Können RFID-Tags gehackt werden? Experten erklären

Was bedeutet „RFID gehackt“ eigentlich?

Auf die Frage, ob RFID-Tags gehackt werden können, lautet die ehrliche Antwort: Ja, einige lassen sich tatsächlich angreifen. Diese Aussage allein ist jedoch zu pauschal, um wirklich hilfreich zu sein. Sie erzeugt eher Unsicherheit, als für Klarheit zu sorgen. Präziser ist folgende Einordnung: Manche RFID-Systeme sind leicht angreifbar, andere überraschend widerstandsfähig. Das tatsächliche Risiko hängt meist weniger von der RFID-Technologie selbst als von der ursprünglichen Systemarchitektur ab.

Diese Unterscheidung ist wichtig, weil Unternehmen häufig zu allgemein über RFID-Sicherheit sprechen. Sie fragen, ob RFID sicher oder unsicher sei, als ließen sich sämtliche RFID-Tags derselben Kategorie zuordnen. Das wäre vergleichbar mit der Frage, ob Schlösser sicher sind, ohne zwischen einer Hotel-Schlüsselkarte, einem Fahrradschloss und einem Banktresor zu unterscheiden. RFID ist keine einheitliche Technologieklasse. Kostengünstige passive UHF-RFID-Tags für die Bestandsverfolgung bieten nicht dasselbe Sicherheitsniveau wie verschlüsselte RFID-Karten. NFC-Tags für die Kundeninteraktion funktionieren anders als hochsichere Zugangsdaten. Ein RFID-Etikett auf einem Karton und ein geschützter RFID-Ausweis für die Zutrittskontrolle dürfen daher nicht nach denselben Maßstäben bewertet werden.

Sicherheitsexperten beginnen deshalb meist mit einer anderen Frage: nicht, ob RFID gehackt werden kann, sondern welche Werte konkret geschützt werden sollen. Geht es um Bestandstransparenz, Zutrittskontrolle, Produktauthentifizierung, Patientensicherheit, Asset-Tracking, Zahlungsdaten oder den Schutz vor Produktfälschungen? Das jeweilige Bedrohungsmodell bestimmt die erforderlichen Maßnahmen.

Praxiserfahrungen aus Unternehmen

Ein regionaler Bekleidungshändler musste diese Lektion auf unangenehme Weise lernen. Das Unternehmen führte UHF-RFID-Tags auf Artikelebene ein, um die Bestandsgenauigkeit im Einzelhandel zu verbessern. Nachdem ein neuer Betriebsleiter mehrere alarmierende Onlinebeiträge über das Klonen von RFID-Tags gelesen hatte, befürchtete er, Wettbewerber oder Diebe könnten das Geschäft aus der Ferne scannen und sämtliche Bestandsdaten stehlen. Eine Überprüfung mit einem Sicherheitsberater zeigte jedoch, dass sich das Unternehmen auf das falsche Problem konzentrierte. Die RFID-Etiketten enthielten weder sensible Kundendaten noch vertrauliche Preisinformationen. Sie speicherten hauptsächlich Artikelkennungen, die mit dem Backend-System des Händlers verknüpft waren. Die entscheidenden Risiken bestanden in Ladendiebstahl und ungenauen Beständen, nicht in einem spektakulären Cyberangriff vom Parkplatz aus. Unter geeigneten Bedingungen konnten die Tags zwar mit kompatiblen Geräten gelesen werden, doch die geschäftlichen Auswirkungen waren wesentlich geringer als zunächst angenommen.

Genau darauf weisen Experten häufig zuerst hin: RFID-Risiken müssen immer im jeweiligen Kontext bewertet werden. Ein Tag kann technisch lesbar oder sogar kopierbar sein, ohne eine ernsthafte Gefahr für das Unternehmen darzustellen, sofern das dahinterliegende System sinnvoll konzipiert ist. Umgekehrt kann ein technisch modern wirkendes System anfällig bleiben, wenn es sich zu stark auf statische Kennungen, schwache Authentifizierung oder ein blindes Vertrauen in den Tag verlässt.

