IT-Sicherheit elektronischer Preisschilder: reale Bedrohungen und was Sie vom Anbieter verlangen sollten

Ein elektronisches Preisschild ist ein kleines Funkgerät, das Befehle ausführt und ändert, was der Kunde sieht. Das Hauptrisiko ist nicht Datendiebstahl, sondern Manipulation: ein falscher Preis im Regal, leere Displays oder eine kompromittierte Cloud-Plattform. Entscheidend ist, ob Befehle authentifiziert, verschlüsselt und signiert sind.

Dieser Text erklärt nicht, wie ein Preisschild funktioniert (das steht im Technik-Leitfaden). Es geht darum, was schiefgehen kann, was sich mit Quellen belegen lässt und was man vor der Unterschrift fragen sollte.

Was wirklich auf dem Spiel steht

Zunächst etwas Dramatik herausnehmen. Ein Preisschild speichert keine Kundendaten und keine Kartennummern. Es legt auch nicht den Kassenpreis fest; den bestimmt das Kassensystem. Ein Angreifer kann die Übereinstimmung zwischen dem, was man sieht, und dem, was man zahlt, antasten.

Das reicht für Schaden. Ein zu niedriger Regalpreis führt zu Reklamationen und Schlangen an der Kasse. Ein zu hoher ist eine Praxis, die niemand sich nachsagen lassen will. Ein Block gelöschter Displays mitten in einer Aktion zwingt zum Umetikettieren von Hand. Und gelangt der Angriff auf die Verwaltungsplattform statt auf ein einzelnes Schild, betrifft er die ganze Filialkette.

Deshalb muss man das System in Schichten denken, nicht nur das Schild.

Schicht 1: die Funkstrecke zwischen Gateway und Preisschild

Das ist die öffentlich am besten untersuchte Schicht, und für ältere Systeme ist das Bild wenig beruhigend.

Ein Fall mit CVE-Nummer. Der Eintrag CVE-2022-45914, veröffentlicht am 27. November 2022, beschreibt ein Etikettenprotokoll auf einer bestimmten Platine (ETAG-2130-V4.3 mit einem Transceiver OV80e934802), das «keine Authentifizierung verwendet» und es erlaubt, Etikettenwerte über 433-MHz-Signale zu ändern. Eingestuft ist es als Umgehung der Authentifizierung durch Aufzeichnen und Wiedereinspielen (CWE-294) mit 6,5 von 10 Punkten nach CVSS 3.1 laut NVD; die GitHub-Meldung senkt den Wert auf 5,3. Dahinter steht eine Meldung von SEC Consult. Der Eintrag selbst nennt als Beispiele, die Organisation eines Krankenhauslagers zu verändern und Einzelhandelspreise zu ändern.

Der Vortrag dahinter. SEC Consult stellte auf der Hardwear.io USA 2022 die Analyse eines verbreiteten 433-MHz-Etiketts vor. Die Zusammenfassung spricht von mehreren Fehlern, mit denen sich das Funksignal fälschen und beliebiger Inhalt auf den Displays anzeigen ließ.

Eine Demonstration mit Bastlerhardware. Laut Hackster zeigte der Forscher Aaron Christophel ein akkubetriebenes Gerät mit ESP32 und CC1101-Modul. Es hört einige Sekunden die Synchronisationsnachrichten eines Geschäfts mit, um Systemkennung und Frequenz zu ermitteln; danach sendet es eine längere Synchronisationsnachricht als das Gateway, das daraufhin schweigt, weil es nicht sendet, wenn es Verkehr auf dem Kanal erkennt. In seinem Test in einem echten Laden frischte er die Displays nur auf, ohne Inhalte zu ändern, wies aber darauf hin, dass ein Löschbefehl sie unbrauchbar machen würde. Der Bericht nennt keine betroffenen Hersteller; veröffentlicht wurde die Access-Point-Firmware, nicht der Angriffscode.

Ein neuerer Vortrag. Das Programm der TROOPERS26 kündigt «Priceless: Hacking Electronic Shelf Labels» an, mit Schwächen in Android-Apps, Verwaltungssoftware, Bluetooth Low Energy und 2,4-GHz-Verkehr, und behauptet, die Forscher hätten von den Herstellern keine Antwort erhalten. Das ist eine Programmzusammenfassung: Wir konnten nicht prüfen, was am Ende vorgestellt wurde und welche Hersteller genannt werden, und die Aussage über die Hersteller ist nicht als verifizierte Tatsache zu verstehen.

Was folgt daraus, ohne zu übertreiben? Drei Muster: fehlende Authentifizierung auf der Funkstrecke, Nachrichten, die sich aufzeichnen und wiedereinspielen lassen, und ein gemeinsam genutzter Kanal, der sich besetzen lässt, um das Gateway zum Schweigen zu bringen. Alle drei sind Konstruktionsfehler des Protokolls, nicht des Displays.

