So schützen Sie sich vor Skimming

Die Manipulation von Geldautomaten ist für Kriminelle ein einträgliches Geschäft. Wir zeigen Ihnen die Maschen der Skimmer und wie Sie sich vor Betrug schützen können. [...]

Den Vereinigten Staaten von Amerika kann man Vieles vorwerfen. In punkto Akzeptanz neuer Technologien bietet sich hingegen weniger Angriffsfläche. Beispiel mobiles Bezahlen: Während die Deutschen weiterhin am Bargeld-Tropf hängen, zückt der geneigte US-Bürger bei jeder Bezahl-Gelegenheit zunehmend das iPhone.
Weil aber Diebstahl und Manipulationvon Geldausgabe-Automaten auch unter Amerikas Kriminellen ein durchaus beliebter Zeitvertreib ist, errichten US-Banken neue Sicherheitsschranken. Wir sagen Ihnen, wie die Zukunft des Geldabhebens aussehen könnte und wie Sie sich vor Betrug am Bankautomaten schützen.
DIE ZUKUNFT DER BANKOMATEN
Der US-Finanzdienstleister Wells Fargo bietet quer über die USA verteilt an rund 13.000 Geldautomaten bereits die Möglichkeit, Geld abzuheben. Und zwar ohne EC-Karte. Stattdessen öffnen die Kunden einfach die App auf ihrem Smartphone, tippen einen achtstelligen Zahlencode und ihre PIN ein und haben dann Zugriff auf Konto – und den Bankomat – den ATM („automated teller machine“) wie ihn der Amerikaner nennt. Wells Fargo ist das erste US-Geldinstitut, das App-basierten Zugriff auf seine Bankautomaten anbietet. Allerdings planen auch die Citigroup, Chase und Bank of America mit ganz ähnlichen ATM-Funktionen für Gegenwart und Zukunft.
Bei Wells Fargo realisiert man derzeit den Einsatz von NFC-Lesegeräten. Die sollen künftig den Zugriff auf die Geldautomaten über Apple Pay, Android Pay, Samsung Pay oder die hauseigene Wallet-App ermöglichen. Dann müsste man nur noch sein Smartphone an den Bankautomaten halten und den Finger auf den Fingerabdruckscanner des Telefons legen – schon fordert der ATM die PIN-Eingabe. Bis Ende 2018 sollen die NFC-ATMs in den USA flächendeckend eingeführt sein, wenn es nach dem Willen von Wells Fargo geht. Immerhin wurde bereits an 40 Prozent des Geldautomaten-Bestandes die NFC-Funktion nachgerüstet.
Video: Hands-on with Bank of America’s NFC-enabled ATMs
Die US-Banken würden die Bankkarte – beziehungsweise deren Gebrauch – gerne eindämmen. Denn keine Geldkarte bei sich zu tragen, vermindert das Risiko, dass diese von Kriminellen missbraucht wird. Und das erhöht die persönlicheSicherheit. Auf der anderen Seite läuft man ohne Bankkarte auch in den USA Gefahr, an bestimmte Bankomaten nicht mehr ranzukommen. Nämlich dort, wo der Zugang durch eine Tür versperrt wird, die sich nur mit einer Bankkarte öffnen lässt.
SKIMMING: DIE BETRUGSMASCHEN AM GELDAUTOMATEN
Aber nicht nur die Kunden, auch die Banken selbst werden gerne bestohlen. Dazu werden die Bankomaten in den USA entweder „old school“ mit Seil und Pickup physisch entfernt oder per Malware so manipuliert, dass sie bei Eingabe bestimmter Codes Bargeld ausspucken.
Eine der ältesten (und immer noch beliebtesten) Betrugsmaschen in Zusammenhang mit Geldautomaten ist das sogenannte Skimming. Dabei werden gefälschte Interfaces am Bankautomaten angebracht. Teilweise werden auch komplette Automaten-Fronten nachgebaut – inklusive Kartenschlitz und Nummernpad. Wenn ein Kunde nun seine Daten eingibt, werden diese kopiert, beziehungsweise aufgezeichnet und anschließend missbraucht.
Video: ATM skimming team at work
Die größte „Innovation“ in Sachen Geldautomaten-Manipulation stellen derzeit aber Knopfloch-große Kameras dar: Während ein Skimmer die Daten von der Karte kopiert, zeichnet die Kamera den PIN-Eingabeprozess auf. Das ermöglicht den kriminellen Banden später, die benutzte Karte zu fälschen und mit der passenden PIN auszustatten. Diese Vorgehensweise bedeutet für die Kriminellen deutlich weniger Aufwand, schließlich muss „nur“ der Karten-Eingabeschlitz gefälscht werden. Nach Angaben von Verizon benutzen 90 Prozent aller Skimmer inzwischen diese Technik.
MANIPULIERTE BANKAUTOMATEN: SO SCHÜTZEN SIE SICH
In London klärt die Polizei inzwischen auch über ihren offiziellen Twitter-Account auf und veröffentlicht regelmäßig Fotos von den Betrugsmaschen an den Bankautomaten:

Fraudster’s camera bar recovered from an #ATM near @StPaulsLondon. Please remember to cover your pin when using a cash machine. #CrimeSquad pic.twitter.com/cluZyafXfI— City Police (@CityPolice) 13. März 2017
Take a ? at this #Fraudster’s camera.

