Abo
  • Services:

RFID-Sicherheitslücke: Begehcard-Hersteller wusste von Kopierbarkeit

Die in Österreich recht häufig verwendete Begehcard, die Hausschlüssel ersetzt, lässt sich mit einem Skipass überlisten. Durch die Medienberichte aufgeschreckt, äußert sich die Begeh Schließsysteme GmbH auf ihrer Facebook-Seite zu den Anschuldigungen. Dabei verwickelt sich Geschäftsführer Gerhard Hennrich teilweise in Widersprüche.

Artikel veröffentlicht am ,
Das Begehsystem ist laut Hersteller unkopierbar.
Das Begehsystem ist laut Hersteller unkopierbar. (Bild: Begeh-Facebook-Seite/Screenshot: Golem.de)

Das Zugangssystem Begeh für Hauseingangstüren basiert auf einem RFID-System, das sich leicht aushebeln lässt, wie Sicherheitsforscher Adrian Dabrowski auf dem 30C3 erklärte. Das Zugangssystem ist in Österreich und insbesondere in Wien verbreitet. Vermutlich wegen des Berichts der österreichischen Nachrichtenseite Der Standard hat sich die Begeh Schließsysteme GmbH zu den Vorwürfen geäußert.

Stellenmarkt
  1. WESTPRESS GmbH & Co. KG, Hamm
  2. Rundfunk Berlin-Brandenburg (rbb), Potsdam

Nun stellt der Hersteller durch ein Schreiben des Geschäftsführers Gerhard Hennrich auf einem Facebook-Posting vom 31. Dezember 2013 klar, über die Probleme informiert gewesen zu sein. So heißt es etwa: "Die Problematik mit den Emulatoren ist bekannt". Trotz des Umstandes, dass die Firma die Probleme kennt, bewirbt sie die Karte dennoch als absolut sicher, indem behauptet wird: "Das Kopieren von Schlüsseln ist praktisch ausgeschlossen."

  • Die Begeh Schließsysteme GmbH äußert sich zu den Vorwürfen. (Screenshot: Golem.de)
  • Schlüsselsafe per Begehcard abgesichert (Screenshot: Golem.de)
Die Begeh Schließsysteme GmbH äußert sich zu den Vorwürfen. (Screenshot: Golem.de)

Verwundert zeigt sich die Firma Begeh über den Versuch, Baucards zu kopieren. "Die Baucard auf eine Skidata-Karte zu kopieren, macht keinen Sinn, da der Verkauf der Baucard ohne Vertrag über Hausverwaltungen, Hausbesitzer und Händler erfolgt. Diese ist per Definition nur für die Zeit einer umfangreichen Bautätigkeit gedacht und soll im Normalbetrieb nicht berechtigt sein. Darauf wird auch auf unserer Homepage ausdrücklich hingewiesen." Hier haben offensichtlich die Administratoren des Begehsystems schuld, die den Baucards zu viele Rechte geben. Daher ergibt der Versuch dennoch einen Sinn. Nicht geklärt ist, warum so viele der getesteten Häuser mit der Baucard geöffnet werden können und warum sich trotzdem die Baucard kopieren lässt. Auch diese wird als Schlüssel verkauft und sollte damit kopiersicher sein. Immerhin hatte Dabrowski die Baucard auf einen Skipass kopieren und damit 43 Prozent der untersuchten Gebäude öffnen können.

Eine Stellungnahme lehnte Begeh an Dabrowski aus grundsätzlichen Erwägungen ab und verteidigt dies. Dabrowskis Aussagen kamen nur anonym über das nationale Cert an und an anonyme Personen gibt es keine Stellungnahmen. Es gab daher nie einen direkten Kontakt mit Dabrowski, der schon seit 2012 an dem Hack arbeitet. Dabrowski hätte allerdings tatsächlich den Hersteller direkt anschreiben können. Er beließ es bei der Kontaktaufnahme über das Cert. Begeh Schließsysteme bietet nun weitere Gespräche an.

Zudem betont der Hersteller, dass das Produkt ein "lebendes Produkt" sei, das ständig Änderungen unterworfen ist. Die Firma geht aber nicht darauf ein, dass nur die teuren Produkte regelmäßige Updates bekommen. Die Supportverträge sehen ein kostenloses Sicherheitsupdate pro Jahr vor. Mit diesem werden auch verloren gegangene Begehcards gesperrt. Immerhin arbeitet die Firma an Änderungen des Systems, ohne jedoch ins Detail zu gehen.

