Eine neue Zutrittskontrollanlage hat eine Nutzungsdauer von zehn bis fünfzehn Jahren. In diesem Zeitraum wird sich die kryptografische Grundlage, auf der digitale Schließsysteme beruhen, fundamental verändern. Das BSI hat konkrete Fristen gesetzt: Klassische asymmetrische Verschlüsselungsverfahren sollen ab Ende 2031 nicht mehr allein eingesetzt werden, bei besonders schutzbedürftigen Anwendungen bereits ab 2030. Für digitale Signaturen gilt eine Übergangsfrist bis 2035.

Diese Fristen mögen abstrakt klingen. Sie sind es nicht – zumindest nicht für Betreiber, die heute Beschaffungsentscheidungen treffen.

Das Upgrading-Problem der physischen Sicherheitstechnik

In der IT-Welt ist ein Kryptografie-Update ein Softwarevorgang. Server, Firewalls, Betriebssysteme lassen sich remote patchen. In der physischen Sicherheitstechnik ist das grundlegend anders.

Zutrittscontroller, Kartenleser, Alarmzentralen und Videosysteme sind eingebettete Systeme mit proprietärer Firmware. Viele von ihnen verwalten kryptografische Schlüssel intern, in herstellerspezifischen Formaten, ohne standardisierte Schnittstelle nach außen. Ein Firmware-Update ist möglich – aber nur, wenn das Gerät dafür ausgelegt wurde. Und selbst dann stellt sich die Frage: Kann das Gerät überhaupt Firmware-Updates prüfen, die mit Post-Quanten-Verfahren signiert wurden? Bezieht es kryptografische Schlüssel über offene Standards von einem externen Schlüsselmanagementsystem?

Wer diese Fragen heute nicht stellt, beantwortet sie spätestens 2030 – unter Zeitdruck.

Was Krypto-Agilität für Zutrittssysteme bedeutet

Krypto-Agilität bezeichnet die Fähigkeit eines Systems, kryptografische Verfahren auszutauschen, ohne die gesamte Infrastruktur ersetzen zu müssen. Praktisch bedeutet das: Ein Zutrittscontroller kann seine Schlüssel über ein standardisiertes Verfahren von einem herstellerunabhängigen Schlüsselmanagementsystem beziehen. Wenn sich der Krypto-Standard ändert, wird das Schlüsselsystem aktualisiert – nicht die Hardware an jeder Tür.

Das Gegenteil davon ist der heutige Normalzustand: Jeder Hersteller verwaltet Schlüssel in einem eigenen Format, auf dem jeweiligen Gerät, ohne Export-Möglichkeit. Fällt das Gerät aus oder wird kompromittiert, gehen die Schlüssel mit. Wer dann 40 Produkte von 12 Herstellern betreibt, steht vor einer Migration, die technisch und organisatorisch kaum zu bewältigen ist.

Ein unterschätztes Risiko: Videoaufzeichnungen und Zutrittsprotokolle

Die kryptografische Relevanz beschränkt sich nicht auf die Authentifizierung an der Tür. Videosysteme speichern Aufzeichnungen verschlüsselt. Zutrittsprotokolle sind digital signiert. Lagepläne, personenbezogene Daten, Berechtigungshistorien – all das wird durch kryptografische Schlüssel geschützt, die irgendwo in der Anlage liegen.

Das Risiko-Szenario „Heute sammeln, später entschlüsseln“ ist hier besonders relevant: Angreifer können verschlüsselte Datensätze heute abgreifen und speichern, um sie zu entschlüsseln, wenn leistungsfähige Quantencomputer verfügbar sind. Für Daten mit langfristigem Vertraulichkeitsbedarf – also Aufzeichnungen aus Hochsicherheitsbereichen, Zutrittsprotokolle kritischer Infrastrukturen oder biometrische Daten – ist das kein theoretisches Szenario.

Wer heute solche Daten schützen will, muss heute die richtige Infrastruktur beschaffen. Nachträglich lässt sich das nicht korrigieren.

Was das konkret für die Beschaffung bedeutet

Drei Fragen sollten bei jeder Ausschreibung für digitale Zutrittssysteme, Videotechnik oder Alarmzentralen gestellt werden:

Erstens: Kann das Gerät Firmware-Updates prüfen, die mit Post-Quanten-Verfahren signiert wurden? Wenn nicht, ist die Updatefähigkeit bei der kommenden Krypto-Migration fraglich.

Zweitens: Bezieht das Gerät kryptografische Schlüssel über offene Standards – etwa KMIP oder PKCS#11 – von einem externen Schlüsselmanagementsystem? Oder sind die Schlüssel proprietär im Gerät gespeichert?

Drittens: Welche Versionen der zugrunde liegenden Krypto-Standards werden unterstützt – und wie ist der Hersteller in die Weiterentwicklung dieser Standards eingebunden?

Wer die ersten beiden Fragen mit „Nein“ beantworten muss, beschafft keine Infrastruktur für das nächste Jahrzehnt – sondern ein System mit begrenzter Zukunftsfähigkeit.

BSI-Fristen: Wann wird es konkret?

Das BSI nennt in seiner Technischen Richtlinie TR-02102 klare Übergangszeitpunkte. Klassische asymmetrische Verfahren wie RSA oder ECDSA sollen ab Ende 2031 nicht mehr allein eingesetzt werden. Bei besonders schutzbedürftigen Systemen – also genau den Anwendungen, die in kritischer Infrastruktur, Rechenzentren oder behördlichen Einrichtungen eingesetzt werden – gilt die Frist bereits ab 2030. Für digitale Signaturen läuft die Übergangsfrist bis 2035.

Eine Zutrittskontrollanlage, die heute beschafft wird und 2032 noch in Betrieb ist, muss diese Fristen erfüllen können. Ob das möglich ist, hängt von der Architektur des Systems ab – und von den Fragen, die vor der Beschaffung gestellt wurden.

Was Konntec dabei berücksichtigt

Konntec plant Zutrittssysteme auf Basis einer strukturierten Objektanalyse – und das schließt die Frage nach der technischen Zukunftsfähigkeit ein. Welches System wird beschafft? Wie lange soll es betrieben werden? Welche Daten werden gespeichert, und wie lange müssen sie vertraulich bleiben? Sind offene Standards für Schlüsselmanagement und Firmware-Updates vorgesehen?

Diese Fragen stellen wir – bevor die Anlage installiert wird. Nicht danach.

Quelle: Protector Magazin, „Krypto-Agilität: Der Server ist schnell aktualisiert, die Tür nicht“, Gastbeitrag Tim Hudson, 13. August 2026. BSI Technische Richtlinie TR-02102.