Empfänger
6-stelliger Code oder QR-Code auf dem Smartphone. Der Automat vergleicht HMAC-Hashes. Der Code wird beim Einlegen des Pakets festgelegt und danach nie mehr geändert.
Sicherheit
Sicherheitsmodell für Paketautomaten
Das Ziel: Selbst wer die Cloud vollständig kontrolliert, also Server, Datenbank und ein Admin-Konto, kann kein belegtes Fach öffnen. Der Paketautomat prüft jede Öffnung selbst, ohne Internet.
Wer ein Fach öffnen kann und womit
Der Paketautomat vertraut nur den Schlüsseln in seiner Trust-Datei. Diese wird bei der Installation aufgespielt und nie über die Cloud übertragen. Der Root-Schlüssel des Betreibers wird offline verwahrt.
Absender
8-stelliger Code. Er öffnet ausschließlich freie Fächer.
Einlagerung durch Zusteller
QR-Token, signiert mit dem Cloud-Schlüssel. Eine Einlagerung öffnet nur leere Fächer und kann ein bereits eingelegtes Paket nicht verändern.
Abholung durch Zusteller
QR-Token, signiert mit dem Geräteschlüssel des Paketdienstes und zertifiziert über den Root-Schlüssel des Betreibers. Die Cloud kann es nicht fälschen.
Techniker
Service-Token, signiert mit dem Schlüssel eines zertifizierten Technikergeräts.
Support, Fernöffnung
Passkey des Betreibers plus der Code, der auf dem Display des Automaten angezeigt wird. Ohne diesen Code braucht es zwei verschiedene Personen mit zwei verschiedenen Schlüsseln. Höchstens 3 pro Stunde.
RS485
Wächter für den Schlossbus
Die meisten Schlosssteuerplatinen authentifizieren keine Befehle. Wer an die RS485-Leitungen gelangt, kann mit einem billigen Adapter Fächer öffnen. Der Automat ist der einzige legitime Master auf der Leitung. Deshalb stuft er alles, was er nicht angefordert hat, als verdächtig ein.
- Serviceklappe geöffnetDer Klappenschalter meldet „offen“, und in den letzten 30 Minuten wurde kein Service-Token verwendet.
- Fremder DatenverkehrBytes auf der Leitung, obwohl der Automat keine Anfrage gesendet hat, oder Antworten auf Anfragen, die er nie gestellt hat.
- Störungen3 oder mehr fehlerhafte Antworten innerhalb einer Minute.
- Zwischengeschaltetes Relaisgerät5 Antworten in Folge, die langsamer sind als das Dreifache der normalen Antwortzeit plus 25 ms.
- Aufgebrochenes FachEin Türsensor meldet „offen“, obwohl der Automat dieses Fach in der letzten Minute nicht geöffnet hat.
- Durchtrenntes KabelAlle Platinen, die bisher geantwortet haben, verstummen gleichzeitig. Das Ereignis listet die Fächer mit Paketen auf.
Was danach passiert
Das Paket hinter einem aufgebrochenen Fach wird gesperrt: Sein Code funktioniert nicht mehr, und das Fach bleibt belegt, bis ein Zusteller das Paket abholt. Nach fremdem Datenverkehr oder einem aufgebrochenen Fach schaltet der Automat Spulen ab, die von Platinen dauerhaft angesteuert werden. Die Cloud löst einen Einbruchs- oder Anomaliealarm aus und sendet einen Webhook. All das funktioniert mit vorhandenen Platinen.
Was der Wächter nicht kann
Der Wächter erkennt einen Angriff, er verhindert ihn nicht. Hinter einem durchtrennten Kabel sieht der Automat nichts, bis die Verbindung wiederhergestellt ist. Ohne Klappenschalter bleibt das Öffnen der Klappe unbemerkt. Nur eine Platine, die Befehlssignaturen prüft, kann den Angriff selbst blockieren.
Hash-verkettetes Beweisprotokoll
Jedes Ereignis am Automaten ist per SHA-256 mit dem vorherigen verknüpft. Die Cloud prüft die Kette beim Empfang der Ereignisse und löst einen Alarm aus, wenn sie unterbrochen ist. Kein Eintrag lässt sich unbemerkt ändern oder löschen. Damit ist das Protokoll in Streitfällen als Beweismittel verwendbar.
Signierte Updates
Nur der Release-Schlüssel aus der Trust-Datei des Automaten kann ein Update signieren, niemals der Cloud-Schlüssel. Der Automat prüft Signatur, SHA-256 und Größe, lehnt ältere Versionen ab und stellt die vorherige Version wieder her, wenn die neue nicht startet.
Schutzmaßnahmen im Backend
- Jeder Automat verbindet sich per mTLS mit einem eigenen Zertifikat, das nur für diesen Automaten gilt
- Einmaliger Registrierungscode, 24 Stunden gültig und nur als Hash gespeichert
- Admin-Passwörter mit argon2id, Rollen, CSRF- und Origin-Prüfung, CSP
- Nach 5 Fehlversuchen wird die Anmeldung für 15 Minuten gesperrt, je IP sowie je Konto und IP
- API-Schlüssel werden als Hash gespeichert, mit Berechtigungsbereichen und einem Limit von 10 Anfragen pro Sekunde
- Webhooks nur über HTTPS, private Adressen werden beim Verbindungsaufbau blockiert, keine Weiterleitungen
- Empfängercodes in Links erreichen nie den Server. Sie bleiben im URL-Fragment.
- Kartendaten erreichen unser System nie. Die Zahlung läuft auf der Seite des Zahlungsanbieters.
Verbleibende Risiken, offen benannt
Empfängercodes in der Cloud
Die Cloud erzeugt die Codes und versendet die SMS. Eine kompromittierte Cloud könnte sie also kennen. Jeder Code funktioniert nur vor Ort am Paketautomaten, einzeln, mit Kamera- und Protokolleinträgen. Nach 5 Fehleingaben sperrt das Tastenfeld. Ein massenhaftes Öffnen aus der Ferne ist nicht möglich.
Physische Angriffe
Software kann niemanden daran hindern, den Automaten aufzubrechen. Der Buswächter erkennt den Vorfall, und die betroffenen Sendungen werden zurückgehalten.
Automaten anderer Hersteller
Automaten, die aus der Cloud eines anderen Herstellers eingebunden sind, sind schreibgeschützt und als nicht von diesen Garantien abgedeckt gekennzeichnet.
Schlüsselspeicherung
Die Ablage der Root-Schlüssel in einem HSM oder auf einer Smartcard und des TLS-Schlüssels des Automaten in einem TPM ist für Produktivinstallationen geplant.
Unabhängige Prüfung
Eine interne Sicherheitsprüfung im November 2026 umfasste zurückgerufene Pakete, die Speicherung von Codes, das Vier-Augen-Prinzip, Downgrade-Angriffe, Token-Replay nach einem Neustart, Mandantentrennung, Missbrauch der Anmeldung und SSRF über Webhooks. Alle Befunde sind behoben und dokumentiert.
Testen Sie die Angriffe selbst
Der Demo-Automat bietet Werkzeuge eines Angreifers: einen fremden Öffnungsbefehl, Leitungsstörungen, ein Relay-Gerät, ein durchtrenntes Kabel und eine Servicetür. Sehen Sie, was der Wächter meldet.