--- id: CP-086 slug: klonen-zutrittsbadges-nfc-rfid lang: de title: Klonen von NFC- und RFID-Zutrittsbadges description: Ein kontaktloser Zutrittsbadge kann kopiert oder weitergeleitet werden, ohne dass der Träger es merkt. Was bekannt ist, was man sieht, was zu tun ist. canonical_url: https://startbrain.io/cyberpedia/de/articles/klonen-zutrittsbadges-nfc-rfid/ markdown_url: https://startbrain.io/cyberpedia/de/articles/klonen-zutrittsbadges-nfc-rfid.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „Klonen von NFC- und RFID-Zutrittsbadges“, Cyberpedia, 2026. https://startbrain.io/cyberpedia/de/articles/klonen-zutrittsbadges-nfc-rfid/ (CC BY 4.0) wing: 1 theme: secure_devices reflex: cr-053 schema: G3 updated: "2026-11-03" translations: de: https://startbrain.io/cyberpedia/de/articles/klonen-zutrittsbadges-nfc-rfid/ fr: https://startbrain.io/cyberpedia/fr/articles/clonage-badges-acces-nfc-rfid/ en: https://startbrain.io/cyberpedia/en/articles/nfc-rfid-access-badge-cloning/ es: https://startbrain.io/cyberpedia/es/articles/clonacion-tarjetas-acceso-nfc-rfid/ sources: - "n": 1 title: Multi-Factor Authentication Interception, Technique T1111 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1111/ accessed: "2026-11-03" - "n": 2 title: Adversary-in-the-Middle, Technique T1557 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1557/ accessed: "2026-11-03" - "n": 3 title: Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1200/ accessed: "2026-11-03" - "n": 4 title: SP 800-116 Rev. 1, Guidelines for the Use of PIV Credentials in Facility Access | CSRC publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/116/r1/final published: "2018-06-29" accessed: "2026-11-03" --- # Klonen von NFC- und RFID-Zutrittsbadges Ein Zutrittsbadge öffnet eine Tür, ein Drehkreuz oder einen Aufzug, ohne dass man etwas berühren muss. Der Badge tauscht sich auf kurze Distanz mit einem Lesegerät aus, und dieser Austausch kann im Prinzip von Dritten kopiert oder weitergeleitet werden. Dieser Beitrag erklärt die Idee aus Sicht der Beschäftigten und was Sie selbst tun können. Ein Hinweis zur Methode: Die hier zitierten Quellen sind allgemeine Beiträge zu manipulierter Hardware, zum Abfangen von Kommunikation und zur starken Authentifizierung, dazu eine amerikanische Empfehlung zu Zugangskarten. Keine davon beschreibt im Detail das Klonen von 125-kHz-Badges, die Schwächen von MIFARE Classic oder eine öffentliche Vorführung mit Proxmark oder Chameleon. Diese Punkte werden hier deshalb nicht behauptet. ## In 30 Sekunden - Wo es passiert: am Eingang der Räumlichkeiten und überall dort, wo ein Badge vor ein Lesegerät gehalten wird. Die hier zitierten Quellen nennen keinen konkreten Ort für das Kopieren selbst. - Was der Angreifer will: Zugangsdaten erlangen, um auf Systeme, Dienste und Netzwerkressourcen zuzugreifen [1]. - Wenn es schon passiert ist: Melden Sie den Verlust oder den Verdacht umgehend der für die Sicherheit der Räumlichkeiten zuständigen Person, die den Badge sperren kann. - Der Reflex: Lassen Sie einen Badge nie unbeaufsichtigt, verstauen Sie ihn, wenn Sie ihn nicht benutzen, und melden Sie jedes unbekannte Gerät, das in der Nähe eines Lesegeräts oder Netzwerks angeschlossen oder abgelegt ist. ## Direkte Fragen ### Kann ich erkennen, dass mein Badge