Kartenbetrug

Die Serie von betrügerisch manipulierten Karten-Terminals setzt sich in Hessen fort. Gestern gab die die Kasseler Polizei einen Fall aus dem östlichen Kassel bekannt. [Weiter]

Die Hessische/Niedersächsische Allgemeine (HNA) berichtet heute über einen weiteren Kartenbetrug im großen Stil. In Elliehausen bei Göttingen gelang es technisch hochversierten Betrügern, die Karten-Terminals in der Gärtnerei Reinecke zu manipulieren. Wie die Polizeisprecherin Jasmin Kaatz gestern mitteilte, versetzte die Manipulation die Täter in die Lage, Kartendaten und Geheimzahlen (PINs) bei electronic cash-Bezahlungen mit ec-Karte mitzuschneiden. [Weiter]

Die Verunsicherung über das tatsächliche Ausmaß betrügerisch manipulierter POS-Terminals (Kartenleser) ist groß. Viele Händler befürchten, dass Vorfälle wie der -> Betrug mit ec-Karten in Hamm nur die Spitze eines Eisbergs ausmachen. Allerdings kann jeder Händler etwas für die Sicherheit der Kartenzahlung tun. Manipulationen an den Terminals sind fast immer mit dem bloßen Auge ersichtlich. Eine Überprüfung dieser Arbeitsmittel sollte am besten in die tägliche Routine aufgenommen werden. Auch die electronic cash-Netzbetreiber reagieren mittlerweile auf das erhöhte Sicherheitsbedürfnis. Neben der TeleCash hat auch der Ratinger Bezahlspezialist easycash eine Hotline für Fragen rund um die Sicherheit von POS-Terminals eingerichtet (News) [Weiter]

In der Karlsruher Oststadt ist dank der Aufmerksamkeit eines Kunden ein manipulierter Geldautomat enttarnt worden. Unbekannte Täter hatten einen -> Skimming-Vorsatz zum Auslesen der Magnetstreifendaten vor den Kartenschlitz des Automaten montiert. Zudem wurde die Eingabe der PINs mit einer über der Tastatur angebrachten Videokamera aufgezeichnet. Der Betrug wurde offenbar direkt nach der Installation der Ausspäh-Vorrichtung entdeckt. Mit den durch die Ausspähung gewonnenen Daten hätten Kartenduplikate erstellt werden können, die den unberechtigten Zugriff auf die Kundenkonten ermöglicht hätten.

Generell raten die Polizei und Bezahlspezialisten den Kunden, stets auf Manipulationen bei Kartenlesern und Bankautomaten zu achten, und bei Verdachtsmomenten die Polizei zu informieren. Zur weiteren Sicherheit sollte die Eingabe der Geheimzahl immer verdeckt erfolgen, so dass weder die Aufnahme durch eine Spionkamera, noch ein Blick über die Schulter oder mit dem Fernglas die Nummer preisgeben würde. Scheuen Sie sich hierfür auch nicht, für die Eingabe der PIN etwaige andere Kunden um einen Sicherheitsabstand zu bitten. (PM vom 6.5.2007)

In den USA haben Kreditkartenbetrüger die Prepaid-Karten für ihre kriminellen Zwecke entdeckt. Im Rahmen des riesigen Betrugsfalls bei TJX (-> 46 Millionen Kundendaten bei TJX kompromittiert) wurden im März 2007 sechs Personen in Florida verhaftet. Sie hatten mit gestohlenen Kartendaten Geschenkkarten ("gift cards") gekauft, die sie dann für Einkäufe im Wert von über 8 Millionen Dollar nutzten. Mit der wachsenden Verbreitung der Geschenkkarten in Deutschland wird ein solches Vorgehen auch für hiesige Kriminelle attraktiver. Die Rechnung der Betrüger geht insofern auf, dass viele Unternehmen noch keine Infrastruktur besitzen, um illegal erworbene Prepaid-Karten schnell zu sperren. Aus Sicht der Betrüger verlängern sie damit die Lebensdauer gestohlener Karten. [Weiter]