Ein kleines Logistikunternehmen in Texas erkannte dies bei einem Projekt zur Zufahrtskontrolle auf dem Betriebsgelände. Um regelmäßig einfahrende Fahrzeuge schneller abzufertigen, setzte es kostengünstige RFID-Tags für Windschutzscheiben ein. Die erste Systemversion vertraute der Tagnummer jedoch zu stark: Stimmte die Nummer mit der Freigabeliste überein, öffnete sich das Tor. Das funktionierte, bis ein externer Auftragnehmer demonstrierte, wie einfach sich eine ältere Tagkennung mit handelsüblichen Werkzeugen nachbilden ließ. Das Unternehmen entdeckte die Schwachstelle, bevor es zu einem tatsächlichen Sicherheitsvorfall kam. Das Problem bestand nicht darin, dass die RFID-Technologie versagt hatte. Vielmehr war die Tag-ID fälschlicherweise als vollständiges Sicherheitskonzept behandelt worden. Nachdem das Unternehmen eine bessere Berechtigungsverwaltung, strengere Backend-Prüfungen und geregelte Sperrverfahren eingeführt hatte, ließ sich das System erheblich schwerer missbrauchen.

Diese Betrachtungsweise ist für die Bewertung von RFID-Hacking wesentlich hilfreicher. Ein RFID-Tag ist häufig nur ein Bestandteil einer umfassenden Vertrauenskette. Ist diese Kette nachlässig aufgebaut, lässt sich das System leichter ausnutzen. Besteht sie dagegen aus mehreren kontrollierten Sicherheitsebenen, kann dieselbe Tagtechnologie für den vorgesehenen Zweck vollkommen geeignet sein.

Häufige Angriffswege

Verschiedene Angriffsarten müssen klar voneinander getrennt werden, denn der Begriff „Hacking“ umfasst sehr unterschiedliche Szenarien. Ein RFID-System kann beispielsweise durch unbefugtes Auslesen, Klonen, Replay-Angriffe, mangelhafte Berechtigungsverwaltung, schwache Verschlüsselung, Standardpasswörter auf Lesegeräten, unsichere Backend-APIs oder unzureichend geschützte mobile Anwendungen gefährdet sein. In vielen realen Installationen ist der Tag selbst nicht einmal das schwächste Glied. Größere Risiken können von der Datenbank, der Reader-Konfiguration oder den Prozessen zur Registrierung und Sperrung von Berechtigungen ausgehen.

Eine private Krankenhausgruppe in Florida stellte dies bei der Überprüfung ihres Asset-Tracking-Systems fest. Einige Abteilungsleiter befürchteten, dass RFID-Tags an medizinischen Geräten gehackt werden und sensible Patientendaten offenlegen könnten. Das Sicherheitsteam untersuchte zunächst die Tags und stellte fest, dass darauf überhaupt keine Patientenakten gespeichert waren. Sie enthielten hauptsächlich Gerätekennungen, die mit internen Systemen verknüpft waren. Das größere Risiko lag in der Zugriffskontrolle des Software-Dashboards, auf dem Standort- und Wartungsinformationen angezeigt wurden. Der alarmierende Begriff „Hacking“ hatte die Aufmerksamkeit somit auf die Tags gelenkt, während die realistischere Schwachstelle in der gewöhnlichen Anwendungssicherheit lag. Experten erleben diese Verwechslung häufig: RFID wird verantwortlich gemacht, weil die Tags sichtbar sind, obwohl die eigentliche Sicherheitslücke an anderer Stelle besteht.

Dennoch sind einige RFID-Tags eindeutig leichter angreifbar als andere. Das ist keine übertriebene Befürchtung, sondern eine technische Tatsache. Preisgünstige RFID-Tags für die Lieferkettenverfolgung sind in der Regel auf Skalierbarkeit und niedrige Kosten ausgelegt, nicht auf ein besonders hohes Sicherheitsniveau. Viele passive UHF-RFID-Tags sollen keine vertraulichen Informationen schützen. Ihre Aufgabe besteht darin, Kartons, Paletten, Kleidungsstücke, Behälter und Betriebsmittel schnell zu identifizieren. Verwendet ein Unternehmen einen einfachen Inventartag als kryptografischen Berechtigungsnachweis, entsteht die Schwachstelle durch die falsche Auswahl und Anwendung der Technologie.

