Wie sicher sind RFID-Zutrittskarten wirklich?

Wer fragt, ob RFID-Zutrittskarten sicher sind, bekommt keine einfache Ja-oder-Nein-Antwort. Einige Systeme sind erstaunlich robust, andere erschreckend schwach – und oft entscheidet nicht die Karte allein, sondern die gesamte Zutrittsarchitektur. Viele sprechen über RFID cards, als gäbe es nur eine Technologie mit einem festen Sicherheitsniveau. Das stimmt nicht. Eine einfache 125-kHz-Proximity-Karte in einem älteren Bürogebäude ist etwas völlig anderes als eine verschlüsselte 13,56-MHz-Smartcard, die mit modernen Lesern, sauberem Schlüsselmanagement und geschützter Kommunikation zum Zutrittskontrollsystem arbeitet.

Diese Unterscheidung ist wichtig, weil Einkäufer häufig nach Begriffen wie RFID-Zutrittskarten Sicherheit, sichere RFID-Zutrittskarten, Schutz vor RFID-Karten-Klonen oder beste RFID-Karten für Zutrittskontrolle suchen und dabei eine einfache Produktempfehlung erwarten. In der Praxis gibt es diese selten. Die entscheidende Frage lautet eher: Wie sicher ist das gesamte Ausweissystem, das Sie einführen möchten, und wie konsequent wird es nach der Installation betrieben?

Warum die Sicherheit von RFID-Zutrittskarten so stark variiert

Die schwache Seite des Marktes lässt sich leicht erklären. Viele ältere RFID-Zutrittskarten senden kaum mehr als eine statische Kennung. Kann jemand diese Kennung auslesen, lässt sie sich häufig auf eine andere Karte oder einen Emulator kopieren. Praktisch bedeutet das: Ein Ausweis kann in wenigen Minuten dupliziert werden, wenn das System nur einer unverschlüsselten, festen Kartennummer vertraut. Viele Gebäude nutzen dieses Modell noch immer, weil es günstig, vertraut und bereits installiert ist. Was vor zehn Jahren bequem war, wirkt heute jedoch oft wie eine offene Schwachstelle.

Ein Gebäudemanager eines Bürokomplexes am Stadtrand musste genau diese Erfahrung machen. Mieter meldeten verdächtige Zutritte außerhalb der Arbeitszeiten, doch es gab keine Spuren gewaltsamen Eindringens. Am Ende stellte sich heraus, dass weder Schlossmanipulation noch ein spektakulärer Insiderangriff dahintersteckte. Ein Dienstleister hatte während routinemäßiger Wartungsbesuche mehrere Niederfrequenzkarten kurz in der Hand und kopiert. Die Ausweise waren alte Proximity-Karten mit statischen IDs, und das System akzeptierte jede Nummer, die der Leser sah. Aus Sicht des Managers hatten die Karten jahrelang funktioniert. Aus Sicht eines Angreifers waren sie fast eine Einladung.

Statische Kennungen erhöhen das Klonrisiko deutlich

Deshalb gelten Niederfrequenz-Proximity-Karten, besonders ältere 125-kHz-Formate, oft als schwächster Bereich der RFID-Ausweissicherheit. Sie sind in Bürogebäuden, Wohnanlagen, Fitnessstudios und Parksystemen weiterhin verbreitet, eignen sich aber nur eingeschränkt, wenn Klonresistenz wichtig ist. Wenn Ihr aktuelles System allein auf einer Kartennummer basiert, sollten Sie davon ausgehen, dass der Ausweis kopiert werden kann, solange nicht eindeutig das Gegenteil nachgewiesen ist.

Verschlüsselte Smartcards verändern das Sicherheitsmodell

Das bedeutet jedoch nicht, dass alle RFID-Karten leicht zu kompromittieren sind. Hochfrequente Smartcards mit 13,56 MHz können echte kryptografische Schutzmechanismen unterstützen. Wenn Unternehmen verschlüsselte RFID-Karten, MIFARE DESFire EV2, DESFire EV3, iCLASS SEOS oder andere sichere Credential-Technologien prüfen, bewegen sie sich in einer ganz anderen Sicherheitsklasse. Solche Karten können gegenseitige Authentifizierung, diversifizierte Schlüssel, geschützte Speicherbereiche und verschlüsselte Datenübertragung unterstützen. Das ist kein Marketingversprechen, sondern verändert die Angriffsfläche spürbar.

