Zombie-Card-Angriff: Wie abgelaufene Visa-Karten wieder kontaktlos zahlten

Während dieses Austauschs veränderte das Relay das Ablaufdatum, das beim Terminal ankam. Ein vergangenes Datum konnte durch ein zukünftiges ersetzt werden. Die lokalen Prüfungen des Terminals behandelten die Karte dadurch als aktuell. Voraussetzung war laut den Berichten, dass die physische Karte vorhanden blieb oder sich weiterhin in NFC-Reichweite befand und das Relay zwischen Karte und Terminal positioniert war.

Wichtig ist: Der Angriff fälschte nicht die geheimen Schlüssel der Karte. Die echte Karte erzeugte weiterhin die signierten und dynamischen Transaktionsdaten, die der EMV-Prozess erwartet. Manipuliert wurde vielmehr ein einzelnes, für die Entscheidung relevantes Feld – das Ablaufdatum –, ohne dass dadurch die übrigen authentifizierten Daten ungültig wurden.

Welche Schwachstelle in Visa EMV Kernel 3 ausgenutzt wurde

Das Problem betraf die uneinheitliche Verarbeitung des Ablaufdatums in Visas kontaktloser Implementierung von EMV Kernel 3. In der getesteten Konfiguration war das Datum, das dem Terminal präsentiert wurde, offenbar nicht ausreichend kryptografisch an die Kartendaten und die später für die Autorisierung verwendeten Transaktionsinformationen gebunden.

Dadurch entstand ein Widerspruch zwischen den einzelnen Verarbeitungsschritten:

1. Die physische Karte lieferte echte Zahlungsdaten, einschließlich ihres tatsächlichen – bereits abgelaufenen – Datums.
2. Das Relay änderte das Datum, das am Terminal sichtbar war.
3. Die Karte erzeugte weiterhin authentisches Transaktionsmaterial.
4. Das Terminal konnte somit ein zukünftiges Ablaufdatum prüfen und zugleich kryptografisch gültige Nachweise der echten Karte erhalten.

Der Angriff richtete sich also nicht gegen die Kryptografie als solche, sondern gegen die Verbindung zwischen verschiedenen Datenfeldern. Eine Signatur oder ein Transaktions-Kryptogramm kann echt bleiben, während ein separat geprüftes Datum manipuliert wird, wenn das Protokoll beide Werte nicht eng genug miteinander verknüpft. Die Forscher beschreiben dies als Man-in-the-Middle-Schwachstelle im kontaktlosen Visa-Zahlungsablauf.

Warum eine abgelaufene Karte trotzdem eine gültige Zahlung auslösen konnte

Das Ablaufdatum wird im Alltag oft wie eine kryptografische Abschaltung der Karte verstanden. Die vorliegenden Forschungsergebnisse deuten jedoch darauf hin, dass kontaktlose Zahlungssysteme dieses Datum nicht immer auf diese Weise durchsetzen. Ein Teil der Prüfung kann davon abhängen, was das Terminal empfängt und was der Kartenherausgeber während der Autorisierung unabhängig verifizieren kann.

Wenn das Terminal ein zukünftiges Datum sieht und der Kartenherausgeber ansonsten authentische Transaktionsdaten erhält, fehlt dem System möglicherweise ein zuverlässig authentifiziertes Signal dafür, dass die physische Karte tatsächlich abgelaufen ist. Das zugrunde liegende Konto muss weiterhin aktiv und für eine Autorisierung freigegeben sein: Der Angriff macht aus einem geschlossenen oder ungültigen Konto kein gültiges Konto.

Was passierte bei Mastercard, American Express und Discover?

Die vorliegenden Berichte besagen, dass derselbe Austausch des Ablaufdatums in den getesteten Konfigurationen von Mastercard Kernel 2, American Express Kernel 4 und Discover Kernel 6 nicht erfolgreich war.

Eine vollständige technische Analyse der einzelnen Kernel liegt in den verfügbaren Quellen jedoch nicht vor. Es lässt sich daher nicht im Detail belegen, welche konkreten Feldbindungen oder Prüfschritte die Transaktionen scheitern ließen. Die vorsichtige Schlussfolgerung lautet: Die getesteten Implementierungen wiesen diese konkrete Manipulation offenbar wirksamer zurück als die getestete Visa-Konfiguration. Das bedeutet nicht, dass jede Karte dieser Marken gegen sämtliche Relay-Angriffe oder andere Formen von Zahlungsbetrug geschützt ist.

Wie unterschieden sich die Ergebnisse bei den Banken?

