Sicherheitsprobleme ’intelligenter’ Etiketten früh erkennen und vermeiden

Eine aktuelle Studie zu „Risiken und Chancen von RFID-Systemen“ ist erschienen. Auftraggeber war das Bundesamt für Sicherheit in der Informationstechnik (BSI). Die Studie konzentriert sich auf die Bereiche Informationssicherheit und Datenschutz. Sie bietet einen umfassenden Überblick über die technischen Grundlagen, die Anwendungspotenziale und insbesondere über neue Risiken im Kontext von RFID-Systemen. Ein Schwerpunkt liegt in der vorausschauenden Analyse möglicher Bedrohungslagen, einschließlich der Einschätzung der Wirksamkeit von bestehenden Sicherheitsmaßnahmen.

Die Risiken und Chancen von ’intelligenten’ Etiketten stehen zunehmend in der öffentlichen Diskussion. Sie werden in den Medien auch als Funkchips, Smart Labels oder sogar „Schnüffelchips“ bezeichnet. Diese automatischen Identifikationssysteme heißen in der Fachsprache RFID (Radio-Frequenz-IDentifikation) und sollen traditionelle Lösungen wie den Barcode ersetzen. Aufgabe und Ziel von RFID ist es, Informationen zu Gütern oder Waren, Personen oder Tieren kontaktlos bereitzustellen. Hierzu werden z.B. an Reisepässen, Milchpaletten oder Autokarosserien ’intelligente’ Etiketten (RFID-Tags) mit einer eindeutigen Identifikationsnummer angebracht, die berührungslos per Funk von Lesegeräten abgefragt werden können.

Die Frage nach der Sicherheit von RFID-Systemen entwickelt sich dabei immer mehr zu einer Schlüsselkategorie für die Gestaltung des gesellschaftlichen Daten-, Informations- und Wissensaustauschs. Aber auch die Frage, ob und in welcher Form zusätzliche verbraucher- bzw. datenschutzrechtliche Regelungen durch den Einsatz von RFID-Systemen erforderlich sind, rückt zunehmend in den Mittelpunkt der gesellschaftlichen Debatte (Stichwort „gläserner Kunde“ bzw. „gläserner Bürger“).

Die Abschätzung der Chancen und Risiken des Einsatzes von RFID-Systemen mit Blick auf die Bereiche Informationssicherheit und Datenschutz ist Gegenstand einer aktuellen Studie, die vergangene Woche vom Bundesamt für Sicherheit in der Informationstechnik in Berlin präsentiert wurde. Die Studie wurde in Kooperation mit dem IZT – Institut für Zukunftsstudien und Technologiebewertung Berlin und der Eidgenössischen Materialprüfungs- und Forschungsanstalt (EMPA, St. Gallen, Schweiz) erarbeitet.

„Echte oder vermeintliche Sicherheitsprobleme als zentrale Barriere der wirtschaftlichen Nutzung der RFID-Technologie müssen frühzeitig erkannt und so weit als möglich auch vermieden werden“ fordert Britta Oertel vom IZT – Institut für Zukunftsstudien und Technologiebewertung. „Nur so können die Innovationspotenziale durch RFID ausgeschöpft werden.“

Ziele der Studie

Die Studie bietet einen umfassenden Überblick über die technischen Grundlagen, die Anwendungspotenziale und insbesondere über neue Risiken im Kontext von RFID-Systemen. Ein Schwerpunkt liegt in der vorausschauenden Analyse möglicher Bedrohungslagen, einschließlich der Einschätzung der Wirksamkeit von bestehenden Sicherheitsmaßnahmen. Darüber hinaus wird anschaulich und mit praktischen Beispielen erläutert, welche RFID-Systeme bereits heute angewendet werden und welche sich in der Erprobungsphase befinden. Um die Risiken und Chancen von RFID-Systemen zu bewerten, wird zudem eine Einschätzung der wesentlichen technologischen, ökonomischen, rechtlichen und gesellschaftlichen Entwicklungen im Kontext von RFID-Systemen vorgenommen, die einen Zeithorizont bis etwa 2010 aufspannen.

Traditionelle Marktsegmente, künftige Anwendungsgebiete von RFID-Systemen

In einigen Marktsegmenten werden RFID-Systeme bereits seit Jahrzehnten eingesetzt. „Nur wenigen Nutzern ist bekannt, dass Wegfahrsperren in Kfz oder elektronische Skipässe zu den RFID-Systemen zählen“, erläutert Britta Oertel. „Hohe Verbreitungszahlen belegen, dass die Nutzerinnen und Nutzer in diesen Segmenten RFID akzeptieren.“

In anderen Anwendungsbereichen befindet sich RFID noch in der Erprobungsphase. Hier zeigt die Studie die Chancen auf, die RFID-Systeme beispielsweise für den Handel, das produzierende Gewerbe oder für Logistik-Dienstleister bietet. „Chancen lassen sich vor allem in denjenigen Anwendungsbereichen und Branchen ausmachen, in denen Produktivitätsfortschritte durch eine verstärkte Automatisierung erzielt werden können“, betont Michaela Wölk vom Berliner IZT.

