Fehler im Visa-Kreditkarten-System kann in Sekunden den Ruin bringen

Derzeit werden in verschiedenen Ländern neue Kreditkarten eingeführt, die sowohl mehr Sicherheit als auch mehr Bequemlichkeit versprechen. Forscher von der britischen Newcastle University konnten nun zumindest bei Karten des Anbieters Visa belegen, dass diese Zusage aber nicht eingehalten werden kann. Die neuen Kreditkarten arbeiten nur noch mit einem Chip, der die alte Magnetstreifen-Technologie komplett ersetzt. Auf dem Chip sind grundsätzlich die gleichen Daten gespeichert, hinzu kommt aber noch eine digitale Signatur. Diese sorgt unter anderem dafür, dass es Kriminellen wenig hilft, wenn sie an die Daten und sogar die PIN kommen, da Transaktionen nur durchgeführt werden, wenn auch die fest eingebaute digitale Unterschrift passt. Es wird so also wesentlich schwerer, Karten zu klonen.


Doch dieses Mehr an Sicherheit wird durch einen Fehler in einem weiteren Feature wieder ausgehebelt. Mit den neuen Kreditkarten ist es nämlich auch möglich, kontaktlos zu zahlen. Die Karte muss dafür nicht mehr in ein Terminal gesteckt werden. Es genügt, sie kurz vor das Lesegerät zu halten. Die Datenübertragung funktioniert auf einige Zentimeter Entfernung.

Smartphone kann zum Terminal werden

In früheren Versuchen hatten Sicherheitsforscher bereits gezeigt, dass es so auch möglich ist, einen mobilen Reader zu bauen, mit dem praktisch im Vorbeigehen Transaktionen ausgelöst werden können. Dafür genügt es beispielsweise, ein entsprechend ausgerüstetes Mobiltelefon kurz an eine Tasche zu halten, in der eine entsprechende Karte enthalten ist. Vor allem in Menschenmengen wie man sie beispielsweise auf Flughäfen findet, kann dies unbemerkt geschehen.

Da dieses Problem durchaus bekannt ist, wurde in Großbritannien ein Limit von 20 Pfund für das kontaktlose Bezahlen - bei dem keine weitere Bestätigung mehr erfolgen muss - gesetzt. So soll sich der Schaden im Ernstfall in Grenzen halten. Allerdings fanden die Forscher im Visa-System einen entscheidenden Fehler. Hier greift das Limit nämlich nur, wenn es tatsächlich um einen Betrag von maximal 20 Pfund geht. Wird die Transaktion in einer Fremdwährung ausgelöst, registriert das System dies einfach nicht. Auf diese Weise können bis zu 999.999,99 Einheiten einer beliebigen Währung angewiesen werden.

Im schlimmsten Fall kann die Kreditkarte eines Nutzers so in Sekundenschnelle mit einem Millionen-Betrag belastet werden. Die Forscher gehen allerdings nicht davon aus, dass Kriminelle so vorgehen werden, da eine massive Verfolgung die unweigerliche Folge wäre. Martin Emms, der Leiter des Forschungsprojektes an der Newcastle University sieht es als wesentlich wahrscheinlicher an, dass Gruppen von Tätern versuchen werden, Beträge im unteren dreistelligen Bereich von möglichst vielen Opfern zu einem Konto zu schicken, das irgendwo in der Welt angesiedelt ist. So kämen ebenso recht stattliche Summen zusammen, während weder Behörden noch Banken zu viel in die Verfolgung der einzelnen Fälle investieren würden.