Hotel-Mobile-Keys können sicherer sein als Plastikkarten: Sie sind verschlüsselt, auf den Aufenthalt beschränkt, an ein gesperrtes Smartphone gebunden und jederzeit widerrufbar. Risikofrei sind sie nicht. Forscher haben Replay-Angriffe und schwache Admin-Passwörter nachgewiesen, daher hängt die Sicherheit von der Schloss-Firmware, der Schlüsselplattform und Ihren Prozessen ab.
Die kurze Antwort
Ein Mobile Key hat Schutzmechanismen, die einer Plastikkarte fehlen: Verschlüsselung, Beschränkung auf Türen und Daten, die Sperre des Smartphones und Widerruf aus der Ferne. Doch der Schlüssel ist nur ein Teil eines Systems, zu dem auch Schloss-Firmware, Schlosssoftware, Admin-Konten, die Schlüsselplattform und die Menschen gehören, die sie betreiben. Wie ein Sicherheitsexperte gegenüber NerdWallet sagte, sorgt „Verschlüsselung allein“ nicht für Sicherheit. Die unten dokumentierten Vorfälle zeigen, wo die Lücken lagen.
Wie ein Hotel-Mobile-Key geschützt ist
Jede Schutzebene begrenzt den Schaden, wenn eine andere versagt.
1. Verschlüsselung
FLEXIPASS erzeugt einen verschlüsselten digitalen Schlüssel und überträgt ihn per Datenverbindung auf das Smartphone des Gastes. Bei Mobile Keys wird der Schlüssel in einem sicheren Speicher auf dem Smartphone abgelegt, und die App baut per Bluetooth einen gegenseitig authentifizierten, verschlüsselten Kanal zu einem kompatiblen Bluetooth-Schloss auf. Wallet Keys werden im integrierten Secure Element des Smartphones gespeichert.
2. Zeit- und Türbeschränkungen
Ein Schlüssel gewährt Zugang zu zugewiesenen Türen für einen gewählten Zeitraum. Er gewährt keinen allgemeinen Zutritt zum Gebäude. Das Hotel entscheidet, welche Bereiche jeder Gast öffnen kann.
3. Die Sperre des Smartphones
In den meisten Fällen ist das Smartphone durch einen PIN-Code, Touch ID oder Face ID geschützt, sodass ein Finder nicht ohne Weiteres an den Schlüssel gelangt. Eine Plastikkarte hat nichts Vergleichbares.
4. Widerruf aus der Ferne
Geht ein Smartphone verloren, informiert der Gast das Hotel. Das Hotel kann einen neuen Schlüssel oder eine physische Keycard ausstellen, die den früheren digitalen Schlüssel überschreibt, und einen digitalen Schlüssel jederzeit widerrufen.
5. Widerruf beim Check-out
Schlüssel gelten nur für das vom Hotel festgelegte Zeitfenster. Beim Check-out werden sie widerrufen, in den meisten Fällen automatisch, sobald das PMS FLEXIPASS informiert. Ein vorheriger Gast kann die Tür nach einem neuen Check-in nicht öffnen.
Was ist tatsächlich schiefgegangen? (dokumentierte Fälle)
Das zeigen öffentlich zugängliche Quellen, jeweils mit Datum. Manches davon ist älter, und wir sagen das offen.
- Ein in einem Test wiederholtes Bluetooth-Signal (2018). Ein Sicherheitsforscher beschrieb in einem News4Jax-Bericht vom 23. Februar 2018, wie er die Bluetooth-Schlüsselübertragung eines Smartphones mit einer Antenne aufzeichnete und erneut abspielte, um ein Schloss zu öffnen. Er warnte außerdem, dass ein Angreifer mit dem Administratorpasswort fast alles tun könne, und sagte, ihm seien keine tatsächlichen kriminellen Hacks bekannt.
- Ein Admin-Passwort-Reset im Test. Ein Forscher, der in einem auf Websites von US-Fernsehsendern erneut veröffentlichten NerdWallet-Artikel zitiert wird, sagte, das Team habe bei einem der untersuchten Schlösser das Administratorpasswort ohne Autorisierung zurücksetzen können. Die erneut veröffentlichte Seite trägt kein Datum.
- Lösegeldforderung gegen ein Hotelschlüsselsystem (berichtet im Januar 2018). MarketScale berichtete am 10. Januar 2018 von Hackern, die das elektronische Schlüsselsystem eines Hotels in Österreich angriffen und das Hotel aus seinem Computersystem aussperrten. Berichten zufolge wurde ein Lösegeld von zwei Bitcoins gezahlt, und das Hotel kehrte zu herkömmlichen Schlüsseln zurück.
