Anlagen- und Datensicherheit: die oft fehlende Ebene

In Tracking-Projekten kommt die Sicherheit fast immer zuletzt, und fast immer als Auflage von außen: die Rechtsabteilung, ein Audit, ein Kunde mit seinem Lieferantenfragebogen. Die Folge: Sie wird als Pflichtübung behandelt — dabei ist sie die Ebene, die darüber entscheidet, ob man den erhobenen Daten trauen kann.

Zwei Sicherheiten, oft verwechselt

Das Wort deckt zwei verschiedene Dinge ab.

Die physische Sicherheit betrifft Objekte und Menschen: dass die PSA konform ist, dass die Maschine geprüft wurde, dass die Arbeitskraft in Echtzeit weiß, ob das getragene Gerät abgelaufen ist. Hier dient die Technologie dazu, Informationen im Moment des Bedarfs zugänglich zu machen.

Die Informationssicherheit betrifft die Daten: dass die Kennung nicht klonbar ist, dass der Datensatz nicht nachträglich verändert werden kann, dass nur Berechtigte lesen. Hier dient die Technologie dazu, Informationen verlässlich zu machen.

Die erste ohne die zweite ist Theater. Ein System, das eine PSA auf Basis eines Tags für konform erklärt, den jeder mit einer Zehn-Euro-App duplizieren kann, erzeugt trügerische Sicherheit — schlimmer als gar kein System, weil es die Menschen dazu bringt, die Wachsamkeit zu senken.

Die Ebene des Tags

Nicht alle Chips sind gleichwertig. Ein NTAG213 hat eine eindeutige, nicht überschreibbare UID: Er garantiert, dass dieser Chip dieser Chip ist. Er garantiert nicht, dass niemand einen anderen Chip präsentieren kann, dessen lesbares Datenfeld eine kopierte UID enthält. Liest die Anwendung nur die UID, entspricht das Schutzniveau dem einer aufgedruckten Seriennummer.

Chips mit kryptografischer Authentifizierung lösen das Problem anders: Der Tag beweist, dass er einen Schlüssel kennt, ohne ihn preiszugeben. Klonen würde bedeuten, den Schlüssel aus dem Silizium zu extrahieren — der Angriff verlagert sich von "einer App" in "ein Labor".

Die praktische Frage ist nicht, welcher Chip der sicherste ist, sondern wie viel es einem Angreifer wert ist, dieses Objekt zu fälschen. Eine kommunale Straßenleuchte und eine Luxushandtasche verlangen nicht dasselbe Niveau, und für das falsche Niveau zu bezahlen ist in beide Richtungen Verschwendung.

Die Ebene der Plattform

Über dem Tag sitzt die Software, und hier gelten die Anforderungen jedes Systems, das Unternehmensdaten und oft auch personenbezogene Daten von Beschäftigten verarbeitet: Zugriffsprofile, unveränderliche Änderungsprotokolle, Verschlüsselung bei Übertragung und Speicherung, Lebenszyklus-Verwaltung der Konten.

Sobald die Daten Inspektionen, Fristen und die Zuweisung von PSA an identifizierbare Personen betreffen, gilt die DSGVO. Die operative Konsequenz ist konkret: Man muss wissen, wer Verantwortlicher ist, wer Auftragsverarbeiter, und welche Unterauftragsverarbeiter in der Kette stecken. Das ist Vertragsarbeit, keine Technik — und sie muss erledigt sein, bevor das erste Datum geladen wird.

Die Frage, die den Kreis schließt

Am Ende eines Kontrollprojekts ist die Prüfung immer dieselbe: Wenn morgen eine Behörde, ein Kunde oder ein Gericht von mir verlangte zu beweisen, dass dieses Objekt an jenem Datum von jener Person inspiziert wurde — was zeige ich vor, und warum sollte man mir glauben?

Hält die Antwort stand, sind die vier Ebenen — Identifikation, Serialisierung, Tracking, Sicherheit — in Ordnung. Hält sie nicht stand, liegt die Schwachstelle fast immer auf der letzten.