Zero-Trust Proximity: Automatisierung von Tunnel-Kill-Switches via UWB

 Ein Tunnel ist eine Sicherheitslücke, sobald Sie Ihren Schreibtisch verlassen.

Im modernen Umfeld von Remote- und Hybridarbeit hat die Branche Milliarden investiert, um die “Haustür” unserer Netzwerke zu perfektionieren — Multi-Faktor-Authentifizierung (MFA), biometrische Scans und Hardware-Sicherheitsschlüssel. Doch eine stille, anhaltende Schwachstelle bleibt weitgehend unbemerkt: die verlassene Sitzung.

Stellen Sie sich vor, Sie arbeiten in einem Café oder einem Gemeinschaftsbüro. Sie haben einen sicheren WireGuard- oder SSH-Tunnel zu Ihrer Unternehmensinfrastruktur eingerichtet. Sie stehen auf, um sich nachzulegen oder einen kurzen Anruf zu tätigen, während Ihr Laptop aktiv bleibt. In diesen drei Minuten ist Ihr sicherer Tunnel eine offene Brücke für jeden mit physischem Zugriff.

Die Lösung ist weit über einfache Inaktivitäts-Timer hinausgegangen. Dieser Artikel zeigt, wie Ultra-Wideband (UWB) Proximity-Sensoren genutzt werden können, um “Dead Man’s Switch”-Tunnel zu erstellen — sichere Verbindungen, die nur bestehen, wenn Sie physisch anwesend sind.

---

Die Proximity-Lücke in Zero-Trust-Architektur

Das Kernprinzip der Zero-Trust-Architektur (ZTA) lautet “Vertraue niemals, überprüfe immer.” Wie in der NIST Special Publication 800-207 definiert, konzentriert sich ZTA auf den Schutz von Ressourcen, indem jede Zugriffsanfrage — unabhängig vom Netzwerkort — als potenziell feindlich behandelt wird. Die Überprüfung erfolgt nicht einmalig, sondern kontinuierlich. Der Praxisleitfaden NIST 2025 (SP 1800-35), entwickelt in Zusammenarbeit mit 24 Branchenanbietern, fasst dies weiter zusammen und fordert, dass “Authentifizierung und Autorisierung dynamisch und strikt vor jeder Zugriffserlaubnis durchgesetzt werden.”

Traditionelle Netzwerksicherheit basiert jedoch auf logischer Präsenz — Tastatureingaben, Mausbewegungen, aktive Sitzungs-Tokens. Logische Präsenz ist ein schlechter Proxy für physische Präsenz. Eine Sitzung, die von einem Entwickler offen gelassen wurde, der weg ist, sieht identisch aus mit einer aktiv genutzten Sitzung. Hier liegt die Proximity-Lücke.

Geofenced Networking führt eine neue Dimension in ZTA ein: räumliche Telemetrie. Durch die Nutzung von UWB-Chips, die heute in einer wachsenden Zahl von Consumer-Geräten Standard sind, können wir den Zustand einer Netzwerkschnittstelle an die verifizierte physische Entfernung zwischen Nutzer und Maschine binden.

---

Warum Bluetooth und Wi-Fi nicht ausreichen

Bevor UWB massenhaft eingesetzt wurde, versuchten Entwickler, proximity-basierten Zugriff mit Bluetooth Low Energy (BLE) oder Wi-Fi RSSI (Received Signal Strength Indicator) zu realisieren. Beide Ansätze scheitern in der Praxis aus zwei Hauptgründen.

Unpräzision. RSSI ist notorisch volatil. BLE erreicht bestenfalls eine Genauigkeit von 1–5 Metern, während sogar Wi-Fi-basierte Abstandsmessung (802.11mc) typischerweise im Bereich von 1–2 Metern liegt. Ein menschlicher Körper, eine Metalltür oder eine temporäre Blockade können falsche Negative auslösen — die Verbindung wird gekappt, während Sie noch am Schreibtisch sitzen.

