RFID-Blocker: Wogegen er hilft und wo NFC-Betrug wirklich passiert

Wer online nach einem RFID-Blocker sucht, landet schnell in einem Laden. Geldbörsen mit eingenähter Metallfolie, Schutzhüllen im Zehnerpack, Karten, die angeblich ein Störfeld aufbauen. Die Händler beantworten die Frage, ob man das braucht, meist gleich selbst, und die Antwort fällt erwartbar aus. Dazu kommt ein Bild, das sich seit Jahren hält: Ein Fremder drängt sich in der U-Bahn an dich heran, ein Lesegerät in der Jackentasche, und ein paar Sekunden später ist deine Kreditkarte kopiert.

Hier fällt die Antwort nüchterner aus. Wir haben nichts zu verkaufen. Das Gedränge-Szenario ist technisch möglich, aber es lohnt sich für Diebe kaum, und es spielt in den Betrugsstatistiken praktisch keine Rolle. NFC-Betrug gibt es trotzdem, und er wächst. Er funktioniert nur anders, als die Werbung für Schutzhüllen nahelegt. Bei den Maschen, die heute Konten leeren, halten die Opfer ihre Karte selbst ans Handy, weil ein Anrufer sie darum gebeten hat.

Was beim Kontaktlos-Bezahlen eigentlich passiert

RFID ist der Oberbegriff für Funkchips, die ohne eigene Batterie auskommen. Das Lesegerät erzeugt ein Feld, der Chip bezieht daraus Strom und antwortet. NFC, Near Field Communication, ist eine besonders kurzreichweitige Spielart davon, und genau die steckt in deiner Bankkarte und im Smartphone. Das Wellensymbol auf der Karte zeigt an, dass sie diesen Funk beherrscht.

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) nennt eine Reichweite von höchstens zehn Zentimetern. Deshalb musst du die Karte fast auf das Terminal legen, bevor es piept. Mit Spezialantennen lässt sich die Distanz im Labor etwas strecken. Aus mehreren Metern Entfernung liest trotzdem niemand eine Bankkarte aus.

Wichtiger als die Reichweite ist, was übertragen wird. Bei jeder Zahlung berechnet der Chip einen kryptografischen Code, der nur für genau diesen einen Vorgang gilt. Das BSI beschreibt ihn als Datensatz, der nur für diesen einen Bezahlvorgang gültig ist. Ein mitgeschnittener Code ist danach wertlos, denn die Bank würde ihn kein zweites Mal akzeptieren.

Was ein Dieb tatsächlich auslesen könnte

Ganz leer geht ein Lesegerät trotzdem nicht aus. Die britische Verbraucherorganisation Which? hat 2015 zehn kontaktlose Karten getestet und bei allen die Kartennummer und das Ablaufdatum auslesen können. Das klingt nach viel. Die dreistellige Prüfziffer von der Rückseite fand sie auf keiner einzigen Karte, weil die gar nicht auf dem Chip steht.

Mit Nummer und Ablaufdatum allein kommt man nicht weit. Die meisten Onlineshops verlangen die Prüfziffer, in Europa kommt bei größeren Beträgen die Freigabe in der Banking-App dazu. Eine Kopie der Karte, die an einer Kasse funktioniert, lässt sich aus den Daten nicht bauen, weil ihr der geheime Schlüssel für die Einmal-Codes fehlt. Der steckt im Chip und verlässt ihn nie.

Bleibt ein letzter Trick: Der Dieb bucht direkt am Körper des Opfers ab, mit einem mobilen Kassenterminal in der Tasche. Auch das ist denkbar. Nur muss er dafür ein Händlerkonto bei einem Zahlungsdienstleister haben, das auf seinen Namen oder den eines Strohmanns läuft. Das Geld landet dort nachverfolgbar, und pro Zahlung ohne PIN sind höchstens 50 Euro drin. Für die Plastikkarte schreibt die EU-Zahlungsrichtlinie PSD2 außerdem einen Zähler vor: Je nach Bank fragt das Terminal spätestens nach fünf kontaktlosen Zahlungen in Folge oder nach 150 Euro in Summe wieder nach der PIN.

Wer mit dem Handy oder der Uhr zahlt, kennt diese Abfrage kaum. Dort gilt das Entsperren per Gesicht, Fingerabdruck oder Code bereits als vollwertige Bestätigung. Jede Zahlung ist damit schon doppelt abgesichert, durch das Gerät und durch dich. Das Terminal muss nicht zusätzlich nach der PIN fragen, auch nicht bei größeren Beträgen.

