Visas Zombie-Karten-Exploit

Forscher der University of Massachusetts haben kürzlich eine kritische Schwachstelle entdeckt, die zeigt, dass abgelaufene Visa-Karten weiterhin neue kontaktlose Zahlungen ermöglichen können. Dieser Exploit, treffend als „Zombie Card“-Angriff bezeichnet, erlaubt es, Transaktionen lange nach dem offiziellen Ablaufdatum einer Karte durchzuführen, was die Sicherheit von Zahlungen grundlegend infrage stellt. Der Kernfehler liegt in der Konfiguration des kontaktlosen Protokolls von Visa, bei dem das Feld für das Ablaufdatum ungeschützt außerhalb der kryptografischen Signatur der Karte liegt, was es anfällig für Manipulationen macht.

Dies ist kein theoretisches Problem, das auf wissenschaftliche Arbeiten beschränkt ist. Die Forscher demonstrierten die Wirksamkeit des Zombie Card-Angriffs rigoros und verarbeiteten erfolgreich Zahlungen an echten, kommerziellen Zahlungsterminals. Ihre Transaktionen in der Praxis bestätigen diese Schwachstelle als konkrete Bedrohung und beweisen, dass eine physisch vorhandene, abgelaufene Visa-Karte tatsächlich neue Einkäufe tätigen kann, wenn sie entsprechend manipuliert wird.

Entscheidend ist, dass diese spezifische Protokollschwäche exklusiv bei Visa auftritt. Das Forschungsteam führte umfassende Tests gegen andere große Zahlungsnetzwerke mit derselben Exploit-Methodik durch. Die Systeme von Mastercard, American Express und Discover wiesen Versuche, Zahlungen mit manipulierten Ablaufdaten zu verarbeiten, erfolgreich zurück und zeigten sich damit widerstandsfähig. Dies unterstreicht eine deutliche Sicherheitslücke in der Architektur von Visa, die das Problem auf deren Karteninhaber isoliert.

Das kontaktlose Zahlungssystem von Visa birgt einen kritischen Designfehler, der von Forschern der University of Massachusetts aufgedeckt wurde. Normalerweise sichert die kryptografische Signatur einer Karte die gesamte Transaktionsnutzlast ab und verhindert Manipulationen. In der spezifischen kontaktlosen Konfiguration von Visa befindet sich das Feld für das Ablaufdatum der Karte jedoch auffälligerweise außerhalb dieser signaturgeschützten Daten. Dies lässt das Ablaufdatum einzigartig anfällig für Manipulationen, selbst wenn alle anderen Sicherheitsüberprüfungen erfolgreich bestanden werden.

Um diese Schwachstelle auszunutzen, inszenierten die Forscher einen ausgeklügelten Man-in-the-Middle-Relay-Angriff. Ihr Aufbau umfasste zwei Android-Telefone: Ein Telefon fungierte als gefälschte Karte, die mit einem echten Zahlungsterminal kommunizierte, während das zweite Telefon eine Verbindung mit der echten, abgelaufenen Visa-Karte herstellte. Diese Zwei-Telefon-Architektur schuf einen transparenten Kanal, der es Angreifern ermöglichte, Transaktionsdaten während der Übertragung abzufangen und zu modifizieren.

Während des Relays führte das System einen einfachen, aber verheerenden Datenaustausch durch. Die Forscher fingen das tatsächliche, abgelaufene Datum der Karte ab und ersetzten es nahtlos durch ein gültiges zukünftiges Datum, um Legitimität vorzutäuschen. Entscheidend ist, dass das authentische Cryptogram der Karte – der zentrale kryptografische Nachweis für die Gültigkeit der Transaktion – völlig unberührt blieb. Das Terminal verarbeitete daraufhin die Anfrage und empfing das echte Cryptogram zusammen mit dem gefälschten Ablaufdatum, was zu einer anfänglichen Autorisierung führte. Dieses täuschende Manöver erweckte die „Zombie Card“ effektiv wieder zum Leben.

Sobald das Terminal das manipulierte Ablaufdatum akzeptiert, geht die Autorisierungsanfrage an die ausstellende Bank der Karte. Hier hängt der Erfolg des Zombie Card-Angriffs von den internen Systemen der Bank ab. Wenn das System eines Emittenten keine sekundäre, spezifische Überprüfung des abgelaufenen Status der Karte durchführt, kann es die Transaktion genehmigen und sie als legitim behandeln. Die Forscher demonstrierten dies bei fünf großen US-Banken, wobei einige Systeme den Betrug erkannten, während andere dies nicht taten.

