Web-Skimming ist nicht neu. Neu ist, wie billig und schnell es geworden ist. Für einen Einbruch in einen Onlineshop brauchte es früher erfahrene Angreifer und viel Zeit. In der Kampagne, die Gambit dokumentiert hat, erledigten KI-Agenten den Großteil der Arbeit, mit nur knappen Anweisungen eines Menschen. Das Ergebnis: mehr angegriffene Shops in weniger Zeit, und ein Risiko, das Sie als Kundin oder Kunde nicht sehen können.
Dieser Beitrag fasst zusammen, was bekannt ist, wie ein Skimmer funktioniert, welche Rechte Sie in Deutschland haben und wie Sie verhindern, dass Ihre Hauptkarte im Bezahlformular eines unbekannten Shops landet.
Skip the bank hassle — get a privacy-first virtual card in minutes, no forced KYC.🎁 Use code WELCOME23 for 70% off the Monthly Card, or WELCOME07 for 33% off the Yearly Card.
Get Your Virtual Card →Was ist passiert?
Gambit konnte den Staging-Server des Angreifers auswerten und die Kampagne aus dessen Protokollen rekonstruieren. Nach dem Zwischenbericht von Eyal Sela, Leiter der Threat Intelligence bei Gambit, läuft die Aktivität seit Juli 2026. Eingesetzt wurden drei frei verfügbare KI-Werkzeuge: eines sucht Schwachstellen, eines nutzt sie aus, eines steuert die ganze Operation. Allein zwischen dem 10. und 15. September startete der Angreifer 105 Angriffswellen und kompromittierte mindestens 27 Unternehmen in unterschiedlichem Ausmaß, darunter ein Online-Modehändler, ein großer Hotelkonzern und eine US-Fluggesellschaft. Die Kosten lagen laut Gambit bei durchschnittlich rund 25 US-Dollar pro Ziel.
Die mehr als 600.000 Kartendatensätze stammen von zwei betroffenen Unternehmen. Die meisten Karten wurden in den USA ausgegeben, doch auch Karten aus Europa sind dabei:
| Ausgabeland der Karte | Datensätze | Anteil |
|---|---|---|
| USA | 488.372 | 79,0 % |
| Vereinigte Arabische Emirate | 13.559 | 2,2 % |
| Saudi-Arabien | 6.785 | 1,1 % |
| Vereinigtes Königreich | 6.522 | 1,0 % |
| Irland | 5.483 | 0,9 % |
| Frankreich | 4.295 | 0,7 % |
| 196 weitere Länder | 64.025 | 10,4 % |
So funktioniert ein Skimmer
Eindringen
Die Agenten suchen Schwachstellen in Shops mit eigener Software und nutzen sie oft innerhalb weniger Stunden aus.
Skimmer einbauen
Ein unauffälliges Skript wird in die Kassenseite, eine JavaScript-Datei oder den Google-Tag-Block geschrieben.
Mitlesen
Alles, was Sie im Bezahlformular eintippen, geht zusätzlich an die Angreifer. Der Kauf selbst funktioniert normal.
Gambit beschreibt mehrere Wege, auf denen der Code in die Shops kam: angehängt an echte JavaScript-Dateien, als zusätzliches Skript auf der Kassenseite, versteckt im Google-Tag-Block oder über manipulierte Inhalte im Content-Delivery-Netz. In manchen Fällen stellte ein automatischer Job den Skimmer wieder her, nachdem er entfernt worden war. Für Sie als Käuferin oder Käufer sieht der Shop dabei völlig normal aus. Sie können einen Skimmer nicht erkennen. Sie können nur entscheiden, welche Karte Sie dort eingeben.
Ihre Rechte in Deutschland
Wird Ihre Karte ohne Ihre Zustimmung belastet, muss Ihre Bank den Betrag nach § 675u BGB grundsätzlich erstatten. Eine Eigenbeteiligung von höchstens 50 Euro ist nach § 675v BGB möglich, bei grober Fahrlässigkeit kann sie höher ausfallen. Außerdem verlangt die Zahlungsdiensterichtlinie PSD2 im Europäischen Wirtschaftsraum bei den meisten Onlinezahlungen eine starke Kundenauthentifizierung, etwa per 3-D Secure in der Banking-App. Das erschwert den Missbrauch gestohlener Daten in europäischen Shops, gilt aber nicht zwingend bei Händlern außerhalb des EWR.
