Was ist Skimming in der Cyber-Sicherheit?

Bestimmt haben Sie den Begriff Skimming in Zusammenhang mit manipulierten Geldautomaten schon einmal gehört und wissen, dass Kriminelle auf diese Weise Ihre Kartendaten stehlen können. Doch wussten Sie schon, dass es auch digitales Skimming gibt? In diesem Artikel erfahren Sie alles über klassisches, digitales und RFID-Skimming und wie Avira Free Security Ihnen dabei helfen kann, sich vor Datendiebstahl zu schützen.

Was ist Skimming?

Unter Skimming (auf Deutsch: Abschöpfen) versteht man das unbefugte Auslesen von Kredit- und Debitkarten an Bankautomaten und POS-Terminals oder in kompromittierten Online-Shops. Beim klassischen bzw. physischem Skimming und Shimming haben es die Betrüger auf die PIN und den Magnetstreifen (Skimming) oder den EMV-Chip der Karten (Shimming) abgesehen. Denn beide enthalten viele wichtige Informationen wie die Kartennummer (PAN), das Ablaufdatum und manchmal auch den Inhabernamen. Diese können dann auf den Magnetstreifen einer gefälschten Karte kopiert oder – im Falle von  Kreditkarten – für Online-Zahlungen genutzt werden. Die PIN und  Kartenprüfnummer (CVV/CVC) hingegen sind weder auf dem Magnetstreifen noch auf dem Chip gespeichert.

Beim RFID-Skimming werden die Daten von NFC-fähigen Karten per Funk ausgelesen. Beim digitalen Skimming greifen die Betrüger Kreditkartendaten während des Bezahlvorgangs in kompromittierten Online-Shops ab. Hierbei ist die Beute deutlich lohnender, da nicht nur die Kreditkartennummern und Ablaufdaten, sondern auch Kartenprüfnummern und Namen sowie andere personenbezogene Daten (wie Adressen, E-Mail-Adressen und Telefonnummern) abfangen werden können. Anschließend können die Betrüger damit Online-Käufe tätigen, Abos abschließen, die Daten im Darknet verkaufen oder sogar Identitätsdiebstahl begehen.

Klassisches Skimming und Shimming

Beim physischen Skimming werden Bankautomaten (ATMs) oder POS-Terminals technisch so manipuliert, dass die Magnetstreifen von Kreditkarten, Debitkarten (z. B. Visa/Mastercard Debit) oder Girokarten (früher als EC-Karten bezeichnet) ausgelesen und die PIN-Eingaben erfasst werden. Anschließend können die Datendiebe Kartenduplikate erstellen und diese zusammen mit der PIN zum Bezahlen oder Geldabheben nutzen – allerdings nicht innerhalb der EU. 

Denn Karten, die nur über einen Magnetstreifen verfügen, funktionieren in der EU nicht mehr, da mittlerweile alle Transaktionen über den integrierten EMV-Chip abgewickelt werden. Dieser enthält im Gegensatz zum Magnetstreifen nicht nur statische Daten, sondern auch kryptografische Schlüssel, mit denen für jede Transaktion dynamische Codes erzeugt werden und die nicht ausgelesen werden können. Außerhalb der EU sind Geldautomaten und POS-Terminals jedoch noch nicht flächendeckend auf EMV umgestellt, sodass der Magnetstreifen als Fallback teilweise weiterhin funktioniert.

Beim Shimming handelt es sich um eine Weiterentwicklung des klassischen Skimmings, also quasi die Antwort der Kriminellen auf die EMV-Pflicht. Denn in diesem Fall versuchen die Kriminellen, an die statischen Daten des EMV-Chips zu gelangen. Da der Chip verschlüsselt ist und nicht kopiert werden kann, nutzen die Betrüger die gestohlenen Daten meist für Online-Betrug oder erstellen damit einfache Magnetstreifen-Kopien für veraltete POS-Terminals und Bankautomaten, die Karten mit Magnetstreifen noch akzeptieren. 

