Thema "Betreff: Kontaktloses Bezahlen, für mich Schrott?" in Konto, Depot & Karte

Kontaktloses Bezahlen, für mich Schrott?

lovelins12 — Wed, 31 Aug 2016 07:39:02 GMT

Warum muss meine Kreditkarte NFC haben?

Diese Funktion ist ja ganz nett, aber sehr unsicher!

Alle Buchungen unter 25 Euro gehen ohne PIN warum? Es brauch nur einer ein entsprechendes Gerät an die Geldbörse halten und zack 25 Euro abgebucht oder noch besser jemand kopiert den NFC Chip!

Für mich ist das die neuste und schnellste Art Kartendaten zu klauen. Man muss nicht mehr die Bankautomaten manipulieren sondern kann von Hosentasche zu Hosentasche gehen ohne das man das gleich merkt!

Ich wünsche in Zukunft eine Kreditkarte ohne diese Option, oder dass man diese Funktion deaktivieren kann oder´was auch gehen würde das man das Limit ohne PIN Eingabe selbst bestimmen kann.

Der Telefonsupport sagte zu diesem Thema nur: "Pech gehabt das kann man leider nicht ändern"

Betreff: Kontaktloses Bezahlen, für mich Schrott?

Zargoras — Wed, 31 Aug 2016 08:09:57 GMT

Also zu der sache den nfc chip zu kopieren, wage ich die machbarkeit zu bezweifeln, wenn das für dich so einfach ist, dann kannst du mir bestimmt auch ein paar skylake Prozessoren kopieren, das bischen silizium schick ich dir dann auch gerne zu 😉 du musst weiterhin bedenken, das der nfc Chip auf das signal des terminals antwortet, mit einer im chip berechneten individuellen Signatur, der "broadcastet" nicht einfach nur die Kreditkartennummer oder so.

zu der sache mit den abbuchen durch nah kontakte ist auch zu bedenken, das jeder terminal halter registriert ist, und wenn ein missbrauch stattfindet, kann dieser rechtlich zur verantwortung gezogen werden, und wird ausgeschlossen. Also sollte kein terminal halter das versuchen aus zu nutzen. Bedenke, das theoretisch auch bei kreditkartenzahlungen die abbuchung sogar höher sein kann als vereinbart, bedenke einfach das szenario, du hast in nem hotel bezahlt, die minibar geplündert, oder das mobiliar zerstört, wird deine karte auch nachträglich noch belastet, hast du an dieser stelle schonmal einen Missbrauch erlebt?

zudem bist du ja auch versichert durch die comdirect.

und die comdirect schickt dir auch NFC Schutzhüllen kostenlos zu, hierbei weis aber nicht jeder Mitarbeiter bescheid (war zumindest meine Erfahrung)

Betreff: Kontaktloses Bezahlen, für mich Schrott?

lovelins12 — Wed, 31 Aug 2016 08:31:59 GMT

Vielen Dank für deine schnelle Antwort.

Nja das Kopieren ist ja laut forbes.com möglich:

http://www.forbes.com/sites/thomasbrewster/2015/02/18/android-app-clones-cards/#7002dbdf361d

Und ein Prozessor zu kopieren ist weit aus schwieriger, die kannst du ja nicht einfach auf einen Leser legen und sagen hier kopier mal das in einen neuen Chip rein.

Die Terminalhalter in Deutschland sind registriert, aber was ist denn wenn du zum Beispiel in einem anderen Land bist? Gut das ist ja jetzt auch weniger warscheinlich.

Mir macht das halt nur die Sorge das man an der Stelle einfach nicht sagen kann, ich will die PIN ab 0 Euro eingeben und fertig ist, warum ist das nicht einfach möglich umzusetzen? Wenn ich die Karte so reinstecke muss ich ja auch die PIn bei jedem Betrag eingeben?

Das mit der Hülle ist schön und nett, werde da auch gleich mal anrufen, aber so ist das auch nur eine Möglichkeit der Symptombekämpfung und warum nicht gleich richtig machen und das Limit herabsetzen.

