Türen, Badges und Schlüsselkarten: Die Zutrittskontrolle ist ein Computer

Eine Tür, die von einem Gerät oder einem PC abhängt

In einem neueren Gebäude öffnen sich die Eingangstür, das Parkplatztor und die Kellertür mit einem Badge, einer Karte oder einem Code. Hinter dem Lesegerät sitzt ein Controller, oft ein kleiner Server unter Linux mit einer Weboberfläche; hinter der Schlüsselkarte eines Hotels ein Windows-Rechner, der sie codiert. Die Frage ist für einen Syndic, einen Gebäudeverwalter oder einen Unternehmensleiter einfach: Was geschieht an dem Tag, an dem diese Maschine angegriffen wird? Vier dokumentierte Fälle erlauben eine Antwort, ohne zu übertreiben oder zu verharmlosen: massenhaft ausgenutzte Zutrittscontroller (Nortek eMerge E3), eine Schwachstelle in Hotelschlössern, die für Einbrüche genutzt wurde (Onity), eine Ransomware, die das Herstellen von Schlüsselkarten verhindert (Seehotel Jägerwirt), und ein Datenleck, das auch die Codes von Schlüsselboxen umfasst (City Relay).

Nortek eMerge E3: Türcontroller massenhaft ausgenutzt (2019-2024)

Der Linear eMerge E3 von Nortek ist das Gerät, das entscheidet, ob ein Badge eine Tür öffnet. Es ist zugleich ein Webserver. Im April 2019 stellt der Forscher Gjoko Krstic, damals bei Applied Risk, in Singapur zehn Schwachstellen dieses Produkts vor, darunter sechs kritische; laut SecurityWeek ist Nortek der einzige von seinen Arbeiten betroffene Hersteller, der den Dialog verweigert. Am 12. November 2019 werden Exploit-Codes auf Exploit-DB veröffentlicht.

Anfang Februar 2020 beobachtet SonicWall eine massenhafte Ausnutzung, über die SecurityWeek am 3. Februar 2020 berichtet: Zehntausende Versuche pro Tag, ein Befehl, der eine Schadsoftware herunterlädt und installiert, dann die Nutzung des Controllers für Denial-of-Service-Angriffe gegen Dritte. Mehr als 2.300 Geräte waren damals aus dem Internet erreichbar.

Die Hauptschwachstelle, CVE-2019-7256, ist eine Befehlsinjektion ohne Authentifizierung über die Weboberfläche, im Hinweis der CISA mit 10.0 und vom NVD mit 9.8 bewertet. Fest einprogrammierte Zugangsdaten (CVE-2019-7261 und CVE-2019-7265, 9.8) öffnen anschließend den Weg bis zu vollständigen Rechten. Der Hinweis ICSA-24-065-01 der CISA führt insgesamt zwölf Schwachstellen auf, darunter ein uneingeschränktes Hochladen von Dateien (CVE-2019-7257, 10.0).

Was auffällt, ist der Zeitplan. Die CISA veröffentlicht am 2. Juli 2020 einen Hinweis für ein verwandtes Modell, den eMerge 50P/5000P, doch die Serie E3 und CVE-2019-7256, obwohl mindestens seit Februar 2020 ausgenutzt, erhalten vor dem 5. März 2024 keinen Hinweis. Am 25. März 2024 nimmt die CISA CVE-2019-7256 in ihren Katalog der ausgenutzten Schwachstellen auf. Der Patch des Herstellers stammt aus den Jahren 2023-2024, rund fünf Jahre nach der Offenlegung. In der Zwischenzeit nennt der gemeinsame Hinweis von FBI, CNMF und NSA vom 18. September 2024 zum Botnetz „Raptor Train“, mehr als 260.000 Geräte im Juni 2024, CVE-2019-7256 unter den genutzten Schwachstellen, ohne den Anteil der Nortek-Controller zu beziffern. Ein Bulletin des FBI vom 16. Dezember 2024 meldet Scans der Kampagne HiatusRAT auf dieselbe Schwachstelle, und VulnCheck meldet am 8. Oktober 2024 eine neue Befehlsinjektion ohne Authentifizierung, CVE-2024-9441 (9.8), für die zu diesem Zeitpunkt kein Patch verfügbar ist.

In keinem öffentlich benannten Fall wurde auf diesem Weg eine böswillige Türöffnung oder ein Löschen von Protokollen gemeldet. Die Fähigkeit besteht, da der Angreifer vollständige Rechte erhält; die beobachtete Nutzung ist der Denial-of-Service-Angriff gegen Dritte. Die Türen funktionieren weiter, und nichts zeigt dem Verwalter an, dass sein Gerät jemand anderen angreift. Die von der CISA empfohlenen Maßnahmen sind klassisch: Firmware-Update, Netzwerkisolierung, Firewall, VPN für den Fernzugriff und Änderung der werkseitigen Zugangsdaten.

