Wie Sie sich vor Kartenbetrug schützen

Kriminelle versuchen mit immer raffinierteren Methoden, an unsere Kartendaten zu gelangen. Wir erklären Ihnen, woran Sie Kartenbetrug erkennen und wie Sie sich davor schützen können.

Ob beim Bezahlen im Geschäft, beim Online-Shopping oder am Bancomaten: Debit- und Kreditkarten gehören zu unserem Alltag. Genau das machen sich auch Betrüger zunutze. Sie nutzen auf gefälschte Nachrichten, manipulierte Websites oder Bancomaten, um an unsere Kartendaten zu gelangen. Wer die häufigsten Betrugsmaschen kennt und einige grundlegende Sicherheitsregeln beachtet, kann das Risiko deutlich reduzieren.

Was genau ist Kartenbetrug?

Wenn jemand unberechtigt eine Debit- oder Kreditkarte benutzt oder die dazugehörigen Daten missbraucht, spricht man von Kartenbetrug. Die Täterinnen und Täter kaufen dabei beispielsweise online ein, beziehen Bargeld am Bancomaten oder lösen Zahlungen in Ihrem Namen aus.

Kartenbetrug beginnt häufig nicht mit dem Diebstahl der Karte selbst, sondern mit dem Diebstahl der Kartendaten. Gemeint sind etwa die Kartennummer, das Ablaufdatum, Prüfziffern (CVC- oder CVV-Code), der PIN-Code, SMS- oder E-Mail-Codes. Aber auch Zugangsdaten zu E-Banking, Karten-Apps oder Online-Shops sowie Freigaben in Banking- oder Karten-Apps gehören dazu.

Kriminelle gelangen beispielsweise über gefälschte Nachrichten, manipulierte Websites oder Datenlecks bei Händlern an diese Informationen. Manchmal kommen sie auch auf analogen Wegen an die Daten oder probieren systematisch verschiedene Kartennummern aus.

Phishing: Der häufigste Einstieg zum Kartenbetrug

Kartenbetrug beginnt meist mit Phishing. Dabei geben sich die Täter beispielsweise als Bank, Kartenanbieter oder Online-Shop aus. Sie versenden E-Mails, SMS oder WhatsApp-Nachrichten und fordern dazu auf, einen Link anzuklicken, einen Anhang zu öffnen oder persönliche Daten einzugeben.

Die Links führen zu gefälschten Websites, die oft täuschend echt aussehen. Wer dort Kartendaten, Passwörter, PIN-Codes oder SMS-Codes eingibt, übermittelt sie direkt an die Kriminellen. Ein Anhang kann bösartige Software enthalten, die Eingaben auf dem Computer oder Smartphone ausliest.

Wichtig: Banken, Kartenherausgeber, Zahlungsdienstleister oder die Polizei fragen nie per E-Mail, SMS oder Telefon nach Passwörtern, PIN-Codes, SMS-Codes, App-Freigaben oder vollständigen Kartendaten. Sie verifizieren Sie höchstens anhand von Sicherheitsfragen.

Skimming: Auslesen des Magnetstreifens

Beim ursprünglichen Skimming manipulieren Kriminelle Geldautomaten, Billettautomaten oder Zahlterminals, indem sie am Terminal ein Gerät einbauen, das den Magnetstreifen der Karte ausliest. Den PIN-Code, den Sie am Automaten eintippen, zeichnen sie beispielsweise mit einer versteckten Kamera oder einer manipulierten Tastatur aus. Mit den gestohlenen Informationen versuchen die Täter dann, die Karte zu kopieren oder Geld abzuheben.

Nutzen Sie deshalb möglichst Automaten im Innenraum einer Bank. Denn dort sind die Automaten durch mehr Kontrolle, Personal, Kameras und Beleuchtung besser vor Manipulationen geschützt als im Aussenbereich.

Eine neuere Variante davon ist das «Digital Skimming» (auch Web Skimming, E-Skimming, Formjacking oder Magecart genannt). Dabei schleusen Betrügerinnen und Betrüger einen Schadcode auf einer Website ein. Wenn Sie dann dort einkaufen und Ihre Kartendaten eingeben, werden diese abgefangen und an die Kriminellen weitergeleitet.

