Tech · 9. Juli 2026 · 6 Min.
Assets und Daten: Warum ein klonbarer Tag schlimmer ist als gar kein Tag
Zwei Sicherheiten
Physische Sicherheit und Informationssicherheit sind zwei verschiedene Dinge.
Redaktion Exteryo Report
Erstere erzeugt ohne Letztere eine falsche Sicherheit, was schlimmer ist als das Fehlen eines Systems.
Die kurze Antwort
Das Wort Sicherheit umfasst zwei Dinge.
- Physische Sicherheitmacht Informationen im Moment des Bedarfs zugänglich
- Informationssicherheitmacht sie zuverlässig
Die kurze Antwort
Letztere baut auf zwei Ebenen auf: dem Tag, dessen Klonresistenz dem Objektwert entsprechen muss, und der Plattform mit profilierten Zugriffen, unveränderlichen Logs und verschlüsselten Daten.
Warum es nicht einfach ist
Sie wird wie eine reine Pflichterfüllung behandelt.
Ist sie nicht.
Warum es nicht einfach ist
Bei Rückverfolgbarkeitsprojekten kommt die Sicherheit oft als Letztes, als eine von jemand anderem auferlegte Einschränkung: der Rechtsabteilung, einem Audit, einem Kunden, der den Lieferantenfragebogen anfordert. Sie ist die Ebene, die bestimmt, ob man den gesammelten Daten vertrauen kann.
Kapitel 1 von 4
Physische Sicherheit und Informationssicherheit: Wo liegt der Unterschied?
Zwei Sicherheiten
Erstere ist ohne Letztere reines Theater.
Physische Sicherheit
Die physische Sicherheit betrifft Gegenstände und Personen.
1 von 2
Dass die PSA konform ist
2 von 2
Ob die getragene PSA abgelaufen ist
Physische Sicherheit
Hier dient die Technologie dazu, Informationen im Moment des Bedarfs zugänglich zu machen.
Informationssicherheit
Die Informationssicherheit betrifft die Daten: dass die Kennung nicht klonbar ist, dass der Datensatz nachträglich nicht veränderbar ist, dass der Lesende zum Lesen berechtigt ist. Hier dient die Technologie dazu, Informationen zuverlässig zu machen.
Anmerkung
Zugänglich und zuverlässig sind keine Synonyme: Eine Information kann rechtzeitig eintreffen und dennoch falsch sein.
Bevor wir fortfahren
Ein Tag, den jeder duplizieren kann: besser oder schlimmer als gar kein System?
Reines Theater
Ein System, das eine PSA auf der Grundlage eines Tags, den jeder mit einer einfachen App duplizieren kann, für konform erklärt, erzeugt eine falsche Sicherheit. Das ist schlimmer als gar kein System, weil es die Personen dazu verleitet, unvorsichtig zu werden.
Kapitel 2 von 4
Was garantiert der Chip wirklich?
Die Ebene des Tags
Nicht alle Chips sind gleichwertig.
Die Ebene des Tags
Ein NTAG213 hat eine eindeutige und nicht überschreibbare UID: Das garantiert, dass dieser Chip genau dieser Chip ist.
Tippen Sie auf den Chip
Was garantiert die UID?
Was garantiert die UID?
Bevor wir fortfahren
Wenn die Anwendung nur die UID liest, was entspricht dann dem Schutz?
Die Ebene des Tags
Wenn sich die Anwendung darauf beschränkt, die UID zu lesen, entspricht das Schutzniveau dem einer aufgedruckten Seriennummer.
Anmerkung
Nur die UID zu lesen, ist gleichbedeutend damit, einer auf dem Etikett geschriebenen Nummer zu vertrauen: Wer sie kopiert, hat sie.
Kryptografische Authentifizierung
Chips mit kryptografischer Authentifizierung lösen das Problem auf andere Weise: Der Tag beweist, dass er einen Schlüssel kennt, ohne ihn preiszugeben. Das Klonen würde erfordern, den Schlüssel aus dem Silizium zu extrahieren, was den Angriff von «einer App» in «ein Labor» verlagert.