Onity-Schlösser: eine Konferenz-Schwachstelle, zwei Monate später Einbrüche (2012)

Im Juli 2012 zeigt Cody Brocious auf der Konferenz Black Hat USA, dass ein für rund fünfzig Dollar selbst gebautes Gerät, angeschlossen an den Gleichstromanschluss an der Unterseite eines Onity-Hotelschlosses, den Speicher des Schlosses ausliest, den Schlüssel daraus gewinnt und es öffnet. Vier Millionen Zimmer sind betroffen. Am 17. August 2012 kündigt Onity zwei Maßnahmen an: einen kostenlosen Stopfen samt Torx-Schraube, um den Anschluss zu verschließen, und eine neue Platine zum Sonderpreis, wobei Versand und Arbeitszeit zulasten der Hotels bleiben, wie The Register berichtet.

Im September 2012 trifft eine Serie von Einbrüchen das Hyatt House Galleria in Houston, betrieben vom Franchisenehmer White Lodging. Am 31. Oktober nimmt die Polizei den 27-jährigen Matthew Allen Cook fest, nachdem ein gestohlener Laptop bei einem Pfandleiher wieder aufgetaucht ist. Hier ist zu trennen, was der Betreiber sagt und was die Justiz feststellt: White Lodging erklärte, davon auszugehen, dass die Zimmer mit dem Gerät geöffnet wurden, das die Schwachstelle ausnutzt, während die Polizei laut NBC News die Feststellung der Eindringmethode der Staatsanwaltschaft überließ.

Die Schwachstelle hat keine CVE-Nummer: Es ist ein Hardwaredefekt, der auf schwacher Kryptografie und ungeschützten Schlüsseldaten im Schloss beruht. Die Behebung ist daher mechanisch oder materiell, nicht per Software: ein physischer Eingriff pro Tür. Das Hyatt in Houston stellte damals Sicherheitskräfte auf und verklebte die Anschlüsse mit Epoxidharz, eher eine Behelfslösung als eine Behebung. Am 6. Dezember 2012 erklärt sich Onity bereit, für die großen amerikanischen Ketten den Austausch der Platinen zu übernehmen, bei Schlössern, die nach 2005 eingebaut wurden. Vier Monate nach der Offenlegung gab der Versicherer Petra Risk Solutions an, dass ein Fünftel seiner Kunden das Problem noch nicht behandelt hatte.

Seehotel Jägerwirt: die Ransomware, die das Herstellen der Schlüsselkarten verhindert (2016-2017)

Das Romantik Seehotel Jägerwirt auf der Turracher Höhe in Österreich verwaltet seine Zimmer mit Schlüsselkarten. Der Windows-Rechner, der diese Karten codiert, trägt zugleich die Reservierung und die Kasse: eine einzige Maschine für drei lebenswichtige Funktionen. Laut dem Bericht des ORF Kärnten vom 22. Januar 2017 erleidet der Betrieb im Sommer 2016 einen ersten Angriff, mit Instandsetzungskosten von mehreren tausend Euro, die die Versicherung nicht erstattet. Der schwerste Angriff ereignet sich am Eröffnungswochenende der Wintersaison 2016-2017: Schlüsselsystem, Reservierung und Kassen sind blockiert, während das Hotel mit 180 Gästen ausgebucht ist und gerade nach drei Wochen Schließung ohne aktuelle Datensicherung wieder geöffnet hat.

Einen Tag lang ist es unmöglich, neue Karten für die ankommenden Gäste herzustellen. Der Direktor, Christoph Brandstätter, zahlt zwei Bitcoin, rund 1.500 Euro, und die Systeme werden sofort wieder freigegeben. Der ursprüngliche Infektionsweg wurde nicht veröffentlicht; das Personal wurde anschließend für präparierte E-Mails sensibilisiert. Keine durch eine CVE identifizierte Schwachstelle ist im Spiel.

Eine Richtigstellung ist nötig. Der ORF schreibt, dass die ankommenden Gäste mangels Karten nicht mehr in die Zimmer kamen; die englischsprachige Presse verschärfte dies zu „eingeschlossenen Gästen“. Eine Woche später präzisiert der Direktor gegenüber BleepingComputer, das seinen Titel am 29. Januar 2017 korrigiert, dass „nobody was locked in or out“: Die Schlösser lassen sich gemäß den Brandschutzvorschriften von innen manuell öffnen, und die anwesenden Gäste haben den Vorfall kaum bemerkt.