Das passt zu dem, was Fachleute berichten. Consumer Reports zitierte 2020 einen Sicherheitsexperten mit dem Satz, es gebe keine dokumentierten Fälle von Kreditkartenbetrug über RFID. Die US-Seniorenorganisation AARP kam in einem Beitrag von 2026 zum selben Ergebnis. Das Identity Theft Resource Center hält das Thema dort für kein reales Risiko, und Visa schreibt selbst, Betrug durch Skimming sei “sehr unwahrscheinlich und begrenzt”.

Wo NFC-Betrug heute wirklich passiert

Die echten Fälle sehen anders aus. Einer der ersten gut dokumentierten spielte in Tschechien. Am 22. August 2024 veröffentlichte die slowakische Sicherheitsfirma ESET eine Analyse über eine Schadsoftware, die sie NGate taufte. Die Täter hatten es auf Kunden von drei tschechischen Banken abgesehen.

Der Ablauf begann mit einer SMS über eine angebliche Steuererstattung. Wer darauf hereinfiel, installierte eine gefälschte Banking-App und gab dort seine Zugangsdaten ein. Danach klingelte das Telefon. Ein falscher Bankmitarbeiter erklärte, das Konto sei in Gefahr, und schickte zur Sicherheit eine weitere App. Darin sollten die Opfer ihre alte PIN eingeben, eine neue festlegen und zur Bestätigung ihre Bankkarte an die Rückseite des Handys halten.

Diese App war NGate. Sie leitete die Funkverbindung der echten Karte über das Internet an ein Handy der Täter weiter, das sich damit am Geldautomaten als diese Karte ausgab. Die PIN hatten die Opfer ja gerade selbst eingetippt. Im März 2024 nahm die tschechische Polizei in Prag einen 22-Jährigen fest, der Geld an Automaten abgehoben hatte. Er trug 160.000 Kronen bei sich, gut 6.000 Euro, laut Polizei allein von den letzten drei Opfern.

Das Werkzeug dahinter stammt übrigens aus Deutschland. NFCGate wurde von Studierenden der Technischen Universität Darmstadt entwickelt, um NFC-Verbindungen zu untersuchen und zu verändern. Es ist frei verfügbar, und die Täter haben es für ihre Zwecke umgebaut.

Seitdem hat sich die Methode verbreitet. Laut ESET stiegen die Funde von NFC-Schadsoftware im ersten Halbjahr 2025 auf mehr als das 35-Fache des vorherigen Halbjahrs, im zweiten Halbjahr 2025 kamen noch einmal 87 Prozent dazu. Die absoluten Zahlen seien bescheiden, schreibt ESET selbst. Das italienische Sicherheitsunternehmen Cleafy beschrieb im April 2025 ein Angebot namens SuperCard X, bei dem Kriminelle solche Relay-Apps als Mietdienst bekommen. In Brasilien tauchte eine angepasste NGate-Variante auf.

Und die Masche ist jetzt vor der Haustür angekommen. Am 25. September 2026 warnten die Erste Bank und die österreichischen Sparkassen vor Anrufen wegen einer angeblich verdächtigen Transaktion. Danach kommt per WhatsApp ein Link zu einer “Sicherheits-App”. Die Opfer sollen NFC einschalten, die Karte ans Handy halten und oft auch die PIN nennen. Ähnliche Abläufe hatte die Sicherheitsfirma Group-IB im August 2026 unter dem Namen WindRelay aus Tschechien, der Slowakei und Slowenien beschrieben.

Ghost Tap: die Karte im fremden Handy

Die zweite Masche braucht die Plastikkarte des Opfers gar nicht mehr. Im November 2024 beschrieb die niederländische Firma ThreatFabric eine Methode, die sie Ghost Tap nannte. Die Täter besorgen sich zunächst Kartendaten, meist über gefälschte Paket- oder Maut-SMS, wie wir sie beim Smishing beschrieben haben. Um die Karte in Apple Pay oder Google Wallet auf ihrem eigenen Handy zu hinterlegen, fehlt ihnen dann noch der Bestätigungscode der Bank. Den fragt die Phishing-Seite gleich mit ab, oder eine Schad-App fängt ihn ab.

Liegt die Karte einmal im Handy der Täter, leiten sie die Zahlung per NFCGate an Helfer weiter, die irgendwo an einer Kasse stehen. Der Drahtzieher kann dabei in einem anderen Land sitzen. Die Helfer, im Fachjargon Mules, kaufen vor allem Geschenkkarten, die sich leicht weiterverkaufen lassen.

In den USA ist daraus ein eigenes Kriminalitätsfeld geworden. Das Sheriffbüro von Knox County in Tennessee meldete Ende Mai 2025 mehr als zehn Festnahmen im Zusammenhang mit Ghost Tap. Der Sender CNBC beschrieb im Juli 2026 einen Mann, der an einer Selbstbedienungskasse in Louisiana rund sieben Minuten lang Geschenkkarten zu je 95 Dollar kaufte, jede per Handy bezahlt. Laut Polizei verdienen chinesische Banden mit solchen Maschen bis zu eine Milliarde Dollar im Jahr.

