Wenn Sie einen RFID-Leser absichern, prüfen Sie zuerst, welches Gerät mit dem IP-Netz verbunden ist. Viele Leser kommunizieren über eine serielle Leitung wie RS-485 mit einem Türcontroller. Erst der Controller oder die Verwaltungssoftware ist dann ans Netzwerk angeschlossen und muss geschützt werden.
Unterscheiden Sie die Funkverbindung zwischen Karte und Leser, die Verbindung zwischen Leser und Controller sowie den Netzwerkzugriff auf Controller und Verwaltungsgeräte. Für jede Verbindung gelten andere Schutzmaßnahmen. Testen Sie nur mit eigenen Geräten und Daten oder mit ausdrücklicher Freigabe.
Geräte und Verbindungen unterscheiden
Ein Reader ist nicht automatisch ein Netzwerkgerät. Der AXIS A4030-E von Axis Communications arbeitet laut Hersteller mit 13,56-MHz-RFID und OSDP über RS-485. Er unterstützt kein Power over Ethernet (PoE). In einer solchen Installation liegt die IP-Verbindung typischerweise beim Türcontroller, nicht beim Reader.
OSDP steht für Open Supervised Device Protocol. Der Standard regelt die Kommunikation zwischen Zutrittskontrollzentralen und angeschlossenen Geräten wie Lesern. Die Security Industry Association nennt IEC 60839-11-5:2020 als internationalen Standard und beschreibt den OSDP Secure Channel mit AES-128-Verschlüsselung. Diese Funktion schützt den Datenverkehr zwischen Reader und Controller, sofern beide Geräte sie unterstützen und sie korrekt eingerichtet ist.
Ein Reader kann auch direkt per USB an einen Rechner angeschlossen sein. Dann müssen Sie auch den Rechner, seine Benutzerkonten und die verwendete Software absichern. Prüfen Sie deshalb vor jeder Maßnahme, welche Geräte IP-Adressen haben, welche nur über eine serielle Leitung kommunizieren und wo die Verwaltung stattfindet.
OSDP Secure Channel aktivieren
Unterstützen Ihr Reader und Ihr Controller OSDP Secure Channel, aktivieren Sie den geschützten Modus und erzwingen Sie ihn, wenn die Geräte diese Einstellung anbieten. Die bloße Angabe „OSDP-fähig“ reicht nicht: Ein Gerät kann zusätzlich einen älteren Übertragungsmodus unterstützen, der weiterhin aktiv sein könnte.
Beim HID Signo Reader 20 nennt HID sowohl OSDP als auch Wiegand als unterstützte Schnittstellen. In einem eigenen Sicherheitshinweis beschreibt HID Wiegand als unverschlüsselt und nicht überwacht. Prüfen Sie deshalb in der tatsächlichen Konfiguration, welches Protokoll zwischen Reader und Controller läuft. Wenn beide Seiten OSDP Secure Channel unterstützen, planen Sie die Umstellung so, dass der Controller kompatibel ist und der Betrieb weiterläuft.
Schützen Sie auch die Schlüssel für den Secure Channel. HID warnt davor, werkseitige Schlüssel sowie Installations- und Testschlüssel im laufenden Betrieb zu verwenden. Axis weist für den A4030-E darauf hin, dass der Schlüssel bei der Ersteinrichtung im Klartext übertragen wird. Beaufsichtigen Sie daher die Inbetriebnahme und den Zugang zu den betreffenden Leitungen und Geräten. Verwenden Sie anschließend keine Standard- oder Testschlüssel weiter. Die genaue Einrichtung hängt vom Modell ab; folgen Sie dafür der Herstellerdokumentation Ihres Readers und Controllers.
Türcontroller und Verwaltungszugänge absichern
Beschränken Sie den Netzwerkzugriff auf die Komponenten, die tatsächlich eine IP-Verbindung benötigen. Je nach Installation benötigen Türcontroller eine IP-Verbindung. Auch Server oder Verwaltungsrechner können dazugehören. Lassen Sie diese Geräte nur mit den Geräten kommunizieren, die sie für den Betrieb brauchen. Erlauben Sie den Verwaltungszugriff nur autorisierten Konten und Rechnern. Prüfen Sie außerdem, welche Netzwerkdienste der Controller bereitstellt und ob sie für den Betrieb gebraucht werden.
