Kontakt
Über uns Datenblätter herunterladen Karriere Verkaufsbedingungen
Italiano English Français Español
Kontakt aufnehmen +39 0331 614136

Leitfäden & Technische Ressourcen

RFID-Datensicherheit: Verschlüsselung, Klonierung und Datenschutz

Reale Risiken und konkrete Gegenmaßnahmen: Klonierung, Spoofing, AES-Verschlüsselung und DSGVO in industriellen RFID-Systemen.

Inhaltsverzeichnis

Warum Sicherheit in RFID-Systemen grundlegend ist

RFID-Systeme sind heute in Lieferketten, Produktionsanlagen, Lagerhäusern, Krankenhausabteilungen und Zutrittskontrollinfrastrukturen integriert. Die Funkkommunikation, die sie so effizient macht — kein physischer Kontakt, keine Sichtlinie — ist auch ihre Hauptangriffsfläche: Jeder mit der richtigen Ausrüstung kann versuchen, Tags aus der Entfernung zu lesen, zu kopieren oder zu stören, ohne dass der Eigentümer es bemerkt.

Die Sicherheit in einem RFID-System zu gewährleisten bedeutet, drei separate Ebenen zu schützen:

  • Vertraulichkeit — verhindern, dass Dritte auf übertragene oder im Tag gespeicherte Daten zugreifen.
  • Integrität — sicherstellen, dass Informationen während der Übertragung oder im Ruhezustand nicht verändert werden.
  • Authentizität — verifizieren, dass Tag und Lesegerät legitime Geräte sind, bevor Daten ausgetauscht werden.

Das grundlegende Prinzip bleibt dasselbe: Sicherheit wird von Anfang an geplant, nicht nachträglich hinzugefügt.

Reale Bedrohungen: Klonierung, Spoofing und Abhören

Klonierung von RFID-Tags

Die Klonierung besteht darin, den Inhalt eines legitimen Tags zu lesen und auf einen unbeschriebenen Tag zu kopieren, wodurch ein funktional identisches Duplikat des Originals entsteht. Es ist der häufigste Angriff mit den schwerwiegendsten Folgen in Produktauthentifizierungs- und Zutrittskontrollanwendungen.

Anfällige Tags: alle Tags ohne Verschlüsselung oder mit schwacher Schutzfunktion. Der bekannteste Fall ist der Mifare-Classic-Chip, dessen proprietärer Algorithmus Crypto-1 2008 geknackt wurde und mit Open-Source-Tools (Proxmark, Flipper Zero) in Sekunden geklont werden kann. Aus diesem Grund gilt Mifare Classic als veraltet für neue Sicherheitsprojekte.

Gegenmaßnahmen:

  • Chips mit AES-128-Hardware-Verschlüsselung wählen (DESFire EV3, NTAG 424 DNA, UHF Gen2v2).
  • Bei UHF-Tags: Authentifizierungsfunktionen von EPC Gen2v2 (ISO 18000-63) aktivieren.
  • Für Fälschungsschutz: Chips mit SUN-Authentifizierung (NTAG 424 DNA) — jeder Tap erzeugt eine einmalige signierte Nachricht, die nicht repliziert werden kann.

Spoofing und Relay-Angriff

Das Spoofing ist die Simulation eines legitimen Tags durch dedizierte Hardware oder Software, ohne notwendigerweise einen bestehenden physischen Tag zu klonen. In RFID-Systemen ohne gegenseitige Authentifizierung hat ein Lesegerät keine Möglichkeit, einen echten Tag von einem emulierten zu unterscheiden.

Der Relay-Angriff ist eine ausgeklügelte Variante: Zwei Geräte fangen die Kommunikation zwischen Tag und Lesegerät ab und leiten sie in Echtzeit weiter, was Zugang auch dann ermöglicht, wenn der physische Tag nicht im Lesebereich ist.

Gegenmaßnahmen:

  • Mutual Authentication: Tag und Lesegerät authentifizieren sich gegenseitig — ein Emulator kennt den privaten Schlüssel des Tags nicht.
  • Zeitstempel und Nonce: Jede Kommunikationssitzung ist einmalig und nicht reproduzierbar.
  • Physische Distanzgrenzen: Antennen-Schutzmaßnahmen, die den Lesebereich auf Werte beschränken, die mit der physischen Anwesenheit des Benutzers kompatibel sind.

