NFC – Near Field Communication

Ihre Bank hat Ihnen kürzlich eine NFC-fähige Girocard ausgegeben und auch Ihr Smartphone bietet NFC-Funktionen? Doch was NFC genau ist, wissen Sie nicht? Kein Problem. Wir geben Ihnen einen Überblick über den RFID-basierten Nahfunkstandard.

NFC erobert den Alltag, ermöglicht kontaktlose Bezahlvorgänge und erleichtert den Verbindungsaufbau zu Bluetooth-Geräten oder WLAN-Netzen. Weitere Anwendungsfelder bieten Smart-Home-Lösungen und das Internet der Dinge. Diesen Vorteilen der NFC-Technologie stehen Sicherheitsbedenken und datenschutzrechtliche Fragen gegenüber. Bei uns erfahren Sie mehr über die Risiken des Funkstandards und die allgemeinen Sicherheitsanforderungen an NFC-Anwendungen.

Bei NFC (Near Field Communication, deutsch: Nahfeldkommunikation) handelt es sich um einen Übertragungsstandard auf Basis von Radio Frequency Identification (RFID), der eine kontaktlose Datenübertragung über eine Distanz von wenigen Zentimetern ermöglicht.

Ein zentrales Anwendungsfeld der NFC-Funktion ist das kontaktlose Bezahlen an Point-of-Sale-Terminals (POS) im Einzelhandel oder in der Gastronomie. Neben Bankkarten sind auch moderne Smartphones in der Regel ab Werk mit der NFC-Technologie ausgestattet. In Kombination mit anderen Übertragungsstandards wie Bluetooth oder WLAN eröffnen sich weitreichende Möglichkeiten, wie die Nahfunktechnik Prozesse, die einen Datenaustausch zwischen zwei Geräten erfordern, schneller, flexibler oder komfortabler gestalten kann.

NFC liegt die RFID-Technologie zugrunde. RFID-Systeme bestehen aus mindestens einem Initiator (in der Regel ein RFID-Lese-/Schreibgerät), und beliebig vielen Zielgeräten (sogenannten Transpondern), die die vom Initiator gesendete Nachricht empfangen, verarbeiten und beantworten. Die Datenübertragung erfolgt über elektromagnetische Induktion zwischen zwei Schleifenantennen. Der Abstand zwischen RFID-Lesegerät und Transponder wird Luftschnittstelle genannt. Ziel der RFID-Technologie ist die Identifizierung, Authentifizierung und das Tracking von Gegenständen oder Personen. In der Logistik werden RFID-Transponder beispielsweise an Produkten oder Transportpaletten befestigt, um den Warenfluss nachzuzeichnen.

Als internationaler Standard spezifiziert NFC ein RFID-Kopplungsverfahren für das elektromagnetische Nahfeld. Die Standard-Frequenz für NFC-Systeme liegt gemäß ISO/IEC 18000-3 bei 13,56 MHz – eines der ISM-Hochfrequenzbänder, die weltweit lizenzfrei zur Verfügung stehen.

Charakteristisch für NFC ist die geringe Reichweite des Funkstandards. Eine Datenübertragung via NFC ist nur dann möglich, wenn sich Sender- und Empfängerantenne in unmittelbarer Nähe befinden. In der Praxis liegt der Arbeitsabstand zwischen zwei NFC-Geräten bei unter 10 Zentimetern. NFC-fähige Bezahlkarten beispielsweise müssen direkt an das Kartenlesegerät gehalten werde. Nur so lassen sich Transaktionen tätigen. Die geringe Reichweite soll unabsichtliche Verbindungen verhindern und trägt wesentlich zur Sicherheit des Nahfunkstandard bei.

Bei einer Funkübertragung via NFC sind prinzipiell zwei Kommunikationsmodi denkbar: Der passive und der aktive Modus. Während der passive Modus lediglich eine einseitige Kommunikation gestattet, bei der ein NFC-Gerät Daten von einem anderen abfragt, ermöglicht der aktive Modus eine wechselseitige Kommunikation.

