Zahlungshistorie auf Kreditkartenchip

[geos]

ANZEIGE

Bei der Untersuchung meiner Kreditkartensammlung mittel eines Kartenlesers musste ich feststellen, dass einige Karten eine Transaktionshistorie speichern und auch ohne PIN auslesen lassen.
Gespeichert wird zumindest Betrag, Währung und Datum der Transaktion, z.T. auch der ISO-Ländercode (für Deutschland wird ja immer noch 280 verwendet... vergl. http://www.girocard.eu/files/weiternutzung_iso3166-code-280_deutschland.pdf). Über Cryptogram Information Data kann man offenbar sehen, ob die Zahlung kontaktlos (x80) oder -behaftet (x40) erfolgte (Ausnahme scheint eine Kontaktlos-Transaktion an einem offenbar alten und daher extrem langsamen Terminak bei Galeria Kaufhof zu sein, die als x40 angegenben wird).

Im Detail ergab sich:

Advanzia MC, selbst auf der ersten Chipkarte von 2011, speichert mehrere Transaktionen

MyWallet MC von 2014 speichert ebenfalls Transaktionen

Santander Visa von 2016 speichert zumindest die letzte Abhebung (hab die Karte noch nicht so oft verwendet)

DKB Visa von 2012 speicherte auch die letzte Abhebung am GAA; die aktuelle DKB Visa (nun mit NFC) macht's offenbar nicht mehr (aus Datenschutzgründen wg. NFC abgeschaltet?)

Targobank Visa (aktuelle hat auch NFC!) speichert die letzten 30 Transaktionen (Karten von 2010 bzw. 2016) bzw. die letzten 20 Transaktionen (Karte von 2013)

Barclaycard Maestro von 2012 speichert genau die letzte Transaktion

Es werden auch Kautionsautorisierungen von Hotels gespeichert; einen Unterschied zu normalen Zahlungen kann ich nicht erkennen.
Zahlungen aus Korea und USA habe ich keine gefunden, was daran liegen dürfte, dass Magstripe-Zahlungen nicht erfasst werden. Chip- und NFC-Transaktionen scheinen alle erfasst zu werden.
Interessant ist auch, dass eine Hotel-Autorisierung aus Shanghai in Yen, eine aus Hong Kong in Euro durchgeführt wurde. Da die Beträge nie auf die Kreditkartenrechnung kamen, war mir das natürlich nicht aufgefallen.

Ich habe ein wenig recherchiert und bin darauf gestoßen, dass das Thema unter dem Aspekt Auslesen per NFC bereits ein paar Wellen geschlagen hat:

https://metabubble.net/payment-card...26-mastercard-knows-what-you-did-last-summer/

Hier hat sich jemand bereits 2014 damit beschäftigt:

https://plus.google.com/+JohannesZweng/posts/jZUhAhRUpqL

Mich würde interessieren, was andere diesbezüglich an Erfahrungen gemacht haben.

 

[Escorpio]

Da möchte ich noch hinzufügen, dass jegliche Zahlungen gespeichert werden... Auch welche die Abgelehnt oder zum Abbruch kommen... Auch da sieht man keinen Unterschied zu den anderen.

Das ganze hat natürlich den Vorteil, dass sie bei einer kopierten Karte die Karte vom Kontoinhaber anfordern können... Das hatte ich vor circa 8 Jahren bei BarclayCard.

Amex und Diners macht das im übrigen auch.

 

[DerSimon]

Einträge bei kontaktlosen Zahlungen habe ich auf meinen Karten bisher noch nicht gesehen, mag es aber geben.
Ansonsten sollte das eigentlich allgemein niemanden überraschen, aber um sich über N26 zu empören hat es ja damals gereicht
(Keine Kritik an deinem Thread, ist ja ganz nett mal eine Übersicht zu haben)

 

[nrw]

Das ganze hat natürlich den Vorteil, dass sie bei einer kopierten Karte die Karte vom Kontoinhaber anfordern können... Das hatte ich vor circa 8 Jahren bei BarclayCard.

Da eine kopierte Karte ausschließlich den Magnetstreifen nutzt (der Chip soll unkopierbar sein) und die Leseart der Bank mitgeteilt wird, müsste dies also bereits bei reinen Magnetstreifen-Kreditkarten so gewesen sein, dass Transaktionsdaten auf der Karte hinterlegt werden.

 

[Droggelbecher]

Nein, man kann nachweisen dass keine Transaktion mit dem Chip ausgeführt wurde.

 

[DerSimon]

müsste dies also bereits bei reinen Magnetstreifen-Kreditkarten so gewesen sein, dass Transaktionsdaten auf der Karte hinterlegt werden.

Schreiben auf den Magnetstreifen am POS? Eher unwahrscheinlich.

