{"id":1560,"date":"2026-08-07T19:28:45","date_gmt":"2026-08-07T17:28:45","guid":{"rendered":"https:\/\/all-solutions.de\/?p=1560"},"modified":"2026-08-07T19:51:29","modified_gmt":"2026-08-07T17:51:29","slug":"passwoerter-waren-gestern-ein-schluessel-fuer-login-2fa-und-gebaeudezutritt","status":"publish","type":"post","link":"https:\/\/all-solutions.de\/es\/passwoerter-waren-gestern-ein-schluessel-fuer-login-2fa-und-gebaeudezutritt\/","title":{"rendered":"Las contrase\u00f1as son cosa del pasado: una sola clave para iniciar sesi\u00f3n, autenticaci\u00f3n de dos factores y acceso al edificio."},"content":{"rendered":"
\"<\/figure>\n\n\n\n

Ein Mitarbeiter kommt morgens ins Unternehmen. An der Eingangst\u00fcr h\u00e4lt er einen kleinen Sicherheitsschl\u00fcssel an den Leser. Die T\u00fcr \u00f6ffnet sich. Wenige Minuten sp\u00e4ter verwendet er denselben Schl\u00fcssel am Arbeitsplatz: f\u00fcr die Anmeldung am Rechner, f\u00fcr einen gesch\u00fctzten Cloud-Dienst oder als zweiten Faktor beim Zugriff auf sensible Unternehmensdaten.<\/p>\n\n\n\n

Kein zus\u00e4tzlicher Zutrittschip. Kein Einmalcode auf dem privaten Smartphone. Kein Passwortzettel unter der Tastatur. Ein Ger\u00e4t verbindet die physische und die digitale Identit\u00e4t des Mitarbeiters.<\/p>\n\n\n\n

Das klingt zun\u00e4chst nach einer kleinen Komfortverbesserung. Tats\u00e4chlich steckt dahinter ein Sicherheitskonzept, das gleich mehrere typische Unternehmensprobleme l\u00f6sen kann. Wir wollten wissen, ob dieses Versprechen auch in der Praxis tr\u00e4gt \u2013 und haben den Swissbit iShield Key 2 Pro MIFARE sowohl als digitalen Sicherheitsschl\u00fcssel als auch f\u00fcr eine eigene kontaktlose Zutrittsanwendung getestet.<\/p>\n\n\n\n

Drei Schl\u00fcsselwelten, die heute meist getrennt sind<\/h2>\n\n\n\n

In vielen Unternehmen besitzt ein Mitarbeiter mehrere voneinander unabh\u00e4ngige Zug\u00e4nge: ein Passwort f\u00fcr den Rechner, eine App oder einen Code f\u00fcr die Zwei-Faktor-Anmeldung und eine Karte oder einen Chip f\u00fcr das Geb\u00e4ude. Bei weiteren Anwendungen kommen zus\u00e4tzliche Passw\u00f6rter hinzu.<\/p>\n\n\n\n

Das funktioniert \u2013 verursacht aber Aufwand. Neue Mitarbeiter m\u00fcssen in mehreren Systemen eingerichtet werden. Bei einem Verlust m\u00fcssen verschiedene Stellen reagieren. Verl\u00e4sst jemand das Unternehmen, m\u00fcssen digitale Konten und physische Zutrittsrechte zuverl\u00e4ssig und m\u00f6glichst gleichzeitig gesperrt werden.<\/p>\n\n\n\n

Ein kombinierter Sicherheitsschl\u00fcssel schafft daraus nicht automatisch ein einziges Verwaltungssystem. Er kann aber das gemeinsame Medium sein, auf dem die Berechtigungen eines Mitarbeiters zusammenlaufen: digital \u00fcber FIDO2 und physisch \u00fcber MIFARE DESFire EV3.<\/p>\n\n\n\n

Warum ein Passwort trotz komplizierter Regeln unsicher bleiben kann<\/h2>\n\n\n\n

Ein Passwort ist ein Geheimnis, das der Benutzer einer Anmeldeseite mitteilt. Genau darin liegt das Problem: Eine professionell gef\u00e4lschte Seite kann heute nahezu genauso aussehen wie das Original. Gibt der Mitarbeiter dort sein Passwort und vielleicht sogar einen Einmalcode ein, kann ein Angreifer beides \u00fcbernehmen.<\/p>\n\n\n\n