• Passiver Modus: Beim passiven Modus werden aktive NFC-Lesegeräte verwendet, um passive Transponder auszulesen. Dazu erzeugt die Antenne des aktiven Geräts ein hochfrequentes elektromagnetisches Wechselfeld. Tritt ein passiver Transponder in den Nahbereich des Hochfrequenzfeldes ein, wird dieser kurzzeitig mit Energie versorgt. Passive Transponder erzeugen selbst kein Rücksignal, stattdessen werden Daten durch die Modulation des Abfragesignals übermittelt. Zur Anwendung kommt dieser Modus beispielsweise bei kontaktlosen Bezahlvorgängen. Entsprechende Transponder sind heute in die meisten Debit- oder Kreditkarten integriert.
• Aktiver Modus: Handelt es sich sowohl beim Initiator der Funkübertragung als auch beim Zielgerät um ein sendefähiges NFC-Gerät, ist eine Übertragung im aktiven Modus möglich. Aktive NFC-Geräte verfügen über eine eigene Energiequelle. Während der Kommunikation bauen die beteiligten Geräte abwechselnd eigene Hochfrequenzfelder auf, um Daten zu übermitteln, und deaktivieren diese, während sie auf eine Antwort warten.

Die Datenübertragung via NFC ist mit 106, 212 oder 424 kbit/s vergleichsweise gering. Bei Daten-intensiven Anwendungen wird die NFC-Technologie daher in der Regel mit Funkstandards wie Bluetooth kombiniert – beispielsweise, um das Pairing von Bluetooth-Geräten komfortabler zu gestalten. Auch Verbindungen zum WLAN lassen sich mithilfe der NFC-Technologie schneller und bequemer aufbauen. Werden WLAN-Verbindungdaten auf einem NFC-Transponder gespeichert, müssen Anwender diesen lediglich mit einem NFC-fähigen Smartphone auslesen, um sich mit dem Netzwerk zu verbinden. Die manuelle Eingabe des WLAN-Schlüssels ist dann nicht notwendig.

Die NFC-Funktion gehört bei aktuellen Smartphones zur Standardausstattung. Insbesondere Google fördert den Übertragungsstandard. Alle Smartphones, auf denen Android OS Version 4.0 oder höher läuft, sind NFC-kompatibel. Apple bekennt sich seit dem iPhone 6 zum NFC-Standard, verwendet diesen jedoch ausschließlich für eigene Dienste. Drittanbieter-Anwendungen steht die Nahfunk-Schnittstelle in Apple-Geräten bisher nicht offen.

NFC-fähige Handys, Tablets oder andere Smart-Devices wie Uhren, Armbänder oder Spielecontroller unterstützen in der Regel drei Operationsmodi:

• NFC-Card-Emulation-Mode
• NFC-Reader/Writer-Mode
• NFC-Peer-to-Peer-Mode

Ein NFC-Gerät im Card-Emulation-Mode verhält sich wie ein passiver Transponder – in der Regel wie der NFC-Chip einer Debit- oder Kreditkarte. Zur Anwendung kommt der Card-Emulation-Mode in Kombination mit Mobile-Payment-Apps. Entsprechende Anwendungen unterstützen alle gängigen Bezahlkarten und mitunter auch Kundenkarten, Bonuskarten oder Rabattgutscheine. Der Anwender wählt die gewünschte Karte über das Display aus und hält das NFC-Gerät an ein NFC-fähiges POS-Terminal – genau so, wie er es mit seiner Debit - oder Kreditkarte machen würde.

Im Reader-/Writer-Mode fungiert das NFC-fähige Smartphone oder Tablet als Lese- bzw. Schreibgerät für NFC-Chips. Integrieren kann man passive Transponder beispielsweise in Aufkleber auf Produktverpackungen. Ein Anwender, der sein NFC-Gerät im Reader-/Writer-Mode in die Nähe eines solchen Transponders hält, kann diesen auslesen und – sofern gestattet – mit Daten beschreiben.