Rechtlich sind Sie also gut geschützt. Praktisch bleibt der Ärger: Die Karte wird gesperrt, eine neue muss kommen, und jedes Abo, das auf der alten Karte lief, schlägt fehl, bis Sie überall die neuen Daten hinterlegt haben.
Was Sie jetzt tun können
Kartennummer nicht eintippen, wo es nicht nötig ist
Bei Apple Pay, Google Pay oder PayPal geben Sie Ihre Kartennummer nicht in das Formular des Shops ein. Ein Skimmer auf der Kassenseite kann sie dann nicht mitlesen.
Für unbekannte Shops eine eigene Karte
Eine Karte mit begrenztem Guthaben, die nur für Onlinekäufe dient, begrenzt den Schaden, falls ein Shop kompromittiert ist.
Jede Buchung sofort sehen
Aktivieren Sie Push-Mitteilungen Ihrer Bank. Kleine Testabbuchungen sind oft das erste Zeichen eines Missbrauchs.
Im Verdachtsfall sofort sperren
Sperren Sie die Karte in der Banking-App oder über den Sperr-Notruf 116 116 und melden Sie unbekannte Buchungen Ihrer Bank.
Wo eine Privacy-first-Karte hilft
Der wirksamste Schritt ist der zweite: Ihre Hauptkarte gar nicht erst in fremde Bezahlformulare zu tippen. Genau dafür ist SiraPay gebaut. SiraPay ist eine virtuelle Karte, bei der Privatsphäre an erster Stelle steht: ohne erzwungenes KYC, also ohne Ausweis-Upload und ohne Gesichtsscan bei der Kontoeröffnung. Die Karte läuft im Visa-Netz, wird bei über 150 Millionen Händlern akzeptiert und von Menschen in mehr als 100 Ländern genutzt. Sie enthält nur das Guthaben, das Sie selbst aufladen. Sie können sie jederzeit einfrieren oder löschen und für verschiedene Zwecke getrennte Karten anlegen, zum Beispiel eine nur für Shops, die Sie zum ersten Mal nutzen.
Ehrlich gesagt: Auch eine SiraPay-Karte liest ein Skimmer mit, wenn Sie sie in einem infizierten Shop eingeben. Der Unterschied liegt im Schaden. Er ist auf das aufgeladene Guthaben begrenzt, Ihr Bankkonto bleibt außen vor, und Sie ersetzen nur diese eine Karte. Welche Erstattungsregeln gelten, hängt vom Kartenherausgeber ab. Die oben genannten BGB-Regeln beziehen sich auf Zahlungskonten bei Ihrer Bank. Wie die Karte im Alltag funktioniert, zeigt unser Überblick zum weltweiten Bezahlen, alle Gebühren und Limits stehen auf der Seite zu Gebühren und Limits, und warum Datensparsamkeit beim Bezahlen zählt, erklärt unser Datenschutz-Guide zur virtuellen Karte.
Kurz beantwortet
Was ist Web-Skimming?
Schadcode in einem Onlineshop, der die Kartendaten mitliest, die Sie im Bezahlformular eingeben, und sie an die Angreifer schickt.
Kann ich einen infizierten Shop erkennen?
In der Regel nicht. Der Shop sieht normal aus und der Kauf funktioniert. Deshalb zählt, welche Karte Sie dort verwenden.
Was tun bei einer unbekannten Abbuchung?
Karte sofort sperren, in der Banking-App oder über den Sperr-Notruf 116 116, und die Buchung Ihrer Bank melden.
Hilft eine virtuelle Karte wirklich?
Sie verhindert keinen Skimmer, begrenzt aber den Schaden auf das Guthaben dieser Karte und hält Ihre Hauptkarte aus fremden Bezahlformularen heraus.
Fazit
KI macht Angriffe auf Onlineshops billiger und schneller, und Sie sehen davon nichts. Sie entscheiden aber, welche Karte Sie wo eingeben. Nutzen Sie Wallets, wo es geht, behalten Sie jede Buchung im Blick und geben Sie Shops, die Sie nicht kennen, eine Karte, deren Verlust Sie verschmerzen können.