Entscheidend ist, dass ein bestehender Abwehrmechanismus, das Relay Resistance Protocol (RRP), solche Relay-Angriffe erkennen und blockieren könnte. RRP bleibt jedoch eine optionale Funktion, und keine der getesteten Karten oder Terminals hatte sie aktiviert. Dieser Mangel an einer verbindlichen Implementierung hinterlässt eine signifikante Lücke. Andere Zahlungsnetzwerke wie Mastercard, American Express und Discover wiesen Transaktionen mit manipulierten Ablaufdaten während der Tests erfolgreich ab, was die spezifische Schwachstelle von Visa unterstreicht.

Die Forscher haben die Schwachstelle verantwortungsbewusst im Mai und erneut im Dezember 2025 an Visa und die betroffenen Banken gemeldet. Das Sicherheitsteam von Visa hat das Problem intern erfolgreich reproduziert und dessen Gültigkeit bestätigt. Trotzdem hat Visa bisher weder einen Patch veröffentlicht noch eine Common Vulnerabilities and Exposures (CVE)-Kennung zugewiesen. Diese Untätigkeit erinnert an einen früheren Vorfall, bei dem Visa eine andere Sicherheitslücke im Zusammenhang mit dem Apple Transit-Modus ähnlich herunterspielte. Für einen tieferen Einblick in die technischen Details lesen Sie Zombie Cards Back Online: Reviving Expired Credit Cards for Contactless Payments.

Visa hat noch keine systemweite Lösung für diese kritische Schwachstelle bereitgestellt, obwohl Forscher der University of Massachusetts sie bereits vor Monaten identifiziert und gemeldet haben. Das entscheidende Relay Resistance Protocol, ein optionaler Abwehrmechanismus, der in der Lage ist, die Relay-basierte Natur dieses Angriffs zu erkennen, bleibt sowohl auf Karten als auch an Zahlungsterminals weitgehend inaktiviert. Folglich besteht die Zombie Card-Schwachstelle als aktive Bedrohung fort; jede abgelaufene Visa-Karte, sofern ihr EMV-Chip und Magnetstreifen physisch intakt sind, birgt das Potenzial für unrechtmäßige kontaktlose Transaktionen.

Es reicht nicht aus, eine abgelaufene Karte einfach in einer Schublade liegen zu lassen oder sie in den Müll zu werfen. Die zugrunde liegende Hardware behält ihre Funktionalität bei und ist bereit, durch einen ausgeklügelten Relay-Angriff ausgenutzt zu werden. Nur durch vollständige physische Zerstörung können Verbraucher diese ruhende finanzielle Bedrohung wirklich neutralisieren und sich vor der unbefugten Nutzung ihrer scheinbar funktionsunfähigen Karten schützen.

Um eine Zombie Card endgültig zu vernichten, müssen Sie ihre Kernkomponenten für Kommunikation und Datenspeicherung ins Visier nehmen. Sie müssen einen präzisen Schnitt direkt durch den EMV chip – das metallische Quadrat auf der Vorderseite der Karte – führen und sicherstellen, dass ein entsprechender Schnitt den Magnetstreifen auf der Rückseite der Karte durchtrennt. Diese Aktion setzt die Karte physisch außer Gefecht und verhindert jede zukünftige Datenübertragung oder Transaktionsautorisierung.

Was ist der 'Zombie Card'-Angriff?

Es handelt sich um eine von Forschern entdeckte Sicherheitslücke, die es ermöglicht, abgelaufene Visa-Kreditkarten für neue kontaktlose Transaktionen zu verwenden, indem das Ablaufdatum während des Zahlungsvorgangs manipuliert wird.

Betrifft diese Schwachstelle alle Kreditkarten?

Nein. Die Forscher fanden heraus, dass dies ein Visa-spezifisches Problem ist. Tests mit Karten von Mastercard, American Express und Discover zeigten, dass diese die manipulierten Transaktionsdaten erfolgreich ablehnten.

Wie funktioniert der Angriff technisch?

Angreifer nutzen ein 'Relay'-System (z. B. zwei Telefone), um die Daten zwischen der abgelaufenen Karte und dem Zahlungsterminal abzufangen. Da das Protokoll von Visa das Ablaufdatum nicht kryptografisch schützt, können Angreifer es auf ein zukünftiges Datum ändern, während sie gleichzeitig die ansonsten gültige Sicherheitssignatur der Karte weitergeben, wodurch das Terminal getäuscht wird.

Wie kann ich mich vor diesem Exploit schützen?

Da die Schwachstelle bisher nicht behoben wurde, ist die einzige garantierte Methode, Ihre alten Karten zu schützen, deren physische Zerstörung. Stellen Sie sicher, dass Sie sowohl den EMV-Chip als auch den Magnetstreifen durchschneiden.