Ein Elektronikdistributor in Kalifornien machte bei einem frühen Pilotprojekt zur Fälschungsbekämpfung genau diesen Fehler. Das Unternehmen wollte die Echtheit seiner Produkte überprüfen, setzte jedoch anstelle eines speziell entwickelten sicheren NFC-Authentifizierungstags zunächst ein günstigeres Standard-RFID-Etikett mit einer statischen Kennung ein. Das Marketingteam unterstützte die Lösung, weil sie preiswert und leicht zu erklären war. Eine statische Kennung lässt sich jedoch häufig kopieren oder nachahmen, wenn das umgebende System ihr zu viel Vertrauen entgegenbringt. Der Distributor ersetzte diese Architektur später durch einen sichereren Ansatz, bei dem der Tag nur eine Ebene innerhalb eines umfassenden Authentifizierungsprozesses darstellte und nicht als alleinige Wahrheitsquelle diente. Die entscheidende Erkenntnis war nicht, dass RFID für den Markenschutz ungeeignet ist. Vielmehr hatte eine ungeeignete RFID-Architektur ein falsches Sicherheitsgefühl erzeugt.

Sichere RFID-Systeme richtig aufbauen

Experten betonen deshalb, dass Sicherheit keine Produkteigenschaft ist, die zufällig durch den Kauf eines bestimmten Tags entsteht. Sicherheit ist eine Eigenschaft des gesamten Systems. Beruht eine RFID-Implementierung auf statischen Kennungen, fehlender Verschlüsselung, schwachen Challenge-Response-Verfahren und einem weitreichenden Vertrauen in jede gültig wirkende Nummer, sollte mit möglichen Angriffen gerechnet werden. Nutzt das System dagegen stärkere kryptografische Verfahren, eine sichere Schlüsselverwaltung, Backend-Verifizierung, Anomalieerkennung und kontrollierte Registrierungsprozesse, ergibt sich ein deutlich besseres Sicherheitsniveau.

Eine Premium-Kosmetikmarke in Südkorea berücksichtigte dies bereits vor der Einführung und vermied dadurch spätere Probleme. Das Unternehmen wollte hochwertige Hautpflegeprodukte mithilfe von NFC authentifizieren, da in nicht autorisierten Vertriebskanälen bereits Fälschungen aufgetaucht waren. Statt nur zu fragen, ob NFC-Tags gehackt werden können, stellte die Marke eine sinnvollere Frage: Wie lässt sich das Authentifizierungssystem widerstandsfähig gestalten, selbst wenn jemand die Verpackung genau analysiert und nachzuahmen versucht? Daraus entstanden ein kundenspezifisches NFC-Tag-Design, eine konsequentere Serialisierung, eine dynamische Verifizierungslogik und Backend-Prüfungen auf verdächtige Aktivitäten. Dazu gehörten unmögliche Scanmuster oder wiederholte Aktivierungen in weit voneinander entfernten Regionen. Das Ergebnis war nicht unangreifbar, denn absolute Sicherheit gibt es nicht. Es ließ sich jedoch wesentlich schwerer überzeugend kopieren als ein einfaches NFC-Etikett, das lediglich auf eine URL weiterleitet.

An diesem Punkt erhält die Einschätzung von Sicherheitsexperten ihren praktischen Wert. Seriöse Fachleute sprechen selten in absoluten Aussagen. Sie behaupten weder, RFID sei grundsätzlich sicher, noch erklären sie die Technologie pauschal für unsicher. Stattdessen empfehlen sie, die passende Tagklasse für den jeweiligen Zweck zu wählen, keine unnötigen sensiblen Daten direkt auf dem Tag zu speichern und davon auszugehen, dass Kennungen beobachtet werden können. Darüber hinaus sollten das Backend abgesichert, das Vertrauen in statische Werte begrenzt sowie Verfahren zur Erkennung und Reaktion auf Angriffe eingerichtet werden. Diese Empfehlungen klingen weniger dramatisch als manche Medienüberschrift, sind für Unternehmen jedoch wesentlich hilfreicher.

