Skimming bezeichnet eine Betrugstechnik, bei der Angreifer mittels manipulierter Geräte oder Software unbemerkt Zahlungskartendaten auslesen, etwa an Geldautomaten oder Kartenlesegeräten, um diese anschließend für betrügerische Transaktionen zu missbrauchen, insbesondere im betrieblichen Alltag.
Beim klassischen Skimming installieren Angreifer physische Zusatzgeräte an Geldautomaten oder Kartenlesegeräten, die unbemerkt die Daten der Magnetstreifen oder Chips von Zahlungskarten auslesen, während zunehmend auch digitale Varianten existieren, die Kartendaten direkt über kompromittierte Online-Zahlungsformulare abgreifen,
Für Unternehmen ist digitales Skimming relevant, wenn eigene Online-Zahlungsformulare kompromittiert werden, wodurch Angreifer Kartendaten von Kunden direkt beim Bezahlvorgang unbemerkt abfangen können, ohne dass dies für die betroffenen Personen zunächst offensichtlich wird.
Für Architektur- und Ingenieurbüros ist Skimming meist nur relevant, wenn eigene Online-Zahlungssysteme für Kundenzahlungen genutzt werden, während die klassische physische Variante an Geldautomaten primär als allgemeines Risikobewusstsein für Mitarbeitende relevant sein kann.
Abzugrenzen ist digitales Skimming von klassischem Datendiebstahl aus Datenbanken, da es speziell auf das Abfangen von Zahlungskartendaten während des eigentlichen Bezahlvorgangs abzielt. PCI DSS legt Sicherheitsanforderungen fest, die auch gegen digitales Skimming schützen sollen. Dies zeigt, wie eng die einzelnen Konzepte der Cybersicherheit miteinander verzahnt sind.
Für Sie als Geschäftsführerin oder Geschäftsführer eines Planungsbüros ist Skimming meist nur relevant, wenn Ihr Unternehmen eigene Online-Zahlungssysteme für Kartenzahlungen von Kunden nutzt, da in diesem Fall eine kompromittierte Zahlungsseite Kartendaten unbemerkt abfangen könnte. Für die meisten größeren Projektzahlungen im Planungssektor, die üblicherweise per Rechnung erfolgen, ist dieses Risiko eher gering. Für die Cyberversicherung ist relevant, dass bei tatsächlicher Verarbeitung von Zahlungskartendaten die Einhaltung von PCI-DSS-Anforderungen wichtige Voraussetzung für entsprechenden Versicherungsschutz sein kann. Ein allgemeines Bewusstsein für physisches Skimming an Geldautomaten ist zudem für Ihre Mitarbeitenden im privaten Kontext sinnvoll. Ein realistisches Verständnis dieses Zusammenhangs hilft Ihnen zudem, Prioritäten bei der eigenen IT-Sicherheit sinnvoll zu setzen und im Beratungsgespräch zur Cyberversicherung fundierte Fragen zu stellen.
Ein Architekturbüro, das kleinere Beratungsleistungen online per Kreditkarte abrechnet, lässt seine Zahlungsseite regelmäßig von einem spezialisierten Sicherheitsdienstleister überprüfen, um sicherzustellen, dass keine schädliche Software zum digitalen Skimming von Kartendaten eingeschleust wurde. Bei einer solchen Überprüfung wird tatsächlich ein verdächtiges Skript entdeckt, das unbemerkt versucht hätte, Kartendaten von Kunden während des Bezahlvorgangs abzufangen. Das Büro entfernt das schädliche Skript umgehend und verstärkt die Sicherheitsmaßnahmen für die eigene Zahlungsabwicklung deutlich. Der Vorfall wird intern dokumentiert und dient als Grundlage für weitere, gezielte Verbesserungen der eigenen IT-Sicherheit.
Skimming bezeichnet eine Betrugstechnik, bei der Angreifer unbemerkt Zahlungskartendaten auslesen, um diese für betrügerische Transaktionen zu missbrauchen.
Ja, digitale Varianten greifen Kartendaten direkt über kompromittierte Online-Zahlungsformulare ab, ohne physische Zusatzgeräte.
Größere Projektzahlungen erfolgen im Planungssektor üblicherweise per Rechnung statt per Kartenzahlung.
Wenn eigene Online-Zahlungssysteme für Kartenzahlungen von Kunden genutzt werden, etwa für kleinere Beratungsleistungen.
Der Standard definiert verbindliche Sicherheitsanforderungen für die Verarbeitung von Zahlungskartendaten – viele dieser Vorgaben erschweren genau die Techniken, die beim digitalen Skimming zum Einsatz kommen.
• Social Engineering – unterscheidet sich von Skimming durch seinen primär psychologischen statt technischen Ansatz.
• Business Email Compromise (BEC) – verfolgt andere Ziele als das speziell auf Zahlungskartendaten fokussierte Skimming.
• CEO-Fraud – nutzt eine grundlegend andere Täuschungsmethode als das technische Skimming.
• Captcha – kann automatisierte Versuche zur Platzierung schädlicher Skimming-Skripte zusätzlich erschweren.