Mobile Access – die Lösung aller Probleme?
Seien wir ehrlich, Smartcards im Scheckkartenformat für Zutrittskontrollanwendungen sind lästig. Sie gehen verloren, werden vergessen oder sind veraltet. Obwohl MIFARE mit DESFire EV3 in der dritten Generation vorliegt, sind immer noch unsichere veraltete Smartcards im Einsatz. Der Aufwand der erforderlichen Prozesse wie Sperrung, Freigabe, Ausgabe, Rückforderung ist für Mitarbeiter und Besucher hoch. Wie schön wäre da eine Mobile-Access-Lösung?
Von Lutz Rossa:
Stellen wir uns vor, Sie benötigen eine Berechtigung für eine andere Liegenschaft Ihres Unternehmens, fangen neu in einer Firma an oder sind einfach Besucher eines zutrittskontrollierten Gebäudes. Für den Zugang erhalten Sie eine E-Mail auf ihr Smartphone mit einem Link zum Download einer App und einen Registrierungscode. Die erforderlichen Berechtigungen werden „over-the-air“ auf das Smartphone übertragen und ergänzende Informationen wie zum Beispiel ein Link zur Sicherheitsunterweisung und eine Anfahrtsbeschreibung waren auch dabei. Nun können Sie einfach ohne Warteschlange an der Pforte das Gebäude betreten, sich noch am Self-Service-Kiosk der Besucherverwaltung anmelden und COVID19-Fragen beantworten.
Stellen wir uns nun vor, Sie sind für Kartenverwaltung und -ausgabe verantwortlich und können die Zugangskontrolle elegant mittels der Verwaltungssoftware erledigen beziehungsweise via elektronischen Workflow über die zuständigen Kollegen im Haus. Sollte das Leseverfahren kompromittiert sein können Sie über ein einfaches Software-Update auf ein sicheres Verfahren wechseln. Pandemiebedingte Lieferprobleme von Halbleitern und dringend benötigten Smartcards bringen Sie nicht mehr aus der Ruhe. Dagegen freuen Sie sich, dass niemand mehr die Smartcard vergisst und keine Ersatzkarten ausgestellt werden müssen. Das eigene Smartphone wird, da lebensnotwendig, selten vergessen. Sollte es doch einmal passieren, läuft die Person dafür auch gerne noch einmal zurück, um es zu holen.
Die oben beschriebenen Szenarien sind mit Mobile Access möglich. Das Zutrittskontrollsystem basiert beim Mobile Access auf „elektronischen Schlüsseln“, sogenannten digitalen Token. Zutrittsberechtigungen, die bisher auf der SmartCard mehr oder weniger fest hinterlegt waren, können auf diese Weise nun zu jedem Zeitpunkt in Echtzeit auf das Smartphone mit integrierter NFC- (Near Field Communication) oder BLE-Funktion (Bluetooth Low Energy) übertragen werden. Über die Berechtigungsverwaltung ist es möglich, Zutrittsrechte zeitlich zu begrenzen, neu zu erteilen oder erteilte Berechtigungen zu widerrufen. Und dies in Echtzeit und auch z. B. bei Offline-Systemen, deren Berechtigungen in der Regel sonst nicht ad-hoc geändert werden können.
Die Ablage des digitalen Tokens erfolgt entweder auf einem besonders gesicherten Krypto-Chip (Smartcard) oder in einer softwarebasierten, mehrschichtigen Sicherheitsarchitektur im Smartphone. Die Übermittlung des digitalen Tokens auf das Smartphone erfolgt über das Mobilfunknetz. Die Übermittlung der auf dem Token hinterlegten Zutrittsberechtigung an die Schließeinrichtung erfolgt – wie bisher in der Zutrittskontrolle üblich – per RFID (Radio-Frequency identification) an den Kartenleser. Denn die NFC-Technologie basiert auf dem etablierten RFID-Standard für kontaktlose Chipkarten. So können NFC-fähige Smartphones mit entsprechender Software (App) in bestehende Zutrittskontrollinfrastrukturen integriert werden, die nach RFID-Standard ISO 14443 arbeiten. Das Smartphone mit NFC-Chip emuliert die bisher übliche Chipkarte mit RFID. Alternativ dazu kann die Übertragung zwischen Smartphone und Leser auch per Bluetooth (BLE – Bluetooth Low Energy) erfolgen. Es muss immer vorausgesetzt werden, dass die Leser NFC oder BLE unterstützen.
Kritiker argumentieren, dass das Smartphone angreifbar ist, da es „im Netz hängt“. Das ist richtig, doch wie bei jeder informationstechnischen Anwendung kann Software auch sicher entwickelt werden. Ein Penetrationstest oder eine Schwachstellenanalyse schaffen hier Gewissheit. Andererseits bringt ein Smartphone auch Sicherheit und Komfortgewinn gleichermaßen mit. So kann bei hohem Schutzbedarf zunächst über ein zweites Merkmal, beispielsweise PIN oder Biometrie, je nach Smartphone-Funktionalität, die App freigeschaltet werden, bevor eine Kommunikation mit dem Leser aufgebaut wird. Bei geringem Schutz-, aber hohem Komfortbedarf hingegen sind Konzepte am Markt erhältlich, bei denen das Smartphone in der Tasche bleiben kann und sich die Türe wie von Geisterhand öffnet.
Kritiker argumentieren weiter, dass es ein Problem darstellt, wenn bei Mobile Access für alle Mitarbeiter Diensttelefone bereitgestellt werden müssen. Die sind nun einmal ein Vielfaches teurer als eine Plastikkarte. Mitarbeiter können sich die App allerdings auch auf ihrem privaten Smartphone installieren. Was spricht dagegen? Zum einen wird Datenschutz eine wesentliche Rolle spielen, da beispielsweise der Arbeitgeber über Ortungsdienste seine Mitarbeiter lokalisieren könnte. Zum anderen wird der Arbeitgeber seinen Mitarbeitern gewisse Sorgfaltspflichten auferlegen, die in das private Leben der Mitarbeiter einfließen. Beispielsweise wären Diebstahl oder Verlust des Smartphones nun meldepflichtig. Haftungsfragen bei unberechtigtem Zutritt mittels des privaten Smartphones, die allerdings auch bei einer SmartCard auftreten können, sind zu klären – ebenso wie die Aktivierung gewisser Sicherheitsmerkmale wie Entsperrung mittels PIN oder Biometrie.
Fazit
Mobile Access ist also nicht die Lösung aller, aber vielleicht einiger Probleme. Dafür stellen sich neue Fragen, die es mit dem Datenschutz, dem Betriebs- oder Personalrat und der Informationssicherheit zu klären gilt. Es sollte jedoch festgehalten werden, dass die Funktionalität „Mobile Access“ in aktuellen und künftigen Projekten berücksichtigt werden sollte. Diese ergänzende Technologie kategorisch abzulehnen wäre falsch. Denn für gewisse Betriebsprozesse, Unternehmensbereiche und Unternehmenskulturen kann Mobile Access vielleicht doch genau das Tor schließen, das bisher immer offenstand.
Lutz Rossa, Diplom-Ingenieur (FH) Nachrichtentechnik, ist Sicherheitsberater bei der VON ZUR MÜHLEN’SCHE (VZM) GmbH mit den Spezialgebieten Leitstellen, Videotechnik, Zutrittskontrolle, Information Security Management (ISMS Lead-Auditor)