Relay-Angriffe. BLE-Signale können abgefangen und retransmittiert werden. Ein Angreifer kann Ihr BLE-Signal “strecken” — vom Flur zu Ihrem Laptop — und das System so täuschen, dass Sie noch am Schreibtisch sind. Dies ist ein gut dokumentierter Angriffsvektor gegen proximity-basierte Zugangssysteme, inklusive passiver schlüsselloser Fahrzeugzugänge.

---

UWB: Der Präzisionsmotor

Ultra-Wideband revolutionierte die Technik, indem es auf Signalstärke verzichtete und stattdessen auf Time of Flight (ToF) setzt — die Messung der Zeit, die Radiopulse benötigen, um zwischen zwei Geräten zu reisen, bei Lichtgeschwindigkeit. Das liefert Abstandsmessungen im Zentimeterbereich, statt Metern.

Laut dem FiRa-Konsortium “bestimmt UWB die relative Position von Peer-Geräten mit sehr hoher Genauigkeit” und kann bei Sichtkontakt bis zu 200 Meter arbeiten. In realen industriellen Anwendungen sind Positionsgenauigkeiten von 10–30 cm üblich, mit optimierten Setups sogar noch präziser.

UWB arbeitet über ein breites Frequenzspektrum — typischerweise 6–8,5 GHz in Europa, mit standardisierten Kanälen innerhalb des IEEE 802.15.4z Standards. Da es bei extrem niedriger Leistung über eine sehr breite Bandbreite sendet, erscheinen UWB-Signale anderen Funk-Systemen ähnlich wie Hintergrundrauschen, was eine starke Koexistenz mit Wi-Fi und Bluetooth ermöglicht.

Der Standard 802.15.4z und sein Sicherheitsmodell

Der aktuelle Standard für Consumer- und Enterprise-UWB ist IEEE 802.15.4z, ratifiziert 2020. Sein zentrales Sicherheitsmerkmal ist die Scrambled Timestamp Sequence (STS) — ein kryptografischer Mechanismus, der auf der physikalischen Ebene eingebettet ist und Distance-Spoofing sowie Relay-Angriffe verhindert. Forscher haben festgestellt, dass IEEE 802.15.4z “eine erhebliche Verbesserung in Bezug auf Sicherheit” gegenüber seinem Vorgänger 802.15.4a darstellt.

Neben der Entfernung bietet UWB auch Angle of Arrival (AoA), das es ermöglicht, nicht nur die Distanz, sondern auch die Richtung zu bestimmen — eine Fähigkeit mit bedeutenden Implikationen für absichtsbasierten Sicherheitsansätze (siehe unten).

Die nächste Generation des Standards, IEEE 802.15.4ab, war 2025 in aktiver Entwurfsphase und soll weitere Verbesserungen bringen, inklusive geringeren Stromverbrauchs, erhöhter Sicherheit durch kleinere kryptografische Pakete und zuverlässigerer Abstandsmessung bei Taschen oder Rucksäcken — eine bekannte Schwäche von 802.15.4z im Automobilbereich.

 Wichtiger Hinweis: Während die STS von 802.15.4z starken Schutz bietet, haben Forschungen gezeigt, dass ein Angreifer den gemessenen Abstand zwischen Geräten böswillig verringern kann, indem er die Integritätsprüfung im STS-Feld ausnutzt. Dies ist ein aktives Forschungsfeld, und Gegenmaßnahmen — inklusive Analyse der Kanalcharakteristika — werden entwickelt. Sicherheitsexperten sollten die Entwicklungen hier verfolgen und 802.15.4z nicht als vollständig gelöst ansehen.

Marktreife

Das UWB-Ökosystem ist nicht mehr experimentell. Laut TechnoSystemsResearch wurden 2024 etwa 450 Millionen UWB-Chips ausgeliefert, ein Anstieg um 21 % im Vergleich zum Vorjahr. ABI Research erwartet, dass 2025 27 % der Smartphones mit UWB-Technologie ausgestattet sind, mit einem Wachstum auf über 52 % bis 2030.

