Hacker demonstrieren Sicherheitslücken bei Kartenzahlung

Zwei IT-Experten haben am Sonntag beim Hackerkongress 32C3 in Hamburg massive Sicherheitslücken beim Bezahlen mit EC-Karten und Prepaid-Karten demonstriert. Vor mehreren tausend Zuschauern zeigten die Berliner Karsten Nohl und Fabian Bräunlein von der Firma Security Research Labs (SRLabs), wie die PIN-Ziffernfolge nach der Eingabe ausgelesen werden kann.

Außerdem überwiesen sie live auf der Bühne des Hamburger Kongresszentrums 15 Euro auf die Prepaid-Karte eines Mobilfunkanbieters und leiteten einen Zahlungsbetrag auf ein anderes Konto um.

Forscher warnen

Es gebe zwei technische Protokolle für die Übertragung der Daten zwischen einem Kartenterminal, dem Kassensystem des Einzelhändlers und dem Finanzdienstleister, erklärte Nohl. Beide Protokolle mit den Bezeichnungen ZVT und Poseidon seien unsicher und könnten von Angreifern sehr leicht ausgenutzt werden. Er rief Einzelhandel und Kreditwirtschaft dazu auf, schnell Konsequenzen aus dem Missstand zu ziehen.

Verbraucher sollten bei Kartenmissbrauch gegen ihre Bank vorgehen, riet Nohl. Erste Ergebnisse der Untersuchung hatte SRLabs bereits kurz vor Weihnachten öffentlich gemacht. Die Deutsche Kreditwirtschaft schloss bereits damals Missbrauch aus, da die Angriffe nicht auf Chipkarten übertragbar seien.