Success-Story: Ein Armband für den Notfall – Zugang zur Vertrauensperson ohne Login

Christopher Zechendorf

31.08.2026

Share:

Wie wir für eine Vorsorgeplattform im sozialen Bereich eine öffentliche NFC-Notfallseite gebaut haben, die genau eine Information preisgibt.

Ein Armband für den Notfall: Zugang zur Vertrauensperson ohne Login

Für ein Projekt im sozialen Bereich haben wir eine Plattform zur digitalen Notfall- und Nachlassvorsorge umgesetzt. Sie richtet sich an wohnungslose Menschen – eine Zielgruppe, für die Datenschutz keine Formalie ist, sondern die Voraussetzung dafür, das Angebot überhaupt zu nutzen. In der neuesten Ausbaustufe haben wir dieser digitalen Plattform einen physischen Zugangsweg gegeben: ein NFC-Armband. Wird es im Ernstfall gescannt, öffnet sich eine öffentliche Seite mit genau einer Information – wie die hinterlegte Vertrauensperson erreichbar ist. Das Projekt beschreiben wir hier anonymisiert, ohne Kundennamen.

Die Herausforderung

Die Anforderung klingt zunächst nach einem Widerspruch: Die Plattform ist mit grösster Zurückhaltung gegenüber personenbezogenen Daten gebaut – und nun soll ausgerechnet eine Seite entstehen, die ohne jede Anmeldung aufrufbar ist. Denn im Notfall zählt jede Minute:

• Wer scannt, ist nicht angemeldet – und wird es auch nie sein. Polizei, Rettungsdienst oder eine zufällig anwesende helfende Person haben kein Konto und keine Zeit, eines anzulegen. Jede Hürde vor der Information ist eine Hürde zu viel.
• Sichtbar werden darf trotzdem fast nichts. Auf der Seite darf ausschliesslich stehen, wie die Vertrauensperson erreichbar ist. Kein Name der betroffenen Person, keine Gesundheitsdaten, keine Dokumente, keine Vorsorgeinformationen – auch nicht versteckt im Quelltext.
• Das Armband ist Hardware und bleibt, wie es ist. Wechselt die Vertrauensperson oder ändert sie ihre E-Mail-Adresse, kann niemand losziehen und hunderte Chips neu beschreiben. Die Adresse auf dem Band muss dauerhaft gültig bleiben.
• Kein Spezialgerät, keine zusätzliche App. Die Bänder werden von Sozialarbeiterinnen und Mitarbeitenden sozialer Einrichtungen ausgegeben – mit dem, was sie ohnehin dabei haben.
• Die Adresse ist das einzige Geheimnis. Wer sie kennt, sieht die Kontaktdaten. Sie muss also so beschaffen sein, dass man sie nicht erraten und nicht durchprobieren kann.

Unsere Lösung

1. Ein kurzer, nicht erratbarer Code statt einer gespeicherten Adresse

Jedes Profil erhält einen persönlichen achtstelligen Code aus einem Zeichenvorrat, aus dem alle leicht verwechselbaren Zeichen entfernt sind – kein 0/O, kein 1/I/L. Das ergibt rund 800 Milliarden mögliche Codes; Durchprobieren ist damit praktisch aussichtslos. Erzeugt wird er mit einem kryptografisch sicheren Zufallsgenerator, und jeder neue Code wird gegen den gesamten Bestand geprüft – auch gegen bereits gelöschte Konten, damit ein Code nie ein zweites Mal vergeben wird.

Gespeichert wird bewusst nur dieser Code, nicht die fertige Adresse. Die vollständige Adresse wird bei jedem Seitenaufruf neu gebildet. Der Unterschied klingt akademisch, ist aber genau der Punkt, an dem solche Lösungen sonst kaputtgehen: Eine einmal gespeicherte Adresse wird falsch, sobald sich die Domain, die Seitenstruktur oder der Pfad ändert – und dann zeigen alle bereits ausgegebenen Armbänder ins Leere. Ein Code, aus dem die Adresse abgeleitet wird, bleibt in all diesen Fällen richtig.