Betreff: Kontaktloses Bezahlen, für mich Schrott?

Zargoras — Wed, 31 Aug 2016 08:52:46 GMT

Habe gerade leider nicht so die zeit den artikel zu lesen, werde es aber auf jedenfall nachholen (habe nur ein wenig überflogen) .

Der eigentliche chip liefert die Information, ob bei der transaktion eine pin eingabe notwendig ist, oder nicht, also müsste dein wunsch beim Herstellungsprozess berücksichtigt werden, das wäre aber ein unverhältnismäßiger logistischer aufwand. (Jeder bank kann selbständig bestimmen, ob und in welchem umfang eine pin lose nfc zahlung möglich ist)

leider kenne ich zahlkartenspezifikationen nicht allzu gut, aber ich meine (komplett unverbindlich natürlich) das die karte die anzahl der Transaktionen zählt, also du auch nachweisen könntest, das nicht alle Umsätze die dir im Betrugsfall belastet wurden, durch deine Karte erfolgt sein können. (Meines wissens nach wird ja auch die anzahl der in folge stattfindenden nfc ofline zahlungen gezählt, sodas die karte irgendwann nur noch mit macht, wenn sie mal online geht, und prüfen darf ob sie nicht gesperrt wurde oder so)

Betreff: Kontaktloses Bezahlen, für mich Schrott?

dominiks — Wed, 31 Aug 2016 11:44:04 GMT

Hallo Zargoras,

moment mal: Was genau heißt es: "zudem bist du ja auch versichert durch die comdirect"?

Wo genau kann ich das aus offiziellen Quellen der comdirect nachlesen, in wie fern beim Mißbrauch von kontaktlosen Zahlen z.B. bei Diebstahl der comdirect-Karte der eigentliche Besitzer versichert wäre?

Gilt hier nicht der übliche Selbsthehalt von 150€?

Außerdem habe ich keine Infos dazu weder via google noch auf der comdirect-website selbst gefunden.

Viele Grüße

dominiks

Betreff: Kontaktloses Bezahlen, für mich Schrott?

dg2210 — Wed, 31 Aug 2016 11:56:19 GMT

Zu diesem Thema schwirren leider eine Menge abstruser Behauptungen durch die Boulevardpresse; wohl auch, weil der typische Boulevard-Journalist wenig Ahnung von Technik hat...

Hier mal ein paar Fakten:

Den Kartenchip braucht man nicht zu kopieren; es gibt in Europa nur zwei große Hersteller (NXP und ST Micro), wer drei Karten im Geldbeutel hat, trägt wahrscheinlich zwei identische Chips mit sich herum.
Bei der Herstellung der Karte werden die individuellen kartendaten in den Chip geschrieben. Wer die Karte clonen will, muss diese Daten aus Chip auslesen und in die neue Clon-Karte schreiben.
Bis jetzt hat es niemand geschafft, die Kartendaten aus dem Chip auszulesen, ohne den Chip zu zerstören.
Theoretisch wäre es möglich, den Chip aus der Karte auszubauen, aufzumachen und die Daten auszulesen. Die dazu nötige Ausrüstung (mindestens ein gutes Mikroskop und ein gutes FIB-Gerät) kostet 6-stellige Euro-Beträge. Das lohnt sich angesichts der möglichen Gewinne ganz einfach nicht.
Bei youtube findet man Filme, bei denen gezeigt wird, wie man die Kartenantwort auf eine Authorisierungsanfrage mit einem NFC-fähigen Telefon aufnehmen und an an einem kontaktlosen Händlerteminal wieder abspielen kann. Diese Kartenantworten haben nur eine sehr kurze Gültigkeit (einige Sekunden). In den Videos ist teilweise auch zu sehen, dass man mit der aufgezeichneten Antwort nur ein oder zwei Kartenbelastungen durchführen kann. Danach ist die Gültigkeit abgelaufen. Das ist ebenfalls ein nicht praxisrelevanter Fall.
Mann kann sich aus zwei Telefonen ein NFC-Relay bauen, d.h. man baut eine Datenverbindung zwischen den Telefonen auf und übermittelt jeweils die empfangenen Daten an das jeweils andere Telefon, welches diese Daten aussendet. In so einem Fall könnte man das erste Telefon in die Nähe eines Händlerterminals stellen und das zweite Telefon in unmittelbare Nähe zu einer zu belastenden Karte bringen. Das ist ohne die Mitwirkung des Opfers nicht leicht.

