Karten-Skimming.

Karten-Skimming umfasst zwei verwandte Angriffsfamilien. Physisches Skimming manipuliert Geldautomaten, Zapfsäulen oder Kassen mit dünnen Aufsätzen oder einem „Shimmer" (einem hauchdünnen Einsatz, der den EMV-Chip ausliest), oft ergänzt durch Mikrokameras oder gefälschte Tastaturfelder zum Abgreifen der PIN; Bluetooth-Skimmer exfiltrieren die Daten inzwischen drahtlos. E-Skimming, popularisiert unter dem Sammelbegriff Magecart, injiziert bösartiges JavaScript in eine anfällige Checkout-Seite — oder in ein von ihr geladenes Drittanbieter-Skript —, um Kartennummer, CVV und Adresse an einen Angreiferserver abzuziehen.

Der meistzitierte Fall ist British Airways: Zwischen dem 21. August und dem 5. September 2018 änderten Angreifer eine JavaScript-Datei auf den Zahlungsseiten und kompromittierten rund 400 000 Kunden. Die britische ICO schlug zunächst eine DSGVO-Rekordstrafe von 183,39 Millionen Pfund vor, reduzierte sie im Oktober 2020 auf 20 Millionen. Im selben Jahr wurde Ticketmaster über das Skript des Drittanbieter-Chatbots Inbenta kompromittiert und der Checkout von Newegg geskimmt — was zeigt, wie Skripte aus der Lieferkette den Wirkungsradius vergrößern.

flowchart LR
  subgraph Physisch
    A[Manipulierter Automat / Zapfsäule / Kasse] --> B[Aufsatz oder Shimmer kopiert Karte]
    B --> C[Mikrokamera erfasst PIN]
  end
  subgraph E-Skimming
    D[Injiziertes / Drittanbieter-JS] --> E[Liest Checkout-Felder]
    E --> F[Exfiltriert zum Angreiferserver]
  end
  C --> G[Kartendaten monetarisiert / verkauft]
  F --> G

Zu den Abwehrmaßnahmen zählen EMV-Chip und tokenisierte Wallets, manipulationssichere Anti-Skimming-Hardware, Subresource Integrity, eine strikte CSP, das Monitoring von Drittanbieter-Skripten sowie die PCI-DSS-v4.0-Kontrollen für Zahlungsseiten — insbesondere Anforderung 6.4.3 (Skript-Verwaltung) und 11.6.1 (Manipulationserkennung), verpflichtend seit dem 31. März 2025.