Warum die herkömmliche Proximity-Karte ein Sicherheitsrisiko darstellt und wie Sie je nach Installationstyp zwischen Karte, PIN oder Gesichtsbiometrie wählen.
Die weiße Proximity-Karte, die Ihr Unternehmen seit zehn Jahren verwendet, kann in weniger als fünf Sekunden mit einem Gerät geklont werden, das weniger als 20 Euro kostet. Man muss kein professioneller Hacker sein: Es gibt frei verkäufliche Lese-Kopiergeräte, die genau dafür gedacht sind, und ein Großteil der in Büros, Hallen und Wohnanlagen in Alicante und Murcia installierten Zutrittskontrollanlagen verwendet weiterhin die Technologie, die solche Geräte lesen können.
Bei DDR360 installieren wir Hikvision-Zutrittskontrollsysteme von Torrevieja aus für die gesamte Provinz Alicante und die Region Murcia. In diesem Artikel erklären wir mit der gebotenen technischen Detailtiefe, warum klassische Karten verwundbar sind, was sich mit der DESFire-Verschlüsselung wirklich ändert und wie Sie je nach Installationstyp zwischen Karte, PIN oder Gesichtserkennung wählen.
Die meisten in Spanien in den letzten zwanzig Jahren installierten Zutrittskarten verwenden Technologie RFID mit niedriger oder hoher Frequenz mit Chips wie EM4100 oder MIFARE Classic. Das eigentliche Problem ist nicht die Funkfrequenz an sich, sondern dass diese Chips vor mehr als zwei Jahrzehnten mit einem Sicherheitsniveau entwickelt wurden, das technisch inzwischen veraltet ist.
Der bekannteste Fall ist MIFARE Classic, das einen proprietären Verschlüsselungsalgorithmus namens Crypto1 verwendet. 2008 veröffentlichten Sicherheitsforscher praktische Angriffe, die diese Verschlüsselung in wenigen Minuten brechen, und seitdem gibt es Hardware-Werkzeuge (das bekannteste ist der Proxmark, aber es gibt viel günstigere und einfacher zu bedienende Kopiergeräte), die den Inhalt der Karte aus der Ferne lesen, die internen Schlüssel berechnen und ein exaktes Duplikat auf eine leere Karte schreiben können. Der gesamte Prozess dauert mit der richtigen Ausrüstung Sekunden, ohne dass der Besitzer der Originalkarte es merkt: Man muss nur nah genug herankommen, zum Beispiel wenn man an jemandem in einem Café vorbeigeht.
Hinzu kommt ein Managementproblem, nicht nur ein technisches: Wenn das Klonen so einfach ist, das Zutrittsprotokoll wird unzuverlässig. Wenn zwei identische Karten dieselbe Tür öffnen können, lässt sich im Log „Wer wann eingetreten ist“ nicht mehr sicher feststellen, ob es der legitime Mitarbeiter oder jemand mit einer Kopie war. Für ein Unternehmen, das Zugriffskontrolle für sensible Bereiche (Serverraum, Lager mit wertvoller Ware, Archiv mit Kundendaten) nachweisen muss, ist dieser Verlust der Nachvollziehbarkeit genauso schwerwiegend wie der physische Einbruch selbst.
Die technische Antwort auf dieses Problem ist MIFARE DESFire mit AES128-Verschlüsselung, derselbe Verschlüsselungsstandard, der Kreditkarten mit EMV-Chip und einen Großteil der Online-Bankkommunikation schützt. Der Unterschied zum Crypto1 der klassischen Karten ist nicht graduell, sondern eine vollständige technologische Generation.
AES (Advanced Encryption Standard) mit 128-Bit-Schlüssel ist ein öffentlicher Algorithmus, der jahrelang von der gesamten weltweiten Kryptografie-Community geprüft wurde, und bis heute gibt es keinen bekannten praktischen Angriff, der ihn in angemessener Zeit mit kommerziell verfügbarer Hardware brechen könnte. Jede DESFire-Karte kann zudem mit einem einzigartiger Masterschlüssel pro Installation: Selbst wenn jemand das System eines anderen Unternehmens kompromittieren könnte, nützt dieser Schlüssel für das eigene nichts. Die 20-Euro-Leser-Kopierer, die eine MIFARE-Classic-Karte in Sekunden klonen, haben schlicht weder die Rechenleistung noch Zugriff auf den kryptografischen Schlüssel, der erforderlich ist, um eine korrekt konfigurierte DESFire-Berechtigung zu replizieren.
