Dipl.-Inform. Carsten Eilers

Fangen wir mit den EC-Karten der Sparkasse an. Die soll man mit bis zu 20 Euro aufladen, um dieses Geld dann nach und nach ohne PIN-Eingabe auszugeben. Kommt das irgend jemanden bekannt vor? Ja, genau, das hatten wir schon: Als die ersten EC-Karten mit Chip ausgeliefert wurden, wurde das als das Zahlungssystem der Zukunft gepriesen: 20 Euro (oder waren es noch D-Mark?) aufladen und damit dann z.B. ÖPNV-Karten am Automaten zu kaufen. Und, nutzt das irgend jemand? Eigentlich nicht, oder? Und warum sollte man das nutzen, wenn es kontaktlos funktioniert? Zu den Sicherheitsaspekten komme ich gleich noch, nur mal zum Vergleich der Ablauf der Bezahlung mit Bargeld, Geldkarte und kontaktloser EC-Karte:

Der Vorteil der kontaktlosen EC-Karte ist also minimal: Man spart sich das rausnehmen von Geld oder Geldkarte und das Einstecken von Wechselgeld oder Geldkarte. Hat man mehr als eine Funkkarte im Portemonnaie, wird man die gewünschte rausnehmen oder evtl. aus einem Menue auswählen müssen, schon ist dieser Vorteil dahin (siehe die Punkte mit (*)-Markierung). Und möchte man keine jederzeit abfragbare ID mit sich herumschleppen, wird man nicht umhin kommen, die EC-Karte in einer entsprechend abgeschirmten Hülle aufzubewahren, und dann muss man sie da raus nehmen.

So, was genau hat diese Zahlweise also nun für einen Vorteil? Ach, gar keinen? Na, dann warten Sie mal, bis ich zu den Nachteilen kommen. Also warum genau sollte ich die Funkversion nutzen, wenn ich schon die Chipversion nicht verwende? Daher meine Einschätzung: Die Geldkarte ist schon tot, und die Funkvariante ist nur der Versuch, das schon tote Pferd neu aufzuzäumen. Warum? Weil Google das Bezahlen mit dem Handy etablieren möchte und den Banken der Allerwerteste auf Grundeis geht.

Mastercard - Thema verfehlt, Setzen, Sechs!

Kommen wir zur Mastercard. Hier hofft man, dass durch die kontaktlose Zahlung ohne PIN-Eingabe öfter auch kleine Beträge mit der Karte bezahlt werden. Mal abgesehen von den Sicherheitsdenken, die gleich noch dran sind, gibt es auch hier wieder einen Punkt, den man aus Betriebsblindheit nicht gesehen hat oder nicht sehen wollte: Den Preis. Die Kartenzahlung ist schlicht und ergreifend zu teuer. Die von den meisten Händlern festgelegte Mindestsumme für Kartenzahlungen schützt in der Tat vor zu hohem Aufwand. Aber nicht, wie wohl von Mastercard angenommen, dem der umständlichen Abwicklung, denn die ist vergleichbar dem Ablauf in obiger Tabelle. Es schützt vor dem betriebswirtschaftlichen Aufwand, mit anderen Worten: Den Kosten. Die Kreditkartenzahlung ist so teuer, dass der Händler bei niedrigen Summen Gefahr läuft, statt Gewinn Verlust zu machen. Daran wird auch die kontaktlose Variante nichts ändern, sofern die Gebühren nicht kräftig gesenkt werden. Und wenn sie das werden, dann kann man auch mit dem herkömmlichen Verfahren zahlen und sich den unnötigen Funkchip sparen.

Kontaktlose Zahlung - Problemloser Diebstahl!?!?

Alles, was drahtlos übertragen wird, kann abgehört werden und ist erst mal unsicher. Man kann es sicher machen, und man wird das sicher auch bei EC-Karte und Mastercard versuchen. Ob das gelingt und wie lange es gelingt, wird sich zeigen. Nach dem Motto "Nichts genaues weiß man nicht" werde ich nur ein paar mögliche Schwachstellen aufzählen.