Hilft ein RFID-Blocker gegen irgendwas davon?

Die ehrliche Antwort steht in der rechten Hälfte dieser Tabelle.

Das Muster ist deutlich. Wo tatsächlich Geld verschwindet, ist der Funk nur das letzte Glied einer Kette, die mit einer SMS oder einem Anruf beginnt. Die Täter brauchen deine Mitarbeit. Eine Metallfolie im Portemonnaie ändert nichts daran, dass du am Telefon glaubst, mit deiner Bank zu sprechen.

Wann eine RFID-Schutzhülle trotzdem Sinn ergibt

Es gibt Karten, bei denen die Sache anders liegt. Viele ältere Zugangskarten für Büros, Parkhäuser oder Wohnanlagen funken auf 125 Kilohertz und senden dabei einfach eine feste Nummer, ohne jede Verschlüsselung. Kopiergeräte dafür gibt es im Onlinehandel für ein paar Euro, und die Kopie öffnet die Tür genauso wie das Original. Wer so eine Karte hat, fährt mit einer RFID-Schutzhülle nicht schlecht, vor allem, wenn die Karte Zugang zu mehr als dem eigenen Briefkasten gibt.

Ein zweiter Fall sind Karten, die bewusst auf größere Entfernung lesbar sind. Die US-Passkarte für Landgrenzen ist so gebaut, dass Lesegeräte sie aus mehreren Metern erfassen, das US-Außenministerium gibt dazu eine Schutzhülle mit. Für Deutsche spielt das kaum eine Rolle.

Beim deutschen Personalausweis und beim Reisepass sieht es anders aus. Der Chip im Ausweis rückt seine Daten laut BSI nur heraus, wenn das Lesegerät die sechsstellige Zugangsnummer von der Vorderseite oder deine PIN kennt. Das Verfahren heißt PACE und wurde genau gegen heimliches Auslesen gebaut. Beim Reisepass funktioniert es ähnlich, dort dienen die Daten aus der maschinenlesbaren Zeile als Schlüssel. Wer den Pass in der Hand hat, um diese Zeile abzulesen, braucht den Chip gar nicht mehr. Welche Nummern auf dem Ausweis stehen und was ein Fremder mit ihnen anfangen kann, erklärt der Artikel über die Personalausweisnummer.

Und falls du schon eine Hülle oder eine Blocker-Börse besitzt: Sie schadet nicht. Du musst die Karte an der Kasse eben herausnehmen.

NFC am Handy ausschalten: ja oder nein?

Diese Frage stellen viele, gerade nach den Meldungen über NGate. Die kurze Antwort lautet, dass es für die meisten Menschen wenig bringt. Bezahlen mit dem Handy funktioniert nur, wenn du vorher per Gesicht, Fingerabdruck oder Code bestätigst. Ein Fremder, der sein Lesegerät an dein gesperrtes Handy hält, bekommt keine Zahlung heraus.

Auf Android kannst du NFC in den Verbindungseinstellungen trotzdem abschalten, wenn du es nie benutzt. Sinnvoller ist ein zweiter Schalter, den viele Geräte direkt darunter anbieten und der NFC nur bei entsperrtem Gerät erlaubt. Dann reagiert das Handy auf keinen NFC-Kontakt, solange der Bildschirm gesperrt ist. Auf dem iPhone gibt es keinen NFC-Schalter. Dort kannst du höchstens den Express-Modus für Nahverkehrskarten in den Wallet-Einstellungen ausschalten, der Zahlungen ohne Entsperren erlaubt.

Beim Relay-Betrug hilft das Abschalten allerdings nur bedingt. Die Täter bitten dich im Gespräch ja ausdrücklich, NFC einzuschalten. Die entscheidende Stelle ist die Installation einer App über einen Link aus WhatsApp oder SMS. Solche Apps kommen fast nie aus dem offiziellen Play Store, NGate war dort nie zu finden. Wer die Installation aus unbekannten Quellen gesperrt lässt, hat mehr gewonnen als mit jedem NFC-Schalter.

Was im Alltag wirklich schützt

Die wirksamsten Einstellungen kosten nichts und liegen in deiner Banking-App. Fast alle Banken schicken auf Wunsch für jede Kartenzahlung eine Push-Nachricht. Das ist lästig bei jedem Brötchenkauf, aber du merkst eine fremde Abbuchung sofort und nicht erst am Monatsende. Viele Apps erlauben außerdem, das Kontaktlos-Bezahlen einzeln abzuschalten, Tageslimits zu senken oder die Karte für Zahlungen im Ausland zu sperren.

