Google schließt Sicherheitslücke in NFC-Bezahldienst Wallet

Google hat einen Fehler in seinem NFC-Bezahldienst Wallet behoben, der einfachen Zugriff auf das vorhandene Guthaben eines verlorenen Smartphones ohne Displaysperre erlaubte. Ab sofort können neben Bank- und Kreditkarten auch wieder Prepaid-Karten mit dem Service genutzt werden, wie Osama Bedier, Vice President für Google Wallet und Payments bei Google, in einem Blogeintrag mitteilt.

Google hatte die Bezahlfunktion mit dafür ausgestellten Prepaid-Karten am Montag vorübergebend gesperrt. Bedier bezeichnete diesen Schritt als „Vorsichtsmaßnahme“. Es lägen keine Hinweise vor, dass Prepaid-Karten oder die Wallet-PIN missbraucht worden seien. Falls Kunden Probleme haben, auf ihr Prepaid-Guthaben zuzugreifen, sollen sie sich an den kostenlosen Support wenden.

In den vergangen Wochen waren zwei Schwachstellen bekannt geworden, was Google schließlich zum Handeln zwang. Eine davon war schon im Dezember im Forum der XDA-Developers diskutiert worden. Ein Zurücksetzen der Wallet-Daten erlaubte demnach ohne PIN-Abfrage, eine neue PIN für eine Prepaid-Karte zu vergeben und über das Guthaben zu verfügen. Die zweite Anfälligkeit betrifft auch Kredit- und Bankdaten, wie Sicherheitsexperte Joshua Rubin von Zvelo in einem Blogeintrag erklärt und ausführlich in einem Video demonstriert. Sie setzt zwar das nicht immer einfache Rooting eines Geräts voraus, aber danach ist das Cracken der vierstelligen PIN per Brute-Force-Methode in kürzester Zeit möglich.

Google betont weiterhin, dass Wallet sehr sicher sei, in vielerlei Hinsicht sogar sicherer als Plastikgeld und Brieftaschen. Es erlaubt die Bezahlung von Einkäufen mit einem Handy, das dafür an einem Terminal vorbeigeführt wird. Banken sowie Netzbetreiber stehen Google Wallet allerdings abwartend gegenüber und bereiten eigene Bezahldienste vor. Verizon Wireless blockierte sogar Google Wallet auf dem Galaxy Nexus, was im Zusammenhang mit einem Handy-Bezahldienst stehen könnte, den der US-Provider zusammen mit AT&T sowie T-Mobile USA etablieren will.

Google ging als erster Anbieter mit einem NFC-Bezahldienst in den Markt. Derzeit ist Google Wallet nur mit zwei Smartphones in den USA nutzbar, dem Samsung Nexus S 4G von Sprint sowie einem entsperrten Galaxy Nexus im Netz von AT&T. Weitere Smartphones mit NFC-Chip, die sich für Google Wallet eignen, sind für das erste Halbjahr angekündigt.