Regeln wie zw\u00f6lf Zeichen, Sonderzeichen und regelm\u00e4\u00dfige \u00c4nderungen erschweren zwar das Erraten. Sie verhindern aber nicht, dass ein Mensch sein korrektes Passwort auf der falschen Seite eingibt.<\/p>\n\n\n\n

Phishing ist l\u00e4ngst kein Randproblem mehr<\/h2>\n\n\n\n

Wie h\u00e4ufig solche Angriffe tats\u00e4chlich als Einfallstor dienen, zeigt der europ\u00e4ische Blick besonders deutlich. Die EU-Agentur f\u00fcr Cybersicherheit ENISA untersuchte f\u00fcr ihren Threat Landscape Report 2025 insgesamt 4.875 Vorf\u00e4lle aus dem Zeitraum Juli 2024 bis Juni 2025. Wo sich der erste Einbruchsweg bewerten lie\u00df, stand Phishing mit rund 60 Prozent<\/a> an erster Stelle. Das Ausnutzen technischer Schwachstellen folgte mit 21,3 Prozent.<\/p>\n\n\n\n

Mit Phishing ist dabei l\u00e4ngst nicht mehr nur die schlecht formulierte E-Mail mit einem auff\u00e4lligen Link gemeint. ENISA z\u00e4hlt auch sch\u00e4dliche E-Mail-Anh\u00e4nge, manipulierte Werbung und telefonische T\u00e4uschungsversuche dazu. \u00dcber sogenannte \u201ePhishing-as-a-Service\u201c-Angebote k\u00f6nnen heute selbst technisch wenig versierte T\u00e4ter fertige Angriffspakete einsetzen.<\/p>\n\n\n\n

Auch CERT-EU beobachtet diese Entwicklung bei Einrichtungen und Partnern der Europ\u00e4ischen Union: Der Anteil klassischen E-Mail-Spearphishings an den beobachteten Erstzugriffsversuchen sank 2025 zwar von 41 auf 31 Prozent<\/a>. Gleichzeitig nahmen andere Methoden zu \u2013 darunter Telefon-Phishing, manipulierte Anmeldevorg\u00e4nge und der Missbrauch legitimer Autorisierungsabl\u00e4ufe. Der Angriff verschwindet also nicht; er wird vielseitiger und professioneller.<\/p>\n\n\n\n

F\u00fcr Unternehmen bedeutet das: Es gen\u00fcgt nicht mehr, Mitarbeiter nur vor verd\u00e4chtigen E-Mails zu warnen. Wenn der Anmeldevorgang selbst so gestaltet ist, dass gestohlene Passw\u00f6rter und Einmalcodes m\u00f6glichst wenig nutzen, wird aus reiner Aufmerksamkeit eine technische Schutzma\u00dfnahme.<\/p>\n\n\n\n

FIDO2 geht einen anderen Weg. Vereinfacht gesagt erzeugt der Sicherheitsschl\u00fcssel f\u00fcr jeden Dienst einen eigenen digitalen Schl\u00fcssel. Dieser passt nur zum echten Dienst \u2013 \u00e4hnlich wie ein Geb\u00e4udeschl\u00fcssel nur in das daf\u00fcr vorgesehene Schloss passt. Eine t\u00e4uschend echte Kopie der Anmeldeseite besitzt nicht das richtige digitale Schloss und kann die Anmeldung deshalb nicht einfach abgreifen.<\/p>\n\n\n\n

Zwei-Faktor-Anmeldung oder ganz ohne Passwort<\/h2>\n\n\n\n

Der iShield Key 2 Pro MIFARE kann auf zwei Arten eingesetzt werden. Bei der klassischen Zwei-Faktor-Anmeldung bleibt das Passwort bestehen. Zus\u00e4tzlich muss der Mitarbeiter den registrierten Hardware-Schl\u00fcssel besitzen und die Anmeldung am Ger\u00e4t best\u00e4tigen. Ein gestohlenes Passwort allein reicht dann nicht mehr aus.<\/p>\n\n\n\n

Unterst\u00fctzt die jeweilige Anwendung eine passwortlose Anmeldung, kann der Hardware-Schl\u00fcssel das Passwort vollst\u00e4ndig ersetzen. Der Benutzer meldet sich dann mit dem Ger\u00e4t und \u2013 abh\u00e4ngig von der Konfiguration \u2013 einer lokalen PIN an. Das ist nicht nur komfortabler. Es beseitigt auch das Passwort als m\u00f6gliches Ziel f\u00fcr Phishing.<\/p>\n\n\n\n

