Warum NFC-blockende Geldbörsen hinausgeschmissenes Geld sind

Seitdem kontaktloses Bezahlen mit Bankomat- und Kreditkarten eingeführt wurde, gibt es Sicherheitsbedenken rund um die Funktion auf NFC-Basis. Angefacht werden die Befürchtungen durch verschiedene Experimente, wie sie etwa jüngst von Journalisten des Fachmagazins c’t durchgeführt worden sind. Auch Videos, wie einfach man per NFC bestohlen werden kann, machen regelmäßig auf sozialen Medien die Runde. Das Szenario ist recht simpel: So wird ein kabelloses Bezahl-Terminal, wie man es etwa an Supermarktkassen findet, an die Hose gehalten, wo die Geldbörse eingesteckt ist. Die Abbuchung eines Betrages von 25 Euro ist dabei ohne Code-Eingabe möglich, der Diebstahl bleibt für das Opfern unbemerkt. 

Wie groß ist die Gefahr wirklich?

Die reale Gefahr, die von NFC-Diebstahl ausgeht, ist in der Praxis äußerst gering. Laut Informationen der Payment Services Austria, die als Technologie-Provider für die NFC-fähigen Bankomatkarten in Österreich verantwortlich ist, ist es seit Einführung der NFC-Funktion hierzulande noch zu keinem einzigen Schadensfall dadurch gekommen. Banken berichten ebenfalls von positiven Erfahrungen, auch international. Erste-Bank-Kartenexperte Ertan Piskin erklärt auf Nachfrage der futurezone: „Wir haben fast 2,5 Millionen Bankomatkarten mit NFC-Funktion im Umlauf. Die Technologie ist sicher und funktioniert in Österreich und ganz Europa seit Jahren ohne Schadensfälle.“

Erschwert wird Betrug per einfacher Abbuchung mit einem tragbaren Terminal auch dadurch, dass man bei derartigen Betrügereien ein Konto benötigt, für das ein Identitätsnachweis notwendig ist. Diebe könnten also sehr einfach identifiziert werden.

Doch es gibt auch zahlreiche technische Hürden, unbemerkt eine Bankomat- oder Kreditkarte, wie Michael Roland, NFC-Experte und Postdoktorand am Institut für Netzwerke und Sicherheit an der Johannes-Kepler-Universität Linz, auf Nachfrage der futurezone erklärt. So könnten etwa schon Münzen in der Geldbörse die Übertragung stören: „Wenn ich ein paar Münzen oder ausreichend NFC-Karten in der Geldbörse habe, wird man in der Praxis gar nichts auslesen können.“

Hintergrund

Wenn mehrere Karten übereinander einsortiert sind, müssten Terminals die Zahlung eigentlich blockieren. „Daran halten sich aber nicht alle Terminalhersteller“, so Roland. Ab einer gewissen Anzahl an Karten sei das Auslesen aus technischen Gründen allerdings gar nicht mehr möglich, weil jede Karte mit ausreichend Strom versorgt werden muss. „Das Funktionsprinzip basiert auf induktiver Kopplung“, so Roland. „Mit jeder Karte sinkt die Summenresonanzfrequenz.“ In der Regel kommen gängige Lesegeräte mit einer bis drei Karten zurecht, vereinzelt auch mit mehr, wenn die Karten eine höhere Resonanzfrequenz aufweisen.

Brauche ich eine RFID-blockende Geldbörse?

Eine RFID-blockende Geldbörse hält der Experte für nicht notwendig. „Ich halte so etwas typischerweise für übertrieben“, so Roland. Oft seien Sicherheitsbedenken im Hinblick auf die Kontaktlos-Funktion einfach eine Strategie, diese Produkte an die Kunden zu bringen: „Viele von den Sicherheitsbedenken werden von Firmen gepusht, die derartige Produkte verkaufen, das war zuletzt immer wieder der Fall“, so Roland.

Die reale Gefahr

Das alles heißt nicht, dass NFC völlig sicher ist. „Die größten Sicherheitsbedenken die ich habe, sind für meine Privatsphäre“, so Roland. „Was ich für ein realistisches Szenario halte ist, dass sich jemand vor einem Geschäft mit einem entsprechenden Gerät aufstellt und die Kommunikation mitschneidet.“

Das ist jedoch nur in dem Moment möglich, in dem die Transaktion bzw. die Zahlung stattfindet. Der praktische Nutzen für Angreifer ist jedoch auch in so einem Fall endenwollend. Bei Bankomatzahlungen wird etwa nicht einmal die eigentliche Nummer der Karte übertragen, sondern eine, die nur für NFC-Zahlungen genutzt wird sowie die Höhe des Betrags, wie Roland erklärt.

Darüber hinaus ist die technische Ausstattung, die es benötigt, eher sperrig. Laut Roland ist für das „Mitschneiden“ der Transaktion, über eine Distanz von zehn Metern, nur mit einem reisekoffergroßen Gerät möglich.