Mobiles Bezahlen: Die wichtigsten Sicherheitsgrundlagen zu den Bereichen Hardware, Software und Verhalten

Aber manche Nutzer sind skeptisch, was die Sicherheit dieser Bezahloption angeht. Im Folgenden wird ein Einblick auf die Bereiche Hardware, Software und Nutzerverhalten gegeben, um Fehler zu vermeiden und den Schutz vor Missbrauch zu erhöhen.

Der Siegeszug des Smartphones hat unseren Alltag in vielerlei Hinsicht verändert. Landkarten im Handschuhfach vom Auto oder teure GPS-Geräte gehören dank verschiedener Mapping-Apps der Vergangenheit an. Wer ins Kino oder auf ein Konzert gehen will, bekommt keinen Schreck mehr, wenn vor dem Einlass die Tickets nicht zu finden sind, schließlich lassen sich die meisten Veranstaltungen als E-Ticket auf das Handy laden. Mobile Abspielgeräte wie CD-Player, MP3-Player oder portable DVD-Spieler sind längst aus der Zeit gefallen und die Inhalte werden mittlerweile direkt auf das Smartphone gestreamt. Aber die Tage des Bargelds und sogar die der EC-Karte sind gezählt, denn immer mehr Deutsche nutzen die Vorteile des Mobilen Zahlens, auch wenn wir im internationalen Vergleich mit 16,8 Prozent unter dem weltweiten Durchschnitt von 19,8 Prozent liegen.

Der größte Grund für die Zurückhaltung der Deutschen sind laut einer Studie der Postbank Sicherheitsbedenken. Verwunderlich ist das nicht, immerhin hat auch die Kreditkarte aufgrund von Sorgen vor Missbrauch in Deutschland längst nicht denselben Stand wie in anderen Ländern. Die Angst davor, dass die eigene Karte gestohlen wird oder durch Betrug der Kartendaten geschädigt zu werden, ist nach wie vor ein Grund für den argwöhnischen Blick auf die Kreditkarte. Diese Unsicherheit überträgt sich ebenso auf das Mobile Bezahlen. Doch ist diese Sorge gerechtfertigt?

So funktioniert Mobiles Zahlen

Grundlage des Mobilen Bezahlens, unabhängig davon, ob es sich um Kreditkarte, Smartwatch oder Smartphone handelt, ist die Nahfeldkommunikation (NFC). Hierfür wird ein Chip in der Karte oder dem Gerät verbaut, welcher von einem anderen Gerät ausgelesen werden kann. Hierfür muss der Chip in die Nähe des Lesegeräts gebracht werden, in der Regel wenige Zentimeter. Jetzt werden die Daten ausgetauscht und der Betrag wird vom Konto abgebucht. Technisch gesehen braucht ein NFC-Chip keine eigene Stromversorgung, in der passiven Ausführung werden sie von dem Lesegerät aktiviert mittels eines Magnetfeldes aktiviert. Das ist soweit recht praktisch, schließlich will niemand an der Kasse stehen und feststellen, dass der Strom der eigenen Kreditkarte aufgebraucht ist.

Beim Smartphone oder bei anderen Wearables wird jedoch Strom benötigt, um das Mobile Zahlen nutzen zu können. Damit mobiles Zahlen auf dem Smartphone möglich ist, wird eine App benötigt, bei den meisten Geräten ist ein solches Mobile Wallet standardmäßig installiert. Hier müssen nun die Bank oder Kartendaten hinterlegt und diese anschließend noch authentifiziert werden. Es können aber auch Konten von Bezahldiensten wie PayPal oder von Gutscheinanbietern verknüpft werden.

Um die Fragen nach der Sicherheit zu beantworten, ist es hilfreich sich diese drei Bereiche anzusehen:

• Hardware-Sicherheit
• Software-Sicherheit
• Nutzerverhalten

Hardware-Sicherheit – Daten in geschützter Umgebung sichern

Um zu verhindern, dass die eigenen Daten ausgelesen werden, ist eine sichere Hardware nötig. Ein Beispiel sind die Trusted Execution Enviroments (TEE). Hier werden besonders schützenswerte Daten in einer sicheren Umgebung gesichert, wie etwa dem Prozessor. Hier bleiben die Daten so lange geschützt, bis die Anweisung kommt, diese zu verwenden. Diese Anweisungen werden in einem gesicherten Modus mit eingeschränkten Funktionen gestartet und erschweren es Angreifern somit, hier mit ihrer Schadsoftware anzugreifen. Realisiert wird dies über sogenannte Secure Elements, die je nachdem welcher Standard verwendet wird, unterschiedlich aufgebaut sind. Das Bundesamt für Sicherheit in der Informationstechnik stellt auf seiner Website mehrere dieser Lösungen vor.

Doch neben Bankdaten können in TEE auch andere Daten gespeichert werden, etwa biometrische Daten, wie Fingerabdrücke und Gesichtserkennungsdaten. Sollte Ihr Handy die Hardware besitzen, um mit biometrischen Daten zu arbeiten, kann dies ebenfalls die Sicherheit verbessern. Ein Passwort kann möglicherweise durch Schadsoftware oder fahrlässigen Umgang in falsche Hände geraten. Doch den Fingerabdruckscanner zu täuschen ist mit so viel Aufwand verbunden, dass es für den Alltagsganoven unerreichbar ist. Trotzdem sollten biometrische Daten nicht mit jeder Software geteilt werden, denn auch wenn sie in einem TEE sicher sind, können Sie sich nicht sicher sein, wie sicher die Speicherung bei dem jeweiligen Softwareanbieter, etwa in einer Cloud, ist. Im Zweifelsfall sollten diese Daten daher nie mit anderen Anbietern als dem Handyhersteller geteilt werden, da dieser sie oft nur lokal speichert.