Die Forschung bezog laut Berichten Karten mehrerer großer US-amerikanischer Banken ein; außerdem wurden erfolgreiche oder versuchte Transaktionen bei mehreren Herausgebern beschrieben.

Die verfügbaren Quellen nennen jedoch nicht alle fünf Banken und liefern keine verifizierten Einzelresultate für jede von ihnen. Eine Tabelle mit bankweisen Freigaben und Ablehnungen wäre deshalb nicht belastbar. Die Ergebnisse können unter anderem vom Kartenprodukt, Kontostatus, den Autorisierungskontrollen, dem Terminal, dem Acquirer – also dem Zahlungsabwickler des Händlers – und den konkreten Transaktionsbedingungen abhängen.

Meldung an Visa und Stand der Behebung

Einem der vorliegenden Berichte zufolge informierten die Forscher Visa und betroffene Banken im Mai und Dezember 2025 über ihre Ergebnisse. Sie stellten dabei Reproduktionsmaterial, Transaktionsaufzeichnungen und ein Demonstrationsvideo bereit.

Eine verifizierbare Stellungnahme von Visa, ein bestätigtes Sicherheitsbulletin oder ein Nachweis über einen abgeschlossenen Rollout von Gegenmaßnahmen liegt in den verfügbaren Quellen nicht vor. Daher lässt sich nicht belegen, dass Visa das Problem vollständig behoben hat, welche Karten oder Terminals abgedeckt wären oder ob eine Maßnahme im gesamten Zahlungsökosystem verpflichtend umgesetzt wurde.

Welche Gegenmaßnahmen empfohlen werden

Der zentrale Ansatz besteht darin, zu verhindern, dass das am Terminal angezeigte Ablaufdatum von den authentifizierten Kartendaten abweicht.

• Zahlungsnetzwerke und Kernel-Entwickler: Das Ablaufdatum und weitere Eingaben, die eine Terminalentscheidung beeinflussen, sollten kryptografisch an die authentifizierten Kartendaten und das Transaktions-Kryptogramm gebunden werden. Widersprüchliche Werte sollten zum Abbruch der Transaktion führen.
• Terminal- und Acquirer-Betreiber: Ablaufdaten sollten an allen Stellen des EMV-Austauschs abgeglichen werden. Auffälligkeiten bei Timing oder Kommunikationsverhalten können zusätzliche Hinweise auf ein Relay liefern; eine universell zuverlässige Erkennungsmethode ist durch das vorliegende Material allerdings nicht belegt.
• Kartenherausgeber: Ablauf-, Ersatzkarten- und Kartenstatus unabhängig während der Autorisierung prüfen, statt sich ausschließlich auf ein vom Terminal geliefertes Datum zu verlassen. Transaktionen mit abgelaufenen oder ersetzten Zugangsdaten sollten abgelehnt oder markiert werden, wenn der Herausgeber dies zuverlässig erkennen kann.
• Kartenprogramme: Bei der Ausgabe einer Ersatzkarte muss die Vorgängerkarte – sofern vorgesehen – konsistent deaktiviert oder eingeschränkt werden.
• Verbraucher: Kontobewegungen regelmäßig kontrollieren und unbekannte oder unbefugte Umsätze sofort dem Kartenherausgeber melden. Eine abgelaufene physische Karte sollte nicht automatisch als harmlos gelten, solange das zugrunde liegende Konto oder die Kartenberechtigung noch aktiv sein kann.

Abgelaufene Zahlungskarten sicher entsorgen

Zuerst sollten Verbraucher die Vorgaben ihres Kartenherausgebers beachten – insbesondere dann, wenn die alte Karte zurückgesendet werden soll. Andernfalls sollte die Karte aus gespeicherten Händlerkonten und digitalen Wallets entfernt und zunächst bestätigt werden, dass die Ersatzkarte aktiv ist.

Die alte Karte sollte so zerstört werden, dass ihre Zahlungsdaten nicht leicht rekonstruiert werden können. Dazu gehören der Chip, der Magnetstreifen, die aufgedruckte Kartennummer, das Unterschriftenfeld und der Sicherheitscode. Am besten eignet sich ein Aktenvernichter mit Kreuzschnitt, der für Zahlungskarten ausgelegt ist. Wenn möglich, sollten die Einzelteile getrennt entsorgt werden.

Diese Schritte verringern das Risiko durch weggeworfene Kartendaten, ersetzen aber weder die regelmäßige Kontokontrolle noch die unverzügliche Meldung unbekannter Transaktionen an den Kartenherausgeber.