Ein Mitarbeiter kommt morgens ins Unternehmen. An der Eingangstür hält er einen kleinen Sicherheitsschlüssel an den Leser. Die Tür öffnet sich. Wenige Minuten später verwendet er denselben Schlüssel am Arbeitsplatz: für die Anmeldung am Rechner, für einen geschützten Cloud-Dienst oder als zweiten Faktor beim Zugriff auf sensible Unternehmensdaten.
Kein zusätzlicher Zutrittschip. Kein Einmalcode auf dem privaten Smartphone. Kein Passwortzettel unter der Tastatur. Ein Gerät verbindet die physische und die digitale Identität des Mitarbeiters.
Das klingt zunächst nach einer kleinen Komfortverbesserung. Tatsächlich steckt dahinter ein Sicherheitskonzept, das gleich mehrere typische Unternehmensprobleme lösen kann. Wir wollten wissen, ob dieses Versprechen auch in der Praxis trägt – und haben den Swissbit iShield Key 2 Pro MIFARE sowohl als digitalen Sicherheitsschlüssel als auch für eine eigene kontaktlose Zutrittsanwendung getestet.
Drei Schlüsselwelten, die heute meist getrennt sind
In vielen Unternehmen besitzt ein Mitarbeiter mehrere voneinander unabhängige Zugänge: ein Passwort für den Rechner, eine App oder einen Code für die Zwei-Faktor-Anmeldung und eine Karte oder einen Chip für das Gebäude. Bei weiteren Anwendungen kommen zusätzliche Passwörter hinzu.
Das funktioniert – verursacht aber Aufwand. Neue Mitarbeiter müssen in mehreren Systemen eingerichtet werden. Bei einem Verlust müssen verschiedene Stellen reagieren. Verlässt jemand das Unternehmen, müssen digitale Konten und physische Zutrittsrechte zuverlässig und möglichst gleichzeitig gesperrt werden.
Ein kombinierter Sicherheitsschlüssel schafft daraus nicht automatisch ein einziges Verwaltungssystem. Er kann aber das gemeinsame Medium sein, auf dem die Berechtigungen eines Mitarbeiters zusammenlaufen: digital über FIDO2 und physisch über MIFARE DESFire EV3.
Warum ein Passwort trotz komplizierter Regeln unsicher bleiben kann
Ein Passwort ist ein Geheimnis, das der Benutzer einer Anmeldeseite mitteilt. Genau darin liegt das Problem: Eine professionell gefälschte Seite kann heute nahezu genauso aussehen wie das Original. Gibt der Mitarbeiter dort sein Passwort und vielleicht sogar einen Einmalcode ein, kann ein Angreifer beides übernehmen.
Regeln wie zwölf Zeichen, Sonderzeichen und regelmäßige Änderungen erschweren zwar das Erraten. Sie verhindern aber nicht, dass ein Mensch sein korrektes Passwort auf der falschen Seite eingibt.
Phishing ist längst kein Randproblem mehr
Wie häufig solche Angriffe tatsächlich als Einfallstor dienen, zeigt der europäische Blick besonders deutlich. Die EU-Agentur für Cybersicherheit ENISA untersuchte für ihren Threat Landscape Report 2025 insgesamt 4.875 Vorfälle aus dem Zeitraum Juli 2024 bis Juni 2025. Wo sich der erste Einbruchsweg bewerten ließ, stand Phishing mit rund 60 Prozent an erster Stelle. Das Ausnutzen technischer Schwachstellen folgte mit 21,3 Prozent.
Mit Phishing ist dabei längst nicht mehr nur die schlecht formulierte E-Mail mit einem auffälligen Link gemeint. ENISA zählt auch schädliche E-Mail-Anhänge, manipulierte Werbung und telefonische Täuschungsversuche dazu. Über sogenannte „Phishing-as-a-Service“-Angebote können heute selbst technisch wenig versierte Täter fertige Angriffspakete einsetzen.
Auch CERT-EU beobachtet diese Entwicklung bei Einrichtungen und Partnern der Europäischen Union: Der Anteil klassischen E-Mail-Spearphishings an den beobachteten Erstzugriffsversuchen sank 2025 zwar von 41 auf 31 Prozent. Gleichzeitig nahmen andere Methoden zu – darunter Telefon-Phishing, manipulierte Anmeldevorgänge und der Missbrauch legitimer Autorisierungsabläufe. Der Angriff verschwindet also nicht; er wird vielseitiger und professioneller.
Für Unternehmen bedeutet das: Es genügt nicht mehr, Mitarbeiter nur vor verdächtigen E-Mails zu warnen. Wenn der Anmeldevorgang selbst so gestaltet ist, dass gestohlene Passwörter und Einmalcodes möglichst wenig nutzen, wird aus reiner Aufmerksamkeit eine technische Schutzmaßnahme.
FIDO2 geht einen anderen Weg. Vereinfacht gesagt erzeugt der Sicherheitsschlüssel für jeden Dienst einen eigenen digitalen Schlüssel. Dieser passt nur zum echten Dienst – ähnlich wie ein Gebäudeschlüssel nur in das dafür vorgesehene Schloss passt. Eine täuschend echte Kopie der Anmeldeseite besitzt nicht das richtige digitale Schloss und kann die Anmeldung deshalb nicht einfach abgreifen.