Betreff: Kontaktloses Bezahlen, für mich Schrott?

Luchia — Fri, 02 Sep 2016 15:47:05 GMT

Bestell dir doch bei der comdirect einfach eine Hülle die die NFC-Funktion abblockt...außerdem bin ich mir ziemlich sicher, dass du es bemerken würdest wenn dir jemand mit einem Gerät bis auf wenige Zentimenter nah kommt 😉

Betreff: Kontaktloses Bezahlen, für mich Schrott?

richard69 — Fri, 20 Jul 2018 17:22:16 GMT

Ich möchte mich vorab entschuldigen dieses "alte" Thema wieder aufzuwärmen.

Aber ich finde es passt geradezu auf die u.g Antwort.

Heise.de: https://www.heise.de/ct/artikel/Mit-29-Euro-Zahlterminal-So-leicht-kann-man-Kontaktlos-Karten-abfischen-4116985.html

VG Richard

Betreff: Kontaktloses Bezahlen, für mich Schrott?

eckhardschnell — Fri, 20 Jul 2018 17:31:33 GMT

Hallo @richard69,

was bedeutet u.g. Antwort, welche meinst Du, die von @dg2210 oder @Luchia?

Der Heise Text geht aber eigentlich in die selbe Richtung wie die Antwort von dg2210
Auzug aus dem Artikel, hervorhebungen durch mich.

"Mit Smartphones oder Smartwatches, auf denen eine NFC-Payment-App wie Google Pay läuft, klappt das unbemerkte Abfischen übrigens nicht: Hier muss man mindestens das Display aktivieren (Android) oder den Fingerabdruck scannen (iPhone), damit die Zahlfunktion freigschaltet wird.

In der kriminellen Praxis dürfte das Kontaktlos-Fischen ohnehin eher problematisch sein: Vor der Nutzung des Zahlterminals muss man ein Girokonto angeben, schließlich muss das Geld irgendwo hin. Und zur Kontoeröffnung benötigt man einen Identitätsnachweis.

Auch die Idee, ein Terminal zu manipulieren und beispielsweise die Feldstärke zu erhöhen, dürfte für Kriminelle schwer umsetzbar sein: Ein Terminal bekommt erst Verbindung zu den Bezahlnetzen der Kartenunternehmen, wenn vorher ein Akzeptanzvertrag geschlossen wurde. Jede heimlich durchgeführte Abzock-Transaktion würde über die Terminal-ID direkt zum Betrüger führen."

Grüße

Eckhard

Betreff: Kontaktloses Bezahlen, für mich Schrott?

richard69 — Fri, 20 Jul 2018 17:59:29 GMT

Hallo @eckhardschnell,

meine Antwort bezieht sich auf @dg2210.

Ja, Mit Smartphones oder Smartwatches, auf denen eine NFC-Payment-App wie Google Pay Klappt es nicht. Gute Nachricht! Aber Karten mit NFC Chip ist Vorsicht geboten. Auszug aus dem Artikel, Hervorhebung durch mich.

"...Das Ganze klappte in einem c't-Experiment mit einem Terminal der Firma Sumup ganz ohne Berührung, und zwar nicht nur durch dünne

Sommerhosen, sondern auch durch Jeansstoff oder Leder-Portemonnaies. Ein solches Terminal kann jeder im Netz bestellen, ein Gewerbeschein wird nicht benötigt...."

Ich möchte jetzt keine ausartende Diskussionen über Vor- und Nachteile führen (sorry), aber so schön und leicht mit Kontaklosten bezahlen ist, desto eher sollte man kritisch sein das hier nicht alles sicher ist.

VG richard

Betreff: Kontaktloses Bezahlen, für mich Schrott?