- Eine Keycard-Schwachstelle in einem weit verbreiteten RFID-Hotelschlosssystem (2024). SecurityWeek berichtete am 22. März 2024 über die Schwachstelle: Sie „betrifft mehr als drei Millionen Schlösser“ an „mehr als 13.000 Standorten in 131 Ländern“. Ausgehend von einer einzigen Karte aus dem Haus, selbst einer abgelaufenen, konnte ein Angreifer aus jeder beliebigen Karte vom Typ MIFARE Classic Keycards fälschen, und ein Paar gefälschter Karten konnte jede Tür im Haus öffnen. Zu diesem Zeitpunkt hatten „erst 36 % der betroffenen Schlösser die Korrektur erhalten“.
- Laut FBI keine bekannten Fälle in den USA (nicht aktuell). Derselbe NerdWallet-Artikel zitiert das FBI mit der Aussage, es habe in den USA keine kompromittierten Hotel-Mobile-Key-Systeme festgestellt. Die erneut veröffentlichte Seite trägt kein Datum; betrachten Sie dies daher als historische Aussage, nicht als aktuelle.
Das Muster: Die Schwachstellen waren Admin-Zugänge, ungepatchte Schloss-Firmware und alte Kartenformate. Das Smartphone selbst war selten das Problem.
Mobile Key vs. Keycard: Was ist sicherer?
| Merkmal | Plastik-Keycard | Mobile Key |
|---|---|---|
| Kopieren oder Klonen möglich? | Ältere Kartenformate ja: 2024 ließen sich gefälschte Karten für ein weit verbreitetes RFID-Schlosssystem aus jeder beliebigen Karte vom Typ MIFARE Classic herstellen (SecurityWeek) | Der Schlüssel ist eine verschlüsselte Zugangsberechtigung auf dem Smartphone. Ein Test von 2018 spielte ein aufgezeichnetes Bluetooth-Signal an einem Schloss erneut ab (News4Jax), daher kommt es auf die Schloss-Firmware an |
| Bei Verlust | Die Rezeption codiert eine neue Karte | Das Hotel widerruft ihn und stellt einen neuen aus |
| Am Ende des Aufenthalts | Die Karte funktioniert nicht mehr; das Plastik bleibt | Der Schlüssel wird beim Check-out widerrufen |
| Aus der Ferne widerrufbar? | Nein; an der Rezeption wird eine neue Karte codiert | Ja, jederzeit |
| Durch die Smartphone-Sperre geschützt? | Nein; wer die Karte hat, kann sie nutzen | In den meisten Fällen ja (PIN, Touch ID oder Face ID) |
| Größte Schwachstelle | Alte Kartenformate und ungepatchte Schlösser | Admin-Zugänge, Schloss-Firmware und Prozesse |
Einen umfassenderen Vergleich von Kosten und Gästeerlebnis finden Sie unter Digitale Hotelschlüssel vs. Keycards.
Das schwächste Glied sind meist die Prozesse, nicht die Technik
Die meisten der oben genannten Vorfälle begannen mit etwas, das ein Hotel oder Anbieter hätte kontrollieren können. Praktische Maßnahmen:
- Admin-Passwörter. Ändern Sie Standardpasswörter in der Schlosssoftware und in Konten der Schlüsselplattform. Verwenden Sie pro Konto ein eigenes, langes Passwort und beschränken Sie, wer Admin-Rechte hat.
- Personalzugang. Geben Sie dem Personal Schlüssel nur für die Türen und Zeiten, die es braucht, und entziehen Sie den Zugang, wenn jemand das Haus verlässt.
- Firmware- und Software-Updates. Fragen Sie Ihren Schlossanbieter, wie Updates veröffentlicht werden und wer sie installiert. Die Kartenschwachstelle von 2024 zeigt, wie lange es dauern kann, bis Korrekturen jede Tür erreichen.
- Verlorene Smartphones. Machen Sie den Widerruf zu einer Routineaufgabe der Rezeption, mit einer Keycard als Ersatz in Bereitschaft.
- Smartphones der Gäste. Erinnern Sie Gäste daran, die Bildschirmsperre aktiviert zu lassen.
10 Sicherheitsfragen an jeden Anbieter digitaler Schlüssel
Nutzen Sie diese ergänzend zu den Fragen an jeden Anbieter digitaler Schlüssel:
- Welche genauen Schlossmodelle und welche Software unterstützen Sie, und welche Schlüsselarten erlaubt jede davon?
