Du bestellst Essen, wie jede Woche. Beim Bezahlen fehlt plötzlich Twint, dafür steht da «Credit/Debit Card». Du tippst die Kartennummer ein, das Ablaufdatum, die drei Ziffern auf der Rückseite. Fehlermeldung. Bitte wähle Twint. Du wählst Twint, das Essen kommt, und Du denkst nicht mehr daran. Bis die Kartenabrechnung kommt.
Genau so lief der Fall, den das Bundesamt für Cybersicherheit in seinem Wochenrückblick vom 1. September 2026 beschreibt. Der Lieferdienst war echt. Die Bestellung war echt. Nur die Kasse war gefälscht.
Skimming: Der Laden ist echt, die Kasse nicht
Beim Phishing lockt Dich jemand auf eine nachgebaute Seite. Beim Skimming bleibt die Seite die echte. Die Angreifer haben sie von innen verändert: ein paar Zeilen Programmcode im Bezahlvorgang, die Deine Kartendaten abgreifen und an einen fremden Server schicken, bevor sie überhaupt beim Zahlungsanbieter ankommen. Die Adresszeile stimmt, das Schloss im Browser ist grün, das Logo sitzt am richtigen Ort. Alles, was Du gelernt hast, um Phishing zu erkennen, hilft hier nicht.
Drei Wege führen die Angreifer in den Shop: eine Schwachstelle im Shop-System oder in einer seiner Erweiterungen, ein gestohlener Admin-Zugang oder ein manipuliertes Skript eines Drittanbieters, das der Shop selbst einbindet, etwa für Statistik, Chat oder Werbung. Im letzten Fall wird gleich eine ganze Reihe von Shops auf einmal zum Tatort.
Woran Du es trotzdem merkst
- Die gewohnte Zahlungsart ist weg. Twint verschwindet, eine Karteneingabe erscheint. Ein Shop wechselt seine Zahlungsarten nicht über Nacht und nicht heimlich.
- Die Sprache springt. Im Fall des BACS war der ganze Shop deutsch, nur das Kartenformular englisch. Ein Fremdkörper, der so aussieht, weil er einer ist.
- Das Formular passt nicht ins Bild. Schrift, Farben und Abstände weichen vom Rest der Seite ab. Die Betrüger kopieren die Seite nicht, sie kleben etwas darüber.
- Nach der Eingabe kommt eine Fehlermeldung. Die Daten sind längst weg, und die Meldung soll Dich dazu bringen, eine zweite Zahlungsart zu nutzen, damit die Bestellung durchgeht und Du keinen Verdacht schöpfst.
Was Du tust
Erstens: Wenn Dir beim Bezahlen etwas komisch vorkommt, brich ab, bevor Du die drei Ziffern auf der Rückseite eintippst. Bestell woanders oder ruf an. Zweitens: Prüfe nach Online-Käufen die Kartenabrechnung, und zwar nicht erst Ende Monat. Die meisten Banken und Kartenanbieter schicken auf Wunsch eine Meldung bei jeder Buchung. Schalte das ein. Drittens: Fremde Buchungen fechtest Du beim Kartenanbieter an, lässt die Karte sperren und meldest den Fall dem BACS. Bei einem finanziellen Schaden gehört eine Anzeige bei der Kantonspolizei dazu.
Und ein Gedanke, der bleibt: Zahlungsarten, bei denen Du die Zahlung in einer eigenen App freigibst, wie Twint, geben dem Shop keine Kartendaten, die er verlieren könnte. Das ist der Grund, warum die Betrüger Twint aus dem Weg räumen mussten.
Wenn Dir der Shop gehört
Das BACS richtet sich auch an Betreiber, und die Liste ist kurz: alle Komponenten aktuell halten, die eingebundenen fremden Skripte kennen und regelmässig prüfen, den Bezahlvorgang periodisch selbst durchspielen, starke Admin-Passwörter mit zweitem Faktor und eine restriktive Content Security Policy, die dem Browser sagt, welche Server überhaupt Code liefern dürfen. Bei den Websites, die wir hosten, gehören Updates, Web Application Firewall und regelmässige Sicherheitsprüfungen zum Paket. Die Content Security Policy ist Handarbeit, die sich lohnt, weil sie genau diesen Angriff ins Leere laufen lässt.
Quelle
BACS-Wochenrückblick Woche 35, «Skimming bei Essenslieferdienst: Statt einem vollen Magen eine leere Kreditkarte», 1. September 2026.
