Von Trufy • Mit KI-Unterstützung erstellt, redaktionell geprüft

NFC-Karte gegen Überschreiben schützen: Kann jemand die Bewertungskarte umleiten?

Chip überschreiben oder Karte überkleben: welches Risiko trifft Ihre NFC-Bewertungskarte?

Beide Wege führen den Gast auf eine fremde Seite statt auf Ihr Google-Profil. Der eine verändert den Chip, der andere nur das, was darüber liegt.

Die Tabelle zeigt den Kern: Das Überschreiben lässt sich technisch endgültig ausschließen, das Überkleben nicht. Deshalb braucht eine NFC-Bewertungskarte beides — einen gesperrten Chip und einen Platz im Betrieb, an dem ein Eingriff auffällt.

Wann jemand die NFC-Bewertungskarte tatsächlich überschreiben kann

Überschreiben funktioniert nur bei einem Chip, der noch offen ist. NFC-Bewertungskarten nutzen meist Chips der NTAG-21x-Familie nach dem Standard NFC Forum Type 2 Tag — also einfache Speicherchips ohne eigene Stromversorgung. Die hinterlegte Web-Adresse liegt dort als NDEF-Nachricht, das ist das übliche Datenformat für NFC-Tags.

Ein solcher Chip ist ab Werk nicht gesperrt. Der Schreibbefehl aus dem Android-System ersetzt eine vorhandene NDEF-Nachricht durch eine neue. Frei erhältliche Schreib-Apps, darunter die Hersteller-App NFC TagWriter von NXP, nutzen genau diesen Weg.

• Die Karte liegt dauerhaft offen auf einem Tisch im Gastraum, an dem niemand vorbeisieht.
• Karten werden lose ausgelegt und wandern mit Gästen durch den Raum.
• Die Karte stammt aus einer Charge ohne Schreibschutz und wurde nach dem Kauf nie geprüft.
• Ein Mitbewerber oder ein ehemaliger Mitarbeiter hat unbeaufsichtigt Zugang zum Thekenbereich.

Ohne direkten Zugriff auf wenige Zentimeter passiert nichts. Wer eine Karte selbst beschreibt oder beschreiben lässt, sollte die Unterschiede kennen — dazu steht mehr unter NFC-Karte selbst programmieren oder fertig kaufen.

Wann jemand die Karte überklebt oder tauscht statt sie zu überschreiben

Überkleben ist der Weg, der ohne jede Technik auskommt — und deshalb der wahrscheinlichere. Ein zweiter NFC-Aufkleber über der Karte stört die Lesung oder führt auf eine fremde Adresse. Genauso einfach ist der Tausch: Die Originalkarte verschwindet, eine optisch ähnliche Karte liegt an ihrer Stelle.

Dass Täter im öffentlichen Raum genau so vorgehen, ist dokumentiert. Die Verbraucherzentrale beschreibt unter dem Stichwort Quishing überklebte QR-Codes an Ladesäulen und Parkautomaten. Das Landeskriminalamt Niedersachsen warnte Mitte November 2024 vor überklebten Codes auf Parkscheinautomaten in Hannover, die Düsseldorfer Rheinbahn im Dezember 2024 vor gefälschten Plakaten.

• Der Chip ist gesperrt — dann bleibt einem Angreifer nur der Weg über die Oberfläche.
• Die Karte steckt in einem Aufsteller im Eingangsbereich, an dem ständig Fremde vorbeigehen.
• Mehrere Karten liegen an Stellen verteilt, die niemand im Team täglich in die Hand nimmt.
• Die Karte klebt an einer Säule, einem Schaufenster oder einer Tür mit Zugang von außen.

Für Lokale mit Codes an Tisch und Eingang lohnt der Vergleich mit dem Papierweg: Überklebter QR-Code im Lokal zeigt, warum ein bedruckter Aufkleber leichter zu fälschen ist als eine Plastikkarte mit Chip.

Wie der Schreibschutz im NFC-Chip die Bewertungskarte dauerhaft sichert

Der Schreibschutz einer NFC-Bewertungskarte sitzt im Chip selbst und ist endgültig. NTAG-21x-Chips haben eine im Feld programmierbare Nur-Lese-Sperre: Über sogenannte Lock-Bits lassen sich Speicherbereiche einzeln auf Nur-Lese setzen. Ab Werk stehen diese Bits auf null, der Chip ist also offen.