kopiert wurde? Die hier zitierten Quellen sagen dazu nichts. Sie beschreiben andere Fälle, in denen der Angriff über einen Vermittler läuft, der zwischen zwei Geräten sitzt [2]. Man sollte daher so denken: Das Fehlen von Anzeichen beweist nichts. ### Ist ein neuer Badge sicher? Die Quellen belegen nicht, dass ein bestimmtes Badge-Modell sicher ist. Das NIST veröffentlicht Empfehlungen zur Verwendung von PIV-Karten, amerikanischen Dienstausweisen, bei der Zutrittskontrolle zu Gebäuden. Sie beruhen auf einer risikobasierten Strategie, um den passenden Authentifizierungsmechanismus auszuwählen [4]. Der Mechanismus wird also nach dem Risiko des jeweiligen Ortes gewählt und nicht nach einer einheitlichen Regel. ### Was tun, wenn ich meinen Badge verliere? Ein MITRE-Beitrag empfiehlt, Smartcards zu entfernen, wenn sie nicht benutzt werden [1]. Bei einem verlorenen Badge ermöglicht die sofortige Meldung der Organisation, ihn zu deaktivieren. Diese letzte Anweisung entspricht dem gesunden Menschenverstand der Organisation und stammt nicht aus einer der zitierten Quellen. ## In der Haut des Angreifers Die Beiträge von MITRE ATT&CK beschreiben Angreifer, die es auf das Authentifizierungsmittel abgesehen haben und nicht nur auf das Passwort. Der Beitrag zum Abfangen der Multifaktor-Authentifizierung nennt Smartcards und Codegeneratoren unter den angegriffenen Mechanismen [1]. Er stellt klar, dass bei einer Smartcard ein Keylogger nötig ist, um das zugehörige Passwort bei der normalen Nutzung zu erhalten [1]. Mit der eingesteckten Karte und diesem Passwort kann sich der Angreifer an einer Ressource anmelden, indem er die Authentifizierung über den infizierten Arbeitsplatzrechner laufen lässt [1]. Eine ähnliche Logik gibt es bei der Kommunikation: sich zwischen zwei Geräte zu schalten, um Informationen zu sammeln oder an ihrer Stelle zu handeln [2]. Die Idee eines Echtzeit-Relais zwischen einem Badge und einer entfernten Tür gehört zu dieser Familie von Angriffen, doch die hier zitierten Quellen wenden sie nicht auf Zutrittsbadges an. ## Was Sie auf dem Bildschirm sehen Bei einem Badge gibt es in der Regel keinen Bildschirm. Die Quellen beschreiben bei Hardware-Ergänzungen Anzeichen auf Netzwerk- und Arbeitsplatzseite: ein neues externes Gerät, das vom System erkannt wird, gefolgt von Prozessen, die in derselben Sitzung gestartet werden, oder eine neue Netzwerkschnittstelle, die eine Adresse erhält [3]. Diese Anzeichen betreffen die IT-Teams, die sie in den Protokollen suchen [3]. Für Beschäftigte ist das nützliche Signal oft physisch. Ein unbekanntes Kästchen oder ein kleiner Computer an einer Wanddose: Der Beitrag zu Hardware-Ergänzungen spricht von Geräten, die physisch an die Umgebung der Organisation angeschlossen sind [3]. Ein solches Objekt wird gemeldet, man zieht es nicht selbst ab. ## Unter der Haube Der MITRE-Beitrag zu Hardware-Ergänzungen hält fest, dass Zubehör, Netzwerkhardware oder andere Geräte physisch in ein System oder Netzwerk eingebracht werden können, um sich Zugang zu verschaffen [3]. Er fügt hinzu, dass öffentliche Belege für die Nutzung durch böswillige Akteure selten sind, während viele autorisierte Intrusion-Teams sie für den Erstzugang einsetzen [3]. Zu den genannten Fähigkeiten zählen das passive Mithören im Netzwerk, die