In der Praxis bedeutet das: Die Umstellung von alten Karten auf DESFire-Zugangsdaten ist keine Überengineering-Spielerei, sondern das Schließen der günstigsten und am häufigsten genutzten Eintrittspforte für unbefugten Zutritt.
Es gibt keine universell bessere Zugangsmethode, es gibt die für jede Situation geeignete Methode. Dies sind die tatsächlichen Vor- und Nachteile der einzelnen Methoden:
| Methode | Vorteile | Einschränkungen |
|---|---|---|
| DESFire-Karte | Schnell, kein physischer Kontakt mit dem Leser erforderlich, bei Verlust einfach zu sperren, funktioniert mit Handschuhen | Kann zu Hause vergessen oder freiwillig einem Kollegen geliehen werden |
| PIN / Tastatur | Erfordert kein Mitführen von Gegenständen, nützlich als zweiter Faktor in Kombination mit Karte | Der Code kann weitergegeben oder durch Schulterblick (Shoulder Surfing) ausspioniert werden |
| Gesichtserkennung | Unmöglich zu verleihen oder zu teilen, Auslesen in 0,2 Sekunden, kann nicht vergessen oder verloren werden | Erfordert einen Leser pro Zugangspunkt, höhere Anschaffungskosten als eine Karte |
Der entscheidende Vorteil der Gesichtserkennung gegenüber Karte und PIN geht es nicht nur um Geschwindigkeit: Es löst das einzige Problem, das die anderen beiden Methoden konstruktionsbedingt nicht lösen können – dass ein Mitarbeiter jemanden einstempeln lässt oder einer anderen Person in seinem Namen die Tür öffnet. Selbst die sicherste Karte der Welt verhindert nicht, dass ihr Besitzer sie einem Kollegen leiht, der eines Tages zu spät kommt; das Gesicht einer Person kann man nicht verleihen. Deshalb kombinieren viele Unternehmen in besonders sensiblen Bereichen (Serverräume, Personalzugänge bei Nacht, Arbeitszeiterfassung) die DESFire-Karte für den Alltag mit Gesichtserkennungslesern an kritischen Punkten.
Die Planung eines Zutrittskontrollsystems variiert stark je nach Installationstyp. Dies sind die häufigsten Muster, die wir in Alicante und Murcia sehen:
Büros. Der häufigste Fall: DESFire-Karte am Haupteingang und in Gemeinschaftsbereichen, mit Gesichtserkennung nur für den Serverraum oder das Direktionsbüro. Die zentrale Verwaltung ermöglicht es, einen neuen Mitarbeiter in Sekundenschnelle für alle Türen freizuschalten und seinen Zugang am Tag des Ausscheidens sofort zu entziehen, ohne physisch Schlüssel einsammeln zu müssen.
Industriehallen und Lager. In den Industriegebieten der Region (z. B. rund um Elche, San Vicente del Raspeig oder Cartagena) ist die Herausforderung oft eine andere: Es geht nicht nur darum, zu kontrollieren, wer ins Gebäude kommt, sondern auch den Lkw-Verkehr von Lieferanten und Transportunternehmen zu verwalten. Hier kommt die automatische Kennzeichenerfassung: Die Schranke öffnet sich automatisch, wenn sie ein autorisiertes Fahrzeug in der Liste erkennt, ohne dass der Fahrer den LKW verlassen oder ein physischer Wächter in der Kabine sein muss. Für Fußpersonal verhindern Drehkreuze mit DESFire-Karte, dass Unbefugte die Warenbewegung ausnutzen, um hineinzukommen.
Hausgemeinschaften. Dieser Anwendungsfall ist besonders relevant an der Costa Blanca und der Costa Cálida, wo es viele Wohnanlagen und Gemeinschaften mit hoher Eigentümerfluktuation gibt (Saisonbewohner, Ferienvermietungen) und oft eine Fahrzeugschranke am Eingang. Die Kennzeichenerkennung ermöglicht es Eigentümern, mit dem Auto ohne Fernbedienung oder Karte einzufahren, während für Gartenpflege, Poolreinigung oder Wartung QR-Codes oder temporäre Zugänge generiert werden können, die nur am vereinbarten Tag und Zeitfenster gültig sind. Das löst ein häufiges Problem in Gemeinschaften mit jährlich wechselnden Verwaltungsräten: Niemand muss physisch Fernbedienungen abholen oder übergeben, wenn der Dienstleister wechselt.