Entscheidend ist die Richtung: Ein gesetztes Lock-Bit lässt sich nicht zurücksetzen. Über die NFC-Schnittstelle kann danach kein Gerät mehr schreiben, und die Sperre selbst ist nicht mehr aufhebbar. Daneben gibt es einen 32-Bit-Passwortschutz, der im Auslieferungszustand deaktiviert ist. Er schützt Speicheroperationen und bleibt mit dem richtigen Passwort änderbar.

Eine rein weiche Variante existiert ebenfalls: Der Speicherbereich wird nur als „nur lesbar“ markiert. Reguläre Apps schreiben dann nicht mehr, ein echter Schutz ist das aber nicht. Fragen Sie beim Kauf nach, ob die Karte mit gesetztem Schreibschutz ausgeliefert wird.

Kann jemand die NFC-Bewertungskarte aus der Entfernung oder übers Internet umleiten?

Aus der Entfernung lässt sich eine NFC-Bewertungskarte nicht verändern. NFC arbeitet auf 13,56 Megahertz, und die Reichweite im Lese- und Schreibbetrieb liegt je nach Antenne bei wenigen Zentimetern. Die Verbraucherzentrale nennt denselben Abstand für kontaktloses Bezahlen: Es funktioniert nur auf wenige Zentimeter.

Auch übers Netz passiert nichts. Der Chip hat keine Verbindung zum Internet und keine eigene Stromversorgung. Er wird erst aktiv, wenn ein Lesegerät direkt davor gehalten wird. Ein gehacktes Konto, ein fremder Server oder ein Angriff auf Ihre Website erreichen den Chip nicht.

Praktisch heißt das: Wer Ihre Karte manipulieren will, muss im Betrieb stehen. Das schränkt den Kreis stark ein und macht die Sichtkontrolle zur wichtigsten Maßnahme. Eine Karte hinter der Theke, die ein Mitarbeiter dem Gast reicht, ist schwerer zu erreichen als eine, die frei im Eingang liegt.

Woran Sie merken, dass Ihre Bewertungskarte nicht mehr auf Ihr Google-Profil führt

Eine überschriebene Karte sieht aus wie vorher — Sie merken es nur beim Lesen. Deshalb gehört ein kurzer Test in die Routine, etwa einmal im Monat und immer nach einer vollen Schicht mit viel Publikum.

• Karte mit dem eigenen Handy antippen und prüfen, ob die angezeigte Adresse zu Ihrem Profil gehört.
• Die Hersteller-App NFC TagInfo von NXP zeigt Chiptyp, Speicherlayout und die hinterlegten Datensätze an.
• Mit der App sehen Sie auch, ob der Chip als schreibgeschützt gemeldet wird.
• Karte gegen das Licht halten und abtasten: ein zweiter Aufkleber bildet eine Kante oder eine Blase.
• Zahl der Karten im Betrieb mit dem Bestand abgleichen, damit ein Tausch auffällt.

Auf der Gastseite hilft das Handy mit: Android analysiert den gelesenen Tag und zeigt die Zieladresse, bevor etwas geöffnet wird. Wer die eigene Domain kennt, erkennt eine Umleitung in dem Moment. Wie Sie testen, ohne versehentlich eine Bewertung abzugeben, steht unter Bewertungslink und NFC-Karte testen.

Welches Risiko Sie bei Ihrer NFC-Bewertungskarte zuerst angehen sollten

Gegen das Überschreiben setzen Sie den Schreibschutz, wenn die Karte frei zugänglich liegt, der Link endgültig feststeht und mehrere Karten im Umlauf sind. Die Sperre ist in dem Moment die stärkere Lösung, weil sie den Weg technisch schließt und niemand sie rückgängig machen kann.

Gegen Überkleben und Tausch arbeiten Sie mit Platzierung und Kontrolle, wenn die Karte in einem Aufsteller im Eingang steht, an einer Scheibe klebt oder an mehreren Standorten liegt. In diesen Fällen bringt der Schreibschutz allein nichts — hier ist die Sichtprüfung die wirksamere Maßnahme, nicht die Technik.

Wechselt der Link noch, etwa weil ein zweiter Standort dazukommt, ist eine Karte ohne feste Sperre die bessere Wahl. Dann ersetzt eine regelmäßige Kontrolle den technischen Schutz. Diese Einordnung ist allgemein gehalten und keine Rechtsberatung.

Wenn Sie ohnehin neu starten: Die NFC-Bewertungskarte von Trufy kommt bereits auf Ihr Google-Profil programmiert an, sodass Sie nur noch den Platz im Betrieb festlegen müssen.