Schutz für Schutzsysteme

Elektronische Schutzsysteme sollen Unbefugte draußen lassen – und müssen selbst vor Hackerangriffen geschützt sein. Sicherheitsexperte Marc Rentrop streicht heraus, wie wichtig verschlüsselte Datenspeicherung und -übertragung sind, ebenso die Identifikationstechnologie und deren korrekte Anwendung.

Schutzsysteme sind heute üblicherweise in die IT-Umgebung eingebettet. Sie speichern alle relevanten Informationen in Datenbanken, nutzen PCs für die Managementoberfläche und kommunizieren innerhalb des Systems über Ethernet oder über WLAN. Entsprechend ist eine betriebseigene Absicherung der IT-Infrastruktur nicht nur für die Kernprozesse eines Unternehmens unabdingbar. Sie ist obendrein wichtig, wenn Systeme die gleiche Infrastruktur verwenden wie die Zutrittslösungen.

Gleichwohl gehen die Sicherheitsanforderungen hier noch weiter. Anwender sollten bei der Begutachtung von Zutrittskontrollsystemen darauf achten, dass ihre Lösung mit eigenen, umfangreichen Sicherheitsmaßnahmen ausgestattet ist.

In dieser Hinsicht ist es wichtig, dass alles – Personendaten, Zutrittsrechte, Management- ebenso wie Protokolldaten – in der zentralen Datenbank verschlüsselt gespeichert wird. Das verhindert, dass die Daten für Drittsysteme nutzbar sind, denn sie lassen sich dann nur innerhalb des Zutrittssystems entschlüsseln. Externe und interne Datenabgriffe laufen somit ins Leere, was unter anderem aus Sicht des Datenschutzes relevant ist.

Ein weiterer Aspekt ist die verschlüsselte Datenübertragung. Das betrifft die Kommunikation zwischen den Arbeitsplätzen der Managementsoftware und der Datenbank sowie den Austausch zwischen der Datenbank und den Wandlesern. Ebenso geht es um die Datenübertragung zwischen den Türkomponenten – elektronische Beschläge sowie Zylinder, Wandleser oder Spindschlösser – und den Karten.

Gerade hier zeigen sich bei vielen Schutzsystemen Schwächen in der Performance, speziell bei der Lese- und Schreibgeschwindigkeit. Deshalb verzichten sie oft auf eine Verschlüsselung, um Anwender beim Kommen und Gehen nicht unnötig aufzuhalten. Dadurch entstehen freilich Einfallstore für das Abhören und Kopieren von sensiblen Daten.

In diesem Zusammenhang spielt auch die verwendete Identifikationstechnologie eine entscheidende Rolle, die für die Kommunikation zwischen den Karten und den Türkomponenten zuständig ist. Sämtliche 125-kHz-Technologien gelten in professionellen Umgebungen als unsicher, weil sie nur äußerst begrenzte Sicherheitsmaßnahmen bereitstellen und entsprechend durch Hacker schon vor vielen Jahren kompromittiert wurden. Darüber hinaus weisen sie gravierende Nachteile bei der Speicherkapazität und Leistungsfähigkeit für den Datentransfer auf.

Es empfehlen sich folglich RFID-Lösungen mit 13,56 MHz, die mindestens eine AES-128-Bit Verschlüsselung bieten, zum Beispiel Mifare DESFire EV1/2, HID iClass oder Legic Advant. Dies ist wichtig, denn die Daten auf der Karte – etwa Personenangaben, Zutrittsberechtigungen oder Statusinformationen – dürfen nicht von Unberechtigten ausgelesen werden können. Anbieter von Zutrittssystemen, die diese hohe Verschlüsselung nicht anbieten (können), haben meist auch hier ein Problem mit der Schreib- und Lesegeschwindigkeit ihrer Hardware. Anbieter mit technologisch ausgereiften Schutzsystemen haben dieses Thema im Griff.

Der Einsatz von 13,56-MHz-Technologien birgt neben dem Sicherheitsaspekt weitere Vorteile. So gibt es mit ihnen Identmedien in mannigfaltigen Ausführungen als Karten, Schlüsselanhänger, Silikon- und Kunststoffarmbänder oder Uhren, jeweils neutral oder individuell gestaltbar. Darüber hinaus bieten diese Systeme die Möglichkeit, verschiedene Anwendungen auf einem Identmedium zu vereinen (Multiapplikation), zum Beispiel bargeldloses Bezahlen in der Kantine oder am Getränkeautomaten und Zeiterfassung.

Aber selbst beim Einsatz dieser Technologien tricksen einige Hersteller. Sie täuschen durch die Nutzung der Technologie zwar Sicherheit vor, umgehen jedoch die Verschlüsselung und andere Sicherheitsmaßnahmen.

Jeder elektronische Ausweis, ob Karte oder Schlüsselanhänger, besitzt eine einmalige Identifikationsnummer, die UID. Anbieter von technologisch minderwertigen Systemen lesen in der Regel nur diese UID aus, um Personen zu identifizieren. Sie ist jedoch für jedermann mit einfachem Gerät unverschlüsselt auslesbar.

Schutzsysteme: Jeder Schritt muss sicher sein

Die UID dient dann ohne Schwierigkeiten als Basis für das Klonen von Identmedien, wodurch Personen Zutritt zu Bereichen erlangen können, in die sie normalerweise nicht hinein dürften. Schutzsysteme sollten daher niemals nur die UID zur Identifikation von Personen verwenden, da das ein enormes Sicherheitsrisiko darstellt.

Ein weiteres wichtiges Kriterium für die Sicherheit von Zutrittskontrollanlagen ist deren Betriebssicherheit. Dazu zählt vor allem die Zuverlässigkeit der Hardware. Anwender sollten in diesem Zusammenhang darauf achten, dass in den elektronischen Beschlägen und Zylindern nur hochwertige Materialien verbaut sind. Lagerungen aus Plastik halten typischerweise kürzer als solche aus Edelstahl.

Außerdem ist hier die Anzahl der Bauteile in der Hardware relevant. Wenn weniger Teile enthalten sind, reduziert das die Anfälligkeit des Gesamtprodukts und überdies mögliche Schwachstellen in der Interaktion während des Betriebs.

Entsprechend hellhörig sollte man werden, wenn Anbieter mit günstigen Preisen locken. Qualitativ hochwertige Bauteile kosten in der Beschaffung und Verarbeitung etwas mehr, halten aber länger und bringen mehr Nutzerzufriedenheit.

Marc Rentrop