Wie können abgelaufene kontaktlose Karten wieder als Zahlungsmittel verwendet werden?

Experten der UMass Amherst University präsentierten eine Studie mit dem Titel „Zombie-Karten wieder online: Abgelaufene Kreditkarten für kontaktloses Bezahlen wiederbelebenDarin wurde detailliert beschrieben, wie abgelaufene kontaktlose Zahlungskarten für Einkäufe an Verkaufsstellen wiederverwendet werden können.

Kontaktloses Bezahlen basiert auf dem EMV-Protokoll. Dabei kommuniziert eine Karte oder ein Smartphone per NFC-Technologie mit einem Kassenterminal. Die Daten werden anschließend über das Zahlungsnetzwerk an die Bank und den Kartenaussteller übermittelt. Forscher warnen jedoch vor der Anfälligkeit dieses Prozesses, da einige Daten unverschlüsselt zwischen Karte und Terminal übertragen und erst später kryptografisch verifiziert werden.

Diese Sicherheitslücke bietet Angriffsfläche. Mithilfe zweier Smartphones, die als NFC-Proxy-Geräte fungierten, führten die Forscher erfolgreich einen Man-in-the-Middle-Angriff durch. Sie stellten fest, dass kontaktlose Transaktionen im Visa-Netzwerk anfällig für solche Angriffe sind, da ihnen ein ausreichender Schutz der Datenintegrität fehlt.

Das Problem liegt im sogenannten EMV-Kernprotokoll. Während Mastercard, American Express und Discover strengere Regeln anwenden, ist das System von Visa „offener“. Bei Visa-Karten ist das vom Terminal gelesene Ablaufdatum nicht kryptografisch durch eine digitale Signatur geschützt. Das Terminal prüft zwar das Datum auf der Karte, die ausstellende Bank überprüft jedoch bei der Genehmigung eine weitere Datumsangabe. Da diese beiden Informationen nicht kryptografisch verknüpft sind, kann ein Angreifer die vom Terminal während der Übertragung erfassten Informationen verändern, während die anderen Sicherheitselemente scheinbar einwandfrei funktionieren.

Ob der Angriff in der Praxis erfolgreich sein wird, hängt von der jeweiligen Bank und ihrer Transaktionsverarbeitung ab. Solche Erkenntnisse werfen jedoch berechtigterweise Zweifel daran auf, wie gründlich Finanzinstitute die Sicherheitsstandards prüfen, bevor sie die Technologie flächendeckend einsetzen. Forschungsleiter Raja Hasnain Anwar erklärte, dass es sich hierbei um einen bewussten Kompromiss zwischen hohem Sicherheitsniveau und der Geschwindigkeit älterer Terminals handele.

Die Autoren informierten Visa im Mai 2025 und erneut im Dezember 2025 über die Sicherheitslücke. Bis heute haben weder Visa noch eine der informierten Banken bestätigt, dass sie den Fehler behoben haben.