Ein Universitätscampus in Arizona machte diese Erfahrung, nachdem eine studentische Sicherheitsgruppe Schwachstellen in einem älteren RFID-basierten Zutrittssystem nachgewiesen hatte. Innerhalb der Universität entstand zunächst der Eindruck, RFID-Zutrittskarten seien grundsätzlich kompromittiert. Eine genauere Analyse zeigte jedoch ein vertrautes Muster: Die älteren Berechtigungsmedien basierten auf überholten Sicherheitsannahmen, wurden unzureichend über ihren gesamten Lebenszyklus verwaltet und vertrauten geklonten Ausweiskennungen zu stark. Nachdem die Universität das Berechtigungsmodell modernisiert, die Reader-Richtlinien verbessert und die Kartenausgabe strenger kontrolliert hatte, war das Zutrittssystem deutlich besser geschützt. Die ursprüngliche Schwachstelle war weniger auf RFID als Technologie zurückzuführen als auf eine veraltete Implementierung, die zu lange nicht modernisiert worden war.

Dieses Muster tritt immer wieder auf. Technologien altern, Bedrohungen entwickeln sich weiter und Unternehmen vernachlässigen notwendige Aktualisierungen. Kommt es schließlich zu einem Vorfall, wird häufig die Technologiebezeichnung verantwortlich gemacht, obwohl die eigentliche Ursache in einer mangelhaften Wartungs- und Sicherheitskultur liegt.

Zwischen dem Auslesen eines Tags und der tatsächlichen Kompromittierung eines Systems besteht außerdem ein großer Unterschied. Viele Menschen hören, dass sich ein RFID-Tag auslesen lässt, und schließen daraus, dass das gesamte System unsicher sei. Diese Schlussfolgerung ist nicht gerechtfertigt. Bei der Bestandsverwaltung im Einzelhandel, beim Asset-Tracking, bei der Palettenverfolgung oder beim Tracking von Mehrwegtransportbehältern enthält der Tag häufig nur einen Referenzwert. Ist dieser Wert im Backend mit den eigentlichen Geschäftsregeln verknüpft und wird nicht wie ein Passwort behandelt, führt ein gelegentliches Auslesen nicht automatisch zu einem schwerwiegenden Sicherheitsrisiko.

Ein Getränkeabfüller in Deutschland begegnete diesem Missverständnis bei einem Programm für wiederverwendbare Paletten. Ein Manager befürchtete, Wettbewerber könnten durch das Auslesen der Paletten-Tags vertrauliche Logistikinformationen des Unternehmens erhalten. Der zuständige Sicherheitsberater ordnete das Risiko sachlicher ein. Auf den Tags waren hauptsächlich Asset-IDs und keine sensiblen Geschäftsdaten gespeichert. Das Auslesen einer Palettenkennung außerhalb des Unternehmens war nicht gleichbedeutend mit einem Zugriff auf die Palettenmanagement-Plattform. Die tatsächlichen Risiken bestanden im Verlust von Betriebsmitteln, einer unzureichenden Rückgabedisziplin und unzuverlässigen Lesepunkten, nicht in Industriespionage durch das Scannen von Tags an einer Laderampe. Diese Einordnung half dem Unternehmen, seine Sicherheitsressourcen auf die relevanten Schwachstellen zu konzentrieren.

In einigen Branchen sind allerdings strengere Anforderungen erforderlich. Zutrittskontrolle, Identitätsnachweise, zahlungsbezogene Anwendungen, regulierte Prozesse im Gesundheitswesen und Programme zur Fälschungsbekämpfung benötigen häufig ein höheres RFID-Sicherheitsniveau als eine gewöhnliche Kennzeichnung im Lager. Bei solchen Anwendungen muss die Möglichkeit eines RFID-Angriffs bereits ab dem ersten Planungstag berücksichtigt werden.