Skimming-Geräte

Folgende Skimming-Geräte, auch Skimmer genannt, können beim Skimming an Geldautomaten oder POS-Terminals zum Einsatz kommen: 

• Aufsatz-Skimmer: Hierbei platzieren die Betrüger Kartenlesegeräte vor dem Einschubschacht und erfassen damit die Informationen, die auf dem Magnetstreifen der Karte gespeichert sind.
• Shimmer: Hierbei handelt es sich um die moderne Variante des Aufsatz-Skimmers, nämlich ein dünnes, flexibles Skimming-Modul, das direkt im Einschubschacht angebracht wird und nicht sichtbar ist. Es fängt die Kommunikation zwischen dem EMV-Chip und Lesegerät ab und zeichnet sie auf. 
• Versteckte Mini-Kameras: Diese befinden sich bei Geldautomaten meist in einer Leiste oberhalb der Tastatur oder in der Sichtschutzvorrichtung und zeichnen die PIN-Eingabe auf. 
• Tastatur-Skimmer: Hierbei werden dünne Aufsätze passgenau auf der Tastatur angebracht und erfassen die Tastatureingabe und somit die PIN. Entweder werden die Daten elektronisch gespeichert oder per Funk an die Kriminellen übertragen.

Die meisten Banken versuchen allerdings Manipulationen an ihren Geldautomaten zu verhindern, und statten diese mit Anti-Skimming-Modulen, Sensoren und Störsendern aus. 

RFID-Skimming

Beim RFID-Skimming nutzen Kriminelle mobile Lesegeräte oder entsprechend präparierte Smartphones, um die Daten von NFC-fähigen Kredit- oder Debitkarten im Vorbeigehen auszulesen. NFC (Near Field Communication) ist ein internationaler Übertragungsstandard, der auf RFID-Technik (Radio Frequency Identification) basiert und einen kontaktlosen Datenaustausch über kurze Entfernungen ermöglicht. Da der EMV-Chip moderner Karten für das kontaktlose Bezahlen durch das Magnetfeld eines Lesegeräts aktiviert wird, sobald er in die Nähe eines Lesefeldes kommt, können Informationen ohne physischen Kontakt zur Karte abgegriffen werden. 

Allerdings greift auch hier der Schutz durch den EMV-Standard: Da die für Zahlungen notwendige Kartenprüfnummer bzw. PIN und die kryptografischen Schlüssel nicht übertragen werden, lassen sich die gestohlenen Daten kaum nutzen. Betrüger nutzen per Funk gestohlenen Kreditkartendaten (wie Kartennummer und Ablaufdatum) hauptsächlich für Einkäufe in unsicheren Online-Shops, die auf die Abfrage der Prüfziffer und eine Zwei-Faktor-Authentifizierung verzichten. 

Zudem muss sich das Lesegerät des Betrügers in unmittelbarer Nähe, das heißt in wenigen Zentimetern Entfernung befinden. Des Weiteren blockieren sich mehrere NFC-fähige Karten, die sich im Portemonnaie befinden, häufig gegenseitig.

Gut zu wissen: Bei Diensten wie Apple Pay oder Google Pay wird für jede in der Wallet hinterlegte Karte eine eigene virtuelle Gerätekontonummer (DAN) erzeugt, die verschlüsselt auf dem Mobilgerät gespeichert wird. Bei Zahlungen (sowohl kontaktlos als auch online) wird statt der echten Kartennummer ein Zahlungs-Token übertragen, der auf der Gerätekontonummer basiert. Die Übertragung erfolgt zudem erst nach der biometrischen Freigabe (Fingerabdruck oder Gesichtsscan) oder der Eingabe des Gerätecodes. Daher ist ein unbemerktes Auslesen von Daten im Vorbeigehen in diesem Fall praktisch unmöglich.

Falls Sie mehr über Skimming-Betrug mit NFC-Karten erfahren möchten, empfehlen wir Ihnen unseren Artikel dazu.

Digitales Skimming

Digitales Skimming bezeichnet eine Angriffsmethode, bei der Zahlungsdaten auf E-Commerce-Seiten unbemerkt abgegriffen werden und so ein Datenleck entsteht. Digitales Skimming betrifft also den Bereich der Cyber-Sicherheit und wird auch als Web-Skimming, E-Skimming, Online-Skimming, Formjacking oder Magecart-Angriff bezeichnet. Während sich die erstgenannten Begriffe auf die Art bzw. den Ort des Geschehens beziehen, bezeichnet Formjacking die am häufigsten genutzte technische Methode. 