Der Chipmarkt wird derzeit von drei Anbietern dominiert — Apple (eigene U1/U2-Chips), NXP (Trimension-Serie) und Qorvo (DW3000-Serie) — die zusammen etwa 70 % der Chiplieferungen 2025 ausmachten. STMicroelectronics stieg Anfang 2026 mit der ST64UWB-Familie von Cortex-M85 UWB-SoCs ein, die sowohl 802.15.4z als auch den kommenden 802.15.4ab-Standard unterstützen und auf Verbraucher-, Industrie- und Automobilmärkte abzielen.

Feature	BLE (Bluetooth)	Wi-Fi (802.11mc)	UWB (802.15.4z)
Genauigkeit	1–5 Meter	1–2 Meter	5–30 cm
Sicherheit	Gering (Relay-anfällig)	Mittel	Hoch (STS verschlüsselt)
Latenz	Mittel	Hoch	Ultra-niedrig
Stromverbrauch	Sehr gering	Hoch	Gering
Relay-Angriffe widerstandsfähig	Schlecht	Mittel	Hoch

---

Aufbau des Dead Man’s Switch Tunnels

Ein “Dead Man’s Switch” im Netzwerk ist ein Mechanismus, der eine sichere Verbindung automatisch trennt, wenn der autorisierte Nutzer nicht mehr in Nähe erkannt wird. Hier ist, wie der Workflow mit aktuellen UWB-Stacks funktioniert.

1. Der Ranging-Loop

Der Arbeitsplatz (Host) und das Wearable, Smartphone oder Tag des Nutzers (Peer) führen eine kontinuierliche Low-Energy-UWB-Ranging-Session mittels Two-Way Ranging (TWR) durch. Bei moderner Hardware — wie dem NXP SR150 oder Qorvo DW3120 — erfolgt dieses Ranging auf Hardware-Ebene, was die CPU-Last nahezu auf null reduziert.

2. Die Policy-Engine

Entwickler definieren einen Geofence-Radius basierend auf ihrem Bedrohungsmodell. Für hochsichere Umgebungen kann dieser so eng wie 1,5 Meter sein.

• Zone A (innerhalb 1,5m): Tunnel vollständig aktiv, volle Bandbreite.
• Zone B (1,5m–3m): Tunnel gedrosselt, Bildschirm gesperrt, erneute Authentifizierung erforderlich.
• Zone C (außerhalb 3m): Kill-switch aktiviert — die Tunnel-Schnittstelle wird heruntergefahren und volatile Sitzungsschlüssel aus dem Speicher gelöscht.

3. Der Automatisierungs-Trigger

Wenn der Nutzer die Schwelle überschreitet, sendet der UWB-Daemon ein Signal an den Netzwerk-Manager des Betriebssystems. Bei Linux mit WireGuard ist der Trigger einfach:

# Konzeptuelle Logik für einen UWB Kill-Switch (Linux / WireGuard)
if [[ $UWB_DISTANCE -gt $MAX_THRESHOLD ]]; then
    wg-quick down dev-tunnel
    echo "Proximity Lost: Sicherer Tunnel beendet." | systemd-cat -t UWB_SECURITY
fi

Warum WireGuard das richtige Protokoll ist

Nicht alle VPN-Protokolle handhaben harte Kills elegant. WireGuard ist die bevorzugte Wahl für UWB-Integration, weil es zustandslos ist. Wenn der UWB-Kill-Switch die Schnittstelle herunterfährt, gibt es keinen Sitzungs-Handshake, der hängen bleibt — Pakete hören einfach auf zu fließen. Wenn der Nutzer zurückkehrt, ist das Wiederherstellen der Schnittstelle nahezu sofort.

Das ist auch der Grund, warum die Implementierung des Kill-Switches in WireGuard (mit PostUp/PreDown iptables-Hooks oder Blackhole-Routing) gut geeignet ist, um von externen Triggern wie einem UWB-Daemon gesteuert zu werden. Ein Datenleck-Fenster von praktisch null besteht zwischen dem Herunterfahren des Tunnels und der Einrichtung der Blockierungsregeln, insbesondere bei Verwendung des Blackhole-Routings, das in produktiven Linux-Umgebungen validiert wurde.