Karte weg, Geld weg

Kommen wir zum einfachsten Punkt: Ist die Karte weg, kann der Dieb den auf der EC-Karte gespeicherten Betrag ausgeben, da ja keine PIN erforderlich ist. Bei der Mastercard sollen bis zu 25 Euro ohne PIN-Eingabe bezahlt werden können. Ob das als Belastung des Kontos oder Abbuchung eines zuvor aufgeladenen Betrags erfolgt, ist zumindest mir nicht klar. Die Beschreibung von PayPass ist ziemlich wage, mit scheint es, als wäre das wirklich eine Belastung des Kreditkartenkontos. Evtl. kann ein Dieb also nicht nur den aufgeladenen Betrag ausgeben, sondern auch das Konto plündern, bis die Karte gesperrt oder ein Limit erreicht ist. Die Geldkarte ähnelt in der Hinsicht also Bargeld, auch das ist weg, wenn das Portemonnaie geklaut wird. Bei der Mastercard kann ein Diebstahl u.U. deutlich schlimmere Folgen haben.

Kontaktloser Taschendiebstahl

Evtl. erlauben die Funkchips auch einen kontaktlosen Taschendiebstahl. Sparkassen und Mastercard behaupten zwar, die Karte muss bis auf wenige Zentimeter Abstand an das Lesegerät herangebracht werden, das gilt aber nur für die normalen Lesegeräte. RFID-Chips lassen sich auch aus deutlich größeren Entfernungen abfragen, und das wird auch für die Chips dieser Karten gelten. Die spannende Frage ist also: Wie läuft die Abbuchung ab? Können Kriminelle entsprechend präparierte Lesegeräte z.B. am Eingang eines Bahnhofs aufstellen und dann von allen vorbeigetragenen Karten ein paar Euro abbuchen? Möglichkeiten, dieses gestohlene Geld zu "waschen", werden sie sicher finden.

In Foren und Kommentaren liest man oft das Argument, dass es ja schon kontaktlose Systeme gibt und keine solchen Angriffe stattfinden. Dieses Argument ist aber schon im Ansatz falsch, denn es gibt eben noch kein weit verbreitetes bargeldloses, kontaktloses Zahlungssystem. Was es gibt, das sind viele geschlossene Systeme, die ich mal als "digitales Pseudogeld" umschreiben möchte: Eine Funkchip-Karte wird mit einem bestimmten Betrag aufgeladen, und damit werden dann je nach System Fahrkarten, Mensa- oder Kantinenessen oder was auch immer bezahlt. In diesen Systemen ist ein Diebstahl gar nicht möglich, bzw. er lohnt sich nicht. Beim Aufladen erhält der Betreiber das Geld, dass dann beim "Bezahlen" verbraucht wird. Wenn es jemand schafft, eine solche Karte anzuzapfen, bekommt er kein Geld, sondern nur "Pseudogeld", dass er nur beim Systembetreiber ausgeben kann. Welchen Anreiz sollte es für Kriminelle geben, so etwas anzugreifen? Bei der kontaktlosen EC-Karte und Mastercard fließt dagegen echtes Geld, und wo Geld in Bewegung ist, bleiben die Kriminellen nicht lange fern.

Die paar kontaktlosen Lösungen, die es bisher gibt und die auch genutzt werden, profitieren genauso wie früher Mac OS X vom "Exotenbonus" - es lohnt sich nicht, die paar möglichen Opfer anzugreifen. Beim Mac ist die Schonzeit vorbei, und mit der Einführung von kontaktloser EC-Karte und Mastercard wird auch dort die zunehmende Verbreitung für die entsprechenden Angriffe sorgen. Sofern die möglich sind. Ob sie es sind, wird die Zukunft zeigen.

Relay-Angriff

Theoretisch immer möglich ist ein sog. Relay-Angriff: Eine Fake-Karte täuscht dem Lesegerät eine EC-Karte oder Mastercard vor, leitet die Kommunikation aber tatsächlich lediglich über eine Funkverbindung zu einem speziellen Lesegerät weiter, das seinerseits mit einer echten Karte kommuniziert. Während ein Krimineller mit der Fake-Karten an der Kasse bezahlt, steht ein Komplize mit dem Lesegerät in der Nähe eines ahnungslosen Kunden und zapft dessen EC-Karte an. Ob solche Angriffe in der Praxis möglich sind, wird sich zeigen. Sie lassen sich an z.B. an den geänderten Laufzeiten der Signale erkennen, die Frage ist, wie tolerant die Lesegeräte sind.