Could you spot it? If seen on a machine dial 999 for crime in action.#CoverYourPin #CrimeSquad pic.twitter.com/4a4v6KKSCu
— City Police (@CityPolice) 14. März 2017

Diese Bilder zeigen: Die Manipulationen sind für Laien auf den ersten flüchtigen Blick kaum zu erkennen. Die Londoner Gesetzeshüter empfehlen den Nutzern von Geldautomaten, ihre Finger bei der PIN-Eingabe zu bedecken – nur für den Fall, dass eine Kamera zusehen sollte. Dazu hat die City Police sogar ein eigenes Hastag kreiert: #CoverYourPin.

Die New Yorker Polizei beobachtet das Phänomen, dass ATM-Skimmer nach der erfolgreichen Manipulation eines Bankomaten die Bargeld-Ausgabestellen in der Umgebung beschädigen, um die Menschen gezielt in die Falle zu treiben. Wer bei der Suche nach einem Geldautomaten im Big Apple als nur einen unter vielen defekten findet, sollte sich zweimal überlegen, ob er dort Geld abhebt.

Das Skimming der Bankautomaten erlebt im Grund die gleiche Evolution wie das nicht-kriminelle Einsatzgebiet von Technologie: Alles wird dünner, kleiner und mobiler. Der neueste Schrei unter Profi-Skimmern sind laut Geldautomaten-Hersteller NCR „deep insert skimmers“. Diese werden im Scan-Mechanismus der Bankautomaten versteckt, operieren daher völlig unbemerkt und kommen oft in Kombination mit Mini-Kameras zum Einsatz. Anfangs mussten diese neuen Vorrichtungen noch aufwändig (und permanent) an den Bankomaten installiert werden. Inzwischen werden auch „deep insert skimmer“ mit Magnetvorrichtungen eingesetzt. Diese lassen sich nach erfolgreicher Datensammlung einfach wieder entfernen und erneut benutzen.

Video: How an Insert Skimmer works

Auch für chip-basierte Geld- und Bankkarten haben Kriminelle inzwischen Methoden entwickelt: Beim „shimming“ wird die Kommunikation zwischen Kartenchip und Geldautomat abgefangen und auf einen Magnetstreifen kopiert. Da diese Methode einen relativ hohen technischen Aufwand bedeutet, ist sie derzeit noch nicht weit verbreitet. Allerdings weisen auch die meisten chip-basierten Geldkarten einen Magnetstreifen auf, um die Kompatibilität mit allen Geldautomaten zu gewährleisten.

NFC & APPS: MEHR SICHERHEIT AM GELDAUTOMATEN?

Auch eine Authentifizierung über Fingerabdruck-Sensoren und NFC wird nicht das Ende für die Betrügereien am und um die Geldautomaten bedeuten. Schließlich gehen auch Kriminelle mit der Zeit und nutzen neue Technologien, um ans Ziel zu kommen. Die immer weiter sinkenden Zugangsschranken zur digitalen Unterwelt tun Ihr Übriges.

Die gute Nachricht ist: Sie können sich schützen. Die deutsche Polizei gibt unter anderem folgende Tipps, um sich vor Manipulation an Bankautomaten zu schützen:

• Betätigen Sie den Türöffner einer Bank nicht mit der gleichen Karte, mit der Sie Geld abheben

• Achten Sie darauf, bei der PIN-Eingabe nicht beobachtet zu werden

• Decken Sie Ihre Hand bei der PIN-Eingabe zusätzlich ab

• Achten Sie auf Ungewöhnliches (Leisten, Verblendungen, abstehende Teile, Spuren von Kleber am Kartenschlitz)

• Kontrollieren Sie Ihre Kontoauszüge regelmäßig

• Bei Verdacht auf Ausspähung oder Missbrauch nutzen Sie den bundesweiten Sperrnotruf und erstatten Sie Anzeige

In unseren Breitengraden scheint derzeit immer noch die Technik des „Cash Trapping“ in Mode zu sein. Hierbei wird der Geldausgabeschacht so manipuliert, dass die Scheine im Inneren festkleben, statt ausgegeben zu werden. Auf dem Bildschirm erscheint nach einiger Zeit der Hinweis auf eine Störung. In einem solchen Fall empfiehlt die Polizei in jedem Fall am Automaten zu bleiben und einen Bankmitarbeiter zu rufen. Außerhalb der Öffnungszeiten sollten Sie direkt die Polizei verständigen.

Dieser Artikel basiert in Teilen auf einem Beitrag der US-Publikation computerworld.com.

Video: Gefahr am Geldautomat: Die neuesten Tricks der Betrüger

*Florian Maier beschäftigt sich für die computerwoche.de mit dem Themenbereich IT-Security und Mike Elgan