Die Vergabe läuft nebenbei: Wer ein Profil öffnet und noch keinen Code hat, bekommt in diesem Moment einen. So sind auch alle bereits bestehenden Konten versorgt, ohne dass es dafür eine gesonderte Umstellung gebraucht hätte.

2. Eine bewusst kurze Adresse

Die Notfalladresse hat die Form .../notfall/8FDYHK7. Kurz ist hier kein Schönheitskriterium: Der Speicher eines NFC-Chips ist knapp, und wenn ein Chip einmal defekt ist, muss man die Adresse auch von einem aufgedruckten Ersatz ablesen und abtippen können.

3. Eine Seite, die nur drei Angaben kennt

Auf der Notfallseite stehen von oben nach unten: das Logo des Projekts, die Adresse der Plattform, ein fester Hinweistext, der erklärt, wozu die Seite da ist – und darunter die Kontaktdaten der Vertrauensperson: Spitzname, E-Mail-Adresse und, falls hinterlegt, die Organisation, bei der sie tätig oder ehrenamtlich engagiert ist. Ist keine Organisation eingetragen, entfällt die Zeile ersatzlos.

Technisch haben wir das so gelöst, dass gar nichts anderes sichtbar werden kann: Die Seite bekommt nicht den vollständigen Benutzerdatensatz zu sehen, aus dem sie sich bedienen dürfte, sondern ausschliesslich diese drei Angaben – vorher explizit zusammengestellt. Ein Feld, das nie in die Ausgabe gereicht wird, kann auch nicht versehentlich in den Quelltext geraten. Dazu kommt ein reduziertes Seitengerüst ohne Navigation, ohne Login-Bereich, ohne Verweise ins Profil: Wer das Armband scannt, sieht diese eine Seite und keinen Weg in die Anwendung hinein. Für Suchmaschinen ist sie gesperrt – sowohl in der Seite selbst als auch über den Antwort-Header des Servers.

Sind mehrere Vertrauenspersonen hinterlegt, werden alle aufgeführt. Im Notfall zählt, dass überhaupt jemand erreichbar ist.

4. Immer aktuell – dieselbe Adresse, neue Daten

Die Notfallseite wird bei jedem Aufruf frisch erzeugt und nicht zwischengespeichert. Wechselt die Vertrauensperson oder ändert sie ihre E-Mail-Adresse, zeigt dasselbe Armband beim nächsten Scannen sofort die neuen Daten. Kein Chip muss neu beschrieben, kein Band getauscht werden. Auch ein verlorenes oder beschädigtes Armband lässt sich einfach mit derselben Adresse ersetzen.

5. Ein Button im Profil – der Rest geht mit jeder NFC-App

Im Profil erscheint eine Karte „NFC-Armband” mit dem Code und dem Button „NFC-Armband-Link kopieren”. Ein Klick legt die Adresse in die Zwischenablage, eine kurze Rückmeldung bestätigt das; für Browser-Umgebungen ohne moderne Zwischenablage-Funktion gibt es einen Ersatzweg. Geschrieben wird das Band anschliessend mit einer beliebigen, frei verfügbaren NFC-Schreib-App.

Bewusst haben wir keine eigene Schreibfunktion entwickelt: Das hätte eine App-Entwicklung nach sich gezogen, ohne einen einzigen Arbeitsschritt zu sparen. Der Button erscheint ausserdem erst, sobald tatsächlich eine Vertrauensperson hinterlegt ist – ein Armband, das auf eine leere Seite zeigt, wäre schlechter als gar keines.