Die Zahlung hat die Versuche nicht beendet. In der Nacht vom 21. auf den 22. Januar 2017 wird ein neuer Angriff ohne Lösegeld eingedämmt, indem die Systeme offline genommen werden; die genaue Zählung der Angriffe variiert je nach Quelle. Die Bilanz, wie ORF und BleepingComputer sie berichten: 1.500 Euro Lösegeld, ein einziges Mal gezahlt, danach rund 10.000 Euro an Sicherheitsausgaben, keine Zahlung der Versicherung mangels identifizierten Täters, und eine angekündigte Rückkehr zu mechanischen Schlüsseln bei der nächsten Renovierung. Die Wiederherstellung bestand darin, die Systeme zu entkoppeln, die PCs zu ersetzen, die Netzwerke zu trennen, das Personal zu sensibilisieren und Sicherungen auf Bändern ohne Netzwerkanbindung einzurichten.

City Relay: die Codes der Schlüsselboxen in einem Datenleck (2026)

City Relay, Immobilienverwalter in London und Paris, entdeckt am 8. September 2026 zwei unbefugte Zugriffe auf seine Metabase-Cloud-Instanz, ein Reporting-Werkzeug, das mit seinen Produktionsdatenbanken verbunden ist. Am 14. September benachrichtigt das Unternehmen seine Partner-Eigentümer per E-Mail; The Register veröffentlicht am 17. September. Die offengelegten Daten umfassen Namen, E-Mail-Adressen, Postanschriften, Telefonnummern, Kontopasswörter, Bankverbindungen (insbesondere IBAN und SWIFT-Referenzen) sowie die Zugangsdetails zu den Objekten und die Codes der Schlüsselboxen. Die Zahl der betroffenen Personen wurde nicht mitgeteilt.

Der Zusammenhang mit einer bestimmten Schwachstelle bleibt zu diesem Zeitpunkt eine Vermutung der Presse. Metabase hat am 6. August 2026 eine SQL-Injection ohne Authentifizierung behoben, CVE-2026-72898, mit 10.0 bewertet, dokumentiert in einem GHSA-Sicherheitshinweis und am 11. August in den Katalog der ausgenutzten Schwachstellen der CISA aufgenommen; The Hacker News berichtete bereits am 8. August über die aktive Ausnutzung. In seinem Bericht vom 27. August gibt Metabase an, dass weniger als 3 % seiner Cloud-Kunden kompromittiert wurden. The Register bringt die beiden Vorgänge miteinander in Verbindung, doch weder City Relay, das von einer ihm nicht bekannten Schwachstelle der Plattform spricht, noch Metabase haben diesen Zusammenhang bestätigt.

Die Reaktion passt in einen Satz: City Relay hat die betroffenen Zugangs- und Schlüsselbox-Codes umgehend ändern lassen. Ein Schlüsselbox-Code, ein Türcode oder ein in einer Datenbank gespeicherter Badge ist ein physischer Schlüssel; gelangt die Datenbank nach außen, muss das Schloss, oder sein Code, in jedem betroffenen Objekt geändert werden. Auf regulatorischer Ebene verlangt die DSGVO eine Meldung an die Aufsichtsbehörde innerhalb von 72 Stunden (Artikel 33) und eine Benachrichtigung der Personen ohne unangemessene Verzögerung (Artikel 34); sechs Tage zwischen der Entdeckung und der E-Mail an die Kunden stellen für sich genommen keinen Verstoß dar.

Was ein Gebäude oder eine Eigentümergemeinschaft in Luxemburg daraus lernt

Keiner dieser vier Fälle hat sich in Luxemburg ereignet, und keiner betrifft eine Eigentümergemeinschaft im engeren Sinne. Die Mechanismen aber lassen sich auf eine Wohnanlage mit Badges, ein Bürogebäude oder einen Verwalter übertragen, der Schlüsselbox-Codes in einer Software führt. Wenn Sie eine dieser Anlagen verwalten, ergeben sich die folgenden Schritte aus den vier Fällen.

