Card Cloning trotz EMV-Chip Kartenbetrug beginnt lange vor der verdächtigen Abbuchung

Die Bankkarte steckt noch im Portemonnaie, die Daten sind längst im Umlauf. Kriminelle greifen sie am Geldautomaten, per Phishing oder im Online-Shop ab und verkaufen sie weiter. Welche Signale verraten den Betrug früh, und wie greifen Unternehmen ein, ohne ehrliche Kunden auszubremsen?

Fast 100.000 Fälle von „Betrug mittels rechtswidrig erlangter unbarer Zahlungsmittel“ erfasste das BKA 2025. Trotz EMV-Chips, kontaktloser Zahlungen und moderner Fraud-Stacks bleibt Card Cloning ein relevantes Risiko. Das liegt vor allem daran, dass sich der Betrug verändert hat: Card Cloning ist heute kein isolierter Angriff auf einzelne Karten mehr, sondern Teil eines vernetzten Betrugsökosystems aus physischer Manipulation, digitalem Skimming, Phishing, Social Engineering und automatisierten Missbrauchsszenarien.

Wer Card Cloning noch immer vor allem mit manipulierten Geldautomaten verbindet, greift zu kurz. Denn kompromittierte Kartendaten entstehen heute entlang einer deutlich breiteren Angriffskette.

Finanzbetrug und Kreditkartendiebstahl

Handel mit gestohlenen Kreditkarten aus Deutschland boomt im Darknet

Warum Card Cloning relevant bleibt

EMV-Chips haben die klassische 1:1-Kopie von Kartendaten deutlich erschwert, weil sie mit dynamischen Transaktionsdaten arbeiten und nicht mehr allein auf statische Magnet­strei­fen­in­for­ma­ti­o­nen setzen. Für echte EMV-Transaktionen ist eine vollständige Duplizierung deshalb wesentlich schwieriger als früher.

Das Problem ist dadurch aber nicht verschwunden. Angreifer konzentrieren sich heute auf Schwachstellen an den Rändern des Systems:

• Skimming und Shimming an physischen Terminals und Geldautomaten: Kriminelle manipulieren Geräte, um Magnetstreifendaten oder chipbezogene Informationen abzugreifen.

• PIN- und CVV-Erbeutung: Diese erfolgt etwa über Kameras, Overlay-Keypads, Phishing oder Social Engineering.

• Digitales Skimming im E-Commerce: kompromittierte Checkout-Strecken oder Schadcode auf Websites erfassen Kartendaten direkt online.

• Weiterverkauf im kriminellen Ökosystem: gestohlene Datensätze werden gehandelt, angereichert und für weitere Angriffe genutzt.

• Anschlussdelikte: Dazu zählen Card Testing, Card-not-Present-Fraud und Account Takeover.

Das eigentliche Risiko liegt also nicht mehr nur in der „geklonten Karte“ als physischem Artefakt, sondern in der Wiederverwertbarkeit gestohlener Zahlungsdaten über mehrere Kanäle hinweg.

Zahlungssicherheit im Zeitalter von KI-gestützten Deepfakes

Deutsche Unternehmen zögern beim Schutz vor KI-Zahlungsbetrug

Die gefährliche Zeitspanne zwischen Datendiebstahl und Missbrauch

Für Verbraucher ist Card Cloning meist erst sichtbar, wenn unautorisierte Abbuchungen auftauchen. Für Banken, PSPs, Händler und Acquirer beginnt die eigentliche Herausforderung jedoch deutlich früher. Denn moderne Kartenbetrugsfälle verlaufen selten linear.

Typischerweise beginnt der Angriff mit einem einzelnen Datenabgriff. Zum Beispiel an einem manipulierten ATM, an einem POS-Terminal, über Phishing oder über ein kompromittiertes Online-Formular. Danach werden die Informationen mit weiteren Signalen verknüpft: Gerätekennungen, Wohnorte, Verhaltensdaten, frühere Login-Muster, bekannte Fraud-Schemata oder Daten aus anderen kompromittierten Accounts.

