Sicherheitsforscher veröffentlichten unter dem Namen Unsaflok mehrere Schwachstellen, die bestimmte Konfigurationen von Dormakaba-Saflok-Hotelschlössern betreffen. Die Forscher meldeten das Problem im September 2022 vertraulich an Dormakaba; die öffentliche Bekanntgabe erfolgte im März 2024. Sowohl die Forscher als auch Dormakaba erklärten, dass ihnen zum Zeitpunkt ihrer Veröffentlichungen keine Ausnutzung in der Praxis bekannt war.
Die Demonstration zeigte, dass sich mit einer aktiven oder abgelaufenen Karte des jeweiligen Hotels und geeigneter Lese-/Schreibtechnik gefälschte Berechtigungsnachweise für betroffene Installationen erstellen ließen. Es handelte sich nicht um ein manipuliertes Softwareupdate oder eine versteckte Hintertür. Das Risiko hängt vom Schlossmodell, der Systemkonfiguration, der Software und davon ab, ob Dormakabas Enhanced-Security-Maßnahmen umgesetzt wurden.
Was Hotels jetzt tun sollten
Hotels sollten die offizielle Selbsteinschätzung von Dormakaba nutzen und den Hospitality-Sicherheitsservice kontaktieren. Je nach Installation können Software-, Schloss- oder Encoder-Updates, neue Hardware, neue Karten sowie die Abstimmung mit angebundenen Property-Management-Systemen erforderlich sein. Zusätzlich sollten Karten kontrolliert verwaltet und verlorene Berechtigungsnachweise oder ungewöhnliche Zutrittsereignisse umgehend geprüft werden.
Die Abhilfe ist installationsabhängig. Der Austausch von Karten allein behebt keine Schwachstelle im Schließsystem. Auch kann nicht vorausgesetzt werden, dass eine Karte mit einem anderen Chip sicher mit vorhandenen Lesern und Encodern funktioniert.
Wie PrintPlast eine Kartenmigration unterstützt
PrintPlast fertigt Karten nach bestätigten Vorgaben für Chip, Speicher, Frequenz, Abmessungen und Druck. Zunächst sollte der Anbieter des Schließsystems die freigegebene Kartenspezifikation festlegen. Anschließend können wir Muster zur Prüfung mit den tatsächlichen Lesern und Encodern der Unterkunft herstellen. Die Sicherheit hängt vom gesamten Zutrittssystem ab – einschließlich Chipkonfiguration, Schlüsselverwaltung, Software, Hardware und Betriebsabläufen – und nicht allein vom bedruckten Kartenkörper.
Aktuelle technische Hinweise bieten die Unsaflok-Forschungsveröffentlichung und der Dormakaba Hospitality Security Support.
Dormakaba und Saflok sind Marken Dritter und werden hier ausschließlich zur Bezeichnung der betroffenen Systeme genannt. PrintPlast ist ein unabhängiger Kartenhersteller und weder verbunden noch autorisiert.