Der Begriff Magecart hingegen hat einen historischen Hintergrund und leitet sich aus dem Namen der Open-Source-Plattform „Magento“ und dem Begriff „Shopping Cart“ (Warenkorb) ab. Die Online-Shop-Software war Hauptziel einer Hackergruppe, die ab 2015 zahlreiche namhafte Online-Händler durch Formjacking-Angriffe kompromittierte. Daher wird sowohl die Gruppe als auch die Angriffsart als Magecart bezeichnet, wobei mittlerweile alle Arten von E-Commerce-Plattformen betroffen sein können. Digitale Skimming-Angriffe können sich also gegen jede Webseite richten, die Online-Zahlungen akzeptiert.

Infektionswege und Angriffsmethoden

Die Kompromittierung der Online-Shops erfolgt durch das Einschleusen von bösartigem JavaScript-Code. Dieser Code erfasst die Kreditkartendaten der Nutzer in Echtzeit und überträgt sie an einen vom Angreifer kontrollierten Server. 

Die Angreifer nutzen hierzu verschiedene Einfallstore, insbesondere:

• Schwachstellen in der Webanwendung: Durch Methoden wie Cross-Site-Scripting (XSS) oder die Ausnutzung anderer Sicherheitslücken wird der Schadcode in die Webseite eingebunden und im Browser des Nutzers ausgeführt.
• Supply-Chain-Angriffe: Bei diesen Angriffen gelangt der Schadcode über infizierte Skripte von Drittanbieterdiensten (wie Chat-Widgets oder Bibliotheken) in die Webseite und von dort in den Browser des Nutzers.

Unabhängig davon, über welchen Infektionsweg der bösartige Code in den Shop gelangt, greifen die Angreifer auf unterschiedliche Methoden zurück, um die Kreditkartendaten der Kunden abzufangen.

• Formjacking: Hierbei schleusen Hacker schädlichen JavaScript-Code direkt in das Bezahlformular eines Online-Shops ein. 
• Weiterleitung zu einem schädlichen Formular: In diesem Fall manipulieren die Angreifer den Checkout-Prozess kompromittierter Online-Shops so, dass Kunden während des Bezahlvorgangs auf eine täuschend echt gestaltete externe Zahlungsseite weitergeleitet werden. Die dort eingegebenen Kartendaten werden abgegriffen, bevor der Nutzer anschließend wieder zum legitimen Shop zurückgeführt wird.
• Einfügen eines schädlichen Formulars: Angreifer schleusen in Online-Shops, die selbst kein eigenes Zahlungsformular besitzen, sondern dieses dynamisch von einem Dienstleister laden, ein gefälschtes Formular ein. Die eingegebenen Kartendaten werden direkt an die Täter übertragen, ohne dass der Nutzer die Shop-Seite verlässt.

Datendiebstahl durch Malware und schädliche Apps

Neben digitalem Skimming gibt es noch weitere technische Methoden, die Betrüger verwenden können, um an Zahlungsdaten zu gelangen. 

• Memory-Scraping Malware/RAM Scraper: In diesem Fall infizieren Kriminelle POS-Terminals mit Malware. Diese durchsucht den Arbeitsspeicher der Kasse gezielt nach Zahlungsdaten, die dort kurzzeitig während des Bezahlvorgangs im Klartext verarbeitet werden, und “kratzt“ (scraped) sie heraus. Da moderne Terminals Daten heute meist direkt im Lesegerät verschlüsseln (Point-to-Point Encryption), greift diese Methode primär bei älteren Systemen oder unsicheren Konfigurationen, bei denen die Verschlüsselung erst verspätet greift.
• Keylogging: Keylogger zeichnen Tastatureingaben auf, um sensible Daten wie Passwörter, PINs oder Kontoinformationen abzugreifen. Die Malware gelangt meist über schädliche Anhänge, manipulierte Software-Updates oder infizierte Downloads auf das Gerät eines Nutzers.
• Manipulierte Apps: Hierbei handelt es sich um legitime Apps, die durch kompromittierte Updates oder Sicherheitslücken mit Schadcode versehen wurden. Die Fake-Apps funktionieren weiterhin normal, während sie im Hintergrund unbemerkt sensible Daten wie Login- oder Zahlungsinformationen abgreifen.