Zwei-Faktor-Anmeldung oder ganz ohne Passwort
Der iShield Key 2 Pro MIFARE kann auf zwei Arten eingesetzt werden. Bei der klassischen Zwei-Faktor-Anmeldung bleibt das Passwort bestehen. Zusätzlich muss der Mitarbeiter den registrierten Hardware-Schlüssel besitzen und die Anmeldung am Gerät bestätigen. Ein gestohlenes Passwort allein reicht dann nicht mehr aus.
Unterstützt die jeweilige Anwendung eine passwortlose Anmeldung, kann der Hardware-Schlüssel das Passwort vollständig ersetzen. Der Benutzer meldet sich dann mit dem Gerät und – abhängig von der Konfiguration – einer lokalen PIN an. Das ist nicht nur komfortabler. Es beseitigt auch das Passwort als mögliches Ziel für Phishing.
Welche Variante möglich ist, hängt von den eingesetzten Anwendungen, Cloud-Diensten und der vorhandenen Benutzerverwaltung ab. Eine Einführung beginnt deshalb sinnvollerweise mit einer Bestandsaufnahme – nicht mit dem pauschalen Kauf einer Kiste voller Tokens.
Was wir praktisch ausprobiert haben
Uns interessierte nicht nur das Datenblatt. Wir wollten wissen, wie sich der Schlüssel im Alltag und bei einer eigenen technischen Integration verhält.
Zunächst registrierten wir den iShield Key 2 Pro MIFARE als FIDO2-Sicherheitsschlüssel und verwendeten ihn für eine Zwei-Faktor-Anmeldung. Der Ablauf ist für den Benutzer überschaubar: Schlüssel verbinden oder kontaktlos verwenden, die Anmeldung auslösen und am Token bestätigen. Die kryptografischen Vorgänge bleiben im Hintergrund.
Danach untersuchten wir die zweite Seite des Geräts: die kontaktlose MIFARE-DESFire-Funktion. Sie ist für Zutrittskontrollen besonders interessant, weil nicht lediglich eine offen auslesbare Kartennummer verwendet werden muss. Stattdessen kann das Zutrittssystem prüfen, ob der Token tatsächlich über den passenden geheimen Schlüssel verfügt.
Warum das sicherer ist als ein einfacher RFID-Chip
Viele einfache Zutrittslösungen erkennen nur die Seriennummer eines Chips. Das ist ungefähr so, als würde ein Pförtner jemanden allein deshalb hereinlassen, weil er die richtige Personalnummer nennt. Wurde diese Nummer kopiert, kann das System Original und Kopie unter Umständen nicht unterscheiden.
DESFire ermöglicht eine echte kryptografische Prüfung. Bildlich gesprochen kennt der Token nicht nur die Personalnummer, sondern kann eine Aufgabe beantworten, die nur mit dem hinterlegten geheimen Schlüssel lösbar ist. Der geheime Schlüssel muss dabei nicht aus dem Token ausgelesen oder bei jeder Prüfung offen übertragen werden.
Zusätzlich können eigene, geschützte Datenbereiche angelegt werden. Darin ließen sich beispielsweise eine interne Berechtigungskennung, ein Standortbezug oder andere für die Anwendung notwendige Informationen speichern. Welche Daten sinnvoll sind, hängt immer vom konkreten Sicherheitskonzept ab.
Unser Blick unter die Haube
Für den technischen Test verwendeten wir einen Identiv uTrust 3700 F CL als kontaktlosen USB-Leser. Über PC/SC, Python und pyscard kommunizierten wir direkt mit dem Test-Token.
Wir legten darauf eine eigene Anwendung mit einem geschützten Datenbereich an und ersetzten den anfänglichen Schlüssel durch einen individuell erzeugten AES-Schlüssel. Danach ließen sich die Testdaten nur noch nach erfolgreicher Authentifizierung lesen und verändern. Abschließend setzten wir den dafür vorgesehenen Test-Token kontrolliert zurück.
Für technisch Interessierte war damit die entscheidende Funktionskette nachgewiesen. Für den späteren Benutzer bedeutet sie schlicht: Das System prüft nicht nur irgendeine Nummer, sondern die Echtheit der Berechtigung.
Was ein Unternehmen davon hat
Der größte Vorteil ist nicht ein einzelnes technisches Merkmal, sondern das Zusammenspiel:
- Weniger Angriffsfläche: FIDO2 schützt digitale Zugänge deutlich besser gegen klassische Phishing-Angriffe.
- Einfacherer Arbeitsalltag: Ein Gerät kann für Gebäude, Arbeitsplatz und unterstützte Onlinedienste verwendet werden.
- Weniger Passwortprobleme: Je nach System kann der Schlüssel Passwörter absichern oder vollständig ersetzen.
- Klarere Prozesse: Ausgabe, Rückgabe, Verlust und Sperrung können als zusammenhängender Identitätsprozess geplant werden.
