(Updates siehe Artikel Ende)
Ich weiss nicht wem das selber schon aufgefallen ist, aber letzte Woche habe ich meine neue MasterCard von der MigrosBank erhalten und darauf ein komisches Logo entdeckt (rechte Seite der Musterkarte). Da steht das Logo PayPass! Nun die Frage: Was ist PayPass. Wer im Internet stöbert kommt schnell auf die Website von Goodbye Cash. Darin wird diese „Dienstleistung“ folgendermassen beschrieben:
Goodbye cash – welcome to the future. Mit der Einführung der schnellsten Kreditkarte der Welt hat die bargeldlose Zukunft endgültig begonnen.
Die neue MasterCard® PayPass™ bietet alle Vorteile einer herkömmlichen Kreditkarte – mit dem wichtigen Unterschied, dass sie erstmals kontaktloses Zahlen erlaubt: Das ist einfach, sicher und schneller als Bargeld.
Keine PIN-Eingabe, keine Unterschrift: Kurz nahe ans Terminal halten genügt. Und schon ist der Einkauf in weniger als einer Sekunde bezahlt.Einfacher geht’s nicht.
Die Technologie können Sie nicht nur in der Schweiz sondern weltweiteinsetzen.
Als ich das gelesen hatte, lief es mir dann doch etwas kühl den Rücken runter. Da ist die Rede von „einfach, sicher und schneller als Bargeld„, „keine PIN-Eingabe“, „keine Unterschrift„! WAS SOLL DENN DARAN SICHER SEIN?
Fakten und mögliche Risiken:
Bei diesen System handelt es sich um einen RFID Chip zusätzlich zum bestehenden Lese-Chip und der Magnetkarte.
- Dieser RFID Chip sendet die Kartennummer kontaktlos an einen Empfänger!
- Dieser RFID Chip kann diverse Daten speichern und diese kontaktlos übermitteln!
- RFID Chips können Fernprogrammiert werden!
Dazu gibt es kurz überlegt folgende Risiken und Mängel:
- Ich bezahle im Restaurant mit der MasterCard. Der Kellner nimmt die Karte und geht damit zur Theke. Was dann geschieht haben wir weder unter Kontrolle noch können wir das irgendwann beweisen. Er könnte die Karte einfach ein paar mal über einen RFID Empfänger halten und weg sind CHF 40.– und CHF 40.– und CHF 40.– und so weiter. Ich freue mich schon darauf das ganze dann der Viseca zu erklären, dass nicht ich die Karte hingehalten habe, sondern der böse Bube hinter der Theke…
- Was ist, wenn andere böse Buben einen RFID Leser aufstellen, der die Karte schon aus ein paar Metern lesen kann? Gibt es nicht? Oh doch. Derweil wird in Supermärkten geprüft, sämtliche Artikel mit RFID Chips auszustatten, damit an der Kasse einfach mit dem Einkaufswagen durch ein Tor gefahren werden kann. Die einzelnen Artikel melden dann via ihrem RFID Chip den eigenen Preis an den Zentralcomputer an dem dann gleich der Kunde seinen Einkauf begleichen kann. In zwei bis fünf Jahren ist das Realität. Was passiert da mit meinem RFID Chip in meiner MasterCard?
Da könnte man sicher noch ein paar Modelle mehr aufstellen um die vielbesagte Sicherheit von PayPass zu widerlegen. Aus meiner Sicht ist das System sehr unsicher und missachtet auch folgende Rechts-Grundsätze:
- Dieser RFID Chip wurde ohne mein Wissen einfach stillschweigend in meiner erneuerten MasterCard integriert. Weiss das unser allmächtiger Datenschützer in Bern und noch wichtiger: Ist er gar damit einverstanden?
- Da ich nicht über diese Integration des RFID-Chips informiert wurde und auch keine Wahl über dessen Aktivierung hatte, handelt es sich aus meiner Sicht um eine klare, einseitige Vertragsänderung.
- In meinem Vertrag von 19XX mit der Viseca steht über eine solche zusätzliche Option nichts geschrieben und auch über die allfälligen Haftungen daraus ist nichts zu lesen. Aus diesen Tatsachen entnehme ich, dass rechtlich eine einseitige Vertragsänderung vorliegt und diese somit unhaltbar ist. Daraus folgt, dass der Hauptvertrag mit der Viseca ungültig ist.
- Es besteht, nach ausführlicher Abklärung bei der Viseca und der MigrosBank, keine Möglichkeit PayPass bei der MasterCard zu deaktivieren oder eine MasterCard ohne diese Option zu bestellen!
