Skimming ist der Diebstahl von Zahlungskartendaten mit einem versteckten Gerät an Geldautomaten, Zapfsäulen oder Bezahlterminals – oder in digitaler Form mit Schadcode auf der Bezahlseite eines Onlineshops.
Wie Skimming funktioniert
Ein physischer Skimmer ist ein Kartenleser, der als Teil des Automaten getarnt ist – meist ein falscher Kartenschlitz oder ein Tastaturaufsatz. Er kopiert den Magnetstreifen beim Einstecken der Karte, während eine Lochkamera oder eine gefälschte Tastatur die PIN aufzeichnet. Die Täter holen die Daten später ab oder empfangen sie per Bluetooth- oder GSM-Modul, wie es bei in Zapfsäulen versteckten Skimmern üblich ist.
Zu den Varianten gehören:
- Shimmer – dünne Einsätze im Chipleser, die Daten aus EMV-Chip-Transaktionen mitschneiden; diese Daten sind deutlich schwerer zu missbrauchen, weil der Chip dynamische Codes erzeugt.
- Digitales Skimming – bösartiges JavaScript in Onlineshops, auch als Formjacking oder Magecart bekannt. 2018 stahl ein solches Skript auf der Website von British Airways die Kartendaten von Hunderttausenden Kunden.
- Relay-Angriffe auf kontaktlose NFC-Zahlungen, die durch Betragsgrenzen und Tokenisierung eingeschränkt sind.
Warum Skimming relevant ist
Gestohlene Magnetstreifendaten dienen zum Klonen von Karten und für Bargeldabhebungen, vor allem in Ländern, in denen Magnetstreifenzahlungen noch akzeptiert werden. Die Daten speisen den Carding-Markt, und das Bargeld heben oft Finanzagenten ab. Opfer bemerken den Betrug meist erst, wenn unberechtigte Abbuchungen auftauchen.
So schützen Sie sich vor Skimming
- Geldautomaten und Zapfsäulen auf lose Teile, ungewöhnliche Kartenschlitze oder Tastaturen prüfen; Automaten in Bankfilialen bevorzugen.
- Die Tastatur bei der PIN-Eingabe abdecken.
- Kontaktlos oder mit Mobile Wallets bezahlen, die keine Magnetstreifendaten preisgeben.
- Transaktionsbenachrichtigungen aktivieren und verdächtige Abbuchungen sofort melden.