Eine private Klinik erkannte diesen Unterschied nach einer Compliance-Prüfung sehr schnell. Ursprünglich ging es um Patientendaten, doch die Schwachstelle lag beim physischen Zutritt. Die alten Mitarbeiterausweise waren leicht zu duplizieren, und eine kopierte Karte konnte Türen zu Aktenräumen, Medikamentenlagern und Personalbereichen öffnen. Die Klinik stellte auf verschlüsselte Smartcards um, tauschte RFID readers aus, rotierte Schlüssel über einen kontrollierten Credential-Management-Prozess und ergänzte Sabotagealarme an Lesern. Das Ergebnis waren nicht nur bessere Karten, sondern ein stärkeres Zutrittskontrollsystem. Der Sicherheitsgewinn entstand durch den gesamten Stack, nicht durch ein einzelnes Stück Kunststoff.

Genau dieser Systemgedanke wird in vielen Projekten unterschätzt. Unternehmen fragen, ob RFID-Zutrittskarten sicher sind, vergessen aber zu prüfen, ob die Kommunikation zwischen Leser und Controller geschützt ist, ob Schlüssel korrekt verwaltet werden, ob verlorene Karten schnell gesperrt werden, ob Anti-Passback-Regeln sinnvoll aktiviert sind und ob Tailgating überwacht wird. Eine moderne Karte kann kryptografisch stark sein und trotzdem in einer schwachen Installation betrieben werden.

Ein Logistiklager erlebte genau diese Lücke. Das Management hatte in vermeintlich sichere RFID-Ausweise investiert, doch der Installateur beließ Standardzugänge in Teilen der Zutrittssoftware und nutzte ein flaches, schlecht segmentiertes Netzwerk für Leser und Controller. Die Karten selbst waren nicht einfach zu klonen, dennoch blieb das System angreifbar, weil die Umgebung nachlässig aufgebaut war. Ein Angreifer musste die Karte nicht brechen. Er musste nur den einfacheren Weg finden. Das ist eine zentrale Lektion der Zutrittssicherheit: Angreifer wählen selten den technisch elegantesten Pfad, sondern den günstigsten.

Moderne Frequenz bedeutet nicht automatisch moderne Sicherheit

Zusätzlich gibt es eine Grauzone, die viele Käufer verunsichert. Manche Kartentechnologien klingen modern, weil sie kontaktlos arbeiten und 13,56 MHz nutzen. Allein das garantiert aber noch keine hohe Sicherheit. Bestimmte ältere Smartcard-Formate wurden populär, weil sie günstig und flexibel waren, weisen jedoch bekannte Schwächen auf oder wurden über Jahre hinweg unsicher implementiert. In Beschaffungsgesprächen führen pauschale Aussagen wie sicherer Chip oder smartes RFID-Credential schnell in die Irre. Sie müssen wissen, welche Credential-Familie eingesetzt wird, wie die Verschlüsselung funktioniert, wie Schlüssel ausgegeben werden, ob nur die UID vertraut wird und ob das System geschützte Leserkommunikation wie OSDP Secure Channel unterstützt, sofern dies relevant ist.

Ein Co-Working-Anbieter konzentrierte sich einmal fast ausschließlich auf Kartendesign, Markenauftritt und schnelles Besucher-Onboarding. Die Ausweise sahen hochwertig aus, die mobile App wirkte modern und der Empfangsprozess war angenehm. Hinter den Kulissen wurden verlorene Karten jedoch nicht zeitnah deaktiviert, temporäre Karten hatten keine klare Ablaufregel und mehrere Türen akzeptierten während einer Übergangsphase sowohl alte als auch neue Formate. Ein ehemaliges Mitglied nutzte Monate nach Ende seiner Berechtigung noch einen alten Ausweis. Ein kryptografischer Angriff war nicht nötig. Das Problem war nachlässiges Lebenszyklusmanagement. Viele reale Vorfälle entstehen nicht durch spektakuläres Kartenhacking, sondern durch unsaubere Prozesse.

Was macht ein RFID-Zutrittssystem wirklich sicher?

