Kontaktloses Bezahlen mit dem Handy oder der Karte ist nicht nur ausgesprochen bequem, sondern gilt noch dazu als weitestgehend sicher. Letzteres könnte sich nun allerdings ändern. Ein Team der Eidgenössischen Technischen Hochschule (ETH) Zürich hat eine Sicherheitslücke aufgedeckt, die das Ansehen der Methode in Verruf geraten lassen könnte.

Kontaktloses Bezahlen: Sicherheitslücke besorgt

Vor dem Missbrauch der Methode sollen eigentlich bestimmte Mechanismen schützen. Einer von ihnen verhindert es etwa, dass mittels der Karte mehr abgehoben wird, als es der eingestellte Grenzwert festlegt. Eben diesen Mechanismus gelang es den Forschern der ETH allerdings auszuhebeln, indem sie sich eine Sicherheitslücke zunutze machten. Ihre Lösung gaukelte dem Terminal vor, die Eingabe der PIN sei trotz beachtlicher Überschreitungen der festgelegten Summe nicht von Nöten.

Dem Angriff zugrunde liegt der sogenannte „Man in the Middle“ (MITM). Er klinkt sich zwischen Terminal und Karte ein, wodurch er die Transaktion beim kontaktlosen Bezahlen manipulieren kann. Möglich wird das durch eine Sicherheitslücke, die sich offenbar nur schwerlich schließen lässt.

Kunden haften für Fehler ihrer Bank

„Unser Angriff zeigt, dass die PIN bei Visas kontaktlosen Bezahlverfahren nutzlos ist“, zitiert heise online das Team der ETH Zürich. „Deshalb ist unserer Ansicht nach das Abschieben der Haftung von Banken hin zu Kunden und Händlern bei solchen Transaktionen ungerechtfertigt. Für solche missbräuchlichen Transaktionen sollten die Banken, EMVCo, Visa [..] haften und nicht Kunden oder Händler.“

Kontaktloses Bezahlen wird also nicht nur fester Bestandteil des Alltags, sondern bringt noch dazu einige beunruhigende Risiken mit sich. Doch haben Banken auch abseits dieser Zahlungsmethode mit Sicherheitslücken zu kämpfen. Zuletzt zeigte sich das durch Automaten der Santander Bank, die Kunden kostenlose Abhebungen von bis zu 1.000 US-Dollaer tätigen ließen.