Schwachstellen in der Zutrittskontrolle: Ausweis- und Identifikationssysteme
Häufigster Ansatz zur Personenerkennung ist die RFID-basierte Zutrittssteuerung mittels Transpondern oder Karten. Diese Identifikationsmedien und die dazugehörigen Lesesysteme unterliegen zahlreichen Sicherheitsanforderungen. Hochsicherheitsausweise sollten nicht nur hohe Zuverlässigkeit und stete Verfügbarkeit aufweisen, sondern auch Manipulationsschutz und Datenschutz bieten.
Allerdings können übermäßige Sicherheitsmaßnahmen, zu viele Karteninformationen und aufwändige Codierungen den Preis eines Ausweises deutlich in die Höhe treiben. Da die Personenidentifikation oft unter verschiedenen Umweltbedingungen stattfindet, sind potenzielle negative Einflüsse zu berücksichtigen:
- Werden die Ausweise auch für andere Kartenanwendungen wie Kantine oder Zeiterfassung genutzt?
- Welches ISO 14443-zertifizierte RFID-Verfahren sollte in Betracht gezogen werden oder ist möglicherweise bereits vorhanden, etwa für die Zeiterfassung?
- Sind aufgrund bestehender kartengesteuerter Anwendungen mehrere Codierungen auf dem Ausweis erforderlich?
- Soll es Unterscheidungen zwischen Mitarbeiter- und Besucherausweisen geben, etwa durch verschiedene Farben?
- Wird der Ausweis nur gelesen oder auch beschrieben (z. B. für Offline-Zutrittsprofile oder Gültigkeitsdauer)?
- Soll ein Foto auf dem Ausweis erscheinen und muss der Ausweis daher sichtbar getragen werden?
- Besteht die Möglichkeit von Datenverlusten oder Ausweisschäden durch magnetische, induktive, chemische oder thermische Einflüsse? Ist eine Schutzhülle notwendig, um den Ausweis aufzubewahren?
Prüfung von Ausweisen kann auf zwei Wegen erfolgen: entweder durch visuelle Inspektion oder automatisierte Auswertung der maschinenlesbaren Echtheitsmerkmale. Bei der visuellen Methode werden Karten oft mit speziellem Farbdruck personalisiert, inklusive Passfoto, Firmenlogo und Unterschriftsbereich. Es gibt verschiedene Herstellungsverfahren, die es ermöglichen, die Karte an individuelle Sicherheitsanforderungen der Anwendung und des Kunden anzupassen. Zusätzliche Informationen, die fototechnisch aufgebracht oder geprägt werden, gewährleisten den Schutz der Karte vor Verfälschungen.
Ein weiterer zentraler Aspekt bei der Konzeption von Kartensystemen ist das Wissen um die Verteilung des Speichers auf RFID-Karten. Idealerweise definiert der Anbieter bereits zu Beginn des Projekts die Kartensegmente so, dass spätere Erweiterungen nahtlos hinzugefügt werden können. Das legt von Anfang an den Grundstein für zukünftige Anwendungen. Auch die Verschlüsselung der Daten, sei es universell oder kundenspezifisch, sollte von Beginn an berücksichtigt werden. Legic-, Mifare- und Hitag-Chips können in Kombination mit traditionellen Codierungen wie kontaktbehafteten Chipkarten, Magnetstreifen und Barcode (Hybridkarte) genutzt werden. Die Integration in bestehende Systeme gestaltet sich reibungslos. Daher ist es möglich, verschiedene Lesegeräte zu einer einheitlichen Plattform auf einem Ausweis zusammenzuführen.
Strenge Sicherheitsanforderungen verlangen nach Identifikationsmerkmalen, die untrennbar mit der jeweiligen Person verknüpft sind und eindeutig als individuell identifizierbar gelten. Diese biometrischen Merkmale dienen dazu, die Schwachstellen anderer Identifikationsformen, wie vergessene PINs oder verlorene bzw. beschädigte Ausweise, zu umgehen.
Vielfältige Risiken im Blick
Die Anwendungsbereiche von Zutrittssteuerungssystemen erstrecken sich über diverse Industrien und Standorte. Besondere Beachtung verdienen hierbei die Peripheriekomponenten wie Identifikationssysteme, Zutrittsterminals und Zutrittsleser, die den örtlichen Gegebenheiten am Einsatzort ausgesetzt sind. Diese elektronischen Geräte müssen den spezifischen Umweltbedingungen der jeweiligen Zutrittsstelle gewachsen sein. Gleichzeitig darf menschliches Fehlverhalten nicht außer Acht gelassen werden, da es häufig Ursache für Ausfälle und Abweichungen im System ist. Im Folgenden werden die bedeutendsten Risiken bei der Konzeption von Zutrittssteuerungssystemen aufgezeigt:
