DESFire vs. MIFARE Classic

Die weiße Proximity-Karte, die Ihr Unternehmen seit zehn Jahren verwendet, kann in weniger als fünf Sekunden mit einem Gerät geklont werden, das weniger als 20 Euro kostet. Man muss kein professioneller Hacker sein: Frei erhältliche Lese-Kopiergeräte sind genau dafür gemacht, und ein großer Teil der in Büros, Hallen und Gemeinschaften in Alicante und Murcia installierten Zutrittskontrolle nutzt noch immer Technik, die solche Geräte lesen können.

Bei DDR360 installieren wir Hikvision-Zutrittskontrollsysteme von Torrevieja aus für die gesamte Provinz Alicante und die Region Murcia. In diesem Artikel erklären wir mit der technischen Genauigkeit, die es verdient, warum klassische Karten anfällig sind, was sich mit DESFire-Verschlüsselung wirklich ändert, und wie man je nach zu schützender Anlage zwischen Karte, PIN oder Gesichtsbiometrie wählt.

Warum klassische Näherungskarten unsicher sind

Die meisten in Spanien in den letzten zwanzig Jahren installierten Zutrittskarten nutzen RFID mit niedriger oder hoher Frequenz mit Chips wie EM4100 oder MIFARE Classic. Das eigentliche Problem ist nicht die Funkfrequenz an sich, sondern dass diese Chips vor mehr als zwei Jahrzehnten mit einem Sicherheitsniveau entwickelt wurden, das technisch veraltet ist.

Der bekannteste Fall ist MIFARE Classic, das einen proprietären Verschlüsselungsalgorithmus namens Crypto1 verwendet. 2008 veröffentlichten Sicherheitsforscher praktische Angriffe, die diese Verschlüsselung innerhalb von Minuten brechen, und seitdem gibt es Hardware-Werkzeuge (das bekannteste ist der Proxmark, es gibt aber auch deutlich günstigere und einfachere Kopiergeräte), die den Karteninhalt aus der Ferne auslesen, die internen Schlüssel berechnen und ein exaktes Duplikat auf eine Rohkarte schreiben können. Der gesamte Vorgang dauert mit der richtigen Ausrüstung nur Sekunden, ohne dass der Besitzer der Originalkarte etwas bemerkt — es reicht, nah genug heranzukommen, etwa im Vorbeigehen in einem Café.

Hinzu kommt ein Verwaltungsproblem, nicht nur ein technisches: Wenn das Klonen so einfach ist, das Zutrittsprotokoll wird unzuverlässig. Wenn zwei identische Karten dieselbe Tür öffnen können, lässt das Protokoll „wer ist wann eingetreten“ nicht mehr mit Sicherheit erkennen, ob es der rechtmäßige Mitarbeiter war oder jemand mit einer Kopie. Für ein Unternehmen, das Zutrittskontrolle zu sensiblen Bereichen nachweisen können muss (Serverraum, Lager mit Wertware, Archiv mit Kundendaten), ist dieser Verlust der Nachvollziehbarkeit ebenso schwerwiegend wie der physische Einbruch selbst.

Was die DESFire-AES128-Verschlüsselung anders macht

Die technische Antwort auf dieses Problem ist MIFARE DESFire mit AES128-Verschlüsselung, derselbe Verschlüsselungsstandard, der EMV-Chipkarten und einen Großteil der Online-Bankkommunikation schützt. Der Unterschied zum Crypto1 der klassischen Karten ist keine Frage des Grades, sondern eine ganze technologische Generation.