Was der Standard sagt

Das ESL-Profil der Bluetooth SIG, im Februar 2023 auf Basis von Bluetooth 5.4 veröffentlicht, schreibt vor, dass Befehle und Antworten mit AES-CCM verschlüsselt und authentifiziert werden. Das ist eine öffentliche, prüfbare Grundlage, die ein proprietäres Protokoll nicht von Haus aus bietet. Ein Standard garantiert aber keine korrekte Umsetzung: Schlüsselverwaltung, Inbetriebnahme und Firmware bleiben Sache des Herstellers. Und nicht der gesamte installierte Bestand nutzt ihn.

Bei Herstellern mit eigenem Protokoll gibt es nur Datenblätter. Das zu Vusion 2.6 F nennt zum Beispiel AES-128-Verschlüsselung und verschlüsseltes NFC. Das ist ein Ausgangspunkt; die Frage ist, was verschlüsselt wird, mit welchen Schlüsseln und wer sie verwahrt.

Schicht 2: das Gateway

Das Gateway ist die Brücke zwischen dem Filialnetz und dem Funk der Preisschilder und meist ein Linux-artiges Gerät, per Ethernet mit PoE oder per WLAN angebunden. Wer im Artikel zu Gateways gelesen hat, wie viele man braucht, fragt hier etwas anderes: Was passiert, wenn es jemand übernimmt?

Ein kompromittiertes Gateway kann gefälschte Befehle an alle Preisschilder in seiner Funkreichweite weiterleiten und durch das Filialnetz zum Rest vordringen. Worauf zu achten ist:

• Segmentierung. Das Gateway sollte in einem eigenen VLAN laufen, mit Verbindungen nur zu den Plattformendpunkten, die der Anbieter dokumentiert. Verlangt er, das gesamte Filialnetz zu öffnen, ist das ein schlechtes Zeichen.
• Ausgehende Verbindung. Besser ist es, wenn das Gateway per TLS nach außen verbindet, statt dass aus dem Internet Ports zu ihm offen stehen.
• Zugangsdaten und Dienste. Keine Standardpasswörter, die über Installationen hinweg geteilt werden, kein offenes SSH oder Web-Panel, das niemand nutzt.
• Start und Update. Ob das Gateway jedes Firmware-Image akzeptiert oder nur signierte.
• Physischer Zugang. Es hängt an einer Decke oder steht in einer Abstellkammer, nicht in einem verschlossenen Raum.

Schicht 3: Konto und Cloud

Das ist die für Angreifer lohnendste und zugleich unspektakulärste Schicht. Ein einziger Nutzer mit weitreichenden Rechten auf der Verwaltungsplattform kann Tausende Preisschilder verändern, ohne den Funk anzufassen. Vernünftig ist es, zu verlangen:

• Zwei-Faktor-Authentifizierung und, wo vorhanden, Single Sign-on mit dem Identitätsanbieter des Unternehmens.
• Getrennte Rollen: Wer Vorlagen gestaltet, wer eine Massenpreisänderung freigibt und wer nur liest, sollte nicht dieselbe Person sein.
• Ein Audit-Protokoll: wer welchen Preis wann geändert hat, exportierbar.
• Anbindung an ERP oder Kassensystem über eigene Zugangsdaten der Schnittstelle, mit minimalen Rechten und Rotation, nicht über das Konto eines Mitarbeiters.
• Ein Freigabeverfahren für Massenänderungen, besonders wenn sie mit dynamischer Preisgestaltung zusammenhängen, wo ein Fehler oder Missbrauch neben den geschäftlichen auch rechtliche Folgen hat.

Und die Frage der Kontinuität: Was geschieht mit den Preisschildern, wenn die Cloud ausfällt oder die Filiale die Verbindung verliert? Dass sie den letzten Preis weiter anzeigen, ist der Normalfall, aber man sollte danach fragen, statt es vorauszusetzen.

Schicht 4: NFC

NFC am Preisschild dient dazu, es mit einem Smartphone zu koppeln, zu konfigurieren oder zu aktualisieren, ohne das Gateway zu nutzen. Das ist bequem und deshalb auch eine Tür. Die Reichweite beträgt wenige Zentimeter; das Risiko ist also ein Kunde oder ein missgünstiger Mitarbeiter vor dem Regal, kein Angreifer aus der Ferne. Trotzdem:

• Kann jedes Smartphone mit einer generischen App auf das Schild schreiben, oder ist eine Berechtigung nötig?
• Lässt sich NFC per Richtlinie abschalten, wenn es nicht gebraucht wird?
• Hinterlässt ein NFC-Schreibzugriff eine Spur in der Plattform?

Datenblätter nennen bei einigen Modellen AES-verschlüsseltes NFC, doch in keinem der von uns geprüften steht, wie das Schreiben autorisiert wird. Das ist eine offene Frage an den Anbieter.

