ZOMBIE-KARTE! Deine abgelaufene Visa zahlt weiter — Forscher zeigen den Trick

Du bekommst eine neue Kreditkarte, schneidest die alte durch, wirfst sie weg. Erledigt, oder? Nicht ganz.

Forscher der University of Massachusetts Amherst haben auf der USENIX Security 2026 eine Arbeit vorgestellt, die genau diese Selbstverständlichkeit zerlegt. Titel: „Zombie Cards Back Online: Reviving Expired Credit Cards for Contactless Payments“. Ergebnis: Eine abgelaufene Visa-Karte lässt sich im Laden wieder zum Bezahlen bringen.

UNGLAUBLICH: Das Ablaufdatum ist gar nicht geschützt

Der Kern des Problems klingt fast zu simpel. Wenn du kontaktlos bezahlst, schickt die Karte dem Terminal unter anderem ihr Ablaufdatum. Das Terminal entscheidet daraufhin, ob die Karte noch gültig ist.

Nur: In Visas kontaktloser Konfiguration ist dieses Datum nicht von der digitalen Signatur der Karte abgedeckt. Die Karte unterschreibt also einen Teil ihrer Daten — aber ausgerechnet das Verfallsdatum gehört nicht dazu.

Wer sich zwischen Karte und Terminal schiebt, kann dieses eine Feld auf einen beliebigen Wert in der Zukunft umschreiben. Alle anderen Sicherheitsprüfungen der Karte laufen dabei ganz normal durch und sehen für das Terminal völlig unauffällig aus.

Zwei Handys, ein Relais

Der Aufbau der Forscher ist unspektakulär: zwei NFC-fähige Smartphones, die als Relais zwischen Karte und Kassenterminal geschaltet werden. Das eine Gerät liest die Karte, das andere gibt sich am Terminal als die Karte aus — und schreibt unterwegs das Ablaufdatum um.

Keine Spezialhardware, kein Labor. Das ist der eigentlich beunruhigende Teil.

WICHTIG: Nur Visa fiel durch

Hier gehört Genauigkeit hin, weil die Schlagzeilen das gern verwischen. Die Forscher haben mehrere Kartensysteme getestet. Mastercard, American Express und Discover haben die manipulierten Transaktionen abgelehnt. Betroffen war in den Tests Visa.

Das ist kein Zufall, sondern eine Frage der Konfiguration: Welche Datenfelder in die Signatur einfließen, legt jedes Kartensystem selbst fest.

WARUM DAS ÜBERHAUPT FUNKTIONIERT

Die zweite Erkenntnis ist die unangenehmere — und sie hat mit Technik wenig zu tun: Dein Kreditkarten-Konto läuft nicht ab, nur die Plastikkarte tut es.

Wenn du eine Ersatzkarte bekommst, wandert dieselbe Kontobeziehung auf ein neues Stück Plastik. Die alte Karte trägt aber weiterhin gültige Kontodaten mit sich herum. Das Ablaufdatum ist im Grunde nur eine Verabredung darüber, wie lange die Karte benutzt werden soll — kein technisches Schloss.

Deshalb ist eine weggeworfene, nicht zerstörte Karte eben nicht harmlos. Sie ist ein Zugangsmedium mit einem abgelaufenen Aufkleber.

SO SCHÜTZT DU DICH — 4 einfache Regeln

1. Alte Karten wirklich zerstören. Nicht nur einmal quer durchschneiden: Der NFC-Chip und die Antenne müssen kaputt sein. Die Antenne läuft als dünne Schleife am Rand der Karte entlang — mehrfach durchtrennen, Chip separat zerteilen.
2. Karten nicht lose herumliegen lassen. Auch abgelaufene nicht, und auch nicht im Handschuhfach oder in der Schublade „für den Notfall“.
3. Kontoauszüge lesen. Kleine, unerklärliche Beträge sind das klassische Frühwarnzeichen. Wer nur einmal im Quartal draufschaut, merkt es zu spät.
4. Push-Benachrichtigungen aktivieren. Fast jede Bank-App kann bei jeder Kartenzahlung sofort melden. Das kostet nichts und verkürzt die Reaktionszeit von Wochen auf Sekunden.

Und wer ist jetzt am Zug?

Ehrlich gesagt: nicht du. Das Grundproblem lässt sich nur auf Seiten des Kartensystems lösen, indem das Ablaufdatum in die signierten Daten aufgenommen oder auf Netzwerkebene härter geprüft wird. Bis dahin bleibt Nutzern die Schadensbegrenzung — und die Erkenntnis, dass eine durchgeschnittene Karte im Papierkorb keine so gute Idee ist.

FAZIT

„Zombie Cards“ ist eine dieser Forschungsarbeiten, die keinen dramatischen Massenangriff beschreiben, sondern eine strukturelle Schlamperei. Es gibt keine Hinweise, dass der Angriff im großen Stil ausgenutzt wird. Aber der Aufwand ist niedrig, das Werkzeug hat fast jeder in der Tasche — und die Lücke ist öffentlich.

Quellen

• UMass Amherst — When Zombie Credit Cards Attack
• Help Net Security — Researchers find a loophole that lets expired credit cards make unauthorized payments
• The Register — Expired credit cards revived by researchers to make unauthorized payments
• The Hacker News — Zombie Card Attack Can Revive Expired Visa Cards