Was macht ein RFID-Zutrittskartensystem in der Praxis sicher? Erstens sollte das Credential nicht nur auf einer festen Kennung beruhen. Zweitens sollten Karte und Leser einander mit starker Verschlüsselung authentifizieren. Drittens muss das Backend Schlüsselmaterial schützen und sichere Ausgabeprozesse unterstützen. Viertens darf die Verbindung vom Leser zum Controller nicht ungeschützt bleiben. Fünftens müssen verlorene oder gestohlene Karten sofort gesperrt werden können. Sechstens sollte der Standort auch Schwächen außerhalb der Karte berücksichtigen, etwa abgestützte Türen, geteilte Ausweise und Tailgating. Ohne diese Kontrollen kann selbst ein hochwertiges Credential-Programm hinter seinen Möglichkeiten bleiben.

Ein kleines Elektroniklabor stieß auf eine unangenehme Variante dieses Problems, als der Zutritt zum Prototypenbereich verschärft werden sollte. Das Unternehmen wechselte zu höherwertigen Smartcards. Um den Betrieb zu vereinfachen, verwendete der Integrator jedoch dieselben Master Keys über zu viele Kartenchargen und Lesergruppen hinweg. Auf dem Papier hatte der Standort sichere RFID-Zutrittskarten eingeführt. In der Realität war die Schlüsselverwaltung zu locker. Nachdem das Sicherheitsteam den Fehler erkannte, wurde die Credential-Hierarchie neu aufgebaut, Schlüssel wurden je Anwendung diversifiziert, Hochrisikozonen vom allgemeinen Bürozugang getrennt und die Ausgabeberechtigung strenger geregelt. Nicht die Karten hatten versagt, sondern die operativen Abkürzungen.

Eine hilfreiche Denkweise ist der Vergleich mit Passwörtern. Ein schwaches, mehrfach genutztes Passwort ist nicht dasselbe wie ein langes, einzigartiges Passwort mit zusätzlicher Multi-Faktor-Absicherung. Bei RFID-Zutrittskarten gilt dieselbe Logik. Eine einfache Karten-ID ähnelt einem schwachen Passwort. Ein verschlüsseltes Smart Credential mit sicherer Ausgabe und Systemkontrollen entspricht eher einem modernen Identitätsstack. Es ist nicht perfekt, aber deutlich schwerer zu missbrauchen.

Das Klonrisiko hängt vom Credential-Typ ab

Damit sind wir beim Thema Klonen, nach dem Käufer besonders häufig suchen. RFID-Karten-Klonen ist real, aber nicht bei allen Technologien gleich realistisch. Einen einfachen Niederfrequenzausweis zu kopieren, kann mit preiswerten Werkzeugen trivial sein. Ein sauber implementiertes verschlüsseltes Credential zu duplizieren, ist eine völlig andere Aufgabe. Die Frage sollte daher nicht abstrakt lauten, ob RFID gehackt werden kann. Unter bestimmten Bedingungen kann jedes System angegriffen werden. Sinnvoller ist die Frage, ob Ihr gewähltes System eine unbefugte Duplikation für gewöhnliche Angreifer, spezialisierte Angreifer oder praktisch niemanden außerhalb eines Labors oder Insiderumfelds realistisch macht.

Eine Universitätsverwaltung für Wohnheime stand genau vor dieser Unterscheidung, nachdem Studierende online über kopierte Wohnheimkarten berichteten. Das alte System basierte stark auf vorhersehbaren Ausweisnummern und schwachen Betriebskontrollen. Bei der Neugestaltung tauschte die Universität nicht nur das Kartenmaterial aus. Sie gab verschlüsselte Credentials aus, trennte Wohnheimzugänge von Berechtigungen für akademische Gebäude, verkürzte Gültigkeitsfenster für temporäre Karten und verband Türereignisse mit Verhaltensalarmen. Beschwerden über kopierte Karten gingen zurück. Ebenso wichtig war jedoch, dass die Untersuchungsqualität stieg, weil die Protokolle verlässlicher wurden.

Leserkonfiguration und Migration sind entscheidend

Ein weiterer oft unterschätzter Faktor ist das Verhalten der Leser. Eine sichere Karte in Verbindung mit einem unsicher konfigurierten Leser ist keine beruhigende Kombination. Leser sollten Credentials korrekt validieren, Downgrade-Verhalten verhindern und geschützt mit dem übergeordneten System kommunizieren. In gemischten Umgebungen können Fallback-Modi ein Risiko schaffen. Während Migrationen lassen manche Standorte alte und neue Credentials zu lange parallel zu. Das schwächste akzeptierte Format bestimmt dann faktisch das Sicherheitsniveau der Tür.