Der Peer-to-Peer-Mode dient dem Datenaustausch zwischen zwei oder mehr Endgeräten. Zur Anwendung kommt diese NFC-Funktion unter anderem bei Android Beam. Denkbar ist der Einsatz der NFC-Peer-to-Peer-Technologie zudem im Gaming-Bereich oder bei Produktiv-Apps, die die gemeinsame Bearbeitung von Projekten im Team ermöglichen.

Tippen Sie erneut auf den Regler, um die Funktion zu deaktivieren.

Die NFC-Technologie bietet sich aufgrund des schnellen, unkomplizierten Verbindungsaufbaus für diverse Identifizierungs- und Authentifizierungsverfahren an. Praxisreife Anwendungen stehen Anwendern beispielsweise für folgende Bereiche zur Verfügung:

Die NFC-Technologie ermöglicht kontaktlose Kartenzahlungen an POS-Terminals, ohne dass die Debit- oder Kreditkarte ins Lesegerät eingesteckt werden muss. Die Authentifizierung erfolgt durch Bankdaten, die auf einem in die Bankkarte integrieren NFC-Chip gespeichert wurden. Für kontaktlose Bezahlvorgänge mit der Girocard steht in Deutschland das NFC-basierte System Girogo zur Verfügung. Die Kreditkartengesellschaften Visa und Mastercard bieten die NFC-Funktion unter den Markennamen Paypass und Visa payWave an. In Deutschland sind kontaktlose Kartenzahlungen unter 25 Euro bei den meisten Kartenanbietern ohne PIN oder Unterschrift möglich. Kontaktlose Bezahlvorgänge lassen sich dadurch deutlich schneller abwickeln als herkömmliche Kartenzahlungen. Ob Ihre Bankkarte NFC-fähig ist, erkennen Sie an einem entsprechen Logo – in der Regel stilisierte Funkwellen.

Beim Mobile Payment ersetzt das Smartphone die Bankkarte. Mobile-Payment-Apps wie Google Pay und Apple Pay ermöglichen es Anwendern, Bankdaten auf dem Mobiltelefon zu speichern und somit ein virtuelles Abbild der gewünschten Bezahlkarte zu erzeugen. Statt der Plastikkarte wird dann das NFC-fähige Handy in die Reichweite des Kartenlesegerätes gehalten, damit dieses die zur Authentifizierung benötigten Daten auslesen kann. Transaktionen werden in der Regel durch die Eingabe einer PIN-Nummer oder den Fingerabdruck des Smartphone Besitzers bestätigt.

Bei Kino-, Konzert- oder Museumbesuchen könnte die Eintrittskarte bald der Vergangenheit angehören. Das Gleiche gilt für den Fahrschein im öffentlichen Nahverkehr. An die Stelle des Papierschnipsels tritt das E-Ticket auf dem Smartphone, das sich dank NFC schnell und bequem kontaktlos per Funk auslesen lässt. Damit tritt die NFC-Technik in Konkurrenz zu optischen Identifizierungsverfahren wie Bar- oder QR-Codes.

Schlüsselkarten mit RFID-Chip sind heute allgegenwärtig. In Hotels öffnen sie die Tür zur Suite, in Schwimmbänder oder Sporthallen Schränke und Umkleidekabinen. Unternehmen nutzen RFID-Systeme, um den Zutritt zu gesicherten Bereichen oder Arbeitsplätze zu kontrollieren. Um sich Zutritt oder Zugang zu verschaffen, werden RFID-Transponder in Form von Chipkarten oder Schlüsselanhänger an ein dafür vorgesehenes Terminal oder einen Sensor am Schließmechanismus gehalten. NFC-fähige Smartphones könnten separate Transponder zukünftig überflüssig machen. Das Mobiltelefon wird damit zum Universalschlüssel für elektronische Schließanlagen.

Auch als unterstützende Technologie für Sicherheitssysteme kommt NFC Zum Einsatz – beispielsweise beim Zugang zu Desktopanwendungen und Web-Apps. Ein NFC-fähiger Token oder das Smartphone dienen in diesem Fall als zusätzliche Sicherheitskomponente im Rahmen einer Zwei-Faktor-Authentisierung. Anwender geben beispielsweise ihr Passwort ein und halten zusätzlich ein NFC-fähiges Gerät an einen dafür vorgesehenen Sensor.