- Flexible Integration: USB und NFC ermöglichen die Verwendung an unterschiedlichen Geräten und Zugangssystemen.
Das kann den Aufwand für Benutzer und IT reduzieren. Entscheidend ist allerdings eine saubere Umsetzung. Wer lediglich mehrere bestehende Einzellösungen auf dasselbe Stück Hardware packt, ohne die dahinterliegenden Abläufe zu verbinden, verschenkt einen großen Teil des Nutzens.
Mehr als Login und Tür
Die Pro-MIFARE-Ausführung verbindet nicht nur FIDO2 und Gebäudezutritt. Über ihre PIV-Smartcard-Funktion kann sie auch Zertifikate für eine Windows-Anmeldung, digitale Signaturen oder die Verschlüsselung bereitstellen. In einer entsprechend vorbereiteten Active-Directory- und Zertifikatsumgebung wird der Token damit zum geschützten Identitätsträger für weitere Aufgaben.
Die kontaktlose DESFire-Funktion lässt sich ebenfalls über die Eingangstür hinausdenken. Derselbe Mitarbeiterschlüssel kann beispielsweise an Druckern für FollowMe- beziehungsweise Secure-Print, bei der Zeiterfassung oder für besonders geschützte Bereiche wie Serverräume eingesetzt werden. Für den Mitarbeiter bleibt es ein einziges Gerät; im Hintergrund bleiben die jeweiligen Berechtigungen trotzdem sauber voneinander getrennt.
Eine Brücke für ältere Systeme
Nicht jede vorhandene Anwendung unterstützt bereits FIDO2. Die Pro-Variante bietet deshalb zusätzlich zeit- und zählerbasierte Einmalcodes – TOTP und HOTP – sowie die Möglichkeit, ausgewählte statische Zugangsdaten über eine virtuelle Tastatur auszugeben. So lassen sich auch ältere Verwaltungsoberflächen, Netzwerkgeräte oder andere Systeme einbinden, die moderne Authentifizierungsverfahren noch nicht beherrschen.
Diese Funktionen sind eine praktische Übergangslösung, aber nicht das eigentliche Sicherheitsziel. Einmalcodes und statische Passwörter können weiterhin abgefangen oder auf einer gefälschten Seite eingegeben werden. Wo FIDO2 möglich ist, bleibt die an den echten Dienst gebundene kryptografische Anmeldung die deutlich bessere Wahl.
Der zweite Schlüssel gehört zum Konzept
Ein Gerät für mehrere Zugänge wirft eine berechtigte Frage auf: Was passiert, wenn es verloren geht? Beim iShield Key 2 Pro MIFARE ist die fehlende Exportmöglichkeit für geschützte Zugangsdaten eine gewollte Sicherheitsfunktion. Private Schlüssel, Passkeys, Zertifikate und OTP-Daten sollen den Token nicht einfach verlassen und auf ein anderes Gerät kopiert werden können.
Das schützt vor unbemerkten Kopien, bedeutet aber auch: Ein Ersatzschlüssel lässt sich nicht erst nach dem Verlust durch Duplizieren des Originals erzeugen. Er muss vorher separat ausgegeben und für die benötigten Konten und Funktionen registriert beziehungsweise provisioniert werden.
Geht ein Token verloren, müssen seine digitalen Anmeldeschlüssel und physischen Zutrittsrechte umgehend gesperrt werden. Für wichtige Konten sollte bereits ein zweiter Hardware-Schlüssel hinterlegt sein. Alternativ braucht es ein kontrolliertes administratives Wiederherstellungsverfahren, das nicht ausgerechnet vom verlorenen Token abhängt.
Zur Einführung gehören deshalb nicht nur die Geräte, sondern klare Regeln für Ausgabe, Personalisierung, Ersatz, Rückgabe und Sperrung. Der zweite Schlüssel ist dabei kein unnötiges Doppel, sondern Teil des Sicherheits- und Betriebskonzepts.
Unser Fazit: Warum machen wir das eigentlich noch getrennt?
Unser Test begann mit der technischen Neugier, was sich auf dem iShield Key 2 Pro MIFARE tatsächlich umsetzen lässt. Das Ergebnis ist aber vor allem aus organisatorischer Sicht interessant: Digitale Anmeldung und Gebäudezutritt müssen für den Mitarbeiter nicht zwangsläufig zwei getrennte Welten bleiben.
Ein einziges Gerät kann morgens die Tür öffnen, anschließend den Arbeitsplatz absichern und den Zugriff auf wichtige Anwendungen schützen. FIDO2 reduziert die Abhängigkeit vom Passwort und erschwert Phishing. DESFire EV3 ermöglicht eine kryptografisch abgesicherte Zutrittskontrolle, die weit über das Auslesen einer einfachen Chipnummer hinausgeht.
Die Technik dafür ist vorhanden und funktioniert. Die spannendere Frage für viele Unternehmen lautet deshalb nicht mehr: „Ist so etwas möglich?“ Sondern: „Warum verwalten wir digitale Identität und Gebäudezutritt eigentlich immer noch getrennt?“
Deutsch 
English (UK) 
Français 
Español