Digitales Skimming ist sehr schwierig zu bemerken, denn es geschieht im Hintergrund. Aktivieren Sie für Ihre Kreditkarten daher unbedingt eine Zwei-Faktor-Authentifizierung wie 3-D Secure (Freigabe per App oder SMS). Selbst wenn Betrüger Ihre Kartendaten erlangen, können sie ohne den zweiten Faktor meist keine Zahlungen abbuchen.

Kontrollieren Sie Ihre Abrechnungen ausserdem regelmässig, auch auf kleine Beträge. Denn so testen die Betrüger, ob die Karte noch funktioniert.

Shimming: Auslesen des Kartenchips

Shimming ist eine Weiterentwicklung des ursprünglichen Skimmings. Dabei schieben Kriminelle ein sehr kleines Gerät in den Kartenschacht eines Lesegeräts. Dieses kann während der Transaktion die Daten des Kartenchips auslesen.

Achten Sie deshalb beim Geldbezug immer auch auf den Kartenschacht. Lässt sich die Karte nur schwer einführen, brechen Sie den Vorgang ab. Wird die Karte gar vom Automaten eingezogen, sperren Sie sie sofort und kontaktieren Sie Ihre Bank.

Aktivieren Sie Geoblocking über das Online-Banking oder in der Karten-App. So können Sie die Bezugsmöglichkeiten geografisch und zeitlich einschränken. Kriminelle können kopierte Kartendaten dann in gesperrten Weltregionen nicht missbrauchen. Vergessen Sie aber nicht, die entsprechenden Länder wieder freizuschalten, wenn Sie dorthin in die Ferien reisen.

Kontrollieren Sie in Ihren Kontoauszügen regelmässig, ob es verdächtige Ausgaben oder Bargeldbezüge (auch kleine Beträge) gibt.

Shoulder Surfing: PIN heimlich beobachten

Beim Shoulder Surfing beobachten Kriminelle, wie eine Person am Geldautomaten, am Zahlterminal, am Laptop oder am Smartphone einen PIN-Code oder ein Passwort eingibt. Sie stehen dabei auffällig nahe, lenken das Opfer ab oder filmen die Eingabe mit einem Smartphone oder einer versteckten Kamera.

Verdecken Sie Ihre PIN-Eingabe daher immer mit der anderen Hand, einem Gegenstand oder Ihrem Körper. Lernen Sie die PIN auswendig und notieren Sie sie nicht.

Seien Sie Personen gegenüber misstrauisch, die Ihnen ungewöhnlich nahekommen, besonders an Bancomaten oder an Kassen. Reagieren Sie skeptisch auf Ablenkungsmanöver wie Anrempeln, Fragen oder «versehentliche» Berührungen.

Bewahren Sie Karten und Smartphone sicher auf, besonders nach einer PIN-Eingabe, damit sie nicht gestohlen werden können.

Carding: Einkaufen mit gestohlenen Kartendaten

Beim Carding kaufen Kriminelle mit gestohlenen Kartendaten online ein. Die Daten stammen beispielsweise aus Phishing-Angriffen oder aus gestohlenen Datenbeständen, die im Darknet gehandelt werden. Die Täter kaufen damit Waren aller Art oder Gutscheine. Gutscheine lassen sich wie andere Ware weiterverkaufen oder je nachdem in Geld umwandeln.

Für die Betroffenen ist diese Form des Kartenbetrugs oft nicht sofort erkennbar. Denn zwischen dem Datendiebstahl und den ersten missbräuchlichen Zahlungen können Monate liegen.

Besonders anfällig sind Online-Shops, die Zahlungen ohne zusätzliche Sicherheitsprüfung (Zwei-Faktor-Authentifizierung) wie 3-D Secure akzeptieren. Dort reichen unter Umständen Kartennummer und Ablaufdatum aus. Bei 3-D Secure hingegen ist zusätzlich eine Bestätigung erforderlich.

Europäische Online-Händler sind durch die PSD2-Richtlinie verpflichtet, eine Zwei-Faktor-Authentifizierung (z. B. Freigabe per Banking-App oder SMS-TAN) zu verlangen. Nutzen Sie deshalb nur Karten mit einer Zwei-Faktor-Authentifizierung. Kaufen Sie nur bei vertrauenswürdigen Online-Shops und verwenden Sie starke Passwörter, wenn Sie ein Kundenkonto bei einem Onlinehändler anlegen. Aktivieren Sie ausserdem die automatische Benachrichtigung bei Kartenzahlungen.