Ein passiver RFID-Transponder ist nicht mehr als ein Mikrochip inklusive Kondensator und Antenne. Die kleinsten Bauformen sind nur wenige Millimeter groß. In der Logistik und im Einzelhandel werden Chips dieser Art in Klebeetiketten, sogenannte Tags, integriert und auf Waren und Produktverpackungen platziert, damit sich die Lieferkette nachverfolgen lässt. Auch die Werbebranche macht sich NFC-Tags zunutze. In NFC-Schautafeln (sogenannte Smart-Poster) integriert, bieten NFC-Tags interaktive Möglichkeiten. Betrachter können den Chip im Poster beispielsweise mit dem Smartphone auslesen und dadurch Informationen abrufen, die eine Reaktion in der jeweiligen Smartphone-App hervorrufen.

Samsung bietet mit TecTiles selbstklebende Sticker mit eingebautem NFC-Chip an, die von Anwendern für benutzerdefinierte Zwecke mit Befehlen beschrieben werden können. Gelangt das Smartphone des Anwenders in die Nähe des NFC-Tags, werden die vorprogrammierten Befehle übertragen und ausgeführt. TecTiles bieten vielseitige Anwendungsmöglichkeiten: Entsprechend platziert veranlassen NFC-Tags ein Smartphone beispielsweise, sich automatisch mit dem Bluetooth-Radio des Autos zu verbinden oder den Rufton am Arbeitsplatz auf lautlos zu schalten.

Die Sicherheit der NFC-Funktion wird nicht nur im Zusammenhang mit kontaktlosen Bezahlvorgängen diskutiert. Ein Transponder lässt sich prinzipiell von jedem NFC-fähigen Gerät auslesen. Das Gleiche gilt für Daten auf NFC-fähigen Smartphones, sofern die Funktion aktiviert ist. Und das ohne, dass ein Anwender die Datenübertragung aktiv initiiert oder genehmigt. Das ruft Datenschützer auf den Plan.

Im Fokus der Diskussion stehen folgende Sicherheitsrisiken und Datenschutzbedenken:

• ein Verlust NFC-fähiger Bankkarten, Mobilgeräte oder anderer Chipträger
• das unbefugte Auslesen der auf dem NFC-Chip gespeicherten Daten durch Dritte
• die Manipulation der Datenübertragung bei kontaktlosen Bezahlvorhängen
• das Erstellen von Verhaltens-, Nutzungs- und Bewegungsprofile aufgrund der kontaktlos ausgelesenen Informationen auf NFC-fähigen Geräten

Diskutiert wurden Maßnahmen zum sicheren und datenschutzgerechten Einsatz der NFC-Funktion und anderer RFID-basierter Technologien unter anderem auf der 72. Konferenz der Datenschutzbeauftragten des Bundes und der Länder am 26. und 27. Oktober 2006. Als Ergebnis der Konferenz veröffentlichte die Bundesbeauftragte für Datenschutz und Informationsfreiheit (BfDI) verbindliche Regelungen für den Einsatz von RFID-Technologien.

Die Forderungen lassen sich folgendermaßen zusammenfassen:

• Transparenz: Kommt RFID-Technologie zum Einsatz, müssen Betroffene darüber informiert werden.
• Kennzeichnungspflicht: Betroffene müssen die Möglichkeit haben, RFID-Tags zu erkennen und deren Kommunikationsvorgänge nachzuvollziehen.
• Keine heimliche Profilbildung: Personenbezogene Verhaltens-, Nutzungs- und Bewegungsprofile dürfen nur mit Zustimmung der Betroffen erstellt werden.
• Verschlüsselung: Anbieter RFID-basierter Anwendungen sind verpflichtet, ein unbefugtes Auslesen gespeicherter Nutzerdaten zu unterbinden – beispielsweise durch Verschlüsselung.
• Deaktivierung: RFID-Tags im Handels- und Dienstleistungssektor müssen bei Bedarf dauerhaft deaktiviert werden können. Werden auf RFID-Chips gespeicherte Daten für den ursprünglichen Zweck der Datenspeicherung nicht mehr benötigt, sind diese zu löschen.