Vertrauen versucht Begeh zudem durch Versicherungen zu gewinnen: "Das Begehsystem schafft wesentlich erhöhte Sicherheit, da die Karten nur an Anwender, welche Partner der Begeh Schließsysteme GmbH sind, ausgegeben werden. Diese haben sich verpflichtet, die vorgegebenen Sicherheitskriterien zu erfüllen.". Offenbar gibt es allerdings Lücken im System. Auf der Homepage warnt der Hersteller ungeachtet der Stellungnahme vor Begehkarten vom Schwarzmarkt. Außerdem gab es ein erfolgreiches Auslesen bei einem Paketdienstleister, der seine Karten offenbar nicht ausreichend gegen versteckte Lesegeräte in Paketen absichert.

Auch hier beschwichtigt der Hersteller, schließlich haben die Karten ein Ablaufdatum und werden bei Entdeckung gesperrt, sofern der Besitzer einer Begehanlage ein kostenpflichtiges Sonderupdate anfordert. Das Problem löst sich in den Augen des Herstellers also zwangsläufig von selbst.

"Abschließend ist festzuhalten, dass das Begehsystem eine kostengünstige Lösung darstellt, das Stiegenhaus kein Hochsicherheitsbereich ist, und die Wirtschaftlichkeit eines solchen Systems gegeben sein muss", heißt es zum Schluss. Das steht im Widerspruch zu den Werbeaussagen der Verkaufsprospekte, die absolute Sicherheit garantieren. Außerdem schlug Begeh Schließsysteme noch im August vor, Schlüsselsafes mit dem Begehsystem abzusichern.



Anzeige
Spiele-Angebote
  1. 18,49€
  2. (-70%) 14,99€
  3. 49,86€

NukeOperator 06. Jan 2014

Sie mal hier: Bild: Ist im Prinzip ein mechanischer Schlüssel der Kaba Star / Kaba 20...

Eheran 03. Jan 2014

Es gibt Schösser für die man überall eine Kopie bekommt, z.B. für Innenraumtüren. Das...

Anonymer Nutzer 02. Jan 2014

und dachten es ist ein vollwertiges Produkt bei den Preisen xD

theonlyone 02. Jan 2014

Prinzipiel ist RFID eine sinnvolle Sache, es gibt nur viele unterschiedliche Modelle von...

Kalasinben 02. Jan 2014

Ich bin beeindruckt von deiner Pfiffigkeit, du Schlitzohr. Wegen solcher Penner werd ich...


Folgen Sie uns
       


Intel NUC8 (Crimson Canyon) - Test

Der NUC8 alias Crimson Canyon ist der erste Mini-PC mit einem 10-nm-Chip von Intel. Dessen Grafikeinheit ist aber deaktiviert, weshalb Intel noch eine Radeon RX 540 verlötet. Leider steckt im System eine Festplatte, weshalb der NUC8 sehr träge reagiert und vergleichsweise laut wird.

Intel NUC8 (Crimson Canyon) - Test Video aufrufen
Windenergie: Mister Windkraft will die Welt vor dem Klimakollaps retten
Windenergie
Mister Windkraft will die Welt vor dem Klimakollaps retten

Fast 200 Windkraft-Patente tragen den Namen von Henrik Stiesdal. Nachdem er bei Siemens als Technikchef ausgestiegen ist, will der Däne nun die Stromerzeugung auf See revolutionieren.
Ein Bericht von Daniel Hautmann

  1. Offshore-Windparks Neue Windräder sollen mehr Strom liefern
  2. Fistuca Der Wasserhammer hämmert leise
  3. Windenergie Wie umweltfreundlich sind Offshore-Windparks?

Einfuhrsteuern: Wie teuer wird ein Raspberry Pi beim harten Brexit?
Einfuhrsteuern
Wie teuer wird ein Raspberry Pi beim harten Brexit?

Bei einem No-Deal-Brexit könnten viele britische Produkte teurer und schwerer lieferbar werden - auch der populäre Bastelrechner Raspberry Pi. Mit genauen Prognosen tun sich deutsche Elektronikhändler derzeit schwer, doch decken sie sich schon vorsorglich mit den Komponenten ein.
Ein Bericht von Friedhelm Greis

  1. UK und Gibraltar EU-Domains durch Brexit doch wieder in Gefahr

Fido-Sticks im Test: Endlich schlechte Passwörter
Fido-Sticks im Test
Endlich schlechte Passwörter

Sicher mit nur einer PIN oder einem schlechten Passwort: Fido-Sticks sollen auf Tastendruck Zwei-Faktor-Authentifizierung oder passwortloses Anmelden ermöglichen. Golem.de hat getestet, ob sie halten, was sie versprechen.
Ein Test von Moritz Tremmel

  1. E-Mail-Marketing Datenbank mit 800 Millionen E-Mail-Adressen online
  2. Webauthn Standard für passwortloses Anmelden verabschiedet
  3. Studie Passwortmanager hinterlassen Passwörter im Arbeitsspeicher

    •  /