Lässt sich eine Bankkarte durch Antippen klonen?
Nein. Eine kontaktlose Karte gibt kein wiederverwendbares Geheimnis heraus. Jede Transaktion umfasst einen Wert, der für diese Transaktion berechnet wurde, einen Austausch abzufangen gibt einem Angreifer also etwas, das bereits verbraucht ist. Das ist die Eigenschaft, um die das ganze Verfahren gebaut ist, und deshalb ist das Klonen von Karten anderswohin gewandert.
Warum eine Aufzeichnung wertlos ist
Der Entwurfsgrundsatz lautet, dass die Karte sich nie wiederholt. Jede Transaktion trägt einen Wert, der zu dieser Transaktion gehört, und ein bereits benutzter Wert ist ein Wert, der abgelehnt wird.
Ein Angreifer, der einen vollständigen Austausch aufzeichnet, hält also eine Niederschrift von etwas, das geschehen ist. Sie abzuspielen erzeugt keine zweite Zahlung.
Der genaue Mechanismus gehört in die EMV-Spezifikationen für das kontaktlose Bezahlen, veröffentlicht von EMVCo, und nicht in einen allgemeinen Leitfaden.
Was hier nützt, ist die Gestalt der Antwort, denn sie erklärt, warum eine ganze Gattung befürchteter Angriffe nicht arbeitet: Das Klonen hängt an der Wiederholung, und Zahlungskarten wurden so entworfen, dass sie sich nicht wiederholen.
Was ein Lesegerät erlangen kann
Weniger, als Menschen erwarten, und mehr als nichts. Eine Anwendung auf einem Telefon kann meist einen Teil dessen erlangen, was auf der Vorderseite der Karte gedruckt ist.
Das ist eine Angabe, die die Karte jedem zeigt, der sie ansieht, und daran zu denken lohnt sich, bevor man schließt, dass das Lesen einen Einbruch darstellt.
Was nicht erlangt wird, ist irgendetwas, das eine Zahlung befugen würde, denn genau das hält der Entwurf zurück.
Der Leitfaden dazu, was ein Zahlungsterminal empfängt, geht darauf ein, was bei einem Kauf tatsächlich hinübergeht.
Wohin der wirkliche Betrug gegangen ist
Weg von der Karte. Als das Vervielfältigen des körperlichen Gegenstands aufhörte zu arbeiten, wich der Betrug auf Wege aus, die ihn nie brauchen: auf einer Website eingegebene Angaben, übernommene Konten, Menschen, die überredet werden, selbst etwas zu befugen.
Deshalb handelt der praktische Rat zum Kartenbetrug beinahe nie von der Karte in Ihrer Tasche.
Und deshalb geht die Sorge um das kontaktlose Bezahlen fehl. Das Antippen ist das stärkste Glied der Kette und zieht die meiste Sorge an.
Was zu tun sich lohnt
Kontoauszüge prüfen, was alles fängt, gleich wie es geschah, und Unbekanntes umgehend melden.
Verstehen, dass eine Karte in einer Geldbörse neben anderen Karten eher nicht arbeitet als gefährdet ist, und das ist ein Problem der Störung und keines der Sicherheit.
Abschirmende Erzeugnisse als etwas behandeln, das sich gegen eine kleine Bedrohung richtet. Sie arbeiten, und die Frage ist, ob die Bedrohung sie rechtfertigt.
Und die Karte während einer Zahlung im Blick behalten, was sich gegen die gewöhnlichen Risiken richtet, die mit Funk nichts zu tun haben.
Häufige Fragen
Kann jemand meine Karte aufzeichnen und abspielen?
Nein. Der getauschte Wert gehört zu dieser einen Transaktion, ein Abspielen zeigt also etwas vor, das bereits verbraucht ist.
Kann eine Anwendung meine Karte lesen?
Sie kann meist einen Teil dessen erlangen, was auf der Vorderseite steht, und das ist eine Angabe, die die Karte ohnehin zeigt.
Sollte ich eine abschirmende Geldbörse nehmen?
Sie arbeitet, gegen eine Bedrohung, die klein ist. Entscheiden Sie auf dieser Grundlage und nicht nach der Stärke der Werbung.
Warum gibt es dann so viel Sorge darum?
Weil das Antippen sich passiv anfühlt. In der Praxis ist das Antippen das stärkste Glied, und der Betrug ist auf Wege ausgewichen, die die Karte nie berühren.