Welche Variante m\u00f6glich ist, h\u00e4ngt von den eingesetzten Anwendungen, Cloud-Diensten und der vorhandenen Benutzerverwaltung ab. Eine Einf\u00fchrung beginnt deshalb sinnvollerweise mit einer Bestandsaufnahme \u2013 nicht mit dem pauschalen Kauf einer Kiste voller Tokens.<\/p>\n\n\n\n

Was wir praktisch ausprobiert haben<\/h2>\n\n\n\n

Uns interessierte nicht nur das Datenblatt. Wir wollten wissen, wie sich der Schl\u00fcssel im Alltag und bei einer eigenen technischen Integration verh\u00e4lt.<\/p>\n\n\n\n

Zun\u00e4chst registrierten wir den iShield Key 2 Pro MIFARE als FIDO2-Sicherheitsschl\u00fcssel und verwendeten ihn f\u00fcr eine Zwei-Faktor-Anmeldung. Der Ablauf ist f\u00fcr den Benutzer \u00fcberschaubar: Schl\u00fcssel verbinden oder kontaktlos verwenden, die Anmeldung ausl\u00f6sen und am Token best\u00e4tigen. Die kryptografischen Vorg\u00e4nge bleiben im Hintergrund.<\/p>\n\n\n\n

Danach untersuchten wir die zweite Seite des Ger\u00e4ts: die kontaktlose MIFARE-DESFire-Funktion. Sie ist f\u00fcr Zutrittskontrollen besonders interessant, weil nicht lediglich eine offen auslesbare Kartennummer verwendet werden muss. Stattdessen kann das Zutrittssystem pr\u00fcfen, ob der Token tats\u00e4chlich \u00fcber den passenden geheimen Schl\u00fcssel verf\u00fcgt.<\/p>\n\n\n\n

Warum das sicherer ist als ein einfacher RFID-Chip<\/h2>\n\n\n\n

Viele einfache Zutrittsl\u00f6sungen erkennen nur die Seriennummer eines Chips. Das ist ungef\u00e4hr so, als w\u00fcrde ein Pf\u00f6rtner jemanden allein deshalb hereinlassen, weil er die richtige Personalnummer nennt. Wurde diese Nummer kopiert, kann das System Original und Kopie unter Umst\u00e4nden nicht unterscheiden.<\/p>\n\n\n\n

DESFire erm\u00f6glicht eine echte kryptografische Pr\u00fcfung. Bildlich gesprochen kennt der Token nicht nur die Personalnummer, sondern kann eine Aufgabe beantworten, die nur mit dem hinterlegten geheimen Schl\u00fcssel l\u00f6sbar ist. Der geheime Schl\u00fcssel muss dabei nicht aus dem Token ausgelesen oder bei jeder Pr\u00fcfung offen \u00fcbertragen werden.<\/p>\n\n\n\n

Zus\u00e4tzlich k\u00f6nnen eigene, gesch\u00fctzte Datenbereiche angelegt werden. Darin lie\u00dfen sich beispielsweise eine interne Berechtigungskennung, ein Standortbezug oder andere f\u00fcr die Anwendung notwendige Informationen speichern. Welche Daten sinnvoll sind, h\u00e4ngt immer vom konkreten Sicherheitskonzept ab.<\/p>\n\n\n\n

Unser Blick unter die Haube<\/h2>\n\n\n\n

F\u00fcr den technischen Test verwendeten wir einen Identiv uTrust 3700 F CL als kontaktlosen USB-Leser. \u00dcber PC\/SC, Python und pyscard<\/code> kommunizierten wir direkt mit dem Test-Token.<\/p>\n\n\n\n

Wir legten darauf eine eigene Anwendung mit einem gesch\u00fctzten Datenbereich an und ersetzten den anf\u00e4nglichen Schl\u00fcssel durch einen individuell erzeugten AES-Schl\u00fcssel. Danach lie\u00dfen sich die Testdaten nur noch nach erfolgreicher Authentifizierung lesen und ver\u00e4ndern. Abschlie\u00dfend setzten wir den daf\u00fcr vorgesehenen Test-Token kontrolliert zur\u00fcck.<\/p>\n\n\n\n

F\u00fcr technisch Interessierte war damit die entscheidende Funktionskette nachgewiesen. F\u00fcr den sp\u00e4teren Benutzer bedeutet sie schlicht: Das System pr\u00fcft nicht nur irgendeine Nummer, sondern die Echtheit der Berechtigung.<\/p>\n\n\n\n

