Nützliche Materialien
QR-Codes für biometrischen Zugang — die Tür enger im Griff
Der QR ersetzt keine Biometrie — er trägt einen kurzlebigen Zugangsnachweis auf dem Handy. Ohne MFA, kurze TTL und HTTPS ist er leicht zu kopieren.
Die Idee
Typische Kette: Die Person besteht eine biometrische Prüfung auf einem vertrauenswürdigen Gerät (Face ID, Fingerabdruck, Firmenleser), das System stellt ein einmaliges oder kurzlebiges Token aus, und ein QR reicht dieses Token an Drehkreuz oder Kamera weiter.
Der Türleser prüft Signatur und Sitzung auf dem Server — er „vertraut dem Bild“ nicht. Der QR ist nur Transport für einen Einmalwert oder ein JWT mit kurzer TTL.
Das reduziert dauerhafte Plastikausweise und beschleunigt den Entzug: Die Regel ändert du auf dem Server; zeigt der Bildschirm einen dynamischen Code, druckst du keine Aufkleber nach.
Systemarchitektur
- MFA + Biometrie
- Token mit kurzer TTL
- nur HTTPS
- Rotation über dynamischen QR
Mindestablauf: (1) Anmeldung am Handy oder Terminal, (2) signiertes Token mit TTL in Sekunden oder Minuten, (3) QR-Anzeige, (4) Prüfung am Rand mit Bestätigung im Netz, (5) Prüfprotokolle.
Bei Empfangsbildschirmen oder Anwendungen leitest du Nutzlasten über einen dynamischen QR von QRcode Global: Du drehst Ziel oder Token-Parameter, ohne gedruckte Schilder „Code auf dem Bildschirm scannen“ neu zu setzen. Die Scan-Auswertung macht Auffälligkeiten sichtbar; Pause ist ein schneller Notausschalter für diesen Kanal.
Vorteile und Risiken
Vorteile: schnellerer Durchlass, weniger Plastik, zentraler Entzug, Sitzung an Gerät und Zeit gebunden.
Risiken: Foto vom QR auf dem Bildschirm einer Kollegin, Wiederverwenden innerhalb der TTL, gefälschte Leser zum Abgreifen, langlebige Geheimnisse in einem statischen QR.
Gegenmittel: MFA Pflicht; kurze TTL; einmalige jti, wo möglich; nur HTTPS; niemals langlebige Geheimnisse in einen statischen QR drucken; wiederholte Scans beobachten.
Einsatzfälle
Büro-Drehkreuze und Gemeinschaftsbüros, Tagesausweise für Dienstleister, Veranstaltungshallen mit Ausweis auf dem Bildschirm, Labore mit Zweifaktor-Eintritt, digitale Hotelschlüssel mit begrenztem Zeitfenster.
In jedem Fall ist ein ewiger Aufkleber mit Geheimnis eine schlechte Idee. Eine dynamische Schicht (Bildschirm + änderbares Ziel) passt besser zur Sicherheitsrichtlinie.
Plattformen mit dynamischem QR, änderbarem Ziel, Auswertung und Datenexport lassen dich Zugangstoken rotieren, ohne Etiketten nachzudrucken — so trägt QRcode Global den laufenden Betrieb mit.