Zargoras — Fri, 20 Jul 2018 18:47:24 GMT

Ich hatte auch heute morgen überlegt, diesen Beitrag hier zu verlinken, habe mich dann aber dagegen entschieden, da ich diesen sehr inkonsistent finde, und für heise untypisch, auch noch von minderster qualität.

Das ist so, als wenn ich eine Anleitung schreibe, wie man ganz schnell an unmengen von Gold kommt:

Man geht in eine der einschlägigen Goldlagerstetten dieser Welt, nimmt sich so viele Goldbarren wie man tragen kann, und geht wieder nach Hause. Schon ist man im Besitz von mehreren Kilo Gold.

(Nicht zum Nachmachen empfohlen)

Die Theorie lässt sich so zusammenfassen, aber da gibt es eben noch ein paar kleinere Hürden.

Die werden ja auch teils angeschnitten...

Letztlich ist Betrug wohl sehr einfach, aber einen Schaden zu verursachen und dich dadurch zu bereichern wohl so ziemlich ausgeschlossen.

Betreff: Kontaktloses Bezahlen, für mich Schrott?

Joerg78 — Fri, 20 Jul 2018 20:13:55 GMT

Ja, der heise-Artikel ist schon seltsam - Anfangs wird erst Panik verbreitet, und am Ende des Artikels heißt es dann: Betrug auf diese Art so gut wie ausgeschlossen.

Neu - allerdings auch logisch - war für mich aber, dass diese Art von Missbrauch auch dadurch verhindert werden kann, in dem man mehrere NFC-fähige Karten im Geldbeutel unterbringt.

Viele Grüße,

Jörg

Betreff: Kontaktloses Bezahlen, für mich Schrott?

eckhardschnell — Fri, 20 Jul 2018 20:53:12 GMT

Hallo @Joerg78 und @Zargoras,

wenn endlich Apple Pay mal hier in Deutchland verfügbar wäre dann könnte ich all funkenden Karten zu Hause lassen und gut ist es.

Mit GooglePay hät ich auch so meine Probleme, da Google ein ganz anderes Geschäftsmodell verfolgt als Apple.

Aber bei beiden muss ich erst aktiv was tun damit gezahlt werden kann und das bringt mir die nötige Sicherheit die ich bei den Karten nicht hab.

Grüße

Eckhard

Betreff: Kontaktloses Bezahlen, für mich Schrott?

Zargoras — Fri, 20 Jul 2018 22:45:49 GMT

@eckhardschnell

Ich bin eigentlich schon ein relativ großer Apple fan, aber diese NFC abschottung finde ich nicht gut, sie versuchen einfach nur eine monopol Stellung ein zu nehmen, bevor sie es frei geben, und mein Kentnisstand ist, das Apple für diese Schnittstelle 0,15% gebühren verlangt, und das bei maximal 0,3% die Kreditkartenbetreiber vom Händler nehmen dürfen (in der EU).

Also mal mindestens 50%, und andere gehen risiken ein, und müssen davon auch noch "Leben", und ich denke große Konzerne müssen wohl kaum das gesetzliche Maximum abdrücken.

Ich hätte es gerne als Backup lösung, würde aber lieber mit Karte zahlen, da auch meine Bank an mir ein paar Cent verdienen muss.

Letztlich bin ich ein großer Fan davon keine Festen Gebühren zu haben, wenn alles schlecht läuft, kann man so seine Kosten sehr einfach zurück fahren. Aber dafür muss die Bank eben auch an anderer Stelle Geld verdienen können.

Ich halte die Karten, verhältnis mäßig für sicher genug. Wie @Joerg78 ging es mir ebenfalls, ich wusste nicht, das bei "überlappenden" Signalen keine transaktion möglich ist. Das ist für mich ein großes Plus.

Und ebenso der Weg zu realtime Umsätzen schadet diesen Betrüger Typ, denn wenn viele Umsätze wie ne Lawine auf einen zu kommt, kontrolliert man das nicht mehr, bei neartime fallen einem viel Leichter missbräuchliche Transaktionen auf.