So verhindern Sie Skimming-Betrug

Mit diesen Tipps können Sie sich nicht nur vor physischem und digitalem Skimming, sondern auch vor anderen Cyber-Angriffen auf Ihre Zahlungsdaten schützen:

• Achten Sie auf ungewöhnliche Aufsätze und andere Auffälligkeiten an Geldautomaten und verdecken Sie Ihre PIN-Eingabe immer mit der Hand.
• Überprüfen Sie Ihre Kontoauszüge regelmäßig auf ungewöhnliche Transaktionen.
• Nutzen Sie Geldautomaten, die sich in der Bank und nicht im Freien befinden, da diese kameraüberwacht sind, regelmäßig vom Personal überprüft werden und Betrüger dort nicht so leicht unbemerkt Skimming-Geräte montieren können.
• Verwenden Sie spezielle NFC-Schutzhüllen oder Geldbeutel mit integriertem RFID-Blocker, um die Funkwellen von NFC-fähigen Karten physisch abzuschirmen und RFID-Skimming zu verhindern. 
• Nutzen Sie für Online-Zahlungen bevorzugt Dienste wie PayPal, Apple Pay oder Google Pay, bei denen Ihre Kreditkartendaten nicht an den Händler übertragen werden.
• Aktivieren Sie in Ihrer Banking-App Transaktionswarnungen, die Sie per Push-Benachrichtigung über alle getätigten Transaktionen informieren. So können Sie im Zweifelsfall schnell handeln.
• Stellen Sie bei Online-Zahlungen sicher, dass Sie sich nicht auf einer gefälschten Webseite befinden. Überprüfen Sie die Adresse immer sorgfältig, bevor Sie Ihre Zahlungsdaten auf einer Webseite eingeben.
• Falls Sie online mit Kreditkarte zahlen, hinterlegen Sie Ihre Zahlungsdaten nicht in Ihrem Online-Konto. Das schützt zwar nicht vor digitalem Skimming, minimiert jedoch das Risiko, dass Ihre Daten in die falschen Hände gelangen, wenn es bei dem Händler zu einem Datenleck kommen sollte.  
• Nutzen Sie für Ihre Online-Transaktionen keine öffentlichen WLANs, da diese von Cyber-Kriminellen genutzt werden können, um Ihre Kartendaten abzufangen, zum Beispiel durch Man-in-the-Middle-Angriffe.
• Lesen Sie auch unsere Artikel zum Thema Online-Banking-Betrug und informieren Sie sich über gängige Betrugsmaschen.

Was tun, wenn Sie Opfer eines Skimming-Betrugs geworden sind?

Wenn Sie ungewöhnliche Zahlungen, Abbuchungen oder Geldabhebungen bemerken und befürchten, einem Skimming-Betrug zum Opfer gefallen zu sein, wenden Sie sich sofort an Ihr Finanzinstitut. Lassen Sie die Karte sperren und melden Sie den Vorfall, um eine Rückbuchung zu veranlassen. Zudem sollten Sie Anzeige bei der Polizei erstatten, auch wenn es sich um einen vergleichsweise geringen Betrag handelt. 

Schützen Sie sich mit Avira Free Security vor Datendiebstahl

Avira Antivirus Security kann Ihnen helfen, Ihre Finanzdaten und andere sensible Informationen besser zu schützen. Neben einem Viren- und Downloadschutz enthält die Cyber-Schutzlösung einen Browserschutz, mit dem Sie infizierte Webseiten und Phishing-Seiten blockieren können. Denn auch Phishing-Angriffe zielen häufig auf Ihre Zahlungsdaten ab.

Zudem verfügt Avira Free Security über ein VPN, mit dem Sie den Online-Datenverkehr in öffentlichen WLANs verschlüsseln und Ihre Daten beim Online-Banking und -Shopping sicherer übertragen können. Der Passwort-Manager hilft Ihnen zudem, Ihre verschiedenen Online-Konten mit einzigartigen Passwörtern zu schützen und Codes für die Zwei-Faktor-Authentifizierung zu generieren.