Schlimmer - es gibt auf der Karte zweimal die ID. Einmal sauber signiert, einmal nur als regulärer unauthentifizierter Eintrag. Der letztere wird zur Authentifizierung genommen. Du brauchst also nur die ID und ein Gerät, was dir eine Karte an der passenden Stelle mit der gewünschten ID beschreiben kann…