iShield Key MIFARE Zutritt: Ein Schlüssel für IT-Login und Türzutritt

Mitarbeiter in mittelständischen Unternehmen tragen häufig zwei bis drei separate Ausweismittel bei sich: eine Zutrittskarte für die Bürotür, einen zweiten Faktor fürs IT-Login und manchmal noch eine dritte Karte für die Kantine. Jedes verlorene Medium bedeutet ein Helpdesk-Ticket, eine Sperrung und im schlechtesten Fall ein Sicherheitsrisiko, bis der Ersatz da ist. Der iShield Key 2 MIFARE von Swissbit löst iShield Key MIFARE Zutritt und FIDO2-Login in einem einzigen USB-Schlüssel. Dieser Beitrag zeigt, wie die Kombination technisch funktioniert, welche Varianten es im Bereich Identity & Access gibt und ob sich der Umstieg für Ihr Unternehmen rechnet — inklusive Preisvergleich der drei Modelle.

Was ist der iShield Key MIFARE?

Der iShield Key 2 MIFARE ist ein Hardware-Sicherheitsschlüssel aus der zweiten iShield-Key-Generation von Swissbit, gefertigt in Berlin. Er unterstützt FIDO2 für passwortloses Login, zusätzlich HOTP und TOTP für Einmalpasswörter sowie PIV für Smartcard-Anwendungen. Der entscheidende Unterschied zu einem reinen FIDO2-Schlüssel wie den Modellen von Yubico im gleichen Shop-Bereich: ein integrierter MIFARE-DESFire-EV3-Chip übernimmt zusätzlich die Funktion einer klassischen Zutrittskarte.

Ein reiner FIDO2-Schlüssel reicht aus, wenn Mitarbeiter überwiegend remote oder im Homeoffice arbeiten und keinen physischen Gebäudezugang über eine Chipkarte benötigen. Sobald aber Vor-Ort-Personal Türen, Schranken oder Zeiterfassungsterminals per Kartenleser passiert, spielt die MIFARE-Kombination ihren Vorteil aus: ein Medium für digitale und physische Zugänge statt zwei getrennter Ausgabeprozesse.

iShield Key MIFARE Zutritt: So funktioniert die Kombination mit FIDO2

Der Schlüssel enthält zwei unabhängige Chips in einem Gehäuse: einen FIDO2-Sicherheitschip, der über die Protokolle WebAuthn und CTAP2 mit Browser und Betriebssystem kommuniziert, und einen MIFARE-DESFire-EV3-Chip von NXP für kontaktlose Zutrittssysteme. MIFARE DESFire EV3 ist der Industriestandard hinter den meisten kontaktlosen Firmenausweisen und verschlüsselt die Kommunikation mit dem Kartenleser nach dem AES-Standard. Beide Funktionen laufen parallel, ohne sich gegenseitig zu beeinflussen: Für das Login steckt ein Mitarbeiter den Schlüssel in den USB-Port oder hält ihn per NFC ans Smartphone. Für den Türzutritt hält er denselben Schlüssel an den Kartenleser der Bürotür.

Für IT-Administratoren bedeutet das getrennte Verwaltungsmodell: Das Login-Provisioning läuft über den bestehenden FIDO2-Server oder Identity Provider, die Zutrittsberechtigung wird unabhängig davon im Gebäudemanagementsystem vergeben. Ein Schlüsselverlust erfordert somit zwei separate, aber unabhängig voneinander funktionierende Sperrvorgänge.

iShield Key 2 MIFARE vs. Pro MIFARE: Preise und Unterschiede

Swissbit bietet die MIFARE-Variante in drei Ausführungen an, die sich vor allem im Formfaktor und im Funktionsumfang unterscheiden.

Die Pro-Variante lohnt sich dort, wo zusätzlich PIV-Smartcard-Zertifikate benötigt werden, etwa für Windows-Login mit Zertifikaten oder für Dokumentensignatur. Für Login plus Türzutritt ohne Zertifikatspflicht deckt die Standardvariante den Bedarf der meisten Mittelständler ab. Preise Stand 26. August 2026, netto zzgl. 19 % USt., Änderungen und Staffelrabatte vorbehalten — aktuelle Werte stehen auf den verlinkten Produktseiten. Bei Fragen zur passenden Variante für Ihre Zutrittsinfrastruktur unterstützt unser Produktberater.

iShield Key MIFARE im Einsatz: 5 Anwendungsfälle für Zutritt und IT

Der MIFARE-Chip ist kompatibel zu den gängigen Zutrittssystemen, die bereits DESFire-basierte Karten nutzen. Typische Anwendungsfälle sind:

• Türzutritt: Ersatz oder Ergänzung bestehender Mitarbeiterausweise an Gebäude- und Raumtüren
• Zeiterfassung: Ein- und Ausstempeln an bestehenden MIFARE-Terminals
• Sichere Druckfreigabe: Follow-Me-Printing, bei dem Dokumente erst am Drucker mit dem Schlüssel freigegeben werden
• Kantinen- und Kioskzahlung: Guthabenbasierte Bezahlsysteme auf MIFARE-Basis
• Campus- und Besucherausweise: Kombinierte Nutzung für Bildungseinrichtungen mit IT- und Gebäudezugang

Ein IT-Systemhaus mit rund 150 Mitarbeitern und drei getrennten Ausweismedien (Zutrittskarte, MFA-Token, Kantinenkarte) bearbeitet erfahrungsgemäß mehrere Verlust- und Sperr-Tickets pro Monat, jeweils mit eigenem Freigabeprozess. Ein kombiniertes Medium reduziert diese Vorgänge auf einen einzigen Sperr- und Neuausgabe-Schritt pro Mitarbeiter, weil Login und Zutritt zwar technisch getrennt, organisatorisch aber an einem physischen Gegenstand hängen.