Skimming nicht möglich

Einen Vorteil haben die kontaktlosen Chip-Karten: Skimming ist nicht möglich, da die Karten nicht nur statische Daten sondern einen Chip enthalten, der bestimmte Aktionen ausführt. Sie lassen sich also nicht durch eine einfache Abfrage der Daten über Funk kopieren.

Der Datenschutz-Faktor

Ich brauche jetzt keine Geldkarte, und ich wüsste nicht, was sich daran durch den Funkchip ändern sollte. Von daher ist mir dessen Einführung also völlig egal. Auf den Chip kommt kein Geld, und wo nichts ist, kann nichts gestohlen werden. Etwas anderes stört mich aber sehr viel mehr: Jeder RFID-Chip besitzt eine eindeutige ID, die von jedem Lesegerät abgefragt werden kann. Das gilt seht wahrscheinlich auch für die Chips der EC-Karte, und da hört für mich der Spaß auf.

Ich habe keine Lust, eine ständig abfragbare ID mit mir rum zu tragen. Mir reicht schon der "Peilsender" Handy. Dessen Missbrauchspotential hat die Dresdner Polizei ja gerade bewiesen, und zwar gleich doppelt (das hält bekanntlich besser). Möchte jemand wetten, dass die nicht auch die EC-Karten tracken würden, wenn sie es denn könnten und irgend etwas davon erwarten würden?

Aber die Polizei bzw. allgemein "der Staat" ist nicht mal das Hauptproblem. Viel mehr Bedenken habe ich da in der "freien Wirtschaft" (fast hätte ich Wildbahn geschrieben). Ob wirklich alle Händler oder Ketten der Verlockung widerstehen werden, zu protokollieren, wer alles am Laden vorbeigeht, wer rein kommt und wer was kauft? Das wären doch prima Daten für die Marktforschung: Wie oft kommt ein Kunde am Laden vorbei ohne ihn zu betreten, wie oft betritt er den Laden ohne was zu kaufen - daraus lässt sich sicher was machen.

Bisher erkennt man ihn ja nur, wenn er was gekauft hat und dabei mit Karte zahlt, egal ob EC- oder Geldkarte. In Zukunft kann er sogar bar zahlen, solange er seine RFID-Karte in der Tasche hat, kann er erkannt werden. Und sofern er nur einmal mit der EC-Karte (nicht der Geldkarten-Funktion) bezahlt hat, kennt man sogar die genaue Identität des Kunden. Das sind doch Daten, von denen Marktforscher ständig träumen. Warum sollten sie darauf verzichten? Weil es nicht erlaubt ist? Das hat bei der Videoüberwachung auch keinen interessiert, bis es ans Licht gekommen ist. Man darf sich halt nicht erwischen lassen. Und selbst wenn - dann hat das Lesegerät eben einen Fehler und die Daten wurden unabsichtlich gesammelt. Und das Weiterleiten an einen zentralen Server? Eine völlig unabsichtliche Fehlfunktion. Die Ausrede hat bei den GUIDs in MS Word ja auch funktioniert...

Und wie sieht es mit anderen Interessenten aus? Die Stadt München erstellt Bewegungsprofile von Autos. Mit der kontaktlosen EC-Karte geht das dann auch eine Nummer kleiner und genauer. Möchte jemand wetten, dass niemand auf die Idee kommt, für welchen Zweck auch immer Bewegungsprofile von Menschen zu erstellen? Dafür bietet sich der nPA an. Wenn der aus Datenschutzgründen in einer abschirmenden Hülle steckt, ist ja vielleicht die EC-Karte offen, da sie sonst nicht so schön komfortabel als Geldkarte genutzt werden kann.

Eins ist klar: Wenn das Ding kommt, kommt es bei mir in die Dose, bildlich gesprochen. Irgendwann werde ich sowieso einen nPA bekommen, und in dessen abschirmende Hülle kommt dann auch gleich die EC-Karte mit rein.

Wieso eigentlich die Aufregung?

Mal eine andere Frage: Wieso gibt es eigentlich jetzt so viel Aufregung über die kontaktlose Geldkarte, während sich vor einem Jahr eigentlich niemand darum gekümmert hat? Geändert hat sich seitdem eigentlich nichts, außer dass damals noch 2014 als das Enddatum genannt wurde, bis zu dem alle Karten umgetauscht sein sollten.

Carsten Eilers