- Wie ist der Schlüssel auf dem Smartphone und zwischen Smartphone und Schloss geschützt?
- Wie werden Schlüssel widerrufen: automatisch beim Check-out, manuell oder beides?
- Wie werden Zimmerwechsel, späte Check-outs und stornierte Aufenthalte gehandhabt?
- Was passiert ohne Datenverbindung? Kann ein heruntergeladener Schlüssel die Tür trotzdem öffnen?
- Welche Smartphones und Wallets werden unterstützt?
- Wer hat Admin-Rechte für das Schlosssystem und die Schlüsselplattform, und wie sind diese Konten geschützt?
- Wie werden Schloss-Firmware- und App-Updates bereitgestellt, und wer spielt sie ein?
- Welche Zugangsprotokolle gibt es, wer kann sie einsehen und wie lange werden sie aufbewahrt?
- Was ist die Ersatzlösung, wenn der Akku leer ist oder ein Schlüssel ausfällt?
Bevor Sie den Rollout starten, prüfen Sie Ihre Schlosskonfiguration.
Gästedaten und Datenschutz
Ein digitaler Schlüssel braucht sehr wenige Gästedaten. In einer FLEXIPASS-Integration fordert das PMS oder die Gästeplattform einen Schlüssel mit Zimmernummer sowie Abreisedatum und -uhrzeit an.
Der wichtigere Punkt für Datenschutz und Sicherheit ist das Timing. Die Buchung eines Zimmers allein sollte keinen Zugang gewähren. Identitätsprüfung, Zahlung und Bezugsfertigkeit des Zimmers kommen zuerst, und der Schlüssel folgt dem freigegebenen Check-in-Ablauf des Hotels.
Fragen Sie jeden Schlüsselanbieter, welche Rolle er datenschutzrechtlich einnimmt (zum Beispiel Auftragsverarbeiter oder Verantwortlicher nach der DSGVO), wo Gästedaten gehostet werden, wie lange sie gespeichert werden und ob er einen Auftragsverarbeitungsvertrag unterzeichnet.
Was Sie Gästen sagen sollten
- Sichern Sie Ihr Smartphone mit PIN, Touch ID oder Face ID.
- Wenn Sie Ihr Smartphone verlieren, informieren Sie sofort die Rezeption.
- Wenn Sie lieber eine Keycard möchten, fragen Sie danach. Digitale Schlüssel und physische Keycards können gleichzeitig genutzt werden.
Weitere Antworten für Gäste: Was tun, wenn ein Mobile Key nicht funktioniert.
FAQ
Können Hotel-Mobile-Keys gehackt werden? Forscher haben in Tests Angriffe gezeigt, etwa das erneute Abspielen eines aufgezeichneten Bluetooth-Signals und das Zurücksetzen des Admin-Passworts eines Schlosses. Dem 2018 zitierten Forscher waren keine kriminellen Fälle bekannt. Gepatchte Schloss-Firmware und starke Admin-Passwörter sind wichtiger als jede einzelne Funktion.
Was passiert, wenn ein Gast sein Smartphone verliert? Das Hotel kann einen neuen Schlüssel oder eine Keycard ausstellen, die den alten Schlüssel überschreibt, und den alten Schlüssel jederzeit widerrufen.
Kann der vorherige Gast das Zimmer noch öffnen? Nein. Digitale Schlüssel gelten nur für das vom Hotel festgelegte Zeitfenster und werden beim Check-out widerrufen.
Sind Mobile Keys sicherer als Keycards? In mehrfacher Hinsicht: Sie sind verschlüsselt, aus der Ferne widerrufbar und durch die Sperre des Smartphones geschützt. Ältere Kartenformate lassen sich klonen, wie die RFID-Schwachstelle von 2024 gezeigt hat. Siehe die Tabelle oben.
Kann ein Gast eine Plastik-Keycard in Apple Wallet kopieren? Nein. Ein FLEXIPASS Wallet Key ist eine digitale Zugangsberechtigung, die über die unterstützte Integration des Hotels ausgestellt wird. Er ist kein Werkzeug zum Scannen oder Kopieren einer Plastik-Keycard.
Wer kann Gästedaten sehen? Eine Schlüsselanforderung enthält die Zimmernummer sowie Abreisedatum und -uhrzeit. Welche weiteren Gästedaten ein Anbieter verarbeitet, wo und wie lange, sollte in seinem Auftragsverarbeitungsvertrag festgelegt sein. Fordern Sie diesen daher vor dem Rollout an.