Wie viel die Fälschung wert ist
Die praktische Frage ist nicht, welcher Chip der sicherste ist, sondern wie viel es für einen Angreifer wert ist, diesen Gegenstand zu fälschen.
Wie viel die Fälschung wert ist
Eine städtische Straßenlaterne und eine Luxustasche erfordern nicht dasselbe Niveau, und für das falsche Niveau zu bezahlen, ist in beide Richtungen eine Verschwendung.
Kapitel 3 von 4
Was muss die Plattform garantieren?
Die Ebene der Plattform
Über dem Tag befindet sich die Software mit den Anforderungen jedes Systems, das Unternehmensdaten und oft auch personenbezogene Daten der Beschäftigten verarbeitet.
Die Anforderungen
- ZugriffeProfilierung der Zugriffe
- ÄnderungenUnveränderliche Änderungsprotokolle
- DatenVerschlüsselung bei der Übertragung und im Ruhezustand
- KontenVerwaltung des Lebenszyklus der Konten
Die GDPR
Wenn die Daten Inspektionen, Fristen und die Zuweisung von PSA an identifizierbare Personen betreffen, betritt man den Geltungsbereich der europäischen Datenschutz-Grundverordnung (GDPR).
Die GDPR
Die operative Konsequenz ist konkret: Man muss wissen, wer Verantwortlicher, wer Auftragsverarbeiter ist und welche Unterauftragsverarbeiter in die Kette involviert sind. Das ist eine vertragliche, keine technische Arbeit und muss erledigt werden, bevor das erste Datum hochgeladen wird.
Anmerkung
Verantwortlicher, Auftragsverarbeiter, Unterauftragsverarbeiter: Das sind Namen, die der Vertrag bereits an dem Tag enthalten muss, an dem das erste Datum hochgeladen wird.
Kapitel 4 von 4
Was würden Sie einem Richter zeigen?
Die Überprüfung
Am Ende eines Kontrollprojekts ist die Überprüfung immer dieselbe.
Die Überprüfung
«Wenn mich morgen eine Behörde, ein Kunde oder ein Richter bitten würde, zu beweisen, dass dieser Gegenstand an diesem Datum von dieser Person inspiziert wurde, was zeige ich ihm und warum sollte er mir glauben?»
Wenn sie standhält
Wenn die Antwort standhält, sind die vier Ebenen – Identifikation, Serialisierung, Rückverfolgbarkeit und Sicherheit – in Ordnung.
Wenn sie nicht standhält
Wenn nicht, ist die Schwachstelle fast immer die letzte.
Anmerkung
Das sind die vier Ebenen der Unternehmenskontrolle: Die Sicherheit ist die letzte und entscheidet, ob man den anderen vertrauen kann.
In einem Satz
Sicherheit ist keine reine Pflichterfüllung: Sie ist die Ebene, die bestimmt, ob man den gesammelten Daten vertrauen kann.
Exteryo Report
Zum Mitnehmen
Sechs Prüfungen, bevor Sie den Daten eines Kontrollsystems vertrauen. Für diejenigen, die für diese Daten verantwortlich sind.
0 von 6 abgehakt
Schreiben Sie mit uns
Möchten Sie für Exteryo Report schreiben?
Wenn Sie einen Beitrag schreiben oder veröffentlichen oder mit uns zusammenarbeiten möchten, schreiben Sie an die Redaktion oder nutzen Sie das Kontaktformular.
Quellen
- NXP, NTAG213/215/216 data sheet: die UIDnxp.com↗
- Verordnung (EU) 2016/679 (GDPR) auf EUR-Lexeur-lex.europa.eu↗
Bilder und Animationen: illustrative Objekte, mit künstlicher Intelligenz erzeugt. Sie zeigen keine realen Objekte oder Dokumente, die im Artikel erwähnt werden.
ExteryoExteryo Report · 9. Juli 2026