Phishing, Quishing, Skimming – wer sich online bewegt, kann schnell in die Fänge von Kriminellen geraten. Sie versuchen, an Konto- und Kreditkartendaten zu kommen oder bringen ihre Opfer dazu, selbst Zahlungen auszulösen. Dabei werden die Betrüger:innen immer professioneller und erfinderischer – auch durch den Einsatz künstlicher Intelligenz.

Rund neun von zehn Befragten gaben in einer Umfrage des Zahlungsdienstleisters Visa an, bereits Opfer von Betrugsversuchen im Netz geworden zu sein und ein Großteil (94 Prozent) geht davon aus, dass Betrugsmaschen durch den Einsatz von künstlicher Intelligenz noch schwerer zu erkennen sein werden.

Wie groß das Problem „Payment-Betrug“ bereits jetzt ist, verdeutlichen Zahlen der Europäischen Zentralbank: In Europa haben Betrüger:innen in der ersten Jahreshälfte 2023 insgesamt zwei Milliarden Euro im Jahr 2022 waren es sogar 4,3 Milliarden, die die Kriminellen mit betrügerischer Überweisungen und Kartenzahlungen, Lastschriften, Barabhebungen und E-Geld-Transaktionen erbeuten konnten. Die Zahlen werden von Zahlungsanbietern alle sechs Monate gemeldet.

Die Daten zeigen auch: Die größten Verluste entstehen bei Überweisungen und Kartenzahlungen. Dabei bleibt ein großer Teil der Geschädigten auf den Verlusten sitzen, besonders bei Überweisungen: Bei dieser Betrugsart müssen 86 Prozent der Opfer selbst für den entstandenen Schaden aufkommen. Diese Betrugsformen solltest du kennen:

Diese Betrugsform kennt wahrscheinlich jede:r: Du bekommst Mails oder SMS, die scheinbar von deiner Bank, einem Zahlungsdienstleister wie Paypal und Klarna oder einer großen Handelsplattform wie Ebay oder Amazon stammen und auf die schnell reagieren sollst. Dass im Text Handlungsdruck erzeugt wird, gehört dabei zum Konzept des Phishings: Mal geht es in den Nachrichten darum, deine persönlichen Daten unbedingt zu aktualisieren, mal um eine „Wichtige Sicherheitsmeldung“, bei deren Nichtbeachtung sogar hohe Strafen drohen.

Das Ziel: Du sollst auf Link klicken, der dich dann zu einer gefälschten Website führt oder einen Anhang öffnen, der schädliche Software enthält. So wollen die Betrüger:innen Benutzernamen, Passwörter oder (Kredit-)Kartendetails abgreifen. Die Daten können sie dann im Darknet verkaufen, einen digitalen Klon deiner Karte erstellen oder gleich dein ganzes Konto übernehmen und leer räumen.

Eine neue Variante des Pishing ist das Quishing, wobei statt einem Link ein QR-Code genutzt wird, um Opfer auf Fake-Seiten zu führen. Quishing kommt mittlerweile auch nicht nur online vor, sondern kann dich auch ganz klassisch auf dem Postweg erreichen.

Betrüger:innen, die mit Social Engineering arbeiten, manipulieren ihre Opfer, indem sie sich als besonders vertrauenswürdige Stelle ausgeben, um diese zu einer Zahlung zu verleiten oder um sensible Daten auszuspähen. In einer simplen Form kann das ein Anruf von einem Menschen sein, der sich als Mitarbeiter:in deiner Bank oder von Paypal ausgibt und dir Login-Daten entlocken will.

Doch es gibt auch deutlich ausgefeiltere Methoden, etwa beim sogenannten Love-Scaming. Dabei finden die Kriminellen ihre potenziellen Opfer auf Datingportalen. Sobald es dann zu einem persönlichen Treffen kommen soll, hat der Scammer plötzlich ein Problem, bei dem er oder sie auf deine (finanzielle) Hilfe angewiesen ist, beispielsweise weil ein Ticket nach Deutschland bezahlt werden muss, oder angeblich Kreditkarten und Pässe gestohlen worden sind. Ihre Opfer sollen dann Geld schicken oder eine Kopie des Personalausweises – angeblich um ein gemeinsames Konto zu eröffnen.

Auch wenn du den Geldautomaten deiner eigenen Bank benutzt, bist du nicht vor Betrug sicher. Denn dort könnten Kriminelle ein sogenanntes Skimming-Gerät installiert haben, das auf den ersten Blick gar nicht auffällt. Es liegt über dem Kartenschlitz und liest die Magnetstreifen-Daten der Karte aus. Auch das Pin-Eingabefeld ist so manipuliert, dass deine Zahlenkombination ausgelesen wird. Oder es wurde eine Kamera installiert, die dir bei der Pin-Eingabe auf die Finger schaut.