Ein Anbieter pharmazeutischer Verpackungslösungen in New Jersey setzte diese Unterscheidung konsequent um. Für die Logistiktransparenz bei Kartons und Paletten verwendete das Unternehmen standardisierte UHF-RFID-Tags, da Skalierbarkeit und Interoperabilität dort besonders wichtig waren. Als später eine Authentifizierung regulierter Produkte auf Artikelebene geprüft wurde, entschied es sich für ein sichereres NFC-basiertes Konzept mit einer stärkeren Verifizierungslogik. Das Unternehmen versuchte nicht, jede Aufgabe mit derselben RFID-Kategorie zu lösen. Stattdessen behandelte es die logistische Identifikation und die Produktauthentifizierung als verwandte, aber unterschiedliche Sicherheitsaufgaben. Genau dieses Vorgehen empfehlen erfahrene Fachleute.

Warum sichere Betriebsprozesse entscheidend sind

Ein häufig unterschätztes Problem sind unzureichende betriebliche Sicherheitsprozesse. Selbst eine technisch solide RFID-Architektur kann durch nachlässige Registrierung, unkontrollierten Zugriff auf Lesegeräte, unklare Deaktivierungsregeln oder gemeinsam genutzte Administratorkonten geschwächt werden. In der Praxis sind viele vermeintliche RFID-Hacks zumindest teilweise auf Prozessfehler zurückzuführen.

Eine internationale Luxushotelgruppe in Singapore machte diese Erfahrung mit RFID-basierten Zutrittsmedien für Gästezimmer. Das Management befürchtete zunächst komplexe Angriffe auf die Karten selbst. Die realistischere Schwachstelle lag jedoch in der Ausgabe von Ersatzkarten. Mitarbeiter konnten Zugangsberechtigungen teilweise erstellen oder verlängern, ohne dass diese Vorgänge ausreichend überwacht wurden. Die Technologie spielte zwar eine Rolle, doch die betrieblichen Kontrollen waren entscheidender. Nachdem das Hotel die Ausgabeprozesse, die Sperrung von Berechtigungen und die Audit-Protokolle verschärft hatte, verbesserte sich das praktische Sicherheitsniveau stärker, als es durch eine ausschließliche Konzentration auf die Tags möglich gewesen wäre.

Experten weisen außerdem darauf hin, dass die günstigste RFID-Lösung nur selten die sicherste ist. Das bedeutet nicht, dass ein höherer Preis automatisch mehr Sicherheit garantiert. Kostengünstige Tags für die Bestandskontrolle sind jedoch meist auf Wirtschaftlichkeit und nicht auf Angriffsfestigkeit ausgelegt. Kauft ein Unternehmen den billigsten verfügbaren Tag und erwartet anschließend sichere Authentifizierung, geschützte Zutrittskontrolle oder zuverlässigen Fälschungsschutz, schafft es die Voraussetzungen für einen späteren Sicherheitsvorfall selbst.

Ein Importeur hochwertiger Weine in Kalifornien hätte beinahe diesen Fehler gemacht. Für Reserveweine sollte ein digitales Echtheitserlebnis geschaffen werden. Zunächst prüfte das Unternehmen preiswerte NFC-Tags, die über allgemeine Vertriebskanäle erhältlich waren. Der niedrige Preis erschien attraktiv, bis ein Berater die Risiken einfach kopierbarer Tags mit einer ungeschützten Weiterleitungsfunktion erläuterte. Daraufhin entschied sich der Importeur für ein kontrollierteres RFID-Authentifizierungskonzept mit sicheren Backend-Prüfungen. Diese Entscheidung erhöhte zwar die Kosten pro Tag, schützte jedoch den eigentlichen Zweck des Projekts. Vereinfacht ausgedrückt lautet die Empfehlung von Sicherheitsexperten: Sind die Folgen eines Betrugs erheblich, darf Sicherheitstechnik nicht wie gewöhnliches Verbrauchsmaterial beschafft werden.