Das ARD-Magazin "report aus München" greift in einem aktuellen Beitrag eine selten ins Spiel gebrachte Variante der PIN-Ausspähung auf. Die Betrüger greifen hier nicht die Karteninhaber, sondern die Banken an. Auf dem elektronischen Weg zur Autorisierung einer Zahlung durchlaufen die Transaktionsdaten üblicherweise mehrere Punkte. Vereinfachtes Beispiel:

1. PIN-Pad verschlüsselt Kundeneingabe mit Schlüssel K1, sendet Daten an Netzbetreiber
2. Netzbetreiber entschlüsselt Kundeneingabe mit Schlüssel K1
3. Kundeneingabe liegt im Klartext vor
4. Netzbetreiber verschlüsselt Kundeneingabe mit Schlüssel K2 und sendet Daten an Bank
5. Bank entschlüsselt Kundeneingabe mit Schlüssel K2
6. Kundeneingabe liegt im Klartext vor
7. Bank vergleicht Kundeneingabe mit PIN

[Weiter]

Kunden der amerikanischen TJX-Unternehmungen sind potentielle Opfer eines in diesem Umfang noch nie dagewesenen Datendiebstahls. Unbekannten gelang die Ausspähung von insgesamt fast 46 Millionen kundenbezogenen Datensätzen. Darunter fallen Daten wie:

1. Kundenname und Anschrift
2. Karteninhaber und Kartennummer von Kreditkarten
3. Social Security ID, ID des Führerscheins, Militär-ID

[Weiter]

Nach zehn Monaten Ermittlung gelang es dem Bayerischen Landeskriminalamt am 10.3.2007 in München, vier Drahtzieher einer in Deutschland und Italien operierenden Bande von Kreditkarten-Betrügern festzunehmen. Eine Organisation mit Mitgliedern in Neapel und München versorgte verschiedene italienische Restaurants in München mit Geräten zum heimlichen Auslesen der Kreditkartendaten. Gab ein Gast die Kreditkarte zur Bezahlung, konnten die Betrüger in einem unbeaufsichtigten Moment damit die Kartendaten auslesen (-> Skimming). Die Gangster erstellten anhand dieser Daten dann Karten-Doubletten und kauften damit in Italien ein. Bisher sind 53 geschädigte Karteninhaber bekannt, der Gesamtschaden beläuft sich auf mehr als 50.000 Euro. (PM vom 22.3.2007)

Die Zeitschrift Guter Rat weist auf ein bemerkenswertes Urteil des Frankfurter Amtsgerichts vom Januar hin. Ein betrogener Bankkunde konnte das Gericht davon überzeugen, dass Bankautomaten im europäischen Ausland keinen ausreichenden Schutz vor Kartendubletten böten. Er erstritt sich damit die 1000 Euro, die ein Betrüger in Spanien mit einer Kartendublette von seinem Konto abhob. Die Bank ist verurteilt, die Summe zu begleichen. [Weiter]

Der kalifornische Dienstleister für IT-Sicherheit Symantec hat gestern in München seinen elften Sicherheitsreport vorgestellt, der das zweite Halbjahr 2006 abdeckt. Der Konto- und Kartenbetrug per Internet befindet sich demnach weiterhin in einer Boom-Phase. Zur Ausspähung von Konto- und Kartendaten locken die Kriminellen ihre Opfer über betrügerische Phishing-Emails oder über manipulierte Links seriöser Webseiten auf sogenannte Phishing-Seiten. Diese oftmals nur kurze Zeit existierenden Schadseiten sind von den echten Seiten der Banken und anderen seriösen Anbieter kaum zu unterscheiden. Ein Wachstum erlebt auch eine zweite Betrugsmethode, bei der Schadprogramme ("Trojaner") auf dem Computer des Opfers Daten ausspähen; etwa über die Mitschnitte von Tastatureingaben. Die mit diesen Methoden erbeuteten Daten, also Kontodaten ggf. mit PIN und TAN oder Kreditkartendaten ggf. mit Sicherheitscode CVC bzw. CVV, werden als "Phish" bezeichnet. Sie stellen nun selbst wieder eine kriminelle Handelsware dar. Einen Kredit-Phish (Kartendaten inklusive CVC) verkaufen die Betrüger dem Report zufolge für einen Höchstpreis von 6 Dollar. (Report vom 19.3.2007)

