Zahlungen offen: Kreditkarten mit NFC können Umsätze preisgeben

Die Idee des kontaktlosen Bezahlens wird auch in Deutschland von vielen Unternehmen vorangetrieben. Jetzt gibt es Berichte darüber, dass Kreditkarten, die mit NFC-Chip ausgerüstet sind, unter bestimmten Umständen das Auslesen von Umsätzen ermöglichen.

Kontaktloses Bezahlen mit Lücken

Immer mehr Kreditkarten werden mit integriertem NFC-Chip ausgeliefert, um den Besitzern die Nutzung von kontaktlosen Bezahlungssystemen zu ermöglichen. Auch viele Unternehmen, wie zuletzt zum Beispiel Aldi, haben ihre Kassensysteme so umgestellt, dass Kunden mit den neuen Methoden ihren Einkauf bezahlen können. Wie jetzt das Blog "Your nested Bubble" (via heise Security) berichtet, sollen Kreditkarten mit NFC-Chip unter gewissen Umständen den Transaktionsverlauf preisgeben. Kontaktloses Bezahlen: Bei immer mehr Händlern möglich An dieser Stelle wichtig zu erwähnen: Um auf die Daten Zugriff zu erhalten, muss dem Täter die Kreditkarte im wahrsten Sinne des Wortes in die Hände fallen. Hat man die Karte einmal in Besitz, ist das Auslesen der Kauf-Informationen aber in Sekunden mit NFC-Apps möglich, die kostenlos und in den offiziellen Stores von Apple, Google & Co. zum Download bereitstehen. Laut dem Bericht ist so unter anderem zu erfahren, welche Zahlungen in welcher Währung zu welcher Uhrzeit durchgeführt wurden. Eine Offenlegung der Empfänger erfolgt aber nicht.

PayPass-Nutzer betroffen

Wie heise in seinem Bericht zu der Entdeckung schreibt, sind aktuell offenbar Kreditkarten mit NFC-Chip von Mastercard betroffen. Diese unterstützen außerdem das kontaktlose Verfahren PayPass, welches Kunden die Bezahlung von Beträgen unter 25 Euro ohne die Eingabe von PIN oder das Leisten einer Unterschrift ermöglicht. Hier können mit der entsprechenden App aber eben nicht nur die mit PayPass durchgeführten Zahlungen abgerufen werden, sondern alle, die mit der Karte getätigt wurden.

Ebenfalls können über NFC auf der Kreditkarte vermerkte Informationen wie die Kartennummer und das Ablaufdatum abgerufen werden. Der für Zahlungen entscheidende dreiststellige Sicherheitscode, auch Card Validation Code (CVC) genannt, kann aber nicht über die Drahtlostechnik in fremde Hände geraten. Ob Informationen wie der Transaktionsverlauf aktiviert wurden und damit eventuell abrufbar sind, hängt von den Voreinstellungen ab, die der Kartenherausgeber vorgenommen hat.