Die meisten RFID-Sicherheitsdebatten beginnen beim Etikett und enden beim Etikett. Das ist der falsche Ausgangspunkt, denn das Etikett ist zugleich das schwächste Element des Systems und das am wenigsten schützenswerte. Ein passives Inlay hat keine Batterie, ein paar hundert Gatter und eine Funkstrecke, die jeder in zehn Metern Entfernung mithören kann.

Die realistische Frage lautet nicht, wie man das Etikett unangreifbar macht. Sie lautet, wo der Verteidigungsaufwand so platziert wird, dass die Angriffskosten den Angriffswert übersteigen — und welche Schicht diese Last tragen muss.

Was bei einer RFID-Einführung tatsächlich gefährdet ist

Benennen Sie die Werte, bevor Sie die Kontrollen wählen, denn Sicherheitsausgaben ohne Bedrohungsmodell kaufen Beruhigung statt Schutz.

Bestandsintegrität: gefälschte Lesungen, die den Bestand aufblähen, oder geklonte Etiketten, die Phantomversendungen erzeugen.
Physische Sicherheit: ein Angreifer, der weiß, welche Artikel an welchem Standort liegen oder sich im Transit befinden.
Kundendatenschutz: aus artikelgenauen Etiketten abgeleitete Bewegungsmuster, besonders in Mode und Handel.
Produktauthentizität: Das Etikett ist die Produktidentität, ein Klon ist damit eine Fälschung.
Sicherheit und Compliance: pharmazeutische und medizinische Rückverfolgbarkeit, in der eine falsche Identität ein regulatorisches Ereignis ist und kein Bestandsfehler.

Bedrohungen der Luftschnittstelle: Skimming, Klonen, Abhören, Relay

Vier Angriffe erklären fast alles, was im Feld demonstriert wird, und sie haben unterschiedliche Ökonomien.

Skimming: Etiketten ohne Wissen des Bedieners lesen. Mit einem Handlesegerät oder einem modifizierten Leser auf wenigen Metern trivial; die Kosten liegen im niedrigen dreistelligen Dollarbereich.
Abhören: den Austausch zwischen Leser und Etikett passiv mitschneiden. Braucht Nähe, keine Berechtigung.
Klonen: einen EPC in ein neues Etikett kopieren. Billige Etiketten machen das nahezu kostenlos, und der Klon ist an der Luftschnittstelle nicht unterscheidbar, solange das System nichts außer dem EPC prüft.
Relay: eine Challenge an ein entferntes echtes Etikett weiterreichen. In der Logistik selten, in Zutrittskontrolle und zahlungsnahen Szenarien relevant.

Beachten Sie, was nicht auf der Liste steht: Kryptografie brechen. Angreifer brauchen das selten. Sie klonen, sie skimmen, oder sie greifen das Backend an.

Was die EPC-Gen2-Passwörter wirklich verhindern

Gen2 bietet zwei 32-Bit-Passwörter und eine Reihe von Sperrbits. Sie sind nützlich, und ihre Grenzen müssen klar benannt werden.

Zugangspasswort: erforderlich, bevor in den Speicher geschrieben wird. Es verhindert beiläufiges Neucodieren Ihrer Etiketten, mehr nicht.
Kill-Passwort: deaktiviert das Etikett dauerhaft, für Datenschutz am Lebensende. Ein Fehlversuch dekrementiert einen Zähler, nach vier Fehlern sperrt sich das Etikett selbst.
Sperrbits: pro Speicherbank, teilweise dauerhaft. Sie verhindern Schreiben, nicht Lesen.
Gen2 hat keinen Leseschutz. Jeder konforme Leser liest EPC und TID im Klartext. Was Sie nicht veröffentlichen würden, gehört nicht in den Etikettspeicher.

Tag-Authentifizierung und Anti-Klon-Strategien

Wenn Klonen relevant ist, prüfen Sie etwas, das der Angreifer nicht billig kopieren kann.

TID-Eindeutigkeit: Die TID ist werkseitig eingebrannt und nicht umschreibbar; gleichen Sie sie mit Ihrem eigenen Register ausgegebener TIDs ab. Das stoppt den bequemen Klon, nicht den entschlossenen.
Kryptografische Etiketten: AES-basierte Authentifizierung, etwa NXP UCODE DNA oder Alternativen von EM Microelectronic, mit einem Schlüssel pro Etikett. Die Kosten steigen von Cents auf etwa einen Dollar pro Etikett, was nur bei hohem Artikelwert oder hoher regulatorischer Exposition gerechtfertigt ist.
Challenge-Response am Leser: Der Leser sendet eine Nonce und prüft eine signierte Antwort. Das erfordert einen Schlüsselverwaltungsdienst; verlorene Schlüssel sind schlimmer als kein Verfahren.
Digitale Signatur im Anwenderspeicher: signierte Nutzlast, geprüft gegen einen öffentlichen Schlüssel, nützlich für Produktauthentizität, wenn der Prüfer ein Telefon sein kann.