Empfehlungen von Experten zur RFID-Sicherheit

Können RFID-Tags also gehackt werden? Ja, einige können angegriffen werden. Manche lassen sich unbefugt auslesen, andere in schlecht konzipierten Systemen klonen. Ältere oder schwächere Umgebungen können anfällig für Replay-Angriffe sein. Selbst grundsätzlich sichere Implementierungen lassen sich durch menschliche Fehler, eine mangelhafte Schlüsselverwaltung oder eine nachlässige Backend-Architektur schwächen. Damit ist die Bewertung jedoch nicht abgeschlossen. An diesem Punkt beginnt vielmehr die für Unternehmen entscheidende Analyse.

Die wichtigere Frage lautet, welche Art von Angriff im konkreten Geschäftsumfeld tatsächlich relevant ist. Bei passiven UHF-RFID-Tags für die Bestandsverfolgung im Lager stehen meist Zuverlässigkeit, Interoperabilität und ein kontrollierter Umgang mit Daten stärker im Vordergrund als der Schutz vor hochentwickeltem Klonen von Berechtigungsmedien. Wird RFID hingegen für Zutrittskontrolle, Zahlungen oder die Authentifizierung fälschungsgefährdeter Produkte eingesetzt, müssen stärkere Tag-Sicherheitsfunktionen, Backend-Prüfungen und ein konsequentes Lebenszyklusmanagement von Anfang an eingeplant werden. Unterschiedliche Anwendungen erfordern unterschiedliche Schutzmaßnahmen.

Eine spezialisierte Modemarke in London setzte diese Unterscheidung sinnvoll um. Für die Bestandsgenauigkeit in den Filialen und das Lieferketten-Tracking verwendete sie gewöhnliche UHF-RFID-Etiketten, da diese Prozesse vor allem von Geschwindigkeit und Skalierbarkeit profitierten. Parallel testete die Marke eine separate, sichere NFC-Ebene für die Authentifizierung limitierter Produkte, weil in diesem Bereich Vertrauen und Nachahmungsrisiken eine größere Rolle spielten. Da nicht alle RFID-Anwendungen gleich behandelt wurden, vermied das Unternehmen sowohl einen unzureichenden Schutz sicherheitskritischer Prozesse als auch eine unnötig komplexe Absicherung einfacher Inventuraufgaben.

Dies ist wahrscheinlich die ehrlichste Schlussfolgerung, die Sicherheitsexperten geben würden: RFID ist weder automatisch ein Sicherheitswunder noch grundsätzlich ein Sicherheitsrisiko. Es handelt sich um eine Gruppe unterschiedlicher Technologien und Lösungen. Manche Implementierungen sind schwach, weil sie zu günstig, nachlässig oder ohne realistisches Bedrohungsmodell entwickelt wurden. Andere sind robust, weil sie geeignete Tags, eine sichere Architektur, einen verantwortungsvollen Umgang mit Daten und klar definierte Betriebsprozesse kombinieren. Wer fragt, ob RFID-Tags gehackt werden können, sucht häufig entweder Beruhigung oder eine Warnung. Tatsächlich benötigt das Unternehmen jedoch vor allem eine disziplinierte Systemplanung.

Unternehmen, die RFID-Produkte beschaffen oder ein RFID-System einführen, sollten die Technologie weder pauschal fürchten noch ihr blind vertrauen. Prüfen Sie, welche Daten der Tag speichert und welche Folgen ein unbefugtes Auslesen hätte. Fragen Sie, ob eine kopierte Kennung das System tatsächlich täuschen könnte. Klären Sie, wie Berechtigungen ausgegeben, geändert und gesperrt werden. Bewerten Sie, ob Verschlüsselung oder ein Challenge-Response-Verfahren erforderlich ist. Stellen Sie außerdem sicher, dass die entscheidenden Sicherheitsprüfungen im Backend stattfinden und nicht versehentlich zu viel Vertrauen in den Tag selbst gelegt wird.

Werden diese Fragen konsequent beantwortet, lässt sich das Risiko wesentlich klarer einordnen. Ja, RFID-Tags können in bestimmten Anwendungsszenarien gehackt werden. Entscheidend ist jedoch, ob das gesamte RFID-System nach professionellen Sicherheitsgrundsätzen aufgebaut wurde oder ob es auf Abkürzungen basiert, die nur so lange sicher wirken, bis jemand die Architektur genauer untersucht.