 

[nrw]

Nein, man kann nachweisen dass keine Transaktion mit dem Chip ausgeführt wurde.

Die Erfassungsart wird auf dem Zahlbeleg ausgewiesen. Sollte darüber nicht belegt sein, dass die Zahlung mit Magnetstreifen erfolgt ist und damit ein Anfordern der Karte sinnfrei ist?

 

[DerSimon]

Die Erfassungsart wird auf dem Zahlbeleg ausgewiesen. Sollte darüber nicht belegt sein, dass die Zahlung mit Magnetstreifen erfolgt ist und damit ein Anfordern der Karte sinnfrei ist?

Selbst wenn es nicht auf dem Bon stehen würde, würden die Infos ja an die Bank automatisch weitergeleitet werden (vgl. Revolut mit Sperre für MagStripe-Zahlungen).
Vielleicht wollte man nur simple Betrüger bei Chargebacks einschüchtern? Oder beweisen, dass die Karte nicht verloren wurde, was in seltenen Fällen bei Chargebacks entscheidend sein kann.

 

[geos]

Einträge bei kontaktlosen Zahlungen habe ich auf meinen Karten bisher noch nicht gesehen, mag es aber geben.
Ansonsten sollte das eigentlich allgemein niemanden überraschen, aber um sich über N26 zu empören hat es ja damals gereicht
(Keine Kritik an deinem Thread, ist ja ganz nett mal eine Übersicht zu haben)

wäre schön, wenn diese Übersicht noch erweitert würde

Zum Thema Datenschutz: ich glaube nicht, dass man von einem Kunden erwarten kann, dass er die EMV Specs liest und versteht.
Insofern ist es datenschutzrechtlich sicherlich nicht unproblematisch, dass die Karten ungefragt und ohne dass der Konsument darauf hingewiesen wird Transaktionsdaten sammelt und sie vor allem ohne weiteren Schutz jedem zugänglich macht, der sie via NFC oder per Chip auslesen kann.
Mich würde interessieren, wie gut man vor allem NFC-Karten tatsächlich auslesen kann. Ist es z.B. in einer vollbesetzten U-Bahn, ggfs. mit einer speziellen Ausrüstung (empfindliche Antennen o.ä.) möglich, NFC-Karten, die Fahrgäste in Taschen mit sich führen, auszulesen?

 

[DerSimon]

Insofern ist es datenschutzrechtlich sicherlich nicht unproblematisch, dass die Karten ungefragt und ohne dass der Konsument darauf hingewiesen wird Transaktionsdaten sammelt und sie vor allem ohne weiteren Schutz jedem zugänglich macht, der sie via NFC oder per Chip auslesen kann.

Naja, das ich gestern 4.49€ und vorgestern 9.81€ bezahlt habe sollte vom Datenschutz relativ unproblematisch sein. Wenn jetzt der Händler noch dabei wäre, okay.
Gerade beim Beispiel vom Besuch in Tschechien, wo die Freundin das über NFC herausfindet, sollte man sich sicher fragen, ob man in der Beziehung nicht größere Probleme hat
Zudem könnte man ja genau so gut die KK-Nummer auslesen und bei Amazon shoppen, was wohl einen größeren Schaden verursacht.

Mich würde interessieren, wie gut man vor allem NFC-Karten tatsächlich auslesen kann. Ist es z.B. in einer vollbesetzten U-Bahn, ggfs. mit einer speziellen Ausrüstung (empfindliche Antennen o.ä.) möglich, NFC-Karten, die Fahrgäste in Taschen mit sich führen, auszulesen?

Schlecht. Sieht man ja immer wieder bei den Szenen im Öffentlich-Rechtlichen, wo die zeigen wollen, "wie leicht man einen mit einem einfachen Handy ausrauben kann". Zeigt sich aber, dass die Person lange stehen bleiben muss und es nicht leicht, unbemerkt oder schnell geht.

Gefahr IMHO stark überschätzt.

 

[Amino]

Ich habe mal meine N26-Mastercard ausgelesen, dort waren zwar 10 Transaktionen, das waren aber nicht die 10 letzten.

Kontaktbehaftete Chip-Transaktionen wurden anscheinend immer gespeichert, kontaktlose Transaktionen nur teilweise/selten.

Vom Datenschutz her dürfte das jedenfalls unproblematisch sein, da weder der Händler noch der Ort dabei steht, sondern wirklich nur Betrag und Zeit.

 

[fragezeichen]

wäre schön, wenn diese Übersicht noch erweitert würde
Mich würde interessieren, wie gut man vor allem NFC-Karten tatsächlich auslesen kann. Ist es z.B. in einer vollbesetzten U-Bahn, ggfs. mit einer speziellen Ausrüstung (empfindliche Antennen o.ä.) möglich, NFC-Karten, die Fahrgäste in Taschen mit sich führen, auszulesen?

