iPhone-Bank Number26: Stellungnahme zur redseligen Kreditkarte

Kurz nach der Veröffentlichung unseres Artikels „Kreditkarten verraten eure Transaktionen“ haben sich die Bank-Verantwortlichen mittlerweile auf der Webseite TwitLonger zur Datenfreigabe ihrer Kreditkarten geäußert und wischen die Kritik an den zu auskunftsfreudigen Zahlkarten mit einer ruckartigen Handbewegung vom Tisch.

Unter der Überschrift „Stellungnahme zum aktuellen Thema“ konstatiert das Number26-Team: Grundsätzlich sei die Speicherung der Daten unproblematisch, das Auslesen der hinterlegten Informationen sei ohnehin nur möglich, wenn die Karte direkt an ein Lesegerät gehalten wird.

Zur Diskussion bezüglich der auf NFC-fähigen Karten gespeicherten Informationen geben wir folgende Stellungnahme ab: Es handelt sich um eine übliche Karteneinstellung bei NFC-fähigen Karten in Deutschland und Europa, die nicht auf NUMBER26 beschränkt ist. Diese Karteneinstellung ist MasterCard Standard und gang und gäbe bei vielen Banken in Europa. […] Da weder Name noch CVC Code gespeichert werden, kann kein Dritter die Daten für eine Transaktion nutzen. Somit ist die Speicherung der oben genannten Transaktionsdaten (Datum und Höhe des Betrags) unbedenklich.

Immerhin. Die Smartphone-Bank hat sich zu Wort gemeldet und ein Statement abgegeben. Etwas mehr Respekt vor den Datenschutz-Bedenken der eigenen Bestandskunden, die in den vergangenen Tagen offenbar mit gegenteiligen Behauptungen an der Support-Hotline der Bank abgespeist wurden, wäre jedoch angebracht gewesen.

Wer so schöne Cupcakes backen und so viele Informationen in einer eleganten Infografik verpacken kann, sollte auch in der Lage sein den Vertrauensvorschuss seiner frühen Kunden mit einem entsprechenden Zeiteinsatz zu würdigen.

Die berechtigte Sorge um die Sicherheit des eigenen Kontos verdient unserer Meinung nach etwas mehr Aufmerksamkeit, als einen langen Tweet, der zwar von der trotzigen Leseaufforderung „Read:“ angeführt wird, dem gelegentlich Besucher des Number26-Twitterprofils aber weder auffallen dürfte noch für die nötige Beruhigung sorgen wird.

Ansprüche, mit denen wir andere Start-Ups wahrscheinlich nicht konfrontieren würden. Number26 bastelt jedoch keine Instagram-Filter, sondern verwaltet Gehaltskonten. Hier gelten andere Maßstäbe.

Abschließend sei angemerkt: Der für die Diskussion verantwortliche Sicherheitsforscher Christian Hawkins bleibt bei seiner Behauptung, die freizügige Datenfreigabe bei anderen Kreditkarten nicht ausmachen zu können.

Die Stellungnahme im Volltext

Stellungnahme zum aktuellen Thema

Zur Diskussion bezüglich der auf NFC-fähigen Karten gespeicherten Informationen geben wir folgende Stellungnahme ab:

Es handelt sich um eine übliche Karteneinstellung bei NFC-fähigen Karten in Deutschland und Europa, die nicht auf NUMBER26 beschränkt ist. Diese Karteneinstellung ist MasterCard Standard und gang und gäbe bei vielen Banken in Europa.

Grundsätzlich ist die Speicherung der Daten unproblematisch. Auf dem Chip werden die letzten zehn Transaktionen (Datum und Höhe des Betrags) gespeichert. Händlerdaten werden nicht gespeichert. Aus den Transaktionsdaten können keine personenbezogenen Informationen über den Karteninhaber oder dessen Kontoverbindung abgeleitet werden. Persönliche Daten wie Name, Geburtsdatum oder Adresse sind nicht auf dem Chip hinterlegt. Da weder Name noch CVC Code gespeichert werden, kann kein Dritter die Daten für eine Transaktion nutzen. Somit ist die Speicherung der oben genannten Transaktionsdaten (Datum und Höhe des Betrags) unbedenklich.

Das Auslesen der Daten ist nur möglich, wenn die Karte direkt an das Leseterminal, bzw. das NFC-fähige Smartphone, gehalten wird. POS Terminals im Einzelhandel haben nicht die Fähigkeit vergangene Transaktionsdaten zu lesen.

Von der NFC-Technologie unabhängig und wie bei jedem Zahlungsinstrument gilt: Wer seine Kartendaten optimal vor Dritten schützen möchte, sollte seine Karte auch grundsätzlich nicht aus der Hand geben. Auf der physischen Karte sind weitere Daten (CVC Code und Karteninhaber) aufgedruckt, die einen Missbrauch der Karte ermöglichen. Aus genau diesem Grund ist das umgehende Sperren der Karte bei Verlust so wichtig.