Kontoübernahme

Bei einer Kontoübernahme (Account Takeover) stehlen Kriminelle die Zugangsdaten zu einem Online-Shop, E-Banking, Zahlungsdienst oder einer Karten-App. Das tun sie mit den gängigen Methoden wie Phishing, gefälschten QR-Codes oder bereits gestohlenen Zugangsdaten. Anschliessend übernehmen sie Ihr Online-Konto, ändern Passwörter oder Kartenlimiten und lösen Zahlungen aus.

Account Takeover ist nicht automatisch auch Kartenbetrug. Es kann aber zu Kartenbetrug führen, wenn über das übernommene Konto Kartendatendaten missbraucht, Kartenlimiten geändert, Zahlungen ausgelöst oder Kartenfunktionen freigegeben werden.

Typische Warnsignale für eine Kontoübernahme sind:

• das Erhalten von SMS-Codes, obwohl man selbst keine Zahlung ausgelöst hat
• Aufforderungen, in der Karten-App eine Freigabe zu tätigen für angebliche Sicherheitsupdates, Kartenverifizierungen oder vermeintliche Rückzahlungen
• Meldungen, dass man Rechnungen zum Beispiel beim Steueramt oder der Krankenkasse doppelt bezahlt habe und nun Geld zurückerhalte

Wie erkenne ich Kartenbetrug?

Die wichtigste Massnahme zum Erkennen von Kartenbetrug ist die regelmässige Kontrolle Ihrer Kontoauszüge und Kreditkartenabrechnungen.

Achten Sie insbesondere auf Folgendes:

• unbekannte Einkäufe
• ungewohnte Bargeldbezüge
• kleine Beträge, die Ihnen nicht bekannt vorkommen
• mehrere ähnliche, aufeinanderfolgende Belastungen
• Zahlungen aus Ländern, in denen Sie nicht waren
• SMS-Codes oder App-Freigaben, die Sie nicht selbst angefordert haben
• Meldungen über Passwortänderungen oder neue Geräte
• unerwartete Rückzahlungen
• angebliche Sicherheitsprüfungen

Tipp: Aktivieren Sie automatische Benachrichtigungen bei Kartenzahlungen. So erfahren Sie sofort, bei welchem Händler welcher Betrag belastet wurde.

Wie schütze ich mich vor Kartenbetrug?

• Geben Sie niemals Karten- und Zugangsdaten, SMS-Codes oder App-Freigaben oder persönliche Daten weiter.
• Im Zweifel kontaktieren Sie Bank oder Kartenherausgeber beziehungsweise Polizei selbst und nur über offizielle Kanäle.
• Klicken Sie niemals auf unbekannte Links oder Anhänge in E-Mails und SMS und scannen Sie keine QR-Codes aus unerwarteten Nachrichten.
• Bewahren Sie Karte und PIN getrennt voneinander auf und verwenden Sie keine leicht erratbaren PINs wie Geburtsdatum, Postleitzahl oder Kontrollschildnummer.
• Reduzieren Sie Karten- und Bezugslimiten auf das notwendige Niveau.
• Prüfen Sie Freigaben in Banking- oder Kartenapps genau. Kontrollieren Sie vor einer Zahlung den Betrag und den Zahlungsempfänger. Geben Sie eine Zahlungsbestätigung erst frei, wenn Händlername und Betrag stimmen.
• Kontrollieren Sie den Betrag, bevor Sie die Karte an ein kontaktloses Terminal halten, und verlangen Sie im Geschäft eine Quittung.
• Online sollten Sie Karten mit Zwei-Faktor-Authentifizierung wie 3-D Secure verwenden.
• Nutzen Sie, wenn angeboten, virtuelle Karten für Online-Einkäufe. Bei manchen Anbietern können Einwegkarten nach der Zahlung gelöscht werden. Bei einigen Smartphone-Banken lässt sich Geld in einen geschützten Bereich verschieben und nur bei Bedarf für Kartenzahlungen freigeben.
• Nutzen Sie starke, für jeden Online-Shop unterschiedliche Passwörter und besuchen Sie nur vertrauenswürdige Websites.
• Speichern Sie bei Online-Einkäufen einen Screenshot der Bestell- oder Zahlungsseite.
• Deaktivieren Sie Online-Zahlungen oder kontaktlose Zahlungen wenn möglich
• Aktivieren Sie bei Ihrer Karte Geoblocking, um Zahlungen oder Bargeldbezüge aus bestimmten Ländern zu verhindern. Denken Sie daran, Länder für Ferien wieder freizuschalten.
• Kontrollieren Sie monatliche Kartenabrechnungen zeitnah und melden Sie verdächtige oder unbekannte Buchungen sofort der Bank oder dem Kartenherausgeber
• Speichern Sie die Notfallnummer Ihrer Bank oder Ihres Kartenherausgebers in Ihrem Handy ab.

