Apple Pay & Visa Express-Modus Schwachstelle – wie real ist die Bedrohung?

von

In einem anschaulichen Szenario demonstrieren Technik-Experten, wie theoretisch eine Summe von 10.000 $ von einem gesperrten iPhone entwendet werden kann. Was nach einem Hollywood-Heist klingt, basiert auf einer realen Schwachstelle in der Interaktion zwischen Apple Pay und dem Visa-Netzwerk.

Der Kern der Schwachstelle: „Express ÖPNV“

Die Sicherheitslücke nutzt eine Funktion aus, die eigentlich für den Komfort gedacht ist: Express Transit (Express-ÖPNV).

  • Die Funktion: Nutzer können Fahrten bezahlen, ohne das iPhone per Face ID, Touch ID oder Code zu entsperren.
  • Das Problem: Das System ist so programmiert, dass es auf spezifische Signale von Fahrgatter-Lesegeräten reagiert. Angreifer können diese Signale simulieren.

So funktioniert der „Relay-Angriff“ (Man-in-the-Middle)

Der Angriff basiert auf einem komplexen MITM-Setup (Man-in-the-Middle):

  1. Proximales Gerät: Ein kleiner Sender in unmittelbarer Nähe des Opfers (z. B. in einer Tasche neben dem iPhone) täuscht vor, ein legitimes ÖPNV-Terminal zu sein.
  2. Signal-Manipulation: Das iPhone „glaubt“, es befinde sich an einer U-Bahn-Schranke und gibt die Zahlung ohne biometrische Prüfung frei.
  3. Relay & Umwandlung: Das Signal wird per Funk an ein zweites Gerät (beim Angreifer) weitergeleitet. Dieses verändert die Transaktionsdaten so, dass dem Visa-Netzwerk suggeriert wird, es handele sich um eine autorisierte Zahlung an einen Händler – und nicht um ein Ticket für den Bus.

Warum Sie (wahrscheinlich) nicht in Panik geraten müssen

Obwohl die Demonstration spektakulär wirkt, ist sie im Alltag schwer umsetzbar:

  • Spezialhardware: Es ist kein Angriff, der mit einer einfachen App durchgeführt werden kann. Er erfordert maßgeschneiderte Funk-Hardware.
  • Physische Nähe: Der Angreifer muss sich für die Dauer der Transaktion extrem nah (wenige Zentimeter) am Gerät befinden.
  • Kontrollierte Umgebung: Die Latenzzeiten bei der Signalübertragung müssen minimal sein, da Sicherheitsprotokolle bei Verzögerungen oft abbrechen.
  • Betrugserkennung: Banken und Visa nutzen KI-gestützte Systeme, die ungewöhnliche 10.000-$-Transaktionen über eine „ÖPNV-Schnittstelle“ sofort blockieren würden.

Prävention: So schützen Sie sich

Wer absolute Sicherheit bevorzugt, kann mit wenigen Handgriffen vorsorgen:

  1. Express-Modus deaktivieren: Gehen Sie in die Einstellungen -> Wallet & Apple Pay -> Express-ÖPNV-Karte und setzen Sie diese auf „Ohne“.
  2. Mastercard nutzen: Interessanterweise scheint diese spezifische Form der Signal-Manipulation primär im Zusammenspiel mit Visa-Karten zu funktionieren.
  3. Wachsamkeit: In Menschenmengen bleibt die physische Sicherheit des Geräts der wichtigste Faktor.

Kein System ist unfehlbar. Dennoch gilt das iPhone weiterhin als eines der sichersten Endverbrauchergeräte auf dem Markt. Dieser Fall zeigt jedoch eindrucksvoll, dass die Bequemlichkeit (Convenience) oft der natürliche Feind der maximalen Sicherheit ist. Für den durchschnittlichen Nutzer bleibt das Risiko minimal, für Sicherheitsforscher ist es eine wichtige Mahnung zur stetigen Nachbesserung von Protokollen.

Generell Hinweise und Hilfestellung für Apple und iPhone gibt es mittlerweile sehr umfangreich und für unterschiedliche Ansprüche:

Weitere Artikel rund um iPhone und Apple

Die neusten Artikel rund um Apple


Mobilfunk-Newsletter: Einmal pro Woche die neusten Informationen rund um Handy, Smartphones und Deals!


Unser kostenloser Newsletter informiert Sie regelmäßig per E-Mail über Produktneuheiten und Sonderaktionen. Ihre hier eingegebenen Daten werden lediglich zur Personalisierung des Newsletters verwendet und nicht an Dritte weitergegeben. Sie können sich jederzeit aus dem Newsletter heraus abmelden. Durch Absenden der von Ihnen eingegebenen Daten willigen Sie in die Datenverarbeitung ein und bestätigen unsere Datenschutzerklärung.

Immer die aktuellsten Nachrichten direkt im Smartphone.
Unsere Kanäle gibt es kostenlos hier:
Telegram: Appdated Telegram Channel
Facebook: Appdated Facebook Seite
Twitter: Appdated Twitter Channel

Schreibe einen Kommentar