Durch das kontaktlose Bezahlen ist es mittlerweile ganz normal geworden, eine Kreditkarte an ein Terminal zu halten, anstatt sie einzustecken. Da diese Kommunikation drahtlos erfolgt, liegt die Vermutung nahe, dass jede RFID-Lesegerät konnte die Karte erkennen und auslesen.
Die Realität sieht etwas differenzierter aus. Eine kontaktlose Kreditkarte nutzt eine bestimmte Art von Nahbereichsfunktechnologie, und das Lesegerät muss dieselbe Technologie unterstützen, damit die beiden miteinander kommunizieren können.
Können RFID-Lesegeräte Kreditkarten auslesen?
Ja, Manche RFID-Lesegeräte können kontaktlose Kreditkarten auslesen., aber nicht jedes RFID-Lesegerät ist dazu in der Lage.
Moderne kontaktlose Zahlungskarten arbeiten in der Regel mit einer Frequenz von 13,56 MHz und nutzen eine auf ISO/IEC 14443 basierende Technologie. NFC arbeitet ebenfalls mit einer Frequenz von 13,56 MHz und basiert auf derselben kontaktlosen Schnittstelle, die auch bei Zahlungskarten zum Einsatz kommt. Ein kompatibles HF- oder NFC-Lesegerät kann daher möglicherweise mit einer kontaktlosen Kreditkarte kommunizieren.
Ein LF-Lesegerät, das bei 125 kHz oder 134,2 kHz liest die Karte nicht aus. Ebenso wenig wie ein typischer UHF-RFID-Lesegerät im Frequenzbereich von 860–960 MHz. Das Lesegerät muss die von der Karte verwendete Frequenz und Kommunikationstechnologie unterstützen.
Auf diese Weise können nur Karten mit kontaktloser Funktion gelesen werden. In der Regel erkennen Sie diese an dem auf der Karte aufgedruckten Symbol für kontaktloses Bezahlen. Eine Karte, die nur über einen Kontaktchip oder einen Magnetstreifen verfügt, bietet keine solche drahtlose Schnittstelle.
Was das Lesegerät abrufen kann, ist eine andere Frage. Eine kontaktlose Kreditkarte ist nicht mit einem einfachen RFID-Tag vergleichbar, dessen Speicherbereich vom Lesegerät frei durchsuchbar ist. Auf der Karte läuft eine Zahlungsanwendung, die den Informationsaustausch steuert.
Bei einer legitimen kontaktlosen Zahlung liefert die Karte die für die Abwicklung dieser Transaktion erforderlichen Informationen. So gibt Visa beispielsweise an, dass seine kontaktlosen Karten die Kontonummer, das Ablaufdatum und einen Einmalcode übertragen, der sich bei jeder Transaktion vor Ort ändert. Andere Informationen, die zur Sicherung der Zahlung dienen, werden dynamisch generiert und bleiben nicht bei jedem Auslesen der Karte gleich.
Ein generisches 13,56-MHz-Lesegerät gewährt daher nicht automatisch uneingeschränkten Zugriff auf alle mit der Kreditkarte oder dem Bankkonto verbundenen Daten. Welche Daten empfangen werden können, hängt von der Karte, dem unterstützten Protokoll und der damit kommunizierenden Software ab.
Auch die Entfernung ist gering. Kontaktlose Zahlungssysteme sind für die Kommunikation im Nahbereich ausgelegt. Eine Visa-Karte oder ein Zahlungsgerät muss sich für eine Zahlungstransaktion normalerweise in einem Abstand von etwa 2 Zoll (5 cm) zum Terminal befinden. Mastercard beschreibt ebenfalls, dass die Karte in einem Abstand von ein bis zwei Zoll zum Lesegerät gehalten werden muss.
Das unterscheidet sich erheblich von UHF-RFID-Systemen mit großer Reichweite, bei denen Tags aus einer Entfernung von mehreren Metern erkannt werden können.
Können RFID-Lesegeräte Kreditkartendaten stehlen?
Ein kompatibles kontaktloses Lesegerät kann unter Umständen bestimmte Informationen von bestimmten Zahlungskarten erfassen, wenn es nahe genug an diese herangeführt wird. Dies wird gemeinhin als „kontaktloses Skimming“ bezeichnet.
Das Auslesen einiger Kartendaten ist jedoch nicht dasselbe wie der Erhalt aller Informationen, die für gültige Zahlungen erforderlich sind.
Kontaktlose EMV-Karten nutzen bei Transaktionen kryptografische Sicherheitsmechanismen. Für jede Zahlung wird ein neuer Sicherheitswert generiert, anstatt sich ausschließlich auf statische Informationen zu verlassen, die einmal gespeichert und dann unbegrenzt oft wiedergegeben werden können. EMVCo bezeichnet dies als Einmal-Sicherheitscode, während Mastercard für jede kontaktlose Transaktion ein einzigartiges dynamisches Kryptogramm verwendet.