Mit den Daten klonen die Kriminellen deine Karte und können diese dann zum Geldabheben oder Einkaufen nutzen. Aktuell wird Skimming auch häufig an der Zapfsäule eingesetzt, wo dann Tankautomaten manipuliert werden.

Vorsichtig solltest du auch besonders günstigen Onlineshopping-Angeboten sein. Den längst gehen Betrüger:innen mit ziemlich professionell gestalteten Websites ins Netz, denen auf den ersten Blick nicht anzusehen ist, dass es sich um Fake-Shops handelt. Oft werden die Shops auch über soziale Medien oder in Phishing-Mails beworben, etwa mit Rabatten oder Sonderaktionen.

Kaufst du hier ein, werden deine persönlichen Daten und Zahlungsdetails gesammelt – und können danach natürlich für weitere kriminelle Aktivitäten wie etwa Identitätsdiebstahl verwendet werden. Und natürlich bekommst du auf deine Zahlung hin nie eine Lieferung. Denn sobald der Fake-Shop genug Geld gemacht hat, verschwindet die Webseite wieder.

Bei dieser Form des Kreditkartenbetrugs nutzen die Kriminellen die Tatsache aus, dass bei Bestellungen im Netz keine physische Kredit- oder Debitkarten vorgelegt wird. Sie haben die Karteninformationen ihres Opfers inklusive CVV durch Phishing, Skimming oder Hacking erbeutet oder im Darknet gekauft und gehen jetzt auf Shoppingtour. Dabei werden die Waren an eine andere Adresse geliefert und sind bereits verbraucht oder weiterverkauft, bevor der Karteninhaber oder die Bank den Betrug bemerkt.

• Überwache deine Kontobewegungen regelmäßig, um verdächtige Transaktionen schnell zu erkennen.
• Verwende am besten immer eine Zwei-Faktor-Authentifizierung, um dich bei einem Konto anzumelden.
• Überprüfe immer die URL einer Website, bevor du persönliche Daten eingibst.
• Bei unerwarteten SMS, E-Mails oder Nachrichten solltest du immer skeptisch sein, insbesondere wenn sie angeblich sofortiges Handeln verlangen.
• Bei der Verbraucherzentrale kannst du die URL von Shops, hinter denen du Betrug vermutest, im Fake-Shop-Finder checken.
• ​​Beim Einkaufen im Netz solltest du sichere Zahlungsmethoden wie Kreditkarten oder Paypal verwenden, die Käuferschutz bieten und Zahlungen per Vorkasse oder Überweisung vermeiden.
• Aktuelle Phishing-Kampagnen listet die Verbraucherzentrale in ihrem Phishing-Radar auf.
• Überprüfe Geldautomaten und andere Kartenterminals auf verdächtige Geräte und decke bei der Eingabe des Pin immer die Tastatur mit der anderen Hand ab, damit er nicht von einer versteckten Kamera erfasst werden kann.
• Verwende möglichst Geldautomaten in gut überwachten und beleuchteten Bereichen – hier ist es für die Betrüger:innen schwere, Geräte zu installieren.

Wird dein Konto geplündert, kann es schwierig werden, Geld zurückzubekommen. Zwar sind Zahlungsdienstleister verpflichtet, für Abbuchungen aufkommen, die nicht von Kund:innen authentifiziert wurden. Banken verweigern momentan in solchen Fällen häufig die Rückzahlung, weil sie standardmäßig davon ausgehen, die Bankkund:innen hätten fahrlässig Daten preisgegeben.

Unter anderen Umständen gibt es aber vielleicht noch eine Chance, dein Geld zurückzuholen – je nachdem, wie du bezahlt hast.

• Du hast Geld überwiesen: Da du die Zahlungen selbst getätigt hast, kann sie nicht mehr rückgängig gemacht werden, wenn die Bank den Auftrag schon ausgeführt hat.
• Du hast per Sepa-Lastschrift gezahlt: Diese kann innerhalb von acht Wochen ab dem Zeitpunkt der Abbuchung zurückgebucht werden. Wenn du die Lastschrift nicht selbst genehmigt hast, ist das sogar bis zu 13 Monate lang möglich.
• Du hast mit Kreditkarte gezahlt: Mit dem sogenannten Charge-Back-Verfahren kannst du Zahlungen stornieren. Melde dich bei deiner Bank, sie prüft dann, ob dein Charge-Back-Antrag gerechtfertigt ist.
• Du hast per Paypal oder über andere Bezahldienste gezahlt: Auch diese Anbieter bieten einen Käuferschutz, allerdings meist nur, wenn es sich um eine Transaktion zwischen Kund:in und Händler:in handelt und nicht, wenn du Geld an Freunde verschickst.
• Du hast mit einem Bargeldtransferdienst wie Western Union bezahlt:  Hier kannst du die Zahlung eventuell noch stoppen – wenn du schnell bist. Denn das ist nur möglich, wenn das Geld in der Filiale vom Empfänger noch nicht persönlich abgeholt wurde.