Führen Sie ein Geräteverzeichnis. Erfassen Sie darin Modell und Standort sowie Netzwerkverbindung und Firmwarestand. Notieren Sie auch das aktive Reader-Controller-Protokoll. So erkennen Sie, ob ein Reader nur per RS-485 angeschlossen ist oder selbst über Ethernet erreichbar ist. Halten Sie Firmware und Verwaltungssoftware aktuell und prüfen Sie, ob der Hersteller das Gerät noch unterstützt. Axis führt für den A4030-E beispielsweise Softwareversion 1.2.30 und Support bis zum 31. Dezember 2031 auf. Solche Angaben ändern sich; gleichen Sie sie vor einer Beschaffung oder Wartung mit der aktuellen Herstellerseite ab.
Funktionen wie Secure Boot, signierte Software oder ein Secure Element können nützlich sein. Sie zeigen allein nicht, dass diese Funktionen im installierten Zutrittssystem aktiv sind oder dass Controller, Server und Netzwerk sicher eingerichtet sind.
RFID-Funk und Netzwerk getrennt absichern
NFC ist ein auf RFID basierender Funkstandard für kurze Entfernungen. Die AusweisApp des Bundes nennt für NFC eine typische Distanz von 5 bis 10 Zentimetern. Diese Angabe ist keine garantierte Reichweitengrenze für jedes Gerät und jede Umgebung. Vor allem sagt sie nichts darüber aus, ob ein Controller im IP-Netz erreichbar ist.
Eine RFID-Schutzhülle oder ein abgeschirmtes Kartenetui kann helfen, eine Karte vor unerwünschtem kontaktlosem Auslesen zu schützen. Eine solche Hülle schützt jedoch weder die Verbindung zwischen Reader und Controller noch den Netzwerkzugang eines Controllers. Prüfen Sie daher die Funk- und Netzwerksicherheit getrennt.
Auch bei Karten und Tags kommt es auf das konkrete Verfahren an. Der AXIS A4030-E unterstützt laut Datenblatt ISO 14443-A und verschiedene MIFARE-Varianten. HID nennt beim Signo Reader 20 NFC, 13,56-MHz-Karten und ältere 125-kHz-Karten. Daraus geht nicht hervor, wie sicher eine bestimmte Karte eingerichtet ist. Berücksichtigen Sie das verwendete Kartenverfahren und die dazugehörige Schlüsselverwaltung.
RFID-Tests vorab genehmigen
Schreiben Sie vor einer technischen Prüfung auf, welche Reader, Controller, Karten und Daten dazugehören. Halten Sie auch fest, wer die Prüfung genehmigt und wann sie endet. Nutzen Sie nur eigene Testkarten und Daten oder Material, für das eine ausdrückliche Freigabe vorliegt. Lesen oder speichern Sie keine fremden Ausweise, Kundenkarten oder Zugangsdaten.
Beachten Sie dabei auch die rechtlichen Grenzen. §§ 202a und 202b StGB betreffen unter bestimmten Voraussetzungen den unbefugten Zugang zu besonders gesicherten Daten beziehungsweise das unbefugte Verschaffen von Daten aus einer nichtöffentlichen Übermittlung oder elektromagnetischen Abstrahlung. Ob eine konkrete RFID- oder Netzwerkmessung darunter fällt, hängt von den Umständen ab. Die Vorschriften lassen sich nicht pauschal auf jeden Lesevorgang übertragen.
Wenn Sie bei einer Prüfung personenbezogene Daten verarbeiten, gelten außerdem die Grundsätze der Datenschutz-Grundverordnung. Legen Sie den Prüfzweck fest, erfassen Sie nur die erforderlichen Daten und löschen Sie diese, sobald sie für die Prüfung nicht mehr gebraucht werden.
