wer noch auf LF‑Karten, MIFARE Classic, Legic prime, Wiegand und unverschlüsselte Netzwerke setzt, wird es zunehmend schwer haben, diese Systeme im Lichte von KRITIS‑Dachgesetz, NIS‑2, RED und CRA als „angemessen“ zu begründen.
Wie herausfinden, ob das eigene RFID-System noch sicher und gesetzeskonform ist?
Statt Bauchgefühl braucht es einen strukturierten Sicherheits- und Compliance‑Check. Ein praxisnahes Vorgehen lässt sich in fünf Schritten denken.
Bestandsaufnahme: Was ist überhaupt im Feld?
Welche Identmedien sind im Einsatz? (Karten, Tags, Uhren, Smartphones, UHF‑Transponder etc.)
Welche RFID‑Technologien/Frequenzen werden genutzt? (LF 125 kHz, HF 13,56 MHz MIFARE/LEGIC, UHF etc.)
Welche Leser und Controller sind verbaut, in welchen Bereichen?
Wo existieren autarke Beschläge/Knaufzylinder ohne Online‑Anbindung?
Welche Systeme sind KRITIS‑relevant (Kernanlagen, Leitstellen, Serverräume, OT‑Netze)?
Rot (kritisch)
125‑kHz‑Karten (Hitag, EM, Unique etc.)
MIFARE Classic
LEGIC prime
„Nur Seriennummer“-Karten
Grün (zeitgemäß – bei korrekter Implementierung)
MIFARE DESFire EV1/EV2/EV3
LEGIC advant
Crypto‑Smartcards mit AES‑Challenge‑Response und ggf. Common‑Criteria‑Zertifizierung
Wichtig
Eine „grüne“ Technik wird sofort wieder rot, wenn nur die Seriennummer genutzt wird – dieser Fehler ist in der Praxis leider nicht selten. PCS weist explizit darauf hin, dass man DESFire‑Karten auf das Sicherheitsniveau einer einfachen RO‑Karte herunterzieht, wenn man die Sicherheitsfunktionen nicht nutzt.
Leser–Controller‑Schnittstelle
Läuft hier noch Wiegand (26/34 Bit)? → hohe Priorität für Ablösung.
Existiert bereits OSDP (Open Supervised Device Protocol) mit Verschlüsselung und bidirektionaler Kommunikation? OSDP wurde von der Security Industry Association explizit entwickelt, um Wiegand‑Schwachstellen zu beheben: Verschlüsselung, Authentifizierung, Statusmonitoring, Remote‑Konfiguration und Interoperabilität.
Prozess- & Compliance-Check
Perimeter: Sind Sicherheitsbereiche definiert und dokumentiert (z.B. Außenhaut, Verwaltungsbereiche, kritische Technik)?
Zutrittsregeln: Gibt es ein Rollen- und Berechtigungskonzept („Wer darf wann wohin?“)?
Multi-Faktor: Werden in Hochrisikobereichen zusätzliche Faktoren (PIN, Biometrie) eingesetzt?
Logging & Überwachung:
Werden alle Zutrittsereignisse (erfolgreich, fehlgeschlagen, außerhalb der Zeiten) protokolliert?
Sind die Logs zentral auswertbar (SIEM / CEM‑Integration)?
Für Betreiber kritischer Infrastrukturen oder NIS‑2‑pflichtige Unternehmen ist ein externer Sicherheitscheck sinnvoll:
RFID‑Penetrationstests (Kartentechnik, Schlüsselmanagement, Clone‑Angriffe),
Analyse der Leser- und Controller‑Firmware,
Prüfung der Netzarchitektur und Schnittstellen,
Review der Prozesse und Dokumentation im Lichte von KRITIS‑Dachgesetz / NIS‑2 / CRA / RED.
Vorteile aktueller RFID-Technologien
Der Wechsel weg von Legacy‑Systemen ist nicht nur Pflichtübung. Moderne Technologien bringen messbare Sicherheits- und Betriebsgewinne.
Starke Karten statt einfacher IDs
Aktuelle HF‑Transponder wie MIFARE DESFire EV1/EV2/EV3 und LEGIC advant setzen auf leistungsfähige Kryptografie (meist AES) und Challenge‑Response‑Verfahren. Wikipedia bewertet sie – bei korrekter und vollständiger Implementierung – derzeit als sicher; teilweise existieren Common‑Criteria‑Zertifizierungen, etwa für DESFire‑Varianten, die sogar im elektronischen Dienstausweis des Bundes eingesetzt werden.
In Kombination mit BSI‑Empfehlungen (BSI TR 03126, TL 03403) ermöglichen Crypto‑Chipkarten:
Fälschungssicherheit durch Challenge‑Response und AES,
speicherresidente Rollenmodelle (mehrere Applikationen auf einer Karte),
die Nutzung von PIN und biometrischen Templates direkt auf der Karte, ohne zentrale biometrische Datenbanken.
