Mittels des kontaktlosen Austauschs von Daten per Near Field Communication (NFC) sollen in Zukunft Bahntickets oder im Supermarkt bezahlt werden. Smartphones sind bereits massenhaft mit NFC-Chips ausgestattet, allerdings tut sich der Markt - zumindest in Österreich - noch schwer damit, die neue Bezahlmethode zu implementieren. Aber auch die Technik ist noch nicht in jedem Fall niet- und nagelfest, konnte Michael Roland belegen. Der Forscher am NFC Research Lab in Hagenberg beschäftigt sich im Rahmen seiner Dissertation mit der Sicherheit bei NFC-Telefonen.

NFC für sich genommen sei eine gut abgesicherte Technologie. Wie es mit der Sicherheit steht, wenn das Mobiltelefon als zusätzlicher Faktor hinzukommt, sei aber noch kaum betrachtet worden, erklärt Roland. Denn die NFC-Chips in Smartphones kommunizieren nicht nur ihrer Bestimmung gemäß kontaktlos mit Geräten in unmittelbarer Umgebung. Auch Apps, die auf den Telefonen installiert sind, können gegebenenfalls auf die NFC-Technik zugreifen. Auf diese Weise sei es für Angreifer viel einfacher, etwas zu erreichen, sagt Roland.

In Googles "Hall of Fame"

Wenn man es schafft, beim Nutzer unbemerkt eine App zu installieren, muss man dem Handy nicht mehr mit einem Lesegerät nahekommen. Roland hat just auf diese Weise eine Sicherheitslücke bei der NFC-Bezahl-App Google Wallet ausfindig gemacht. Für seine Erkenntnis wurde er von dem IT-Konzern mit der Aufnahme in seine "Hall of Fame" im Bereich Sicherheit geehrt.

Ein Prototyp, den Roland entwickelte, emuliert eine Kreditkarte und leitet die Datenkommunikation des NFC-Terminals auf ein mit einer Schadsoftware infizierten Smartphone weiter. Der Angreifer könnte auf diese Art mit einer fremden Kreditkarte bezahlen. Für das theoretische Konzept des Hacks benötigte Roland vier oder fünf Monate. Als Googles digitale Geldbörse herauskam, setzte er sein Konzept in die Tat um: "Innerhalb von zwei Wochen hatte ich es erfolgreich getestet", sagt Roland.

Zuerst sei es schwierig gewesen, den richtigen Ansprechpartner bei Google zu finden, als er die Sicherheitslücke melden wollte, erinnert sich der Forscher. Als er das Problem vermitteln konnte, stellte ein Google-Sicherheitsteam den Hack innerhalb von wenigen Tag nach, Roland besprach in einer Telefonkonferenz seinen Ansatz mit den Google-Technikern. Einen der Wege, die er aufgezeigt habe, habe Google dann auch aufgegriffen, um die Sicherheitslücke zu schließen. Die gesamte Kommunikation von Google Wallet mit anderen Apps wurde gekappt - mit dem Nachteil, dass man die App nicht mehr für Zahlungsvorgänge im Internet verwenden konnte.

Roland, der neben seiner Dissertation Lehrveranstaltungen abhält und Diplomarbeiten betreut, hat selbst ein Bachelorstudium in Hardware-Software-Design und ein Masterstudium im Bereich Embedded Systems in Hagenberg hinter sich. Dass er "irgendwas mit Informatik" studieren würde, war für ihn immer klar. "Computer waren bei uns zu Hause immer da", sagt der heute 28-jährige Linzer. "Ich kann mich nicht erinnern, dass wir keinen Computer hatten." Bald probierte er " spaßeshalber" aus, Netzwerke zu basteln, "irgendwelche Sachen zu zerlegen", später zu programmieren. "Es war immer weiter faszinierend." (Alois Pumhösel, DER STANDARD, 07.11.2012)