Software Sicherheit – Verschlüsselung, Software Aktualisierung und Virenschutz

Daten können aber neben integrierten Hardwarespeichern zusätzlich durch Software verschlüsselt werden. Hierfür können spezielle Apps installiert werden, welche die Daten durch eine weitere Sicherheitsbarriere zusätzlich sichern. So lassen sich auch Daten, die in einer Cloud hinterlegt sind, vor fremden Zugriff sichern. Voraussetzung hierfür ist aber ein seriöser App-Anbieter sowie sichere Passwörter. Selbst der Einsatz von komplexer Schadsoftware oder gezielte Angriffe können durch solche Verschlüsselungen unterbunden werden. Diese Methode kann helfen, wenn Ihr Handy keine Secure Elements verwendet oder als zusätzlicher Schutz benutzt werden, um ihre Kontodaten zu vor fremdem Zugriff zu sichern.

Eine der wichtigsten Maßnahmen ist außerdem, das Betriebssystem regelmäßig zu aktualisieren. Denn diese Updates enthalten nicht nur Verbesserungen des Nutzererlebnisses, sondern fixen auch Sicherheitslücken oder Bugs, welche ein Einfallstor für Angreifer darstellen können. Je nachdem wie gravierend diese Lücke ist, kann viel Schaden angerichtet werden. Ein Beispiel ist die Spectre 2 Sicherheitslücke, welche durch Updates im Microcode geschlossen werden mussten. Der Schaden, der weltweit durch ausbleibende Updates angerichtet wurde, war beträchtlich und sogar heute sind nicht alle Nutzer vor dieser Lücke geschützt, da sie ihre Updates vernachlässigten.

Externe Virenscanner sind ein zweischneidiges Schwert, denn sie versprechen auf der einen Seite Schadsoftware zu erkennen und zu isolieren, aber sind auf der anderen Seite selbst Angriffen ausgesetzt. Deshalb warnen einige ITler, wie etwa der Mozilla-Entwickler Robert O‘Callahan, seit Jahren vor solchen Programmen. Denn wenn diese Software selbst Sicherheitslücken hat, können Angreifer mit speziell auf diese Scanner zugeschnittener Software einfallen, während ein Handy ohne einen solchen Scanner auch nicht durch diesen Fehler kompromittiert werden kann. Daneben verleiten sie die Nutzer dazu, unaufmerksamerer im Internet unterwegs zu sein, denn es ist ja schließlich ein Virenschutz aktiviert. Besser eignet sich ein Scriptblocker für das Handy, bei dem jede Aktivierung eines Skriptes auf einer Website einzeln aktiviert werden muss. Einen hundertprozentigen Schutz liefern diese zwar auch nicht, immerhin können grade Laien nur schwer unterscheiden, welches Skript, was auslöst, aber im Zweifel kann einfach jedes unbekannte Skript blockiert bleiben.

Nutzerverhalten anpassen – Damit die Maßnahmen wirksam bleiben

Die besten Sicherheitsmaßnahmen bringen jedoch wenig, wenn die Nutzer ihr Verhalten nicht anpassen. Denn beinahe jede Sicherheitsmaßnahme kann durch Unachtsamkeit wirkungslos gemacht werden. So verhält es sich etwa mit Passwörtern oder Pin-Codes. Wenn diese aufgeschrieben wurden und etwa im Portemonnaie oder noch schlimmer in der Handyhülle aufbewahrt werden, dann ist die Wirkung dieser Maßnahme bei einem Diebstahl gleich null.

Problematisch ist es auch, wenn der Nutzer auf Phishing-Versuche hereinfällt. Gerade E-Mails und SMS werde häufig von Angreifern genutzt, indem sie sich als Bank oder Polizeistelle ausgeben und den Nutzer dazu verleiten wollen Bankdaten weiterzugeben oder auf Links zu klicken, welche dann Schadsoftware installieren. Leider sehen diese Angriffe oft täuschend echt aus und ein Erkennen auf den ersten Blick fällt damit schwer. Im Zweifel sollten Sie Ihre Daten grundsätzlich nicht weitergeben und erst einmal Rücksprache mit beispielsweise der Bank halten.

Wer auf Nummer sicher gehen will, der sollte eine regelmäßige Kontrolle der eigenen Transaktionshistorie des Bankkontos vornehmen. So können verdächtige Aktivitäten auffallen und entsprechende Maßnahmen eingeleitet werden. Die Obergrenze beim Mobilen Bezahlen liegt in der Regel bei 150 Euro und nach fünf Bezahlvorgängen wird eine Pin-Eingabe verlangt. Dadurch hält sich ein potentieller Schaden auch in Grenzen. Doch wer die vorhergegangenen Sicherheitshinweise beachtet, kann dafür sorgen, dass solche letzten Schutzmechanismen gar nicht erst nötig werden und den Komfort des Mobilen Bezahlens sorglos nutzen.