Abhören und Replay-Angriff

Das Abhören ist das passive Abfangen der Funkkommunikation zwischen Tag und Lesegerät. Ohne Verschlüsselung reisen Daten (EPC, User Memory, NDEF-Nutzlast) im Klartext und können von jedem Empfänger abgefangen werden, der auf der richtigen Frequenz innerhalb eines Radius abgestimmt ist, der in UHF 10 Meter überschreiten kann.

Der Replay-Angriff verwendet zuvor aufgezeichnete legitime Kommunikationen erneut, um unbefugten Zugang zu erhalten. Er wird effektiv durch Challenge-Response-Protokolle mit zufälligen Nonces blockiert.

RFID-Verschlüsselung: Algorithmen und Anwendungen

Die Verschlüsselung macht übertragene Daten für diejenigen unleserlich, die die Entschlüsselungsschlüssel nicht besitzen. In RFID-Systemen werden zwei Ansätze unterschieden:

  • Symmetrische Verschlüsselung — Tag und Lesegerät teilen denselben geheimen Schlüssel. Schneller, geeignet für energiearme Chips. Beispiel: AES-128.
  • Asymmetrische Verschlüsselung — Schlüsselpaar öffentlich/privat. Höhere Sicherheit, erfordert mehr Rechenleistung. Beispiel: ECC (Elliptic Curve Cryptography).
Algorithmus Typ Sicherheit Chips / Standards Typische Anwendungen
AES-128 Symmetrisch Hoch DESFire EV3, NTAG 424 DNA, UHF Gen2v2 Zutrittskontrolle, sichere Logistik, Fälschungsschutz
AES-256 Symmetrisch Sehr hoch DESFire EV3 (erweiterter Modus) Verteidigung, kritische Infrastrukturen, Ausweisdokumente
3DES Symmetrisch Mittel Mifare Ultralight C, Legacy-Systeme Ticketing, schrittweise zu aktualisierende Bestandssysteme
ECC Asymmetrisch Sehr hoch DESFire EV3, PKI-Systeme Banking, zertifizierte Authentifizierung, industrielles IoT
Crypto-1 Proprietär Veraltet — nicht verwenden Mifare Classic (Legacy) Nicht für neue Projekte geeignet; seit 2008 anfällig

Authentifizierung in RFID-Systemen

Verschlüsselung schützt Daten, reicht aber nicht aus: Es muss auch verifiziert werden, wer kommuniziert. Die wichtigsten Authentifizierungsprotokolle im RFID/NFC-Bereich:

Challenge-Response

Das Lesegerät sendet eine zufällige Anfrage (Nonce) an den Tag; der Tag antwortet mit einem berechneten Wert unter Verwendung des geheimen Schlüssels. Ist die Antwort korrekt, wird der Zugang gewährt. Jede Sitzung ist einmalig: Ein Replay-Angriff funktioniert nicht, weil sich die Anfrage jedes Mal ändert.

Mutual Authentication

Sowohl Tag als auch Lesegerät authentifizieren sich gegenseitig, bevor Daten ausgetauscht werden. Es ist der von DESFire EV3 und NFC-Zahlungssystemen verwendete Mechanismus: Er eliminiert das Risiko gefälschter Lesegeräte, die Daten von legitimen Tags sammeln.

SUN-Authentifizierung (NFC)

Spezifischer Mechanismus von NTAG 424 DNA: Bei jedem Tap erzeugt der Tag eine mit CMAC (Cipher-based Message Authentication Code) signierte URL. Der Server verifiziert die Signatur und den inkrementellen Zähler — jeder Tap produziert eine andere Signatur, die nicht geklont oder repliziert werden kann.

Schutz des Tag-Speichers: Passwort, Lock und Kill-Befehl

Neben der Kommunikationsverschlüsselung bieten moderne RFID-Chips Mechanismen zum Schutz von ruhenden Daten:

Passwörter und Zugriffskontrolle

Die meisten Chips unterstützen separate Passwörter für Lesen, Schreiben und dauerhafte Sperre. In EPC Gen2v2 gibt es zwei hierarchische Ebenen: Access Password (für Schreiben und Lock) und Kill Password. In NFC (NTAG, DESFire) werden Passwörter auf Datei- oder Seitenebene verwaltet.