Erfinden Sie kein eigenes Verfahren. Herstellerspezifische proprietäre Authentifizierung existiert genau deshalb, weil selbstgebaute Protokolle lecken.

Backend-Sicherheit: die Schicht, die Angreifer wirklich anvisieren

Der häufigste Vorfall in der Praxis ist kein geklontes Etikett, sondern ein Lesegerät mit Standardpasswort in einem flachen Netz.

TLS auf dem gesamten Weg zwischen Leser, Rand und ERP; gegenseitiges TLS, wo der Leser es unterstützt, damit ein fremdes Gerät kein echtes imitieren kann.
Netzsegmentierung: eigene VLAN je Lesergruppe, keine Route ins Unternehmens-LAN, kein Internet-Egress.
Signierte Firmware und ein kontrollierter Updatepfad; Lesegeräte sind eingebettete Computer und werden so selten gepatcht, wie sie geprüft werden.
Minimale Rechte in der Middleware: ein Dienstkonto, das Wareneingänge buchen, aber nicht löschen kann.
Secret-Management: keine Passwörter in Konfigurationsdateien und keine Klartexte in der ERP-Datenbank.
Unveränderliches Audit-Log jeder Konfigurationsänderung mit der Identität des Bedieners.
LLRP und Hersteller-APIs über TLS, die Managementoberfläche nur aus einem Administrationssubnetz erreichbar.

Datenschutz und Compliance: Minimierung schlägt Verschlüsselung

Die Regulierung kümmert sich weniger um Funk als darum, was sich aus den aufbewahrten Daten ableiten lässt.

DSGVO Artikel 5: erheben, was der Prozess braucht. Ein Kleidungsstück-Etikett braucht keine Kundenkennung, um ein Kleidungsstück-Etikett zu sein.
Recht auf Löschung: bei artikelgenauen Handelsetikketten entweder am Point of Sale deaktivieren oder den EPC rotieren, sodass er nicht mehr mit einem Kauf verknüpfbar ist.
PIPL und vergleichbare Regime verlangen dieselbe Disziplin: Zweckbindung, Aufbewahrungsgrenzen und Rechtsgrundlage für personenbezogene Daten.
Information im Handel: Hinweis am Eingang, veröffentlichte Aufbewahrungsfrist und eine Kontaktstelle. Billig, und es verhindert die meisten Beschwerden.
Die Verknüpfung zwischen EPC und Kunde gehört ins ERP, niemals aufs Etikett.

Eine praktische Härtungsreihenfolge

In dieser Reihenfolge; jeder Schritt entfernt eine Angriffsklasse, bevor die nächste relevant wird.

1. Lesernetz segmentieren und Standardzugangsdaten entfernen. Das allein verhindert die Mehrzahl realer Vorfälle. 2. TLS und danach gegenseitiges TLS auf jeder Verbindung vom Leser zum Rand aktivieren. 3. Zugangspasswörter und Sperrbits auf selbst kontrollierten Etiketten setzen und die Passwörter in einem verwalteten Speicher ablegen. 4. TIDs am Rand gegen ein Register prüfen; unbekannte TIDs quarantänisieren statt stillschweigend akzeptieren. 5. Kryptografische Etiketten nur dort ergänzen, wo der Anlagenwert die Kosten rechtfertigt, beginnend mit den wertvollsten SKUs. 6. Etiketten am Lebensende deaktivieren oder rotieren und das Verfahren mit einem echten Leser testen, nicht nur auf Papier.

Fazit

RFID-Sicherheit ist eine Systemeigenschaft, kein Etikettenmerkmal. Das Etikett ist eine funklesbare Kennung mit schwachem Schreibschutz und ohne Leseschutz; behandeln Sie es als öffentliche Daten, die zufällig an Ihrem Artikel kleben.

Die Kennung aufs Etikett, die Bedeutung ins Backend.
Unterstellen Sie, dass jeder EPC gelesen und kopiert werden kann, und entwerfen Sie Erkennung statt Verleugnung.
Geben Sie das erste Budget für Segmentierung und Zugangsdaten aus, nicht für exotische Etiketten.
Nutzen Sie kryptografische Etiketten, wo Artikelwert oder Regulierung es verlangen, und sonst nirgends.
Halten Sie personenbezogene Daten aus dem Etikettspeicher und machen Sie Löschung zu einem getesteten Verfahren.

Diese Haltung kostet weit weniger als ein Vorfall und übersteht die nächste Etikettengeneration.