Anstelle von Wiegand setzt der Stand der Technik heute auf OSDP (Open Supervised Device Protocol) und vergleichbare, verschlüsselte Protokolle:
Verschlüsselung und Authentifizierung der Kommunikation zwischen Leser und Controller,
bidirektionaler Datenaustausch für Statusmeldungen, Sabotage‑Erkennung, Remote‑Konfiguration,
Herstellerunabhängigkeit durch offenen Standard und Interoperabilität.
Mobile Credentials und Multifaktor
Moderne Zutrittskontrollsysteme erlauben die Nutzung von Smartphones als Identmedium, etwa über Bluetooth Low Energy oder Near Field Communication (NFC) mit Host Card Emulation. Die Open Security Standards Association treibt mit OSS‑MA einen herstellerübergreifenden Standard für Mobile Access voran.
Aktuelle Zutrittsplattformen bieten Funktionen, die mit den neuen Regulierungen praktisch „mitgeliefert“ werden:
zentrale Rechteverwaltung und Rollenmodelle,
lückenlose Protokollierung sämtlicher Zutrittsereignisse,
Echtzeit‑Monitoring und Anbindung an SIEM / SOC,
unterstützte Dokumentation für Audits und Zertifizierungen,
Update‑Mechanismen, die sich mit CRA‑Anforderungen an Lifecycle‑Security decken.
Empfehlung:
Klären, ob das Unternehmen KRITIS‑Dachgesetz und/oder NIS‑2 unterliegt (direkt oder als Zulieferer).
Zutrittskontrolle im Sicherheitskonzept verankern – nicht als Insellösung, sondern integriert mit IT‑Security, Videoüberwachung und Notfallmanagement.
Zielbild definieren: Welche Sicherheitszonen, welche Schutzziele, welche Nachweispflichten?
Statt eines „Big Bang“ bietet sich eine sanfte Migration an:
Hybrid‑Leser einsetzen, die alte und neue Kartentechnologien parallel unterstützen, um stufenweise von z.B. MIFARE Classic/LEGIC prime zu DESFire/LEGIC advant zu wechseln.
Alte LF‑Karten und reine Seriennummer‑Karten konsequent ablösen; die Systeme dazu so konfigurieren, dass sie Kryptofunktionen wirklich nutzen – ein Punkt, den PCS in seinem Artikel ausdrücklich hervorhebt.
Wiegand‑Verkabelungen schrittweise durch OSDP oder andere verschlüsselte Protokolle ersetzen; bei Neuprojekten Wiegand nicht mehr vorsehen.
Für Hochsicherheitsbereiche – etwa Leitstellen, Rechenzentren, Labore oder Kernanlagen – empfiehlt PCS den konsequenten Einsatz von Multifaktor-Authentifizierung:
Karte + PIN,
RFID + Biometrie (z.B. Handvenenerkennung),
ggf. ergänzend mit Drehsperren und anderen Vereinzelungsanlagen, um Tailgating zu verhindern.
Zentrale Zutrittssoftware und Integration in die Sicherheitslandschaft
Ein kritischer Baustein – gerade für KRITIS/NIS‑2 – ist eine Zutrittsplattform als zentrale Steuerungs- und Dokumentationsinstanz.
Wichtig ist die Integration in bestehende IT‑Security‑Infrastruktur (z.B. SIEM), um physische Ereignisse in das Gesamt‑Lagebild einfließen zu lassen – ein wiederkehrendes Thema in NIS‑2‑Diskussionen.
Betrieb, Schulung und kontinuierliche Verbesserung
Technik allein genügt nicht. PCS betont, dass der Service nicht mit der Installation endet, sondern Planung, Umsetzung, Dokumentation und Schulung umfasst.
Empfehlenswerte Bausteine im Betrieb:
Regelmäßige Schulungen für Mitarbeitende (Erkennen von Social‑Engineering, Umgang mit Ausweisen, Verhalten bei Sicherheitsvorfällen).
Wiederkehrende Risikoanalysen und Tests der physischen Zutrittskontrollen, wie es NIS‑2 vorsieht.
Kontinuierliche Modernisierung der Zutrittsinfrastruktur, um Stand der Technik und CRA‑Konformität zu sichern – inkl. dokumentierter Firmware‑ und Softwareupdates.
Anspruch: Zutritt als regulierte Sicherheitsfunktion denken
RFID‑Zutrittssysteme sind längst keine „stille Infrastruktur“ mehr, die man nach der Installation vergessen kann. Unter KRITIS‑Dachgesetz, NIS‑2, RED und CRA werden sie zu kritischen Sicherheitsprodukten – mit klaren Anforderungen an
Anspruch
verwendete Kartentechnologie,
Protokolle und Architekturen,
Protokollierung und Nachweisbarkeit,
Prozesse, Verantwortlichkeiten und Schulungen.
Die gute Nachricht
Wer seine Zutrittskontrolle jetzt systematisch auf den Prüfstand stellt, veraltete Technologien ablöst und auf moderne, kryptografisch abgesicherte Lösungen mit durchdachtem Betriebskonzept setzt, erhöht nicht nur den Schutz vor Angriffen und Missbrauch – sondern schafft gleichzeitig eine solide Basis für die Erfüllung der kommenden regulatorischen Anforderungen.