Was ein Unternehmen davon hat<\/h2>\n\n\n\n

Der gr\u00f6\u00dfte Vorteil ist nicht ein einzelnes technisches Merkmal, sondern das Zusammenspiel:<\/p>\n\n\n\n

    \n
  • Weniger Angriffsfl\u00e4che:<\/strong> FIDO2 sch\u00fctzt digitale Zug\u00e4nge deutlich besser gegen klassische Phishing-Angriffe.<\/li>\n\n\n\n
  • Einfacherer Arbeitsalltag:<\/strong> Ein Ger\u00e4t kann f\u00fcr Geb\u00e4ude, Arbeitsplatz und unterst\u00fctzte Onlinedienste verwendet werden.<\/li>\n\n\n\n
  • Weniger Passwortprobleme:<\/strong> Je nach System kann der Schl\u00fcssel Passw\u00f6rter absichern oder vollst\u00e4ndig ersetzen.<\/li>\n\n\n\n
  • Klarere Prozesse:<\/strong> Ausgabe, R\u00fcckgabe, Verlust und Sperrung k\u00f6nnen als zusammenh\u00e4ngender Identit\u00e4tsprozess geplant werden.<\/li>\n\n\n\n
  • Flexible Integration:<\/strong> USB und NFC erm\u00f6glichen die Verwendung an unterschiedlichen Ger\u00e4ten und Zugangssystemen.<\/li>\n<\/ul>\n\n\n\n

    Das kann den Aufwand f\u00fcr Benutzer und IT reduzieren. Entscheidend ist allerdings eine saubere Umsetzung. Wer lediglich mehrere bestehende Einzell\u00f6sungen auf dasselbe St\u00fcck Hardware packt, ohne die dahinterliegenden Abl\u00e4ufe zu verbinden, verschenkt einen gro\u00dfen Teil des Nutzens.<\/p>\n\n\n\n

    Mehr als Login und T\u00fcr<\/h2>\n\n\n\n

    Die Pro-MIFARE-Ausf\u00fchrung verbindet nicht nur FIDO2 und Geb\u00e4udezutritt. \u00dcber ihre PIV-Smartcard-Funktion kann sie auch Zertifikate f\u00fcr eine Windows-Anmeldung, digitale Signaturen oder die Verschl\u00fcsselung bereitstellen. In einer entsprechend vorbereiteten Active-Directory- und Zertifikatsumgebung wird der Token damit zum gesch\u00fctzten Identit\u00e4tstr\u00e4ger f\u00fcr weitere Aufgaben.<\/p>\n\n\n\n

    Die kontaktlose DESFire-Funktion l\u00e4sst sich ebenfalls \u00fcber die Eingangst\u00fcr hinausdenken. Derselbe Mitarbeiterschl\u00fcssel kann beispielsweise an Druckern f\u00fcr FollowMe- beziehungsweise Secure-Print, bei der Zeiterfassung oder f\u00fcr besonders gesch\u00fctzte Bereiche wie Serverr\u00e4ume eingesetzt werden. F\u00fcr den Mitarbeiter bleibt es ein einziges Ger\u00e4t; im Hintergrund bleiben die jeweiligen Berechtigungen trotzdem sauber voneinander getrennt.<\/p>\n\n\n\n

    Eine Br\u00fccke f\u00fcr \u00e4ltere Systeme<\/h2>\n\n\n\n

    Nicht jede vorhandene Anwendung unterst\u00fctzt bereits FIDO2. Die Pro-Variante bietet deshalb zus\u00e4tzlich zeit- und z\u00e4hlerbasierte Einmalcodes \u2013 TOTP und HOTP \u2013 sowie die M\u00f6glichkeit, ausgew\u00e4hlte statische Zugangsdaten \u00fcber eine virtuelle Tastatur auszugeben. So lassen sich auch \u00e4ltere Verwaltungsoberfl\u00e4chen, Netzwerkger\u00e4te oder andere Systeme einbinden, die moderne Authentifizierungsverfahren noch nicht beherrschen.<\/p>\n\n\n\n

