SECURITY: Angriff der Karten-Kloner

Muss das so aussehen? Manchmal wird nur die Original-Tastatur (rechts) mit einem Aufsatz (links) überklebt, manchmal auch die komplette Leiste (unten).

Mit ausgespähten Kartendaten räumen Betrüger Bankkonten leer. Die Methoden sind simpel und doch so raffiniert, dass man als Bankkunde kaum eine Chance hat, dem Betrug zu entgehen.

Online-Banking machen Sie nicht, Ihre EC-Karte steckt noch im Portemonnaie, die PIN haben Sie geheim gehalten, und trotzdem hat jemand Geld von Ihrem Konto abgehoben? Vielleicht sind Sie das Opfer eines Skimming-Angriffs: Mit manipulierten Geldautomaten sammeln Betrüger die Daten von EC-Karten, um davon Kopien anzufertigen und später Geld abzuheben. Die erforderliche PIN wird einfach elektronisch mitgelesen.
Auch in Geschäften oder an Tankstellen ist man vor solchen Angriffen nicht sicher. Kredit- und EC-Karten-Terminals werden oft ohne Wissen des Ladeninhabers manipuliert. Von dem Angriff bemerken auch die Opfer gewöhnlich erstmal nichts. Der Schlag trifft die meisten erst Wochen später, wenn die Kriminellen mit den Kartenkopien die Konten leerräumen.

War bislang Phishing in aller Munde, macht nun Skimming (bedeutet im Englischen so viel wie abschöpfen) die Runde. Nach Angaben der Landeskriminalämter sind die dadurch verursachten Schäden in den letzten Monaten rasant angestiegen. Allein in Nordrhein-Westfalen verzeichnete das Landeskriminalamt dieses Jahr bis Oktober 120 Fälle von Manipulationen, während es im gesamten Vorjahr 68 Skimming-Angriffe registrierte.

Bei einem einzigen Angriff tappen oft viele Opfer in die Falle. Gezählt haben die LKAs nur solche Vorkommnisse, bei denen die Bank selbst die Manipulation bemerkte und beim LKA zur Anzeige brachte oder die Gaukelei aufflog, als ein Kunde plötzlich Teile des Geldautomaten in der Hand hielt. Das LKA Bayern gelangte auf diese Weise zwischen Januar und März an 23 Aufsatzgeräte und sechs Videoleisten, mit denen die Karten- Kloner die Automaten manipulierten, um Kartendaten abzufangen.
Von den Polizeibehörden sind genaue Zahlen schwer zu erhalten, da es in diesem Bereich keine zentrale Erfassung gibt. Meistens landet die Anzeige eines Skimming-Vorfalls bei der Polizeidienststelle um die Ecke, die das Delikt statistikfeindlich als Zahlungskarten- Kriminalität verbucht. Aussagekräftige Zahlen liefert indes die von der EURO Kartensysteme GmbH betriebene Zentrale Debit-Schadensbekämpfung (ZDS), an die Banken die Daten verschiedener Schadensfälle mit Maestro-EC-Karten weiterleiten. Die ZDS sucht anhand der übermittelten Schadensdaten nach einem gemeinsamen Nenner, beispielsweise den manipulierten Automaten einer bestimmten Bank, den alle Opfer in einem bestimmten Zeitraum benutzt haben.
Alarmierendes Ergebnis der ZDS: Allein von Januar bis September 2007 wurden 891 Skimming-Angriffe an 251 Automaten bundesweit entdeckt. Offenbar sind einige der Automaten bei Skimmer-Banden sogar so beliebt, dass sie des Öfteren Ziel von Manipulationen sind. Nordrhein-Westfalen führt die Statistik mit 438 Attacken einsam an, an zweiter Stelle steht Baden-Württemberg mit 129 Manipulationen. Bis der Schnittpunkt solcher Fälle aber gefunden ist, vergehen Monate, mögliche Beweise wie Videoaufnahmen der Kameraüberwachung sind längst überspielt und die meist aus Rumänien oder Bulgarien stammenden Täter über alle Berge. Bislang haben die Banken alle vom ZDS nachgewiesenen Skimming- Schäden kulant erstattet. Einen Skimming- Fall, bei dem ein Opfer auf dem Schaden sitzen geblieben ist, soll es bislang nicht gegeben haben.
Die Skimming-Ausrüstung besteht aus einem Miniatur-EC-Kartenleser, der den Magnetstreifen der Karte ausliest und einer Videoleiste, die die PIN-Eingabe aufzeichnet. Der Mini-Leser wird einfach mit doppelseitigem Klebeband von außen vor den Leseschlitz des Geldautomaten geklebt. Für das ungeübte Auge ist das Mini-Lesegerät kaum zu erkennen, da es in Form und Farbe zum Geldautomaten passt. Manchmal installieren die Banden auch eine vollständige neue Frontplatte aus feinem Stahlblech. Die abgegriffenen Daten werden gespeichert und nach dem Abbau in einen PC übertragen oder gleich per Funk an die vor der Bankfiliale im Auto wartenden Betrüger übermittelt.

Die Videoleiste birgt eine kleine Kamera, die durch ein winziges Loch auf das Tastaturfeld schaut; sie wird meist im oberen Bereich des Automaten platziert. Manchmal montieren die Betrüger die Kamera auch an der Seite, etwa hinter dem bei einigen Automaten zu findenden Prospekthalter. Auch die Videoaufzeichnung der PIN-Eingabe wird meistens zwischengespeichert. In anderen Fällen benutzten die Kartenkopierer statt der Kamera eine Nachbildung der Tastatur, die auf das Original geklebt wurde. Die Anschläge werden mechanisch an die echte Tastatur durchgereicht und dabei protokolliert. Mit diesem Trick arbeiten meistens die rumänischen Skimmer-Banden, während die bulgarischen Banden die Videomethode vorziehen.

Mehr Fotos und Erklärungen gibt es bei Heise.de.
(Quelle: Heise.de)