Für Hacker ist es leicht, technischen Abläufe zu manipulieren

Der Vorstoß der deutschen Kreditwirtschaft bringt Schwung ins mobile Bezahlen, da ist sich Olaf Acker von der Unternehmensberatung Booz & Company sicher. »Dass erste Banken jetzt Pilotprojekte zu NFC durchführen, ist ein starker Treiber«, sagt er. Bisher hatte sich die Einführung der Funktechnik lange hingezogen. Die Händler zögerten mit der Umrüstung ihrer Kassen, weil sie auf NFC-fähige Handys und Geldkarten warteten. Handyhersteller und Kreditinstitute wiederum wollten nicht investieren, bevor die Händler entsprechende Lesegeräte aufgestellt hatten. Nun jedoch kommt der Wandel schnell, glaubt Acker. Der Bann sei gebrochen, die Funktechnik für Händler, Kartenanbieter und Handyhersteller attraktiv.

Datenschützer sehen die NFC-Technik allerdings skeptisch. »Den Chipkarten ist jeweils eine eindeutige Nummer zugeordnet und diese somit einem Kunden«, sagt Peter Leppelt von der Datenschutz-Beratung Praemandatum. Da diese Nummer von jedem beliebigen NFC-Gerät erkannt werde, könne leicht ein Bewegungsprofil der Kartennutzer erzeugt werden. Leppelt wirft den Banken vor, voreilig gehandelt zu haben. »Die Einführung ist eine Panikreaktion, nur um als Erster auf dem Markt zu sein«, sagt er. Denn neben den deutschen Banken arbeiten auch Kreditkartenfirmen wie Visa und Mastercard sowie der Internetkonzern Google an ähnlichen mobilen Bezahlverfahren.

Bei der deutschen Kreditwirtschaft weist man den Vorwurf der Datenschützer zurück. Sicherlich gebe es eine Konkurrenz der Systeme, sagt Interessenvertreter Martin, aber man habe mit der Einführung bewusst gewartet, bis die Technologie reif sei für den Massenmarkt. Die Angst vor Bewegungsprofilen sei zudem unbegründet: »Wir halten das nicht für eine reale Gefahr.« Dennoch wolle man die Kritik der Datenschützer ernst nehmen und sei bereit für Gespräche.

Kritik kommt aber auch von anderer Seite. IT-Experten befürchten, dass bei all der Euphorie über die neuen Möglichkeiten die Sicherheit auf der Strecke bleibt. Vor allem, weil kleine Beträge ohne die Eingabe einer Geheimzahl übermittelt werden. »Das Auslesen der Karten, ohne dass der Besitzer es merkt, ist möglich«, sagt Jens Heider vom Fraunhofer-Institut für Sichere Informationstechnologie. Dazu müsse lediglich ein verstecktes Lesegerät installiert werden. »So kann quasi im Vorbeigehen unbemerkt Geld abgebucht werden«, sagt Heider. Das sei unlängst auf einer Hacker-Konferenz in den USA demonstriert worden. Ein entsprechendes Gerät koste nur wenige Hundert Euro, das nötige Software-Wissen finde man im Internet.

In der Praxis ist ein solcher Angriff allerdings schwer umzusetzen, denn die Karten können nur aus sehr kurzer Entfernung ausgelesen werden. »Die maximale Reichweite liegt bei zehn Zentimetern«, sagt Harald Kelter vom Bundesamt für Sicherheit in der Informationstechnik. Außerdem werden die zu übertragenden Daten verschlüsselt und die Lesegeräte der teilnehmenden Händler zertifiziert. Das soll verhindern, dass fremde Geräte überhaupt auf die Karten zugreifen können.

Beim Bezahlen per Handy funktioniert das etwas anders, hier lauern deutlich mehr Gefahren. Um Geld überweisen zu können, benötigt der Kunde in der Regel eine App, also ein kleines Programm, das er aus dem Internet herunterlädt. Diese App stellt dann eine Verbindung zwischen dem Funkchip im Handy und dem Bankkonto her und bucht den entsprechenden Betrag dort ab. Das bietet viel Angriffsfläche. Denn obwohl Smartphones über ein ähnlich komplexes Betriebssystem wie Computer verfügen, sind sie deutlich schlechter geschützt. Dementsprechend leicht ist es für Hacker, die technischen Abläufe zu manipulieren.

»Das ist eine viel größere Bedrohung, weil Täter und Opfer sich nicht wie bei der Funkkarte am gleichen Ort befinden müssen«, sagt Sicherheitsexperte Heider. So sei es zum Beispiel möglich, dass beim Herunterladen einer App unbemerkt ein Schadprogramm mit installiert werde, das sensible Daten ausspioniere oder Überweisungen auf andere Konten umleite. Bereits jetzt steigt die Zahl der Hacker-Attacken auf Smartphones stetig an. Und je mehr Geld per Handy überwiesen wird, desto attraktiver ist es für sie, anzugreifen.