Ob die vorhandene Zutrittsanlage kompatibel ist, hängt von der genutzten MIFARE-Generation und dem Kartenleser-Hersteller ab. Das sollte vor der Anschaffung mit dem Facility-Management geklärt werden.

NIS2 und phishing-resistente Authentifizierung

Die NIS2-Richtlinie verlangt von betroffenen Unternehmen angemessene technische Maßnahmen gegen unautorisierten Zugriff, wozu Aufsichtsbehörden zunehmend auch starke, phishing-resistente Multi-Faktor-Authentifizierung zählen. FIDO2-Hardwareschlüssel gelten als eine der robusteren Umsetzungen, weil sie im Gegensatz zu SMS- oder App-basierten Einmalcodes nicht durch Phishing-Seiten abgegriffen werden können. Details zur rechtlichen Einordnung und zur Fristenlage fasst unser Beitrag zu NIS2 und MFA-Pflicht zusammen.

Einführung im Unternehmen: Schritt für Schritt

Vor dem Rollout sollten IT und Facility-Management gemeinsam vorgehen:

1. Bestandsaufnahme: Prüfen, ob die vorhandene Zutrittsanlage MIFARE DESFire EV3 oder ein kompatibles Vorgängerformat nutzt.
2. IdP-Kompatibilität klären: Sicherstellen, dass der eingesetzte Identity Provider FIDO2 als Anmeldefaktor unterstützt — die meisten modernen Lösungen tun das bereits.
3. Pilotgruppe festlegen: Eine Abteilung mit gemischtem Vor-Ort- und Homeoffice-Anteil testet Login und Zutritt parallel zur bestehenden Karte.
4. Rollout-Plan erstellen: Ausgabe, Registrierung und Ersatzschlüssel-Prozess für den Verlustfall definieren.
5. Altkarten-Sperrfrist setzen: Übergangszeitraum festlegen, in dem alte Zutrittskarten noch parallel funktionieren, damit während der Umstellung kein Zutritt verloren geht.

Häufige Fragen zum iShield Key MIFARE

Ersetzt der iShield Key MIFARE die bestehende Zutrittskarte komplett?

Teilweise: Nur wenn die bestehende Zutrittsanlage MIFARE DESFire EV3 oder ein kompatibles Format unterstützt, ersetzt der Schlüssel die Karte vollständig. Andernfalls läuft er parallel zur bestehenden Karte, bis das Zutrittssystem entsprechend konfiguriert ist.

Funktioniert der Schlüssel auch ohne Computer, nur für den Türzutritt?

Ja. Die MIFARE-Funktion arbeitet unabhängig vom FIDO2-Login und funktioniert wie eine normale kontaktlose Zutrittskarte am Kartenleser, auch ohne aktive USB-Verbindung.

Was ist der Unterschied zwischen USB-A- und USB-C-Modellen?

Der Unterschied liegt ausschließlich im Anschluss. Funktional sind beide Varianten identisch. Die Wahl richtet sich nach den vorhandenen Endgeräten im Unternehmen.

Lohnt sich die Pro-Variante für kleine Unternehmen?

Meist nicht. Die PIV-Smartcard-Funktion der Pro-Variante ist vor allem für Umgebungen mit zertifikatsbasiertem Windows-Login oder digitaler Signatur relevant. Für Login plus Zutritt ohne Zertifikatspflicht reicht die Standardvariante.

Wie viele Zugangsdaten passen auf einen iShield Key MIFARE?

Der Schlüssel speichert laut Hersteller bis zu 300 FIDO2-Passkeys, zusätzlich zur MIFARE-Zutrittsfunktion, die unabhängig davon läuft.

Ist der iShield Key MIFARE für den Außeneinsatz geeignet?

Das Gehäuse ist laut Hersteller robust und industrietauglich ausgelegt, für den regulären Bürobetrieb also gut geeignet. Für Umgebungen mit starker mechanischer Belastung empfiehlt sich vorab ein Blick in das technische Datenblatt.

Wer FIDO2-Login und Zutrittskontrolle bislang getrennt verwaltet, sollte vor der nächsten Ausweis-Bestellrunde prüfen, ob ein kombinierter Schlüssel den administrativen Aufwand senkt. Bei Fragen zur Kompatibilität mit der bestehenden Infrastruktur hilft unser Produktberater bei der Auswahl der passenden Variante — oder nutzen Sie direkt den Kontakt für ein unverbindliches Angebot.