Wölk weiter: „Zu den Hauptwachstumsfaktoren für die weitere Verbreitung von RFID-Systemen zählen sinkende Preise und zunehmende gesetzliche Vorgaben. So rücken RFID-Lösungen im Zuge von Vorschriften der Europäischen Union immer stärker in den Blickpunkt.“

Beispielsweise forciert die EU das Markieren von Schafen mit RFID-Chips, um den Lebensweg des Tieres von der Geburt bis zur Schlachtung eindeutig rückverfolgen zu können. Auch technische Probleme, die derzeit noch die Verbreitung von RFID-Systemen hemmen, sollen in den nächsten Jahren überwunden werden. Hierzu zählen beispielsweise Probleme bei der gleichzeitigen Erfassung eines Pulks von RFID-Chips.

„Datenschutzaspekte bereits im Design der RFID-Systeme berücksichtigen“

Die Studie stellt systematisch sowohl mögliche Angriffe auf RFID-Systeme als auch mögliche Abwehrmaßnahmen dar. Der Einsatz von Störsendern, das Abhören der Kommunikation zwischen RFID-Tag und Erfassungsgerät oder das unautorisierte Auslesen von Informationen sind nur Beispiele für mögliche Angriffsarten. Für Privatpersonen steht die mögliche Verletzung der Privatsphäre im Vordergrund, insbesondere wenn durch flächendeckende RFID-Anwendungen Datenspuren in zentralen Datenbanken abgelegt werden. Dazu Britta Oertel vom IZT: „Um die Chancen von RFID zu nutzen und gleichzeitig die Bedrohung für die Persönlichkeitssphäre so gering wie möglich zu halten, müssen die Grundsätze eines wirksamen Datenschutzrechts in RFID-Systemen bereits frühzeitig im Design-Prozess und in der Markteinführung umgesetzt werden. Hierzu zählen vor allem der Grundsatz der Datensparsamkeit und die schnellstmögliche Anonymisierung oder Pseudonymisierung personenbezogener Daten. Dies gilt umso mehr, als politische und rechtliche Rahmenbedingungen im Zuge der fortschreitenden Globalisierung zunehmend schwieriger zu gestalten sind.“

„Fiktive Fallbeispiele sollen „Entscheidungsträger sensibilisieren“

Die Gefährdungspotenziale verdeutlicht die Studie mittels fiktiver Fallbeispiele. Sie veranschaulichen für den Zeithorizont 2010 grundsätzlich mögliche Risiken der RFID-Technologie. „Die fiktiven Fallbeispiele sind explizit nicht als prognostische Abschätzung zu verstehen. Aber sie sollen dazu beitragen, Entscheidungsträger für das Thema der Informationssicherheit in dem Innovationsfeld RFID zu sensibilisieren und Bewusstsein für Gefährdungen zu wecken“, so Michaela Wölk vom IZT.

Zu den möglichen Gefährdungen zählen beispielsweise die künstliche Einschränkung der Kompatibilität und Lebensdauer von Produkten: So ist es vorstellbar, dass elektronische Geräte wie Rasierapparate, Fotoapparate oder Autos zukünftig nur noch Austauschteile vom gleichen Hersteller akzeptieren. Dieses könnte durch einen auf einem RFID-Chip gespeicherten Autorisierungsschlüssel sichergestellt werden. Ein weiteres fiktives Fallbeispiel thematisiert die Überwachung von Fußballfans: Personalisierte Daten, die beim Verkauf der Eintrittskarten ermittelt werden, könnten im Fußballstadion über den Aufenthaltsort von Personen informieren. Fanblocks, die aus früheren Anlässen bekannt sind, könnten erfasst werden, ohne dass aufwendige Personenkontrollen durchgeführt werden müssen. Aber auch unbeteiligte Personen, die sich zufällig im Lesebereich der entsprechenden Blocks aufhalten, werden in diesen Fällen ebenfalls registriert.

„Bei Betrachtung der technischen Möglichkeiten moderner RFID-Technologie sowie der damit einhergehenden Gefährdungen wird klar, dass Auswirkungen des Einsatzes dieser Technologie auf den verschiedensten Ebenen der IT-Sicherheit und der Gesellschaft nicht ausbleiben können“, urteilt der Präsident des Bundesamts für Sicherheit in der Informationstechnik, Dr. Udo Helmbrecht.

Erwerb der Studie:

Die Studie „Risiken und Chancen des Einsatzes von RFID-Systemen“ ist zum Preis von EUR 58,- im Buchhandel oder direkt beim SecuMedia-Verlag erhältlich (ISBN 3-922746-56-X, 128 Seiten).

Pressekontakt und Rezensionsexemplare:
Barbara Debus, IZT – Institut für Zukunftsstudien und Technologiebewertung
Berlin, Tel.: 030-803088-45, E-Mail: b.debus@izt.de

Fachliche Ansprechpartnerinnen am IZT:
Britta Oertel (Projektleitung), Tel.: 030-803088-43, E-Mail: b.oertel@izt.de
Michaela Wölk, Tel.: 030-803088-47, E-Mail: m.woelk@izt.de