Best Practice: Das werkseitige Passwort (generell 00000000h) nie auf Tags im Betrieb belassen. Das Passwort während der Kodierungsphase ändern und sicher im Managementsystem speichern.

Lock Bytes und Permalock

Die Lock Bytes machen einzelne Seiten oder Speicherblöcke dauerhaft nicht veränderbar. Einmal gesetzt, kann selbst der, der das Passwort kennt, diesen Bereich nicht überschreiben. Nützlich für Zertifizierungs-Tags, Manipulationsschutz-Etiketten, Dokumente.

Der Permalock (EPC Gen2) sperrt dauerhaft ganze Speicherwörter. Wie NFC-Lock-Bytes ist er irreversibel: Nur anwenden, wenn der Inhalt endgültig und verifiziert ist.

Kill-Befehl

Der Kill-Befehl ist ein vom EPC-Gen2-Standard vorgesehener Befehl, der den Tag dauerhaft deaktiviert und ihn für kein Lesegerät mehr lesbar macht. Er erfordert die korrekte Kill Password-Eingabe (32 Bit).

Legitime Anwendungsfälle: Ende des Lebenszyklus des verfolgten Produkts, Verbraucher-Datenschutz (der Tag auf einem gekauften Kleidungsstück kann an der Kasse deaktiviert werden), Entsorgung von Unternehmens-Assets.

Achtung: Das Standard-Kill-Passwort (00000000h) muss vor der Feldinbetriebnahme geändert werden — ein Tag mit Werkspasswort kann von jedem deaktiviert werden.

Sitzungsschlüssel und Replay-Schutz

Fortgeschrittene Chips (DESFire EV3, Gen2v2) erzeugen dynamische Sitzungsschlüssel für jede Kommunikation: Der Schlüssel wird aus dem Master-Schlüssel durch einen Key-Diversification-Algorithmus abgeleitet und ändert sich bei jeder Authentifizierung. Auch das vollständige Abfangen einer Sitzung nützt dem Angreifer nichts, da der nächste Schlüssel anders sein wird.

RFID und DSGVO: Pflichten und Best Practices

Die DSGVO (EU-Verordnung 2016/679) gilt für RFID-Systeme, wenn die gespeicherten oder übertragenen Daten auf eine natürliche Person zurückführbar sind — direkt (Name, Personalausweisnummer) oder indirekt (Mitarbeiter-Badge-ID, Benutzerweg über an persönlichen Gegenständen befindliche Tags).

Wann die DSGVO für ein RFID-System gilt

  • Mitarbeiter-Zugangs-Badge mit RFID/NFC, der den Mitarbeiter identifiziert
  • Tags auf Medizingeräten oder Medikamenten, die einem Patienten zugeordnet sind
  • Loyalty- oder Zahlungssysteme, die einen Tag mit einem Kundenprofil verknüpfen
  • Logistisches Sendungstracking, das mit persönlichen Daten des Empfängers verbunden ist
  • Tags auf Kleidungsstücken mit Kaufinformationen, die mit einer Identität verbunden sind

Praktische Pflichten

  • Privacy by Design — der Schutz muss in die Systemarchitektur integriert, nicht nachträglich hinzugefügt werden.
  • Datenminimierung — auf dem Tag nur die unbedingt notwendigen Daten speichern; personenbezogene Daten müssen im Backend residieren, nicht im Klartext auf dem Chip.
  • Pseudonymisierung — opake IDs (Hash, Token) statt direkter personenbezogener Daten im Tag-Speicher verwenden.
  • Recht auf Vergessenwerden — Verfahren für den Kill-Befehl oder Tag-Reset bei Anfragen der betroffenen Person vorsehen.
  • Datenpanne — Sicherheitsmaßnahmen dokumentieren; bei Verletzung Meldung an die Behörde innerhalb von 72 Stunden.