Mit Smartphones lassen sich NfC-Karten nur bis ca. 10cm Entfernung auslesen. Wenn also Fahrgäste eng beieinander stehen und sich nicht bewegen, ist das schon denkbar. Vergleiche dieses Video, wo das auf der Rolltreppe vorgeführt wird. Mit speziellen Antennen und/oder mit nicht zugelassener Ausrüstung lassen sich die Chips auch auf zwei Meter Abstand auslesen.
Das Auslesen ist schwieriger, wenn sich mehrere NFC-Karten im selben Portemonnaie befinden.

Vom Datenschutz her dürfte das jedenfalls unproblematisch sein, da weder der Händler noch der Ort dabei steht, sondern wirklich nur Betrag und Zeit.

Dass das Datum lesbar ist, weiß ich. Kann man auch die Uhrzeit auslesen?

Die Transaktionsdaten sind wahrscheinlich für die meisten Kriminellen wirklich uninteressant. Anders sieht das mit den Kartendaten aus. Zumindest auf manchen Karten sind Name des Karteninhabers, Kartennummer und Gültigkeitsende abrufbar. Dass sich diese Daten für Onlinebetrug eignen, sollte klar sein.

 

[Escorpio]

Die Transaktionsdaten sind wahrscheinlich für die meisten Kriminellen wirklich uninteressant.

Für dumme vielleicht... Ansonsten kann man an den letzten Transaktionen sehen, in welcher Höhe die Umsätze des Karteninhabers sich bewegen.

Wenn man das als Krimineller weiß, kann man sich danach verhalten um beim Bank Betrugs-Computer nicht aufzufallen. Ich denke im Betrugssystem macht es enorm viel aus wenn der Missbrauch in der Höhe der üblichen Ausgaben pro Transaktion liegt.

 

[Amino]

Für dumme vielleicht... Ansonsten kann man an den letzten Transaktionen sehen, in welcher Höhe die Umsätze des Karteninhabers sich bewegen.

Haha, das heißt dann, ein Krimineller würde bei mir direkt aufgeben, weil ich auch z.B. 1€ bei McDonalds mit Karte zahle und 90% der Umsätze bei mir im Kleinbetragsbereich sind.

Die größten Umsätze habe ich meist über online-Zahlungen.

 

[geos]

Trotzdem handelt es sich um Zusatzinformationen, die hilfreich sind beim Ausnutzen der Daten. Allein die Information, in welchen Ländern Umsätze getätigt wurden, dürfte sehr interessant sein.

Eine andere interessante Anwendung von NFC dürfte sein, damit ganz einfach Kunden zu tracken und wiederzuerkennen. Gibt es vielleicht schon für den Einzelhandel Zugangsschranken (Breite vielleicht 1 bis 1,5 m), die in der Lage sind, durch qualitativ hochwertige Antennen usw. Karten beim Durchschreiten auszulesen?

 

[geos]

Vom Datenschutz her dürfte das jedenfalls unproblematisch sein, da weder der Händler noch der Ort dabei steht, sondern wirklich nur Betrag und Zeit.

und Währung und, zumindest bei manchen Karten offenbar, POS-Land!

 

[DerSimon]

Trotzdem handelt es sich um Zusatzinformationen, die hilfreich sind beim Ausnutzen der Daten. Allein die Information, in welchen Ländern Umsätze getätigt wurden, dürfte sehr interessant sein.

Dazu müssen die Länder aber unter den letzten 10 Transaktionen sein.

Eine andere interessante Anwendung von NFC dürfte sein, damit ganz einfach Kunden zu tracken und wiederzuerkennen. Gibt es vielleicht schon für den Einzelhandel Zugangsschranken (Breite vielleicht 1 bis 1,5 m), die in der Lage sind, durch qualitativ hochwertige Antennen usw. Karten beim Durchschreiten auszulesen?

Hochwertige Antennen können die Physik nicht überwinden
Mit anderen Techniken ist man aber in der Akademik etwa auf Breite von 70cm gekommen.
Wenn man aber nicht gerade Insolvenz anmelden möchte und die Kunden ihre Daten eh freiwillig für ein paar Cent hergeben wird das aber eh keiner machen.

 

[geos]

ANZEIGE

je nach Karte werden deutlich mehr als 10 Transaktionen gespeichert. Aber wenn's nur 10 sind, ist das schon interessant, da man dann sieht, wo die Karte zuletzt eingesetzt wurde. Bei Betrugsversuchen könnte man das nutzen, um die Erkennung durch Fraud Detection ein wenig unwahrscheinlicher zu machen. Wie gesagt, ist nur eine Zusatzinformation, aber jede solche Information mag hilfreich sein für einen Betrüger.