Ein Resortbetreiber bemerkte dies während einer schrittweisen Modernisierung. Die Gästezimmer waren bereits umgestellt, doch einige Mitarbeitereingänge akzeptierten aus Bequemlichkeit weiterhin ältere Credentials. Mitarbeitende nutzten Mehrzweckausweise, und ein kompromittierter Alt-Ausweis eröffnete einen Weg, der die teure Modernisierung an anderer Stelle unterlief. Das Management dachte in Kategorien von neuen und alten Türen. Angreifer denken in Kategorien der einfachsten Türen. Dieser Unterschied kann teuer werden.

Selbst bei starker Credential-Technologie bleibt das physische Verhalten entscheidend. Ein Rechenzentrumsdienstleister fiel einmal durch eine Sicherheitsprüfung, nicht weil jemand eine Karte geklont hatte, sondern weil Mitarbeitende sichere Türen in Stoßzeiten routinemäßig für Lieferteams offenhielten. Der Standort hatte in verschlüsselte Karten, sichere Ausgabeprozesse und saubere Protokolle investiert. Die praktische Schwachstelle war jedoch sozial und organisatorisch. Das ist kein Nebenthema. In Hochsicherheitsbereichen sind Tailgating und geteilte Nutzung oft realistischer als kryptografische Angriffe. Deshalb kombinieren starke Programme RFID-Credentials in sensiblen Zonen mit Schleusen, Drehkreuzen, Videoverifikation oder zumindest klaren Wachprozessen.

Mehrschichtige Zutrittskontrolle reduziert Ausweismissbrauch

Hinzu kommt die Frage, ob Karten allein ausreichen. In vielen Umgebungen ist das nicht der Fall. Multi-Faktor-Zutrittskontrolle wird attraktiver, weil sie den Wert einer verlorenen oder kopierten Karte reduziert. Für besonders kritische Räume kann die Kombination von RFID mit PIN, biometrischer Prüfung oder mobiler Freigabe sinnvoll sein. Das bedeutet nicht, dass jedes Büro an jeder Innentür eine aufwendige Zwei-Faktor-Lösung benötigt. Es bedeutet, dass die Kontrolle zum Schutzwert passen muss. Serverräume, Forschungslabore, Finanzbüros, Medikamentenlager und Vorstandsetagen haben ein anderes Risiko als ein allgemeiner Flur.

Ein regionales Fintech-Unternehmen löste dies sehr sauber. Mitarbeitende nutzten sichere RFID-Ausweise für normale Bewegungen im Büro. Für Treasury-Bereiche war während der Geschäftszeiten jedoch Ausweis plus PIN erforderlich, außerhalb der Geschäftszeiten zusätzlich eine verwaltete Freigabe. Temporäre Mitarbeitende erhielten zeitlich begrenzte Credentials, die automatisch abliefen, statt auf manuelle Sperrung zu warten. Sicherheit wurde nicht unsichtbar, aber berechenbar, mehrschichtig und schwerer beiläufig zu umgehen. Genau das ist meist das Ziel. Gute Zutrittskontrolle muss nicht dramatisch wirken. Sie muss zuverlässig sein.

Welche Fragen Käufer vor der Auswahl stellen sollten

Für Käufer, die RFID-Zutrittskartentypen vergleichen, ist es hilfreich, nicht nur über Kartenfrequenzen nachzudenken, sondern über das Vertrauensmodell. Vertraut die Tür einer sichtbaren Nummer oder einem kryptografisch geprüften Credential? Nutzt das System eindeutige Schlüssel oder überall dasselbe Muster? Können Berechtigungen in Echtzeit entzogen werden? Lässt sich prüfen, wer wann welches Credential ausgegeben hat? Bleibt die Leser-Firmware aktuell? Kann Ihr Integrator den Unterschied zwischen Karten-UID, Anwendungsdaten, diversifizierten Schlüsseln und Secure-Channel-Kommunikation ohne Ausflüchte erklären? Diese Fragen sagen deutlich mehr aus als eine glänzende Broschüre.

Ein pharmazeutischer Verpackungsbetrieb stellte genau diese Fragen, kurz bevor beinahe ein günstiges Ausweisprogramm eines Generalunternehmers ausgewählt wurde. Das Angebot wirkte beim Stückpreis attraktiv, die technische Erklärung blieb jedoch vage. Als das Werk nach Details fragte, wurde klar, dass das Design zu stark auf UID-basierte Validierung und schwache Segmentierung setzte. Das Team änderte die Richtung, obwohl dies höhere Anfangskosten bedeutete. Sechs Monate später wirkte diese Entscheidung klug statt teuer. Ein späteres Audit lobte das Werk nicht, weil es Premiumkarten gekauft hatte, sondern weil es die Credential-Architektur vor der Bestellung verstanden hatte.