Gestohlene Kartendaten werden zudem selten isoliert verwendet. Häufig werden sie innerhalb krimineller Netzwerke weitergegeben, verkauft oder mit anderen Datensätzen verknüpft. Verschiedene Akteure übernehmen dabei unterschiedliche Rollen. Von der Datenerfassung über die Anreicherung und Validierung bis hin zum eigentlichen Missbrauch oder Weiterverkauf. Dadurch ist Card Cloning oft Teil eines koordinierten Prozesses, der sich über verschiedene Kanäle, Konten und Regionen erstrecken kann.

Security-Insider Podcast – Folge 119

Deepfakes erkennen, wenn das Auge versagt

Welche Frühindikatoren wichtig sind

Wer Card Cloning wirksam erkennen will, darf sich nicht allein auf statische Regeln oder den Blick auf Einzeltransaktionen verlassen. Entscheidend ist die Fähigkeit, Zusammenhänge früh zu erkennen.

Besonders relevant sind dabei unter anderem:

• ungewöhnliche Transaktionsmuster, etwa viele Kleinbeträge in kurzer Folge oder atypische Händlerkombinationen,

• Velocity-Signale, also auffällige Häufungen von Autorisierungsversuchen innerhalb kurzer Zeit,

• verdächtige Geräteprofile, etwa wenn ein Gerät mit ungewöhnlich vielen Karten oder Konten verknüpft ist,

• IP- und Geolocation-Abweichungen, zum Beispiel wenn Kartennutzung, Account-Verhalten und Standort nicht zusammenpassen,

• Verbindungen zwischen scheinbar unabhängigen Accounts, etwa über identische Geräte-, Netzwerk- oder Browsermerkmale,

• Verhaltensanomalien, die nicht zum bisherigen Kundenprofil passen.

Gerade Device Intelligence und Netzwerkperspektiven gewinnen an Bedeutung. Denn geklonte oder kompromittierte Kartendaten werden häufig nicht isoliert verwendet, sondern im Rahmen koordinierter Fraud-Aktivitäten. Wenn dieselbe Infrastruktur mit mehreren Konten, Karten oder Identitäten in Verbindung steht, deutet das auf organisierte Muster hin.

KI-Fälschungen sind visuell kaum noch erkennbar

Wie IT-Forensiker Deepfakes aufdecken

KI als Werkzeug beider Seiten

Auf Täterseite hilft KI dabei, Phishing glaubwürdiger zu machen, Social-Engineering-Angriffe stärker zu personalisieren und Card-Testing-Kampagnen zu automatisieren. Bot-gestützte Mikropayments über zahlreiche Händler hinweg können klassische Prüfmechanismen schnell an ihre Grenzen bringen. Deepfakes spielen bereits heute in angrenzenden Betrugsszenarien eine relevante Rolle, insbesondere wenn Angreifer versuchen, zusätzliche Verifizierungs­schritte zu umgehen. Mit dem technologischen Fortschritt dürften immer realistischere Stimmenklone und ähnliche Manipulationen dazu führen, dass solche Angriffe noch überzeugender und schwerer zu erkennen werden.

Auf Verteidigungsseite ermöglicht KI dagegen eine deutlich präzisere Erkennung komplexer Muster. Moderne Fraud-Detection-Systeme können Transaktionsdaten, Geräteinformationen, Netzwerkzusammenhänge und Verhaltensprofile in Echtzeit auswerten. Dadurch lassen sich nicht nur offensichtliche Auffälligkeiten erkennen, sondern auch Signale, die erst in der Kombination auf Missbrauch hindeuten.

KI ersetzt allerdings keine Fraud-Strategie. Ohne saubere Datenbasis, klare Eskalationslogiken, abgestimmte Entscheidungsregeln und gute Zusammenarbeit zwischen Fraud, Risk, Com­pliance und Security bleibt ihr Potenzial begrenzt.

Finanzsysteme in Echtzeit schützen

Wenn Zahlungen zur Falle werden

Wie Unternehmen Schäden begrenzen, ohne Conversion zu opfern

Die größte Herausforderung im Zahlungsumfeld ist nicht nur, Betrug zu stoppen, sondern dies zu tun, ohne legitime Kunden unnötig auszubremsen. Erfolgreiche Organisationen setzen deshalb auf einen mehrschichtigen, risikobasierten Ansatz:

• 1. Härtung der physischen Infrastruktur
  Geldautomaten, POS-Terminals und Self-Service-Geräte müssen regelmäßig auf Ma­ni­pu­la­ti­on überprüft werden. Gerade in verteilten Netzwerken ist dies auch eine operative Aufgabe.

