DEF
DEF
Bei einem Physical Pentest in einem steirischen Bürogebäude genügte kurze Nähe zu einem Mitarbeiterausweis. Nach rund 40 Sekunden lag die Zutrittskarte als funktionierende Kopie vor — ohne dass die betroffene Person etwas bemerkt hätte.
Wie der Ablauf tatsächlich aussah
Der Vorgang war unspektakulär und genau das macht ihn gefährlich. Es brauchte keinen Exploit, keine Schadsoftware und keinen privilegierten Zugang — nur räumliche Nähe und ein Lesegerät in einer Umhängetasche.
- Mittagszeit, Warteschlange in der Kantine — Nähe von etwa 20 Zentimetern genügt
- Auslesen der Kennung im Vorbeigehen, ohne Sichtkontakt zur Karte
- Schreiben auf eine leere Rohlingkarte innerhalb weniger Sekunden
- Zwanzig Minuten später: unbeaufsichtigt vor dem Serverschrank im zweiten Stock
Warum das technisch funktioniert
Der Ausweis basierte auf 125-kHz-Technik, konkret einem HID-Prox-kompatiblen Format. Diese Karten senden eine feste Kennung, ohne jede kryptografische Absicherung — es gibt keinen Schlüsselaustausch, keine gegenseitige Authentifizierung und keinen Rollcode.
Eine 125-kHz-Karte ist kein Schlüssel. Sie ist ein Namensschild, das laut vorliest, wer sie trägt.
Das ist kein exotischer Sonderfall: Ein erheblicher Teil der Zutrittssysteme in österreichischen Betrieben läuft nach wie vor auf dieser Technik, oft seit der Erstinstallation vor zehn oder fünfzehn Jahren.
Was konkret hilft
Die gute Nachricht ist, dass die Gegenmaßnahmen bekannt und gestaffelt umsetzbar sind. Nicht alles muss sofort passieren.
- Kartentechnik ablösen: Umstieg auf 13,56 MHz mit gegenseitiger Authentifizierung, etwa DESFire EV2 oder EV3. MIFARE Classic ist keine Lösung — CRYPTO1 gilt seit Jahren als gebrochen.
- Zweite Barriere: Kritische Räume wie Serverraum und Archiv bekommen eine eigene Kontrolle, damit ein kopierter Ausweis nicht das ganze Haus öffnet.
- Besucherprotokoll: Ein Verfahren, das auch bei bekannten Gesichtern greift. Genau dort versagen die meisten Regelungen.
Für den Kunden war der Bericht am Ende weniger ein Schuldnachweis als ein Budgetargument: Die Fotodokumentation mit Zeitstempel hat in der Geschäftsführung mehr bewegt als drei Jahre schriftlicher Hinweise der IT-Abteilung.
