Nach dem Vortrag von Sicherheitsforscher Adrian Dabrowski am Chaos Computer Congress über unsichere RFID-Zugangssysteme, hat nun der österreichische Hersteller Begeh eine Stellungnahme abgegeben. Auf Facebook erklärt das Unternehmen, dessen Zentralschließanlage für Wohnhäuser Dabrowski knacken konnte, dass man von den Schwächen des Systems wisse. Auf seiner Website wird das System allerdings anders beworben.

Zutrittskarte mit Skipass

Dabrowski hat herausgefunden, dass man RFID-Schlüssel kopieren und selbst eine Zugangskarte zum Begeh-System erstellen könne. Unter anderem soll das mit einem alten Skipass funktionieren. Der Sicherheitsforscher hatte das dem österreichischen Computer Emergency Response Team (Cert.at) gemeldet, die Begeh über die Sicherheitslücke informiert hatten. Da Dabrowski den Hersteller nicht selbst direkt informiert hatte, lehnte das Unternehmen eine direkte Stellungnahme an den Forscher ab.

"Macht keinen Sinn"

Begeh bezieht sich in seiner Stellungnahme auf den WebStandard-Artikel "Forscher knackt Wiener Haustüren mit Skipass". Das sei nicht richtig. "Die Baucard auf eine SKIDATA-Karte zu kopieren macht keinen Sinn, da der Verkauf der Baucard ohne Vertrag über Hausverwaltungen, Hausbesitzer und Händler erfolgt. Diese ist per Definition nur für die Zeit einer umfangreichen Bautätigkeit gedacht und soll im Normalbetrieb nicht berechtigt sein. Darauf wird auch auf unserer Homepage ausdrücklich hingewiesen", so Begeh.

Verantwortung für Baucard bei Hausverwaltung

Dabrowski konnte mit einem alten Skipass eine Baucard imitieren. Laut seinen Versuchen seien 43 Prozent der Haustüren damit zu öffnen gewesen. Die Verantwortung liegt in diesem Fällen bei den Hausbesitzern bzw. der Verwaltung der Systeme, die die Baucard nach Arbeiten am Haus eigentlich sperren sollten. 93 Prozent der Schlösser konnte der Wiener Forscher, der für SBA-Research arbeitet, jedoch mit einem etwas aufwändigeren Kartensimulator basierend auf dem Schlüssel der herkömmliche Begeh-Nutzerkarte öffnen.

Lösungsansätze in Arbeit

Die Problematik "mit Emulatoren bei RFID-Systemen" sei bekannt und betreffe auch nicht nur das Begeh-System. Lösungsansätze seien bereits in Arbeit. "Für Experten wird es immer früher als der Allgemeinheit möglich sein, Schwächen eines Systems zu nutzen." Die Möglichkeit der Herstellung eines Emulators für einen Experten stelle jedoch nicht das Gesamtsystem infrage. Das Begeh-System schaffe erhöhte Sicherheit, da Karten nur an Begeh-Partner ausgegeben würden. "Diese haben sich verpflichtet, die vorgegebenen Sicherheitskriterien zu erfüllen."

"Kopieren praktisch ausgeschlossen"

Allerdings gibt Begeh auf der Website etwas anderes an. Denn auf der Website heißt es: "Das Kopieren von Schlüsseln ist praktisch ausgeschlossen." Die Daten auf den Transponderschlüsseln seien "individuell kodiert und mit gerätebezogenen einmaligen Schlüsseln mit den installierten Lesern verknüpft." Wieso Dabrowski die Schlüssel dennoch auslesen konnte, bleibt unbeantwortet. (Birgit Riegler, derStandard.at, 2.1.2014)