- Das Angebot der MigrosBank (nach schriftlicher Mitteilung meiner hier dargestellten Feststellungen) lautet: „Wir können ihnen nur das Angebot machen, kostenlos (solange die MasterCard nicht benutzt wurde) und zu den gleichen Bedingungen zu einer VISA-Karte zu wechseln, da ist PayPass nicht integriert“ (noch nicht). Ansonsten sei dies halt so…
Ich habe meine Feststellungen schon mal Vorausschauend beim Beobachter und beim Kassensturz deponiert. Beide haben sich für die Feststellung bedankt und mir mitgeteilt, dass sie dieser Tatsache nachgehen würden, wenn sich die Fälle von Beanstandungen mehren sollten!
Bin ich der einzige der sich daran stört? Habe ich eine RFID Phobie? Sehe ich das ganze zu schwarz?
OK, ich benutze auf meiner Maestrocard die Funktion „Cash„. Ausserdem habe ich in meinem Portemonaie auch Bargeld dabei. Beides kann geklaut werden und somit werde ich einen bestimmten, von mir vorgegebenen Betrag verlieren (die ehrlichen Finder sind davon natürlich ausgeschlossen). Dabei ist für mich die Unterscheidung „von mir vorgegebener Betrag“ wichtig:
- Ich kann den Betrag wählen, den ich auf den Cash-Chip der Maestrocard lade
- Ich kann den Betrag an Bargeld wählen, den ich mit mir herumführe
- Ich muss aktiv meine Maestrocard mit dem Cash-Chip in einen Leser stecken und für die Buchung muss ich noch OK drücken. Da passiert nichts passiv nur durch hinhalten oder sogar auf Distanz!
- Ich muss aktiv CHF 40.– Franken aus dem Portemonaie ziehen und diese auf die Strasse werfen, wenn ich das möchte. Da passiert nichts passiv nur durch hinhalten meines Portemonais oder sogar auf Distanz.
Was ist eure Meinung dazu? Kommentare sind sehr erwünscht und Rückmeldungen an den Beobachter und/oder Kassensturz ebenfalls.
Update: 28.04.2010
- Mittlerweile habe ich meine MasterCard gekündigt und eine VisaCard bestellt (ohne PayPass).
- Heute hat sich ein Redakteur vom Beobachter gemeldet und Interesse an der Problematik bekundet. Kann sein, dass der Beobachter in nächster Zeit einen Artikel dazu veröffentlicht!
Update: 14.05.2010
- Der Beobachter hat heute einen ersten Artikel zur PayPass Problematik online gestellt!
- Den Artikel gibt es auch direkt beim Beobachter einzusehen…
Hier noch ein paar wichtige Informationen und Links zum Thema:
- Infos zu PayPass von der Firma Viseca resp. Goodbye Cash
- Die Firma Viseca mit den Master- und Visa-Karten
- Der eidgenössische Datenschutzbeauftragte
- Die möglichen Missbrauchsmethoden mit RFID-Chips gibt es hier zum einlesen
- Auch hier gibt es weitere Infos zu der Sicherheit und der Geheimhaltung der RFID-Technik
- Nützliche Adressen
[ad name=“Banner-Werbung“]
Pingback: Kreditkarten Betrug mit PayPass
Absolut deiner Meinung! ich habe auch meine neue Mastercard der Migros erhalten mit den 4 schönen Balken welche anzeigen das ein RFID Chip integriert ist.
Ich will und brauche diese berührungsloses Zahlen nicht!
Was soll das und wo führt das hin! es kann nicht sein das man einfach eine Sache untergejubelt bekommt welche man gar nicht will, das bisherige Zahlungssystem hat doch wunderbar geklappt. Habe die Karte in die Mikrowelle mit 700 Watt gelegt
2 Sekunden und der RFID hat sich verabschiedet, perfide ist wie dieses Teil eingebaut ist, (ganz zu schweigen von der Antenne!) wollte ihn zuerst mit dem Locher rausstanzen, habe ihn aber nicht gefunden, jetzt nach meiner Mikrowellenkur weiss ich wenigsten wo er ansatzweise ist.
Das deutsche Recht greift hier nicht! Die Kreditinstitute tuen es einfach, da gibt es keinen Datenschutz den haben die nicht nötig. Außerdem gibt es RFID-Schutzhüllen und ferner wird man sehr wohl darüber informiert das sind glatte KLügen die hier verbreitet werden außerdem: Bei NFC kann man die Daten erst bei einer Distanz von 4 bis 10 cm auslesen aber nicht aus 1 m Entfernung auch das ist eine Lüge des Autors! Wenn Sie das alles nicht wolen: Klagen Sie gegen Mastercard Sie werden scheitern da Sie nicht im Recht sind sondern Mastercard! Auch, wenn ich die Argumente durchaus nach vollziehen kann und eine weitere Absicherung notwendig wäre.