Zwei IT-Experten haben am Sonntag beim Hackerkongress 32C3 in Hamburg massive Sicherheitslücken beim Bezahlen mit EC-Karten und Prepaid-Karten demonstriert.

15 Euro auf die Prepaid-Karte

Vor mehreren tausend Zuschauern zeigten die Berliner Karsten Nohl und Fabian Bräunlein von der Firma Security Research Labs (SRLabs), wie die PIN-Ziffernfolge nach der Eingabe ausgelesen werden kann. Außerdem überwiesen sie live auf der Bühne des Hamburger Kongresszentrums 15 Euro auf die Prepaid-Karte eines Mobilfunkanbieters und leiteten einen Zahlungsbetrag auf ein anderes Konto um.

Unsichere Protokolle

Es gebe zwei technische Protokolle für die Übertragung der Daten zwischen einem Kartenterminal, dem Kassensystem des Einzelhändlers und dem Finanzdienstleister, erklärte Nohl. Beide Protokolle mit den Bezeichnungen ZVT und Poseidon seien unsicher und könnten von Angreifern sehr leicht ausgenutzt werden. Er rief Einzelhandel und Kreditwirtschaft dazu auf, schnell Konsequenzen aus dem Missstand zu ziehen. Verbraucher sollten bei Kartenmissbrauch gegen ihre Bank vorgehen, riet Nohl. Erste Ergebnisse der Untersuchung hatte SRLabs bereits kurz vor Weihnachten öffentlich gemacht.

Bei den österreichischen SIX Payment Services (Paylife) werden "Poseidon und ZVT nicht unterstützt oder eingesetzt", so eine Sprecherin auf Anfrage zum WebStandard. (sum, APA, 28.12.2015)