• 2. Echtzeit-Monitoring über alle Kanäle hinweg
  Nicht nur Autorisierungen am Zahlungsterminal, sondern auch Logins, Gerätewechsel, Wallet-Registrierungen, Kartenaktualisierungen und fehlgeschlagene Zahlungsversuche sollten in die Risikobewertung einfließen.

• 3. Behavioral Profiling und Device Intelligence
  Wer normales Kundenverhalten sauber modelliert, erkennt Abweichungen früher und kann Kontrollen gezielter auf riskante Vorgänge anwenden statt pauschal zu blockieren.

• 4. Netzwerk- und Link-Analysen
  Verbindungen zwischen Accounts, Geräten, IPs und Händlern helfen, Fraud-Ringe sichtbar zu machen, bevor Einzelfälle eskalieren.

• 5. Adaptive Friction statt pauschaler Sperren
  Zusätzliche Prüfungen sollten dort ausgelöst werden, wo das Risiko tatsächlich steigt. Das können Step-up-Checks, verzögerte Freigaben oder gezielte manuelle Reviews sein.

• 6. Enge Zusammenarbeit zwischen Security, Fraud und Compliance
  Card Cloning liegt an der Schnittstelle von physischer Sicherheit, Cybersecurity, Zahlungsrisiko und regulatorischer Steuerung. Silos sind hier besonders teuer.

Betrugsabwehr über Branchen hinweg

Bekämpfung von Cyber-Betrug im Bankensektor

Was Merchant- und Payment-Teams jetzt priorisieren sollten

Für Merchant-, E-Commerce-, Banking- und Payment-Teams ergibt sich daraus eine klare Prioritätenliste:

• Card Cloning nicht als Nischendelikt behandeln, sondern als Teil einer vernetzten Betrugslandschaft,

• physische und digitale Angriffsvektoren gemeinsam betrachten,

• isolierte Regelwerke durch kontextbasierte Erkennung ergänzen,

• operative Daten aus Fraud, Security und Payments zusammenführen,

• Frühwarnsignale auf Netzwerkebene auswerten statt nur Einzelfälle zu prüfen,

• False Positives aktiv managen, damit Prävention nicht zum Conversion-Killer wird.

Gerade in regulierten und zahlungsnahen Branchen ist das wichtig, weil Kartenbetrug nicht nur finanzielle Folgen hat. Hinzu kommen Reputationsschäden, steigende operative Aufwände, Belastungen für Support- und Chargeback-Prozesse sowie mögliche Implikationen für Compliance und Aufsicht.

The Calm Before the Storm?

First-Party-Fraud ist weltweit führende Betrugsform

Fazit

Card Cloning ist ein Symptom dafür, wie eng physische Manipulation, digitale Angriffe und datengetriebene Betrugsmuster inzwischen zusammengewachsen sind. Für Banken, PSPs, Händler, Issuer und Acquirer bedeutet das: Wer den Betrug erst bei der verdächtigen Abbuchung sieht, reagiert zu spät.

Gefragt ist eine Fraud- und Risk-Strategie, die kanalübergreifend denkt, Geräte- und Netz­werk­beziehungen erkennt und Anomalien in Echtzeit einordnet. Diese Fähigkeit entscheidet heute darüber, ob Unternehmen Bedrohungen frühzeitig eindämmen können oder einer sich rasant entwickelnden Angriffslandschaft weitgehend ungeschützt gegenüberstehen und Schäden erst im Nachhinein aufarbeiten.

Über den Autor: Artem Popov leitet bei der Full-Cycle-Verifizierungsplattform Sumsub den Produktbereich Betrugsprävention. Er hat mehr als zehn Jahre Erfahrung in der Ende-zu-Ende-Entwicklung für datengesteuerte Webplattformen und arbeitet seit über vier Jahren an Systemen, die Identitätsbetrug in Echtzeit erkennen.

(ID:50981888)