---

Technische Umsetzung für Entwickler

Das UWB-Entwickler-Ökosystem hat sich erheblich weiterentwickelt. Sie müssen keine rohen Radio-Treiber mehr schreiben — Sie verwenden hochstufige räumliche APIs:

• Apple Nearby Interaction Framework: Ermöglicht M-Serie Macs, gegen iPhones und Apple Watches mit Sub-Zentimeter-Genauigkeit zu rangieren. Der Angle of Arrival wird auf kompatibler Hardware unterstützt.
• Android Nearby Interaction API: Bietet direkte Abstand- und Richtungs-Callbacks für UWB-fähige Android-Geräte.
• Linux UWB-Stack (/dev/uwb): Kernel-Unterstützung für UWB wurde schrittweise verbessert, sodass Skripte Abstandsdaten über Dateideskriptoren abfragen können — konzeptionell so einfach wie das Lesen eines Sensorsignals. Für den Produktionseinsatz prüfen Sie die aktuelle Mainline-Kernel-Dokumentation, da sich das Subsystem in den letzten Kernel-Versionen weiterentwickelt hat.
• NXP Trimension SDK / Qorvo DW3000 Libraries: Hardware-Anbieter SDKs, die TWR-Sitzungsmanagement, STS-Konfiguration und Abstand-Callbacks für Embedded- und Linux-Ziele bereitstellen.

Für Open-Source-Startpunkte sind das uwb-stack Projekt auf GitHub und das Qorvo uwb-apps Repository die aktivsten Referenzen zum Zeitpunkt des Schreibens.

---

Umgang mit Fals-Positiven: Hysterese und Batterie

Das Hysterese-Puffer

Metall-Schreibtische, Laptop-Lid-Winkel und reflektierende Oberflächen können UWB-Signale gelegentlich abschwächen und kurze Ranging-Ausfälle verursachen. Um Tunnel-Flapping — das ständige Ein- und Ausschalten des Tunnels — zu verhindern, implementieren Sie einen Hysterese-Puffer:

• Trigger Down: Entfernung überschreitet 3,0 Meter für mehr als 3 aufeinanderfolgende Sekunden.
• Trigger Up: Entfernung fällt unter 1,5 Meter.

Dies schafft eine absichtliche Asymmetrie zwischen den “Weg”- und “Zurück”-Schwellen, um transienten Rauschen aufzufangen, ohne die Sicherheit wesentlich zu verringern.

Batterie-Optimierung

Kontinuierliches Ranging kann die Batterie eines Peer-Geräts belasten, wenn es nicht sorgfältig verwaltet wird. Der Standard 802.15.4z unterstützt Scheduled Ranging Slots, bei denen Geräte nur ein paar Mal pro Sekunde “pingen” — unter stabilen Bedingungen. Wenn ein Beschleunigungssensor Bewegung erkennt, kann die Ranging-Frequenz automatisch erhöht werden — ein stromsparender Ansatz, der auch die Reaktionsfähigkeit bei kritischen Ereignissen (z. B. Nutzer steht auf und geht weg) verbessert.

---

Anwendungsfälle, bei denen Nähe unverzichtbar ist

Der Clean-Room-Entwickler. Ingenieure, die an proprietären Chipsätzen, KI-Modellen oder unveröffentlichtem Quellcode arbeiten, operieren oft in hochsicheren Umgebungen. Ein UWB-Kill-Switch stellt sicher, dass ihr Zugriff auf sensible Repositorien physisch an ihre Anwesenheit gebunden ist. Wenn sie zum Whiteboard gehen, fällt die SSH-Verbindung zum Build-Server aus.