Dazu kommt eine wirtschaftliche Realität. Viele Standorte behalten unsichere oder veraltete Credentials, weil der Austausch von Lesern, die Neuausgabe von Karten und die Schulung der Mitarbeitenden mühsam erscheinen. Das ist nachvollziehbar. Budgetdruck ist real. Doch Sicherheitsaltlasten wachsen leise. Je länger eine Organisation schwache Ausweistechnologie betreibt, desto mehr kopierte Karten, undokumentierte Ausnahmen und Kompatibilitätszwänge sammeln sich an. Die spätere Migration wird dadurch schwerer, nicht leichter.

Ein Fertigungsunternehmen erlebte dies nach einer Fusion. Ein Standort nutzte moderne verschlüsselte Smartcards, ein anderer ältere Proximity-Ausweise, und die Führung wollte schnell eine einheitliche Ausweispolitik. Zunächst lag es nahe, auf das ältere System zu vereinheitlichen, weil es kurzfristig einfacher wirkte. Nach Tests entschied sich das Unternehmen für den umgekehrten Weg. Es standardisierte stärkere Credentials, ersetzte zuerst kritische RFID access readers und setzte einen gestuften Migrationsplan mit festen Abschaltdaten für Altformate um. Der Rollout erforderte Aufwand, vermied aber die typische Falle, die Schwäche von gestern zugunsten der Bequemlichkeit von heute zu bewahren.

Fazit: Sind RFID-Zutrittskarten sicher?

Wie sicher sind RFID-Zutrittskarten also? Sicher genug für viele anspruchsvolle Anwendungen, wenn die richtige Technologie und saubere Prozesse gewählt werden. Überhaupt nicht sicher genug, wenn Unternehmen alle kontaktlosen Karten als austauschbar betrachten. Nicht das Kartenmaterial ist entscheidend, sondern das Vertrauensmodell. Wenn Ihr System noch auf einer lesbaren festen Nummer basiert, ist das Risiko höher, als viele Verantwortliche annehmen. Wenn Ihr System verschlüsselte Credentials, gutes Schlüsselmanagement, geschützte Leserkommunikation, klare Lebenszyklusprozesse und mehrschichtige physische Sicherheit nutzt, kann RFID ein sehr zuverlässiger Bestandteil einer Zutrittsstrategie sein.

Für die meisten Käufer ist der klügste nächste Schritt nicht die Frage nach dem billigsten RFID-Ausweis und auch nicht zwingend nach dem modernsten Chipnamen. Entscheidend ist eine Credential-Architektur, die zum Risiko des Standorts passt. Ein kleines Büro benötigt möglicherweise moderne verschlüsselte Karten, saubere Registrierung und schnelle Sperrung. Ein Krankenhaus, Forschungslabor oder datenintensives Unternehmen braucht zusätzlich segmentierte Berechtigungen, stärkere Audits, Multi-Faktor-Kontrollen in kritischen Bereichen und eine strenge Besuchersteuerung. Sicherheit ist kein Etikett auf einer Karte. Sie ist eine Systementscheidung, die konsequent wiederholt werden muss.

Klar gesagt: RFID-Zutrittskarten sind nur so sicher wie die Disziplin hinter ihrem Design. Das klingt weniger bequem als ein einfaches Ja oder Nein, ist aber die Wahrheit, die Käufer kennen sollten. Die gute Nachricht: Schwache Systeme sind längst nicht mehr die einzige Option. Sichere RFID-Credentials, stärkere Leser, besseres Schlüsselmanagement, mobile Credentials und engere Integration mit Zutrittskontrollplattformen geben Unternehmen deutlich mehr Spielraum für verantwortungsvolle Lösungen. Die schlechte Nachricht: Viele Standorte unterschätzen noch immer den Unterschied zwischen modernen kontaktlosen Credentials und alten Ausweisgewohnheiten. Wenn Sie sich nur eines merken, dann dies: Bewerten Sie die Sicherheit von RFID-Zutrittskarten nicht danach, ob der Ausweis eine Tür öffnet. Bewerten Sie sie danach, wie schwer es für die falsche Person ist, die Tür davon zu überzeugen, dass sie dazugehört.