Gegen Relay-Angriffe und Ghost Tap hilft vor allem Misstrauen an der richtigen Stelle. Beide beginnen mit Druck: eine verdächtige Buchung, ein gesperrtes Konto, eine offene Mautgebühr. Das Muster kennst du vielleicht vom Quishing, bei dem ein QR-Code dieselbe Rolle spielt wie hier die SMS. Wer bei dieser Art von Eile innehält und die Bank über eine selbst gesuchte Nummer anruft, entgeht den meisten dieser Fallen.

Und falls es schon passiert ist: Karte sofort sperren lassen, das Handy vom Netz nehmen und die fremde App entfernen. Wie du prüfst, was auf dem Gerät sonst noch läuft, steht in unserem Text Wurde ich gehackt?. Rechtlich haftest du bei Missbrauch einer Karte in der Regel mit höchstens 50 Euro. Eine Ausnahme ist grobe Fahrlässigkeit, und wer die PIN einem Anrufer nennt, muss damit rechnen, dass die Bank genau das einwendet.

Was bleibt

Ein RFID-Blocker schützt gegen einen Angriff, den es in der Praxis kaum gibt. Das macht ihn nicht zur Abzocke, er ist nur für die meisten Menschen schlicht überflüssig. Sinnvoll wird er bei alten Zugangskarten, deren Nummer sich ohne Weiteres kopieren lässt.

Der NFC-Betrug, der tatsächlich Geld kostet, hat sich ins Telefon verlagert, und zwar in beide Bedeutungen des Wortes. Er beginnt mit einer SMS oder einem Anruf und endet mit einer App, die du selbst installiert hast. Dagegen hilft keine Folie. Was hilft, ist die schlichte Regel, dass eine Karte an ein Terminal gehört und nie an ein Handy, nur weil jemand am Telefon darum bittet.

Häufige Fragen

Brauche ich einen RFID-Blocker für meine Bankkarte?

Für eine normale Giro- oder Kreditkarte in aller Regel nicht. Die Karte funkt nur auf wenige Zentimeter, überträgt bei jeder Zahlung einen Einmal-Code und gibt die Prüfziffer von der Rückseite gar nicht heraus. Das BSI hält das Abgreifen "im Vorbeigehen" für unwahrscheinlich, und Verbraucherschützer kennen keine belegten Fälle, in denen Diebe im Gedränge echte Beute gemacht hätten. Schaden kann eine Hülle nicht, sie schützt dich nur vor dem falschen Risiko.

Kann man die Kreditkarte durch das Portemonnaie auslesen?

Mit einem Lesegerät direkt am Portemonnaie teilweise schon. Tests fanden auf manchen Karten die Kartennummer und das Ablaufdatum, nie aber die Prüfziffer. Ohne Prüfziffer lässt sich in den meisten Onlineshops nicht bezahlen, und eine Kopie der Karte für das Terminal ist so nicht möglich, weil der Chip bei jeder Zahlung einen neuen kryptografischen Code erzeugt. Liegen mehrere Karten übereinander, stören sie sich außerdem oft gegenseitig.

Soll ich NFC am Handy ausschalten?

Für die meisten Menschen bringt das wenig. Bezahlen per Handy funktioniert ohnehin nur nach Entsperren oder Bestätigen, und die bekannten NFC-Betrugsmaschen setzen darauf, dass du selbst eine App installierst und deine Karte an das Handy hältst. Wer NFC nie nutzt, kann es auf Android abschalten, das schadet nicht. Wirksamer ist die Option, NFC nur bei entsperrtem Gerät zu erlauben. Auf dem iPhone gibt es keinen eigenen NFC-Schalter.

Was ist NFC-Relay-Betrug?

Bei einem Relay-Angriff leitet eine Schad-App auf dem Handy des Opfers die Funkverbindung der echten Karte in Echtzeit über das Internet weiter. Am anderen Ende steht ein Komplize mit einem zweiten Handy an einem Geldautomaten oder einer Kasse und gibt sich damit als die Karte aus. Voraussetzung ist, dass das Opfer die App installiert und die Karte ans eigene Handy hält, meist nach einem Anruf eines falschen Bankmitarbeiters. Gegen diesen Ablauf hilft kein Blocker, denn die Karte liegt ja freiwillig auf dem Handy.

Ist mein Personalausweis ohne Schutzhülle unsicher?

Nein. Der Chip im deutschen Personalausweis gibt seine Daten nur frei, wenn das Lesegerät die sechsstellige Zugangsnummer von der Vorderseite oder deine PIN kennt. Dieses Verfahren heißt PACE und soll genau verhindern, dass jemand den Chip ohne direkten Zugriff ausliest. Beim Reisepass gilt ein ähnliches Prinzip mit den Daten aus der maschinenlesbaren Zone. Eine Hülle schützt hier vor allem vor Kratzern.