Was tun, wenn ich Opfer von Kartenbetrug wurde?

Sperren Sie die Karte sofort, wenn:

• sie gestohlen wurde
• Sie sie verloren haben
• Sie unbekannte oder missbräuchliche Transaktionen feststellen
• ein Automat Ihre Karte eingezogen hat
• Sie Ihre Kartendaten oder PIN an Kriminelle weitergegeben haben könnten

Im Zweifel gilt: Lieber einmal zu früh sperren als zu spät. Die Karte sperren Sie über Ihre Karten- oder Banking-App oder telefonisch bei Ihrer Bank beziehungsweise dem Kartenherausgeber. Eine Sperrung ist in der Regel rund um die Uhr möglich.

Halten Sie wenn möglich Kartennummer, Art des Kontos sowie Name der Kontoinhaberin oder des Kontoinhabers bereit. Falls Sie diese Angaben nicht zur Hand haben, kann die Bank Sie meist anhand von Kontrollfragen identifizieren, etwa über den aktuellen Kontostand, den letzten Bezug oder regelmässige Zahlungseingänge.

Notieren Sie sich das Datum und die Uhrzeit der Kartensperrung. Bei einer missbräuchlichen Transaktion ist ausserdem eine schriftliche Reklamation (auch online) empfehlenswert.

Wenn Sie Opfer von Kartenbetrug geworden sind oder Ihre Karte zusammen mit Bargeld oder Ausweisdokumenten gestohlen wurde, sollten Sie nach der Meldung an den Kartenherausgeber Anzeige bei der Polizei erstatten. Bereiten Sie dafür möglichst folgende Angaben vor:

• Konto- und Kartennummer
• Datum und Uhrzeit der Kartensperrung
• Datum, Uhrzeit und Ort von missbräuchlichen Transaktionen oder allfälligen verdächtigen Transaktionsversuchen
• wann und wie die Täter an Karte, Kartendaten oder PIN gelangt sein könnten

Wie bekomme ich mein Geld zurück?

Ob und in welchem Umfang Sie Geld zurückerhalten, hängt vom Einzelfall, vom Kartenvertrag und von Ihrem Verhalten ab. Schweizer Banken und Kartenherausgeber zeigen sich häufig kulant, prüfen aber jeden Fall individuell.

Besonders wichtig ist die Sorgfaltspflicht. Dazu gehört:

• die Karte sicher aufzubewahren
• die Karte nicht weiterzugeben
• PIN und Passwörter geheim zu halten
• PIN und Karte getrennt aufzubewahren
• PIN bei der Eingabe zu verdecken
• keine leicht erratbare PIN zu verwenden
• Kontoauszüge und Kartenabrechnungen regelmässig zu kontrollieren
• Unstimmigkeiten sofort zu melden
• die Karte bei Verlust, Diebstahl oder Missbrauch unverzüglich zu sperren
• bei einem Betrug Anzeige zu erstatten

Werden diese Pflichten verletzt, kann die Bank die Haftung teilweise oder vollständig der Karteninhaberin oder dem Karteninhaber übertragen. Prüfen Sie deshalb die Vertragsbedingungen Ihres Kartenherausgebers.

Bei Online-Käufen spielt zudem eine Rolle, ob eine zusätzliche Sicherheitsprüfung wie 3-D Secure eingesetzt wurde. Fehlt eine solche Sicherheitsvorkehrung, kann je nach Fall der Händler für den Schaden verantwortlich sein. Eine automatische Rückerstattung ist jedoch nicht garantiert. Melden Sie den Vorfall deshalb immer sofort dem Kartenherausgeber.

Markus Häfliger

PR-Fachmann

Markus Häfliger ist PR-Fachmann und schreibt seit 2018 für iWay. Als ehemaliger IT-Journalist liest er sich in jedes Thema ein. Ihn fasziniert, wie IT unser Leben durchdringt und stets spannend bleibt.