    Diese Funktionen sind eine praktische \u00dcbergangsl\u00f6sung, aber nicht das eigentliche Sicherheitsziel. Einmalcodes und statische Passw\u00f6rter k\u00f6nnen weiterhin abgefangen oder auf einer gef\u00e4lschten Seite eingegeben werden. Wo FIDO2 m\u00f6glich ist, bleibt die an den echten Dienst gebundene kryptografische Anmeldung die deutlich bessere Wahl.<\/p>\n\n\n\n

    Der zweite Schl\u00fcssel geh\u00f6rt zum Konzept<\/h2>\n\n\n\n

    Ein Ger\u00e4t f\u00fcr mehrere Zug\u00e4nge wirft eine berechtigte Frage auf: Was passiert, wenn es verloren geht? Beim iShield Key 2 Pro MIFARE ist die fehlende Exportm\u00f6glichkeit f\u00fcr gesch\u00fctzte Zugangsdaten eine gewollte Sicherheitsfunktion. Private Schl\u00fcssel, Passkeys, Zertifikate und OTP-Daten sollen den Token nicht einfach verlassen und auf ein anderes Ger\u00e4t kopiert werden k\u00f6nnen.<\/p>\n\n\n\n

    Das sch\u00fctzt vor unbemerkten Kopien, bedeutet aber auch: Ein Ersatzschl\u00fcssel l\u00e4sst sich nicht erst nach dem Verlust durch Duplizieren des Originals erzeugen. Er muss vorher separat ausgegeben und f\u00fcr die ben\u00f6tigten Konten und Funktionen registriert beziehungsweise provisioniert werden.<\/p>\n\n\n\n

    Geht ein Token verloren, m\u00fcssen seine digitalen Anmeldeschl\u00fcssel und physischen Zutrittsrechte umgehend gesperrt werden. F\u00fcr wichtige Konten sollte bereits ein zweiter Hardware-Schl\u00fcssel hinterlegt sein. Alternativ braucht es ein kontrolliertes administratives Wiederherstellungsverfahren, das nicht ausgerechnet vom verlorenen Token abh\u00e4ngt.<\/p>\n\n\n\n

    Zur Einf\u00fchrung geh\u00f6ren deshalb nicht nur die Ger\u00e4te, sondern klare Regeln f\u00fcr Ausgabe, Personalisierung, Ersatz, R\u00fcckgabe und Sperrung. Der zweite Schl\u00fcssel ist dabei kein unn\u00f6tiges Doppel, sondern Teil des Sicherheits- und Betriebskonzepts.<\/p>\n\n\n\n

    Unser Fazit: Warum machen wir das eigentlich noch getrennt?<\/h2>\n\n\n\n

    Unser Test begann mit der technischen Neugier, was sich auf dem iShield Key 2 Pro MIFARE tats\u00e4chlich umsetzen l\u00e4sst. Das Ergebnis ist aber vor allem aus organisatorischer Sicht interessant: Digitale Anmeldung und Geb\u00e4udezutritt m\u00fcssen f\u00fcr den Mitarbeiter nicht zwangsl\u00e4ufig zwei getrennte Welten bleiben.<\/p>\n\n\n\n

    Ein einziges Ger\u00e4t kann morgens die T\u00fcr \u00f6ffnen, anschlie\u00dfend den Arbeitsplatz absichern und den Zugriff auf wichtige Anwendungen sch\u00fctzen. FIDO2 reduziert die Abh\u00e4ngigkeit vom Passwort und erschwert Phishing. DESFire EV3 erm\u00f6glicht eine kryptografisch abgesicherte Zutrittskontrolle, die weit \u00fcber das Auslesen einer einfachen Chipnummer hinausgeht.<\/p>\n\n\n\n

    Die Technik daf\u00fcr ist vorhanden und funktioniert. Die spannendere Frage f\u00fcr viele Unternehmen lautet deshalb nicht mehr: \u201eIst so etwas m\u00f6glich?\u201c Sondern: \u201eWarum verwalten wir digitale Identit\u00e4t und Geb\u00e4udezutritt eigentlich immer noch getrennt?\u201c<\/p>\n\n\n\n

    <\/p>","protected":false},"excerpt":{"rendered":"

    Un dispositivo abre la puerta de la empresa por la ma\u00f1ana y luego protege el lugar de trabajo y los servicios en l\u00ednea. Probamos c\u00f3mo el iShield Key 2 Pro combina MIFARE FIDO2 con el control de acceso seguro DESFire.<\/p>","protected":false},"author":1,"featured_media":1577,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[],"class_list":["post-1560","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-allgemein"],"blocksy_meta":[],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t