All das oben Genannte (DESFire-Karten, Gesichtserkennungsleser, Schranken mit Kennzeichenerfassung) benötigt ein Gehirn, das es koordiniert – und genau hier kommt HikCentral, die zentrale Verwaltungsplattform von Hikvision. Über eine einzige Konsole, die per Web oder mobiler App zugänglich ist, kann der Installationsverantwortliche Benutzer an allen Türen gleichzeitig anlegen oder deaktivieren, unterschiedliche Zugriffszeiten pro Person oder Gruppe festlegen (z. B. dass Reinigungspersonal nur von 7:00 bis 9:00 Uhr Zutritt hat) und das vollständige Zugriffsprotokoll mit Datum, Uhrzeit und exaktem Ort einsehen.
Die Funktion, die unsere Kunden im Alltag am meisten schätzen, ist die Zugriffsentzug mit einem Klick vom Handy. Wenn ein Mitarbeiter das Unternehmen verlässt, müssen keine Schlösser ausgetauscht oder Schlüssel eingesammelt werden: Seine Berechtigung wird vom Telefon aus deaktiviert, und in diesem Moment verliert er den Zugang zu jeder Tür des Systems. Und wenn eine Karte verloren geht, ist das Verfahren identisch: Diese spezifische Berechtigung wird gesperrt, ohne andere zu beeinträchtigen – etwas, das mit einem physischen Schlüssel, der für ein ganzes Gebäude gilt, undenkbar wäre.
Lässt sich das neue System mit meinen vorhandenen Türen und Schlössern kombinieren?
In den meisten Fällen ja. Die DESFire- und Gesichtserkennungsleser lassen sich auf das vorhandene elektrische Schloss oder den Drehkreuz integrieren; nur bei rein mechanischen Schlössern ohne elektrische Öffnung muss das gesamte Schloss ersetzt werden.
Was passiert bei einem Strom- oder Internetausfall?
Die Türcontroller speichern die autorisierten Anmeldedaten lokal und funktionieren auch bei Verlust der Internetverbindung autonom weiter; was vorübergehend verloren geht, ist die Fernverwaltung und die Synchronisierung des Verlaufs, die bei Wiederherstellung der Verbindung automatisch wiederhergestellt wird.
Speichert die Gesichtserkennung ein identifizierbares Foto jeder Person?
Nicht im herkömmlichen Sinne. Das System extrahiert und speichert eine mathematische Vorlage (eine Reihe von Gesichtsreferenzpunkten), die es nicht ermöglicht, ein Foto zu rekonstruieren, nach demselben Prinzip, das auch andere biometrische Systeme auf dem Markt verwenden, um die Privatsphäre der Daten zu schützen.
Wie lange dauert die Installation in einem bereits gebauten Büro oder einer Lagerhalle?
Das hängt von der Anzahl der Türen ab und davon, ob neue Verkabelung verlegt werden muss oder bestehende Infrastruktur wiederverwendet wird. Bei den meisten Installationen mittlerer Größe ist die Arbeit in ein bis zwei Tagen abgeschlossen, einschließlich der Konfiguration von HikCentral und der Schulung des Personals.
Kann ich für verschiedene Mitarbeiter unterschiedliche Berechtigungsstufen festlegen?
Ja. HikCentral ermöglicht die Erstellung beliebig vieler Zugriffsprofile: Zum Beispiel kann die Verwaltung während der Bürozeiten auf alle Bereiche zugreifen, das Produktionspersonal nur auf die Halle, und der Reinigungsdienst hat Zugriff nur auf ein bestimmtes Zeitfenster.
Wir analysieren Ihr aktuelles Zutrittssystem, erklären Ihnen klar die realen Risiken und schlagen Ihnen eine maßgeschneiderte Lösung vor. Unverbindlich.
Audit anfordern →Weitere Informationen: Zutrittskontrolle DDR360 · KI-Videoüberwachung · Abdeckung Alicante und Murcia · Kostenlose Prüfung