Freelancing in öffentlichen Räumen. Für alle, die in Cafés oder Co-Working-Spaces arbeiten, ist das Risiko eines “Snatch-and-Run”-Laptop-Diebstahls real. Ein UWB-Kill-Switch, der so konfiguriert ist, dass der Laptop bei mehr als 5 Metern Entfernung vom Uhren des Nutzers gesperrt wird, kann dieses Angriffsvektor neutralisieren, bevor der Dieb die Tür erreicht.

Gesundheitswesen und HIPAA-Konformität. Kliniker, die zwischen Patientenzimmern wechseln, sind ein Paradebeispiel. Ein UWB-fähiges Tablet könnte sich automatisch mit dem EMR-System des Krankenhauses verbinden, nur wenn der Kliniker innerhalb des Geofence eines bestimmten Bereichs ist, und beim Verlassen sofort trennen — der manuelle Schritt, der unter Zeitdruck oft übersprungen wird.

---

Ausblick: Intent-basierte Netzwerke

Mit der zunehmenden Integration von AoA-Fähigkeiten in UWB wird die nächste Entwicklung absichtsbasierten Zugriffssteuerung. Der Arbeitsplatz würde sowohl Entfernung als auch Körperausrichtung verwenden, um zu inferieren, ob der Nutzer aktiv mit der Maschine interagiert.

Wenn Sie 1 Meter vom Bildschirm entfernt sind, sich aber umdrehen, um mit einem Kollegen zu sprechen, könnte der Tunnel in einen “pausierten” Zustand wechseln. Sobald Sie sich wieder umdrehen, erkennt der AoA-Sensor die Änderung und stellt die Verbindung wieder her, bevor Ihre Hände die Tastatur berühren. Das ist keine Science-Fiction — AoA wird bereits in aktueller UWB-Hardware unterstützt. Die Herausforderung besteht darin, eine zuverlässige Richtungsinferenz daraus zu bauen, was mit Edge-ML-Modellen auf UWB-SoCs (wie jenen mit integrierter KI-Beschleunigung, z. B. dem STMicroelectronics ST64UWB-A500) relevant wird.

---

Fazit: Zero-Trust ist physisch

Die Ära, in der man einer Verbindung nur deshalb vertraute, weil vor drei Stunden ein Passwort eingegeben wurde, ist vorbei. NIST SP 800-207 und sein Implementierungsleitfaden SP 1800-35 von 2025 formalisieren, was Sicherheitsexperten schon lange wissen: Verifikation muss kontinuierlich, dynamisch und im Zusammenhang mit der realen Welt erfolgen — nicht nur einmalig beim Tür-Check.

Durch die Automatisierung von Tunnel-Kill-Switches via UWB verlagert sich die Sicherheit vom rein Logischen wieder in die physische Welt. Ein Tunnel sollte kein statischer Kanal sein. Er sollte eine dynamische, ephemeral Brücke sein, die nur besteht, wenn die richtige Person am richtigen Ort ist.

Für Entwickler ist die praktische Vorgabe klar:

1. Bewerten Sie die Apple Nearby Interaction oder Android Nearby Interaction APIs für Ihre Plattform.
2. Prototype mit uwb-stack (Linux) oder einem Qorvo/NXP Evaluierungsboard.
3. Beginnen Sie mit einem einfachen Distanz-Logger und integrieren Sie ihn in Ihre systemd- oder launchd-Netzwerktrigger.
4. Implementieren Sie Hysterese von Anfang an — um Tunnel-Flapping im Produktivbetrieb zu vermeiden.

Die Sicherheit Ihres Tunnels sollte so nah bei Ihnen sein wie Ihr eigener Schatten.

---

Quellen: IEEE 802.15.4z-2020 Standard; NIST SP 800-207 (2020); NIST SP 1800-35 (2025); FiRa Consortium technische Dokumentation; TechnoSystemsResearch UWB Versanddaten via Pozyx (März 2025); ABI Research UWB Marktentwicklung (November 2025); STMicroelectronics ST64UWB Produktbrief (März 2026); Mordor Intelligence Ultra-Wideband Marktbericht (März 2026).