Sensible Authentifizierungsdaten werden zudem anders behandelt als gewöhnliche Kartendaten. So gibt Mastercard beispielsweise an, dass der für die Authentifizierung ohne physische Karte verwendete CVC2-Code nicht als lesbare Chipdaten gespeichert wird.
Das bedeutet jedoch nicht, dass ein unbefugtes Auslesen unmöglich ist oder dass kontaktlose Karten keinerlei Sicherheitsrisiko bergen. Je nach Karte und Zahlungssystem können bei der kontaktlosen Kommunikation bestimmte Kartendaten offengelegt werden. Der Zugriff auf diese Daten verschafft dem Auslesegerät jedoch keinen Zugriff auf die kryptografischen Zugangsdaten, die sicher im Chip gespeichert sind.
Kann ein RFID-Lesegerät eine Kreditkarte kopieren?
Ein gewöhnliches RFID-Lesegerät kann keine kontaktlose Kreditkarte auslesen und anschließend allein durch das Kopieren der empfangenen Daten ein voll funktionsfähiges Duplikat erstellen.
EMV-Zahlungschips enthalten kryptografische Schlüssel, die zur Authentifizierung von Transaktionen verwendet werden. Diese geheimen Schlüssel werden bei einem normalen kontaktlosen Datenaustausch nicht an das Lesegerät übertragen. Stattdessen nutzt der Chip sie intern, um transaktionsspezifische kryptografische Daten zu erzeugen.
Daher würde das Kopieren lesbarer Informationen auf einen anderen RFID-Chip nicht dazu führen, dass die Fähigkeit der Originalkarte, gültige Authentifizierungsdaten zu erzeugen, reproduziert würde.
Das Auslesen und das Klonen sind zwei völlig verschiedene Dinge. Bei einem RFID-System mit einer einfachen statischen Kennung kann diese Kennung möglicherweise kopiert werden, wenn der Tag nicht geschützt ist. Eine kontaktlose Zahlungskarte verfügt jedoch in der Regel über ein wesentlich komplexeres Sicherheitssystem.
Häufig gestellte Fragen
Kann ein Smartphone eine kontaktlose Kreditkarte auslesen?
Ein Smartphone mit NFC-Hardware kann mit kompatiblen kontaktlosen Technologien im 13,56-MHz-Bereich kommunizieren. Zahlungskarten und NFC-Geräte nutzen entsprechende Standards, sodass eine Kommunikation technisch möglich ist.
Auf welche Daten das Smartphone tatsächlich zugreifen kann, hängt vom Betriebssystem, der verwendeten App und der Karte selbst ab. Die NFC-Funktion eines Smartphones gewährt dem Gerät keinen uneingeschränkten Zugriff auf die Zahlungsdaten der Karte.
Kann ein RFID-Lesegerät eine Kreditkarte durch Kleidung hindurch lesen?
Dünne Kleidung bietet in der Regel keinen gezielten HF-Schutz, sodass ein kompatibles Lesegerät auch durch den Stoff hindurch mit einer kontaktlosen Karte kommunizieren kann, wenn es sich nahe genug daran befindet.
Die Reichweite bleibt die größte Einschränkung. Kontaktlose Zahlungskarten sind so konzipiert, dass sie nur über eine Entfernung von wenigen Zentimetern funktionieren, im Gegensatz zu den großen Reichweiten, die bei UHF-RFID-Systemen üblich sind.
Kann ein RFID-Lesegerät eine Kreditkarte durch eine Geldbörse hindurch auslesen?
Eine gewöhnliche Geldbörse verhindert nicht unbedingt die kontaktlose Kommunikation. Die Karte kann dennoch ausgelesen werden, wenn sie sich nahe genug an einem kompatiblen Lesegerät befindet.
Die Situation ändert sich, wenn die Geldbörse RF-abschirmendes Material enthält, das dazu dient, die Kommunikation bei 13,56 MHz zu blockieren. Auch mehrere zusammenliegende kontaktlose Karten können die Kommunikation stören, sodass die Nähe zu einem Lesegerät keine Garantie dafür ist, dass eine bestimmte Karte erfolgreich gelesen wird.
Abschluss
Insgesamt also, Ja, ein kompatibles RFID-Lesegerät kann eine kontaktlose Kreditkarte auslesen. Das Lesegerät muss die Frequenz von 13,56 MHz und den Kommunikationsstandard der Karte unterstützen. Selbst dann verhält sich die Karte nicht wie ein gewöhnlicher RFID-Tag, dessen Daten frei lesbar sind.