Spezielle Forderungen für den Einsatz der NFC-Technologie im Rahmen kontaktloser Bezahlvorgänge wurden mit dem Beschluss der DSK (Datenschutzkonferenz) vom 23.03.2018 veröffentlicht.

Demnach sind alle Kreditinstitute, die Debit- oder Kreditkarten mit NFC-Chip ausgeben, dazu verpflichtet, ihre Kunden umfassend und verständlich über die Verarbeitung und Speicherung von Daten im Rahmen des kontaktlosen Bezahlens zu informieren. Nutzer von NFC-fähigen Bankkarten sind darauf hinzuweisen, dass Schutzhüllen zur Verfügung stehen, die ein Auslesen des Chips durch unbefugte verhindern. Der NFC-Chip muss in der Standardeinstellung deaktiviert sein. Zudem müssen Kunden die Möglichkeit haben, den Chip Ihrer Bankkarte bei Bedarf zu deaktivieren oder ohne Mehrkosten auf eine Debit- oder Kreditkarte ohne NFC-Funktion zurückzugreifen.

Den Datenschützern zufolge dürfen NFC-Chips keine wiederkehrenden Kennziffern – beispielsweise Kontonummern – bereitstellen, die sich kontaktlos auslesen lassen und so zu Zwecken der Profilbildung herangezogen werden können. Die Arbeit an internationalen Standards zur Verschlüsselung der Near Field Communication ist von der deutschen Wirtschaft weiterhin zu forcieren.

Verbraucher sind speziell auf die Risiken von Mobile-Payment-Apps hinzuweisen. Zudem sollen Anbieter entsprechender Anwendungen Hinweise zu Risikominimierung bereitstellen. Payment-Apps, die ein kontaktloses Bezahlen mit dem Smartphone ermöglichen, müssen durch die Anbieter stets auf dem neusten Stand gehalten werden.

Im Praxiseinsatz hängt die Sicherheit von NFC-Systemen nicht nur vom Bereitsteller entsprechender Anwendungen ab, sondern auch vom Umgang des Verbrauchers mit der Nahfunktechnologie. Gehen Sie folgendermaßen vor, um Sicherheitsrisiken zu minimieren.

Kontaktloses Bezahlen mit NFC-fähigen Debit- oder Kreditkarten

• Verwahren Sie Ihre NFC-fähige Bankkarte in einer Schutzhülle, die den Chip vor dem unbefugten Auslesen schützt, in dem sie Funkwellen blockiert. Nehmen Sie die Karte nur dann aus der Hülle, wenn Sie damit bezahlen möchten.
• Kontrollieren Sie Ihre Kontobewegungen regelmäßig und wenden Sie sich bei auffälligen Abbuchungen unverzügliche an Ihr Kreditinstitut.

Mobile Payment via App

• Aktivieren Sie die NFC-Funktion Ihres Mobilgeräts nur dann, wenn Sie eine entsprechende App verwenden möchte. Deaktivieren Sie NFC, nachdem Sie den Bezahlvorgang erfolgreich abgewickelt haben.
• Halten Sie sowohl die Gerätsoftware Ihres Smartphones als auch Mobile-Payment-Apps stets auf dem neusten Stand.
• Nutzen Sie alle vom Anbieter zur Verfügung gestellten Sicherheitsfunktionen – beispielsweise die Authentifizierung via PIN oder Fingerabdruck.
• Schützen Sie Ihr Mobilgerät mit einem Zugangscode vor dem Zugriff Dritter.

Bei Verlust Ihrer NFC-fähigen Bankkarte oder Ihres Mobilgeräts mit Mobile-Payment-App sollten Sie sofort handelt. Nutzen Sie die Notrufnummer Ihres Kreditinstituts, um abhandengekommene Debit- oder Kreditkarte sperren zu lassen.