AES (Advanced Encryption Standard) mit 128-Bit-Schlüssel ist ein öffentlicher Algorithmus, der jahrelang von der gesamten weltweiten Kryptografie-Community geprüft wurde, und bis heute ist kein praktischer Angriff bekannt, der ihn mit kommerziell verfügbarer Hardware in vertretbarer Zeit brechen könnte. Jede DESFire-Karte kann zudem mit einem ein eindeutiger Hauptschlüssel pro Anlage: Selbst wenn es jemandem gelänge, das System eines anderen Unternehmens zu kompromittieren, ist dieser Schlüssel für Ihres nutzlos. Die 20-Euro-Lesegeräte, die eine MIFARE-Classic-Karte in Sekunden klonen, verfügen schlicht nicht über die Rechenleistung oder den Zugriff auf den kryptografischen Schlüssel, der nötig wäre, um einen korrekt konfigurierten DESFire-Ausweis zu reproduzieren.

In der Praxis bedeutet das: Den alten Kartenbestand durch DESFire-Ausweise zu ersetzen, ist keine überzogene Technikverliebtheit, sondern schließt den günstigsten und am häufigsten genutzten Einstiegspunkt für unbefugten Zutritt.

Gesichtsbiometrie, Karte oder PIN: ein echter Vergleich

Es gibt keine universell beste Zutrittsmethode, sondern die passende Methode für jede Situation. Hier sind die tatsächlichen Vor- und Nachteile jeder einzelnen:

Der entscheidende Vorteil der Gesichtsbiometrie gegenüber Karte und PIN ist nicht nur die Geschwindigkeit: Sie löst das einzige Problem, das keine der beiden anderen Methoden konstruktionsbedingt lösen kann — dass ein Mitarbeiter für jemand anderen einstempelt oder die Tür öffnet. Nicht einmal die sicherste Karte am Markt verhindert, dass ihr Besitzer sie an einem verspäteten Tag an einen Kollegen verleiht; ein Gesicht kann man nicht verleihen. Deshalb kombinieren viele Unternehmen in besonders sensiblen Bereichen (Serverräume, Nachtschichtzugänge, Zeiterfassung) eine DESFire-Karte für den Alltag mit einem Gesichtsleser an kritischen Punkten.

Anwendungsfälle nach Art der Anlage

Die Auslegung eines Zutrittskontrollsystems unterscheidet sich stark je nach Art der Anlage. Dies sind die häufigsten Muster, die wir in Alicante und Murcia sehen:

Büros. Der häufigste Fall: DESFire-Karte für den Haupteingang und Gemeinschaftsbereiche, mit Gesichtsbiometrie ausschließlich für den Serverraum oder das Büro der Geschäftsführung. Die zentrale Verwaltung erlaubt es, einen neuen Mitarbeiter innerhalb von Sekunden an allen Türen gleichzeitig anzumelden und seinen Zugang am Tag seines Ausscheidens sofort zu widerrufen, ohne physisch einen Schlüssel einsammeln zu müssen.

Industriehallen und Lager. In den Industriegebieten der Region (zum Beispiel rund um Elche, San Vicente del Raspeig oder Cartagena) ist die Herausforderung meist anders: Es geht nicht nur darum, wer das Gebäude betritt, sondern auch darum, den Verkehr von Lieferanten- und Speditions-LKW zu steuern. Hier kommt die automatische Kennzeichenerkennung: Die Schranke öffnet sich automatisch, wenn sie ein autorisiertes Fahrzeug auf der Liste erkennt, ohne dass der Fahrer aussteigen oder ein Wachmann physisch am Pförtnerhaus stehen muss. Für Personal zu Fuß verhindern Drehkreuze mit DESFire-Karte, dass sich jemand unbefugt während der Warenbewegung einschleicht.

Hausgemeinschaften. Das ist ein besonders relevanter Anwendungsfall an der Costa Blanca und der Costa Cálida, wo Wohnanlagen und Gemeinschaften mit hoher Fluktuation an Eigentümern (Saisonbewohner, Ferienvermietung) und oft einer Fahrzeugzufahrtsschranke am Eingang häufig sind. Die Kennzeichenerkennung ermöglicht es Eigentümern, ohne Fernbedienung oder Karte mit dem Auto einzufahren, während für Gartenpflege, Poolreinigung oder Wartung QR-Codes oder temporäre Zugänge erzeugt werden können, die nur am vereinbarten Tag und Zeitraum gültig sind. Das löst ein häufiges Problem in Gemeinschaften mit jährlich wechselndem Vorsitzenden: Niemand muss bei einem Dienstleisterwechsel physisch Fernbedienungen abholen oder übergeben.

