iPhone-Bank Number26: Kreditkarten verraten eure Transaktionen

Die Anbieter des Smartphone-Kontos Number26 haben ein Problem: Die von dem Unternehmen ausgegebenen Kreditkarten speichern die zurückliegenden Transaktionen ihrer Nutzer und – eigentlich noch schlimmer – lassen sich von NFC-Kartenlesern ohne gesonderte Autorisierung auslesen.

Im Überblick: Die Number26-Transaktionen der vergangenen Tage

Das Datenleck, das der Sicherheitsforscher Christian Hawkins entdeckt und in seinem Metabubble-Blog veröffentlicht hat, scheint nach ersten Erkenntnissen nicht nur die Number26 MasterCard sowie die Number26 Maestro-Karte zu betreffen, sondern lässt sich auch bei den Fidor Smart Mastercard/Maestro-Karten reproduzieren. Visakarten der Comdirect, der Germanwings, der ING Diba und der Consorsbank zeigen keine Historie an.

Potentielle Angreifer benötigen lediglich ein NFC-fähiges Android Smartphone und eine NFC-Lese-Applikation wie etwa den Credit Card Reader. Wird diese Kombination an eure Number26-Karte gehalten, gibt der verbaute EMV-Chip binnen kürzester Zeit die Transaktionen der zurückliegenden Tage preis und Informiert über Betrag, Datum, Währung, die Kartennummer und das Gültigkeitsdatum.

Number26 war für eine Reaktion zum Datenleck leider nicht zu erreichen, brüskierte sich gegenüber Christian Hawkins jedoch im hauseigenen Support-Chat. Auf den Umstand der Datenspeicherung angesprochen, dementierte das Support-Team das Vorhandensein einer entsprechenden Funktion und lehnte nach Vorlage der Daten einen weiteren Kommentar ab. Hawkins schreibt:

When I asked their support about what historic transaction data is stored on the card, the first answer was, that the card isn’t storing any information. After showing them the facts and providing a way to read their own cards, the support was suddenly (as always) not available to comment on this issue. I have scanned my remaining credit cards. None of them were saving any historic transaction details.

Erst im vergangenen Monat hatte die Smartphone-Bank aus Anlass ihres einjährigen Jubiläums über das Wachstum der vergangenen Monate informiert. Seit Januar 2015 habe das in Deutschland und Österreich aktive Unternehmen rund 270 Neukunden pro Tag registrieren können – insgesamt seien 100.000 Girokonten eröffnet worden.

Nach leichten Anlaufschwierigkeiten – in seinen ersten Monaten fiel das Unternehmen negativ durch seine Wartelisten-Politik und falsche Mitarbeiter-Fotos auf – hat sich die Smartphone-Bank inzwischen recht solide am Markt platziert. Neben den Echtzeit-Überweisungen bietet das laut Selbstbeschreibung „modernste Girokonto Europas inzwsichen Bareinzahlungen an der Supermarktkasse an, stellt nicht mehr nur eine Kredit- sondern auch eine Debit-Karte zur Verfügung und bietet seit wenigen Wochen zudem ein Dispokredit an.