6. Kein Rückschluss darauf, ob ein Code existiert

Eine unbekannte, leere oder fehlerhafte Adresse führt zu einem neutralen deutschen Hinweis. Derselbe Hinweis erscheint, wenn ein Konto deaktiviert oder gelöscht wurde – und auch dann, wenn ein Code zwar gültig ist, aber (noch) keine Vertrauensperson hinterlegt wurde. Alle diese Antworten sind bis auf das Byte identisch. Von aussen ist damit nicht erkennbar, ob ein bestimmter Code überhaupt vergeben ist. Wer wahllos Adressen ausprobiert, lernt nichts.

7. Missbrauch beobachten, ohne den Ernstfall auszubremsen

Fehlversuche werden protokolliert, damit auffälliges Durchprobieren sichtbar wird – mit begrenzter Menge an Einträgen, damit ein einzelner Ansturm das Protokoll nicht flutet und die Unterbrechung ausdrücklich vermerkt wird.

Eine Erkenntnis aus der Qualitätssicherung hat das Vorgehen dabei deutlich geschärft: Ursprünglich sollte eine Adresse, von der viele Fehlversuche kamen, vorübergehend gesperrt werden. Das klingt vernünftig – bis man bedenkt, dass Mobilfunknetze in Deutschland viele Anschlüsse hinter einer gemeinsamen öffentlichen Adresse bündeln. Das Smartphone eines Rettungsdienstes teilt sich diese Adresse routinemässig mit zahllosen anderen. Eine Sperre hätte also ausgerechnet den einen Fall treffen können, für den die ganze Funktion gebaut wurde.

Deshalb gilt jetzt: Ein gültiger Code wird immer beantwortet, ganz gleich, wie viele Fehlversuche vorher aus derselben Richtung kamen. Was diese Seite schützt, ist die Länge des Codes – nicht eine Sperre, die im Zweifel den Falschen aussperrt.

8. Auch nach dem Todesfall die richtige Adresse

Ist eine Person als verstorben gekennzeichnet, bleibt die Notfallseite bewusst erreichbar. Die Vertrauensperson ist genau diejenige, die Einsatzkräfte oder Angehörige dann erreichen sollen.

Das Ergebnis

Entstanden ist eine Brücke zwischen einem Stück Hardware am Handgelenk und einer streng geschützten Plattform:

• Ohne Anmeldung erreichbar – und trotzdem gibt sie nur die eine Information preis, die im Notfall zählt.
• Nicht erratbar – rund 800 Milliarden mögliche Codes, kryptografisch sicher vergeben und garantiert eindeutig.
• Dauerhaft gültig – Vertrauensperson und Kontaktdaten lassen sich jederzeit ändern, das Armband bleibt unverändert.
• Ohne Spezialausrüstung – ein Button im Profil, eine beliebige NFC-App, fertig.
• Ohne Auskunft nach aussen – falsche und gültige Adressen ohne Kontakt sind nicht voneinander zu unterscheiden.
• Automatisch für alle – auch bestehende Konten erhalten ihren Code, ohne gesonderte Umstellung.

Die Funktion ist entwickelt, in mehreren Prüfrunden getestet und ausgeliefert.

Fazit

„Öffentlich zugänglich” und „datensparsam” sind kein Widerspruch – sie sind eine Entwurfsaufgabe. Die Antwort steckt nicht in einer einzelnen Sicherheitsmassnahme, sondern in einer Kette bewusster Entscheidungen: Was genau darf jemand sehen, der ein Armband in der Hand hält, aber nicht angemeldet ist? Alles, was diese Frage nicht beantwortet, gehört gar nicht erst in die Ausgabe. Und jede Schutzmassnahme muss sich daran messen lassen, ob sie im Ernstfall hilft – oder ihn behindert.

Sie planen eine Anwendung, in der sensible Daten und ein niedrigschwelliger Zugang zusammenkommen müssen? Sprechen Sie mit uns – wir denken solche Anforderungen von der Konzeption bis zum sicheren Livegang zusammen.