Karte im fremden Handy: Betrüger hinterlegen die Bankkarte in ihrem eigenen Apple Pay oder Google Pay

Woran erkennst du sie?

• Der Masche geht in der Regel eine Phishing-Seite oder eine Phishing-Nachricht voraus, über die Karten- und Onlinebanking-Daten abgegriffen wurden — oft über eine gefälschte Bankseite, die als Anzeige noch vor dem echten Treffer in der Suchmaschine steht
• Häufig erst am Folgetag ruft eine Person an, die sich als Mitarbeitende der Bank oder eines Zahlungsdienstes ausgibt
• Während des Gesprächs trifft eine echte Nachricht der Bank mit einem Aktivierungscode ein oder es erscheint eine Push-TAN-Anfrage, die sofort bestätigt werden soll
• Der Wortlaut der Nachricht passt nicht zur Erklärung am Telefon: Sie nennt die Einrichtung einer digitalen Karte oder ein neues Gerät und nicht die angebliche Stornierung einer Abbuchung
• Die Bank bestätigt einen Vorgang, den man selbst nie veranlasst hat
• Nach dem Anruf erscheinen kontaktlose Zahlungen im Einzelhandel, obwohl die eigene Karte unversehrt in der Geldbörse liegt — der Schaden entsteht offline an der Ladenkasse, nicht im Onlineshop
• Die Abbuchungen laufen ohne Eingabe der Karten-PIN am Kassenterminal, weil die Freigabe per Geräte-PIN, Fingerabdruck oder Gesichtserkennung auf dem Gerät der Täter erfolgt
• Im Onlinebanking ist ein zusätzliches, fremdes Gerät für die digitale Karte hinterlegt
• Abgrenzung zum TAN-Betrug mit angeblicher Sicherheitsüberweisung: Dort gibt die TAN eine einzelne, bereits vorbereitete Überweisung frei und der Schaden ist mit dem Auflegen abgeschlossen — hier schaltet der Code dauerhaft ein fremdes Gerät frei, mit dem anschließend immer wieder bezahlt wird, bis Karte und Wallet-Eintrag gesperrt sind

Typischer Ablauf

1. Über eine gefälschte Bank-Website oder eine Phishing-Nachricht gelangen die Täter an die Daten der Debit- oder Kreditkarte und an Zugangsdaten zum Onlinebanking
2. Sie starten auf ihrem eigenen Smartphone oder ihrer Smartwatch die Einrichtung der digitalen Karte in einem Bezahldienst
3. Kurz darauf — häufig am Folgetag — rufen sie an, geben sich als Bankmitarbeitende aus und warnen vor einer angeblich verdächtigen Abbuchung, die man gemeinsam stoppen müsse
4. Zeitgleich löst die begonnene Einrichtung eine echte Push-TAN oder einen echten Aktivierungscode der Bank aus, den die angerufene Person vorlesen oder in der App bestätigen soll
5. Mit dieser Bestätigung wird die fremde Karte auf dem Gerät der Täter freigeschaltet; die physische Karte und ihre PIN werden dafür zu keinem Zeitpunkt benötigt
6. Die Täter bezahlen damit kontaktlos im Einzelhandel und geben jede Zahlung auf ihrem eigenen Gerät frei
7. Bemerkt wird der Schaden meist erst über Umsatzbenachrichtigungen oder den Kontoauszug, während die eigene Karte die ganze Zeit im Portemonnaie liegt

Typische Formulierungen der Täter

Sinngemäß wiedergegeben, keine wörtlichen Originalzitate.

• „Hier ist die Sicherheitsabteilung Ihrer Bank. Uns ist gerade eine verdächtige Abbuchung von Ihrer Karte aufgefallen, die wir für Sie stoppen möchten.“
• „Sie erhalten in diesem Moment eine SMS mit einem Code. Bitte lesen Sie mir den Code vor, dann können wir die Zahlung noch zurückholen.“
• „Bestätigen Sie bitte kurz die Meldung in Ihrer Banking-App — das ist nur die Freigabe für die Stornierung, es wird nichts abgebucht.“
• „Ihre Karte wurde vorsorglich gesperrt. Zur Reaktivierung bestätigen Sie bitte den Vorgang, der jetzt auf Ihrem Handy erscheint.“
• Echte Bank-Nachricht, deren Wortlaut nicht zur Erklärung des Anrufers passt: „Code zur Hinterlegung Ihrer Karte in einer Wallet auf einem neuen Gerät.“