RFID-Sicherheitsstandards

Standard Bereich Abgedeckte Sicherheitsfunktionen
ISO/IEC 18000-63
(EPC Gen2v2)		 UHF-RFID Authentifizierung, AES-128-Verschlüsselung, Zugriffskontrolle, Kill-Befehl, EPC-Schutz
ISO/IEC 29167 Generisches RFID Kryptografisches Framework für RFID-Protokolle: definiert sichere interoperable Algorithmus-Suiten
ISO/IEC 14443-4 NFC / Smart Card T=CL-Protokoll für sichere Kommunikationen (verwendet von DESFire, NTAG 424 DNA)
ISO/IEC 27001 Managementsystem Framework für Informationssicherheitsmanagement; gilt für die gesamte RFID-Infrastruktur
DSGVO (EU 2016/679) Datenschutz Privacy by Design, Datenminimierung, Pseudonymisierung, Datenpannenmeldung
Planen Sie ein RFID-System, das Klonierungsschutz oder DSGVO-Konformität erfordert? Wintag wählt den geeigneten Chip und die Sicherheitskonfiguration für Ihren Fall aus und produziert maßgeschneiderte Tags mit vorkonfigurierten AES-, Permalock- und Kill-Befehl-Funktionen.
Mit einem Wintag-Techniker sprechen

Checkliste: RFID-Sicherheit im Unternehmen implementieren

Ebene Chip / Tag

  • ✓ Chips mit AES-Hardware-Verschlüsselung für kritische Anwendungen wählen
  • ✓ Werkspasswörter während der Kodierungsphase ändern
  • ✓ Permalock oder Lock Bytes auf Datenbereiche anwenden, die nicht verändert werden sollen
  • ✓ Kill-Befehl für Tags mit personenbezogenen Daten oder am Lebensende prüfen
  • ✓ Mifare Classic für neue Zutrittskontrollprojekte nicht verwenden

Ebene Infrastruktur

  • ✓ Kommunikation Lesegerät → Middleware über verschlüsselten Kanal (TLS/HTTPS)
  • ✓ Lesegerät-Authentifizierung am Backend (API-Schlüssel, Zertifikate)
  • ✓ Netzwerktrennung für RFID-Reader (dediziertes VLAN)
  • ✓ Zugriffsprotokoll mit Zeitstempel und Reader-ID für Audit-Trail

Ebene Software / Backend

  • ✓ Keine personenbezogenen Daten im Klartext im User Memory des Tags speichern
  • ✓ Opake IDs (Token/Hash) im Tag verwenden; echte Daten verbleiben in der Datenbank
  • ✓ UID des Tags als zweiten Authentifizierungsfaktor prüfen (UID ist eindeutig und unveränderlich)
  • ✓ Sitzungsablauf der Lesung und Anti-Replay-Nonces implementieren

Ebene Organisation / DSGVO

  • ✓ DSFA (Datenschutz-Folgenabschätzung) erstellen, wenn das System personenbezogene Daten im großen Maßstab verarbeitet
  • ✓ Sicherheitsmaßnahmen im Verzeichnis der Verarbeitungstätigkeiten dokumentieren
  • ✓ Deaktivierungsverfahren für Tags zur Ausübung des Rechts auf Vergessenwerden vorsehen
  • ✓ Betriebspersonal zu Zugriffs- und Vorfallsverfahren schulen

Weiterführende Ressourcen

Weitere Wintag-Leitfäden zu RFID und NFC

Standards und offizielle Referenzen

Suchen Sie RFID-Tags für ein konkretes Projekt?

Wintag entwickelt maßgeschneiderte Lösungen. Beschreiben Sie Ihre Anwendung und erhalten Sie innerhalb von 24 Stunden eine technische Einschätzung.

Beratung anfragen Produktkatalog


Ein RFID-Projekt?
Sprechen wir darüber.

Beschreiben Sie Ihren Bedarf und ein Wintag-Ingenieur antwortet Ihnen innerhalb von 24 Stunden mit einer konkreten Einschätzung — ohne Verpflichtung.

Antwort innerhalb von 24 Werktunden
Direkte technische Beratung, ohne Zwischenhändler
Kostenloser Kostenvoranschlag
oder
Teams-Anruf buchen — 30 Min.