Der Netzbetreiber TeleCash reagiert auf Betrugsfälle wie den -> Betrug mit ec-Karten in Hamm (zvt-news berichtete am 14.3.07) vorbildlich mit einer kostenlosen Hotline (0800 1009457) und mit Sicherheitsempfehlungen für seine Kunden. Die Händler sollten:

1. ihre Terminals (Kartenlesegeräte) vor dem Zugriff durch unbefugte Personen schützen
2. nach einem Einbruch oder Einbruchsverdacht die Polizei und die TeleCash-Hotline informieren
3. bei Manipulationsverdacht oder Manipulationsspuren am Terminal (Kartenlesegerät) umgehend die TeleCash-Hotline informieren
4. unangemeldete Wartungsarbeiten an den Terminals erst nach Rücksprache mit der TeleCash-Hotline erlauben.

Näheres im Artikel von TeleCash. Nachtrag: der Arbeitskreis der electronic cash-Netzbetreiber gab mittlerweile eine ähnlich lautende Stellungnahme ab (Stellungnahme vom 28.3.2007)

Alarmierende Nachrichten erreichen uns in den letzten Wochen aus Hamm. Kunden, die im Zeitraum vom 11.2. bis 7.3.2007 im Hammer Gartencenter Hesse mit der ec-Karte bezahlten, sind potentielle Opfer eines größer angelegten Kartenbetrugs (-> Skimming). Offenbar gelang es den Betrügern, am 11.2.2007 in das Gartencenter einzudringen und die electronic cash-Terminals so zu manipulieren, dass sie Kenntnis der Magnetstreifendaten erhielten. Dem Anschein nach erstellten sie mit diesen Daten Kartendubletten, und begannen zum Anfang März, mit den kopierten Karten in Paris jeweils kleinere Summen abzuheben. Die Hammer Banken rechnen laut Volksbank-Chef Dr. Klaus Kalefeld mit einer Schadenssumme von insgesamt etwa 100.000 EUR, und sperrten prophylaktisch circa 500 Konten von potentiell betroffenen Bürgern. Offenbar ist aber nicht nur Hamm betroffen, auch im Hammer Umland seien Fälle von Kartenbetrug aufgetreten. Das Ausmaß des Schadens sei aber noch nicht völlig klar.

Beruhigend für die Betroffenen ist, dass die Banken sich bereit erklärten, das Geld zurückzubezahlen. Im übrigen wurde in Frankreich mittlerweile ein Tatverdächtiger mit einem Aktenkoffer voller Karten-Dubletten festgenommen. (News vom 10.3.2007)

Am 22.2.2007 feierte das Sperrlistensystem KUNO des EHI sein einjähiges Bestehen. Über KUNO können ec-Kartenbesitzer einen polizeilich erfassten Kartendiebstahl in einer deutschlandweiten Datenbank kostenlos erfassen lassen. Die Netzbetriebe können diese Daten aufgreifen und in ihre Online-Sperrlisten oder auch offline in ihre POS-Terminals einbringen. Der Betrug mit gestohlenen Karten kann so zu einem gewissen Teil verringert werden. Mittlerweile werden monatlich 10.000 Kartenverluste verarbeitet. (PM vom 22.2.2007, KUNO Sperrdienst)

Bei dem Wort "Skimming" kommt manchem Genießer nur eine vage Assoziation zu aufgeschäumtem Espresso in den Sinn. Bei der hier gemeinten Art der "Abschöpfung" ist ein ernsteres Thema gemeint. Es geht um knallharten Betrug, bei dem Kartendaten und PINs ausgespäht werden, um dann mit Karten-Dubletten ein Konto "abzuräumen". [Weiter]