Schicht 5: Firmware

Ein Preisschild, das 5 bis 10 Jahre im Einsatz ist, muss sich korrigieren lassen. Zwei Fragen bestimmen diese Schicht:

1. Wird die Firmware der Preisschilder per Funk (OTA) und die der Gateways aktualisiert? Wenn nicht, bleibt eine im dritten Jahr entdeckte Schwachstelle an der Decke, bis der Bestand getauscht wird.
2. Sind die Images signiert und werden sie geprüft? Ohne Signaturprüfung kann jeder, der mit dem Schild kommunizieren kann, eigenen Code aufspielen.

Dazu kommt ein Detail, das Geld kostet: Updates per Funk verbrauchen Batterie. Ein seriöser Hersteller veröffentlicht daher, wie viel jedes Firmware-Update von der geschätzten Batterielebensdauer abzieht. Kann er das nicht beantworten, hat er es vermutlich nicht gemessen.

Was die europäische Regulierung ändert

Zwei europäische Regelwerke wirken in dieselbe Richtung.

• Funkanlagenrichtlinie. Die Delegierte Verordnung (EU) 2022/30 machte ab dem 1. August 2025 Cybersicherheitsanforderungen für internetfähige Funkanlagen verbindlich. Die Delegierte Verordnung (EU) 2026/339 vom Februar 2026 hebt sie mit Wirkung ab dem Tag auf, an dem der Cyber Resilience Act vollständig gilt, und stellt klar, dass 2022/30 bis zum 10. Dezember 2027 gilt.
• Cyber Resilience Act (EU) 2024/2847. Laut Kommission trat er am 10. Dezember 2024 in Kraft; Hersteller müssen aktiv ausgenutzte Schwachstellen ab dem 11. September 2026 melden, die Hauptpflichten gelten ab dem 11. Dezember 2027. Er umfasst Schwachstellenmanagement über den gesamten Produktlebenszyklus und Sicherheitsupdates.

Wir haben nicht geprüft, ob ein bestimmtes Preisschild unter das eine oder andere Konformitätsbewertungsverfahren fällt, und das lässt sich auch nicht pauschal sagen. Nützlich für den Käufer ist etwas Praktisches: schriftlich verlangen, über wie viele Jahre der Anbieter Sicherheitskorrekturen zusagt, und wie eine Schwachstelle gemeldet wird. Vor 2027 war das ein Entgegenkommen; danach ist es eine Pflicht des Herstellers.

Fragen an jeden Anbieter

Diese vierzehn Fragen passen in ein einstündiges Gespräch und trennen schnell, wer das Problem durchdacht hat, von wem, der nur ein Marketingblatt hat. Bewertbare Versionen finden Sie in der Anbieter-Checkliste und in der Ausschreibungsvorlage.

Antwortet der Anbieter auf fast alles mit «ist sicher» ohne Details, ist das eine Information. Sagt er «das veröffentlichen wir nicht», bietet aber an, es unter Geheimhaltungsvereinbarung zu zeigen, ist das auch eine, und eine eher akzeptable.

Eine sinnvolle Reihenfolge der Prioritäten

Für eine Filiale oder eine Kette, die gerade evaluiert, lohnt sich der Aufwand in dieser Reihenfolge am meisten:

1. Konto und Rollen der Plattform. Hier kann am meisten Schaden entstehen, und hier lässt sich am meisten kontrollieren.
2. Die schriftliche Patch-Zusage, denn sie bestimmt die Nutzungsdauer dessen, was Sie kaufen (siehe auch Anbieterabhängigkeit).
3. Das Gateway-Netz. Zu Beginn billig zu segmentieren, später teuer nachzurüsten.
4. Der Funk. Sie können ihn nicht selbst prüfen, aber Sie können fragen, welche Dokumentation und unabhängigen Tests es gibt.
5. NFC. Es zählt, aber das Risiko ist lokal.

Ein einfacher Sicherheitstest während eines Pilotprojekts: Bitten Sie das Team des Anbieters, (mit Ihrer Erlaubnis und in Ihrer Filiale) einen Wiedereinspiel-Angriff auf eine Gruppe von Testschildern zu versuchen. Wenn es dazu nicht bereit ist, ist auch das eine Antwort.

Was dieser Text nicht sagen kann

Es gibt keine unabhängige Studie, die die Sicherheit der großen Hersteller vergleicht, und die bekannten öffentlichen Schwachstellen betreffen vor allem billige 433-MHz-Systeme und Arbeiten einzelner Forscher. Das beweist nicht, dass die Großen sicher sind; es beweist, dass kein Vergleich veröffentlicht wurde. Wir behandeln jede Sicherheitsaussage eines Herstellers als dessen eigene Erklärung, bis ein externer Nachweis sie stützt.