Geisterbuchungen aus Australien: So testen Betrüger Ihre Karte

Geisterbuchungen aus Australien: Der Beweis, dass Ihre Kartendaten im Umlauf sind

Wie kann jemand am anderen Ende der Welt die Daten einer Karte haben, die nie ihre Tasche verlassen hat? Das war die Frage eines Nutzers, der zwei abgelehnte Buchungen von 1,10 australischen Dollar bei einem Händler namens „Pim Foods“ bemerkte. Die physische Karte war im Besitz des Nutzers. Sie war nur bei Amazon, im Supermarkt und in der Apotheke verwendet worden. Und dennoch versuchte jemand, damit zehntausend Kilometer entfernt zu bezahlen.

Das Muster ist bekannt: Mikroabbuchungen zielen nicht auf Diebstahl, sondern auf Validierung ab. Sie prüfen, ob Kartennummer, Ablaufdatum und CVV funktionieren, bevor die Daten an den Höchstbietenden verkauft oder eine große Buchung ausgelöst wird. Die Bank sperrte die Transaktionen, der Nutzer sperrte die Karte und beantragte eine neue. Der Schreck blieb eine Anekdote. Aber die grundlegende Frage bleibt unbeantwortet: Wo fand die Datenlecks statt?

Theorien über die Herkunft des Datendiebstahls

Die im Diskurs diskutierten Hypothesen reichen von Sicherheitslücken in Online-Shops bis hin zum klassischen Robo de datos am Point-of-Sale-Terminal. Manche behaupten, das schwache Glied seien die Kassensysteme kleiner Geschäfte, wo Schadsoftware die Daten vom Magnetstreifen erfassen kann. Andere weisen direkt auf Amazon hin: Eine Lücke in der Plattform ist unwahrscheinlich, aber nicht unmöglich, und würde Millionen Nutzer betreffen, nicht nur einen. Der dritte Weg ist der unangenehmste: Dass der eigene Computer des Betroffenen infiziert war und die Daten beim Eintippen erfasst wurden.

Die Realität ist, dass Kartendaten über Kanäle zirkulieren, die der Nutzer nicht kontrolliert. Es gibt dokumentierte Fälle von Karten, die nie benutzt wurden und dennoch betrügerische Abbuchungen aufwiesen. Das führt zu einer unbequemen Schlussfolgerung: Der Fehler kann im Banksystem selbst liegen, nicht im Verhalten des Kunden.

Warum die CVV nicht mehr wie früher schützt

Die dreistellige CVV vermittelt ein falsches Sicherheitsgefühl. Eine im Diskurs kursierende Berechnung macht dies deutlich: Mit 999 Versuchen pro Tag kann ein Angreifer alle möglichen CVV-Kombinationen in weniger als drei Jahren durchprobieren. Wenn er eine Liste mit Tausenden von Karten hat, trifft er täglich einige. Die Kartennummer kann per Brute-Force generiert werden, da der Checksummen-Algorithmus öffentlich ist. Das Ablaufdatum besteht aus vier Ziffern mit begrenzter Reichweite. Nur die CVV stellt eine echte Barriere dar, und diese ist nicht einmal unüberwindbar.

Banken sperren die Karte nach mehreren fehlgeschlagenen Versuchen, aber mit genug Nummern auf der Liste liefert die Statistik irgendwann Treffer. Die kleine Abbuchung ist das Warnsignal. Die große Abbuchung ist schmerzhaft.

Was tun, um Wiederholungen zu vermeiden

Der wiederkehrende Rat ist einfach: Deaktivieren Sie Online-Zahlungen für die Karte und aktivieren Sie sie nur bei Bedarf. Mehrere Institute ermöglichen es, Karten länderweise zu sperren, sodass sie nur in Spanien funktionieren. Es wird auch empfohlen, virtuelle oder Prepaid-Karten für Internetkäufe zu verwenden, mit einem Guthabenlimit, das den Schaden begrenzt. Und überprüfen Sie die Umsätze regelmäßig: Mikroabbuchungen sind das erste Zeichen.

2FA oder SMS-Verifizierung haben vielen geholfen. In einem geschilderten Fall wurde ein Zahlungsversuch in einem Spa aus Frankreich durch die Bestätigungsnachricht gestoppt. Die kleinen Abbuchungen gingen durch, aber Beschwerde und Reklamation führten innerhalb eines Monats zur Rückerstattung.

Haftung der Bank und rechtliches Schwebezustand

Die aktuellen Vorschriften machen die Bank haftbar, es sei denn, grobe Fahrlässigkeit des Nutzers wird nachgewiesen. In der Praxis erstatten die Institute Geld nicht immer ohne Kampf. Es gibt Fälle, in denen Beschwerden beim Banco de España (der spanischen Zentralbank) landeten und zugunsten des Kunden mit Zinsen gelöst wurden. Der Prozess ist langsam und zermürbend.

Währenddessen sind die auf Cyberkriminalität spezialisierten Polizeieinheiten überlastet. Die meisten Anzeigen betreffen inzwischen Datendiebstahl, und Ermittlungen führen selten zu Verurteilungen. Die vermittelte Botschaft ist klar: Straflosigkeit ist die Norm.

---

Die neue Karte wird in wenigen Tagen eintreffen. Der Nutzer wird wieder bei Amazon, im Supermarkt und in der Apotheke kaufen. Und irgendwo in der Kette wird jemand erneut sein Glück mit einer Abbuchung von einem australischen Dollar versuchen. Der Unterschied ist, dass die Bank diesmal nachweisen muss, dass es Fahrlässigkeit des Kunden war. Viel Glück dabei.