• Inventarisieren Sie die Geräte der Zutrittskontrolle: Marke, Modell, Firmware-Version und vor allem, was aus dem Internet erreichbar ist. Ein exponierter Controller wird massenhaft angegriffen, ohne dass irgendjemand Ihr Gebäude ins Visier nimmt.
• Trennen Sie jedes Türgerät vom Internet und erlauben Sie die Fernwartung nur per VPN, hinter einer Firewall. Auf einen behördlichen Hinweis zu warten, genügt nicht: Beim eMerge E3 hat es vier Jahre gedauert.
• Ändern Sie die werkseitigen Zugangsdaten bei der Inbetriebnahme, und verzichten Sie auf ein Produkt, dessen Zugangsdaten fest einprogrammiert sind, ohne dass sie sich ändern lassen.
• Segmentieren Sie: Das Netzwerk der Türen, das der Büro-IT des Syndics oder des Hausmeisters und das der Bewohner müssen einander nicht sehen.
• Legen Sie nicht mehrere lebenswichtige Funktionen auf eine einzige Maschine: Der PC, der die Badges codiert, ist nicht dazu bestimmt, zugleich der PC der Buchhaltung oder der E-Mail zu sein.
• Sichern Sie offline und testen Sie die Wiederherstellung vor dem Vorfall. Im Jägerwirt hat das Fehlen einer aktuellen Sicherung zum Lösegeld geführt.
• Planen Sie den Notbetrieb: einen mechanischen Generalschlüssel, vorcodierte Badges und die Prüfung, dass sich jede Tür ohne Strom und Netzwerk von innen öffnen lässt, wie es im Jägerwirt der Fall war.
• Befragen Sie den Anbieter vor dem Kauf: Wie ist der Schlüssel im Schloss geschützt, wie wird aktualisiert, wie lange läuft der Support? Der Fall Onity erinnert daran, dass eine Hardware-Schwachstelle durch einen Eingriff pro Tür behoben wird, der zu budgetieren ist.
• Schreiben Sie den Dienstleistervertrag: Wer greift aus der Ferne auf die Controller zu und über welchen Weg, wer verfolgt die Sicherheitshinweise des Herstellers, innerhalb welcher Frist wird ein Patch eingespielt, wer bewahrt die Protokolle auf.
• Behandeln Sie Codes wie Schlüssel: Ein Schlüsselbox-Code oder ein Türcode, der in einer Software des Verwalters gespeichert ist, wird nach jedem Vorfall geändert, nicht im Klartext aufbewahrt und keinem Dienstleister mitgeteilt, der ihn nicht benötigt.
• Lesen Sie die Versicherungspolice vor dem Vorfall: Im Jägerwirt hat der Versicherer mangels identifizierten Täters nichts gezahlt.
• Bereiten Sie die Meldung vor: Bei einem Leck personenbezogener Daten muss die Aufsichtsbehörde, in Luxemburg die CNPD, innerhalb von 72 Stunden informiert werden, und die betroffenen Personen sind ohne unangemessene Verzögerung zu benachrichtigen.

Keiner dieser vier Fälle beruht auf einer Technik, die außer Reichweite läge. Ein Anschluss unter einem Schloss, eine im Internet belassene Weboberfläche, ein PC ohne Sicherung, ein Reporting-Werkzeug, das mit der Produktionsdatenbank verbunden ist: Das sind organisatorische Entscheidungen, die sich in der Generalversammlung und in den Verträgen korrigieren lassen, ohne Zeitdruck.

Quellen

• CISA, Hinweis ICSA-24-065-01, Nortek Linear eMerge E3 (5. März 2024): cisa.gov
• CISA, Aufnahme von CVE-2019-7256 in den KEV-Katalog (25. März 2024): cisa.gov
• SecurityWeek, von SonicWall beobachtete Ausnutzung (3. Februar 2020): securityweek.com
• SecurityWeek, verspäteter Patch (12. März 2024): securityweek.com
• FBI, CNMF und NSA, gemeinsamer Hinweis zum Botnetz Raptor Train (18. September 2024): ic3.gov
• VulnCheck, CVE-2024-9441 (8. Oktober 2024): vulncheck.com
• FBI, Bulletin HiatusRAT (16. Dezember 2024): ic3.gov
• Exploit-DB 47619 (12. November 2019): exploit-db.com
• The Register, Onity-Schlösser (27. November 2012): theregister.com
• NBC News, Einbrüche in Houston (27. November 2012): nbcnews.com
• ORF Kärnten, Seehotel Jägerwirt (22. Januar 2017): kaernten.orf.at
• BleepingComputer, Seehotel Jägerwirt (29. Januar 2017): bleepingcomputer.com
• The Register, City Relay (17. September 2026): theregister.com
• Metabase, Bericht zur Schwachstelle (27. August 2026): metabase.com
• The Hacker News, ausgenutzte Metabase-Schwachstelle (8. August 2026): thehackernews.com
• Hinweis GHSA-vwf4-m7j8-wcjf, Metabase (6. August 2026): github.com