Veränderung des Datenverkehrs, das Einspeisen von Tastatureingaben und das Hinzufügen von WLAN-Zugangspunkten [3]. Der Beitrag zum Angreifer in der Mitte beschreibt das Prinzip des Relais: ein Gerät zwingen, über ein vom Angreifer kontrolliertes System zu kommunizieren, um Informationen zu sammeln oder zu handeln [2]. Er nennt auch Downgrade-Angriffe, die eine schwächere oder veraltete Version eines Protokolls oder Verschlüsselungsalgorithmus aushandeln [2]. Zur Verschlüsselung des Datenverkehrs empfiehlt derselbe Beitrag, sicherzustellen, dass der gesamte kabelgebundene und drahtlose Verkehr korrekt verschlüsselt ist [2]. Die Parallele zu alten oder unverschlüsselten Badges ist eine Analogie der Redaktion: Diese Quellen belegen sie nicht. Auf der Abwehrseite empfiehlt der Beitrag zu Hardware-Ergänzungen, unbekannte Geräte und Zubehör über die Konfiguration der Arbeitsplatzrechner zu blockieren und den Netzwerkzugang mit Gerätezertifikaten und dem Standard 802.1x zu kontrollieren [3]. Die im Juni 2018 veröffentlichte NIST-Empfehlung behandelt dagegen die risikoabhängige Wahl der Authentifizierungsmechanismen von PIV-Karten für den Gebäudezutritt [4]. ## Fallanalysen ### DarkVishnya, Banken durch direkten Anschluss angegriffen (Referenz vom 6. Dezember 2018) Der MITRE-Beitrag zu Hardware-Ergänzungen nennt die Gruppe DarkVishnya. Sie schloss einen Bash Bunny, einen Raspberry Pi, Netbooks und günstige Laptops physisch an die Umgebung der angegriffenen Organisation an, um Zugang zu deren lokalem Netzwerk zu erhalten [3]. Die Referenzveröffentlichung von S. Golovanov trägt den Titel „DarkVishnya: Banks attacked through direct connection to local network“ und stammt vom 6. Dezember 2018 [3]. Dieser Fall betrifft keinen geklonten Badge. Er zeigt, dass eine Person, die sich in den Räumlichkeiten befindet oder hineingelangen konnte, billige Hardware platzieren kann, die den Zugang zum internen Netzwerk öffnet [3]. Das ist ein weiterer Grund, darauf zu achten, wer eintritt und was angeschlossen ist. Die hier zitierten Quellen enthalten keine datierte Vorführung des Klonens von HID-Prox-Badges und auch kein NFC-Relais gegen Zahlungskarten oder Schlüssel. Dieser Beitrag stellt deshalb keine vor. ## Quellen 1. MITRE ATT&CK, „Multi-Factor Authentication Interception, Technique T1111 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1111/ (abgerufen am 3. November 2026) 2. MITRE ATT&CK, „Adversary-in-the-Middle, Technique T1557 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1557/ (abgerufen am 3. November 2026) 3. MITRE ATT&CK, „Hardware Additions, Technique T1200 - Enterprise | MITRE ATT&CK®“. https://attack.mitre.org/techniques/T1200/ (abgerufen am 3. November 2026) 4. NIST, „SP 800-116 Rev. 1, Guidelines for the Use of PIV Credentials in Facility Access | CSRC“, 29. Juni 2018. https://csrc.nist.gov/pubs/sp/800/116/r1/final (abgerufen am 3. November 2026) --- Originalquelle: Cyberpedia, die öffentliche Enzyklopädie zu Cybersicherheit und KI von Brain. Kanonische Version: https://startbrain.io/cyberpedia/de/articles/klonen-zutrittsbadges-nfc-rfid/ Sie dürfen diesen Text unter der Lizenz CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) frei weiterverwenden, sofern Sie „Brain, Cyberpedia“ mit einem Link auf die obige Adresse nennen.