Zentrale Verwaltung mit HikCentral

All das (DESFire-Karten, Gesichtsleser, Schranken mit Kennzeichenerkennung) braucht ein steuerndes Gehirn, und genau hier kommt HikCentral, die zentrale Verwaltungsplattform von Hikvision. Über eine einzige Konsole, zugänglich per Web oder mobiler App, kann der Verantwortliche der Anlage Nutzer an allen Türen gleichzeitig anmelden oder abmelden, unterschiedliche Zutrittszeiten pro Person oder Gruppe festlegen (zum Beispiel, dass das Reinigungspersonal nur von 7:00 bis 9:00 Uhr eintreten darf) und den vollständigen Zutrittsverlauf mit Datum, Uhrzeit und genauem Ort einsehen.

Die Funktion, die unsere Kunden im Alltag am meisten schätzen, ist die Zugangswiderruf mit einem Klick vom Mobiltelefon. Verlässt ein Mitarbeiter das Unternehmen, müssen weder Schlösser gewechselt noch Schlüssel eingesammelt werden: Sein Ausweis wird vom Telefon aus deaktiviert, und genau in diesem Moment verliert er den Zugang zu jeder Tür des Systems. Geht eine Karte verloren, ist das Vorgehen identisch: Genau dieser Ausweis wird gesperrt, ohne andere zu beeinträchtigen — undenkbar bei einem physischen Schlüssel, der von einem ganzen Gebäude geteilt wird.

Häufig gestellte Fragen zur Zutrittskontrolle

Lässt sich das neue System mit meinen vorhandenen Türen und Schlössern kombinieren?
In den meisten Fällen ja. Die DESFire- und Gesichtserkennungsleser werden in das vorhandene elektrische Schloss oder Drehkreuz integriert; nur wenn das Schloss rein mechanisch ist und keine elektrische Öffnung besitzt, muss es vollständig ausgetauscht werden.

Was passiert bei einem Stromausfall oder Ausfall der Internetverbindung?
Die Türcontroller speichern autorisierte Ausweise lokal und funktionieren auch bei Ausfall der Internetverbindung eigenständig weiter; verloren geht vorübergehend nur die Fernverwaltung und die Synchronisierung des Verlaufs, die bei Wiederherstellung der Verbindung automatisch nachgeholt wird.

Speichert die Gesichtsbiometrie ein identifizierbares Foto jeder Person?
Nicht im herkömmlichen Sinn. Das System extrahiert und speichert eine mathematische Vorlage (eine Reihe von Gesichtsmerkmalspunkten), die keine Rekonstruktion eines Fotos erlaubt — nach demselben Prinzip, das auch andere biometrische Systeme am Markt zum Schutz der Datenprivatsphäre verwenden.

Wie lange dauert die Installation in einem bereits bestehenden Büro oder einer Halle?
Das hängt von der Anzahl der Türen ab und davon, ob neue Verkabelung verlegt oder vorhandene Infrastruktur genutzt werden kann. Bei den meisten mittelgroßen Anlagen ist die Arbeit in ein bis zwei Tagen abgeschlossen, inklusive HikCentral-Konfiguration und Mitarbeiterschulung.

Kann ich für verschiedene Mitarbeiter unterschiedliche Berechtigungsstufen festlegen?
Ja. HikCentral ermöglicht die Erstellung beliebig vieler Zutrittsprofile: zum Beispiel, dass die Verwaltung während der Bürozeiten Zugang zu allen Bereichen hat, das Produktionspersonal nur zur Halle Zugang hat und der Reinigungsdienst auf ein bestimmtes Zeitfenster beschränkt ist.