Gefälschtes Zahlungsformular im Checkout: erkennen und stoppen

Beim gefälschten Zahlungsformular zeichnet Schadcode auf der Zahlungsseite eines seriösen Shops ein Kartenformular, das das echte nachahmt. Der Kunde gibt dort seine Daten ein, sieht eine Fehlermeldung oder wird zum echten Formular weitergeleitet und tippt alles noch einmal. Der Kauf wird genehmigt, doch die Daten aus dem ersten Versuch liegen bereits bei den Tätern. Stoppen lässt sich das nur, wenn sichergestellt ist, dass ausschließlich das echte Kartenformular erscheint, geprüft auf dem Bildschirm des Käufers, nicht nur auf dem Server.

So funktioniert der Betrug

1. Die Täter bringen Code auf die Seite: über eine Lücke in Plattform, Theme oder Plugin, einen gestohlenen Admin-Zugang oder das kompromittierte Skript eines Partners.
2. Erreicht der Kunde die Zahlung oder klickt er auf „Bestellung abschließen“, zeigt der Code ein gefälschtes Formular (über dem echten oder davor) mit Schloss-Symbol, Farben und Texten im Stil des Shops.
3. Der Kunde gibt Kartennummer, Ablaufdatum und Prüfnummer ein, und eine Kopie geht an eine Adresse der Täter.
4. Der Code zeigt einen Fehler oder schließt einfach das Fenster und führt den Kunden zum echten Formular.
5. Der Kunde tippt alles erneut, der Kauf wird genehmigt, und niemand bringt beides in Verbindung.

Der Leitfaden des PCI Security Standards Council zur Sicherheit von Zahlungsseiten vom März 2025 nennt das einen Angriff mit doppelter Eingabe. Für die Täter hat er einen großen Vorteil: Er funktioniert selbst dann, wenn das echte Formular vom Zahlungsdienstleister stammt und der Code der Seite nicht lesen kann, was dort eingegeben wird. Das gefälschte Formular muss das echte gar nicht berühren; es muss nur zuerst erscheinen.

Zwei Fälle aus 2026

Im Februar 2026 berichtete das Forschungsunternehmen Sansec über eine international tätige Supermarktkette. Der eingeschleuste Code zeigte ein gefälschtes Kartenformular in der Sprache des Kunden und nach dem Absenden das echte Formular des Zahlungsdienstleisters. Vorher prüfte er, ob der Besucher ein angemeldeter Shop-Administrator war, und tat in diesem Fall nichts. Wer den eigenen Checkout testete, sah den Betrug also nie. Sansec gab an, das Unternehmen sechsmal ohne Antwort gewarnt zu haben, und wies darauf hin, dass KI-Werkzeuge gefälschte Formulare in jeder Sprache und jedem Stil binnen Minuten erzeugen.

Im April 2026 beschrieb Sansec eine Kampagne auf 99 Shops. Beim Klick auf den Checkout-Button sahen Kunden ein Vollbildfenster mit dem Titel „Secure Checkout“ und Schloss-Symbol, das die Kartennummer in Echtzeit prüfte und die Rechnungsadresse abfragte. Nach dem Absenden leitete es zum echten Checkout weiter und markierte den Browser, damit dieselbe Person nicht zweimal gefragt wurde.

Die Warnzeichen erkennen

Das PCI SSC stellt fest, dass Angriffe mit doppelter Eingabe meist schneller auffallen als stilles Mitlesen, weil Kunden stutzig werden oder der Händler es beim Testen bemerkt. Der Fall vom Februar zeigt, dass der zweite Weg versagen kann. Achten Sie auf:

• Kunden, die berichten, ihre Karte zweimal eingegeben oder erst einen Fehler gesehen und dann doch bezahlt zu haben;
• Hinweise auf ein ungewohntes Zahlungsfenster, eine andere Sprache oder zusätzliche Felder;
• Betrugsmeldungen von Banken oder Ihrem Acquirer zu Karten, die in Ihrem Shop genutzt wurden;
• Kartenfelder auf der Seite, die weder von Ihnen noch von Ihrem Zahlungsdienstleister stammen;
• Datenübertragungen der Seite an Adressen, die Sie nicht kennen.

Testen Sie wie ein normaler Kunde: abgemeldet, im privaten Fenster, von einem anderen Gerät und aus einem anderen Netz.

So stoppen Sie den Betrug: Checkliste

• Seite verschlanken. Nur unverzichtbare Skripte auf Zahlungsseiten und auf Seiten belassen, die das Formular des Dienstleisters anzeigen.
• Zugänge schließen. Plattform, Theme und Plugins aktualisieren, Ungenutztes entfernen und für Admin-Zugänge eine Zwei-Faktor-Anmeldung verlangen.
• Quellen und Ziele begrenzen. Die Seite so konfigurieren, dass sie Code nur von freigegebenen Adressen lädt und Daten nur dorthin sendet.
• Laufend überwachen. PCI-DSS-Anforderung 11.6.1 verlangt eine Prüfung auf Änderungen mindestens wöchentlich, doch das PCI SSC selbst empfiehlt, wo möglich, häufige oder Echtzeit-Überwachung. Ein gefälschtes Formular, das eine Woche aktiv ist, trifft alle Kunden dieser Woche.
• Das Formular auf dem Bildschirm des Käufers prüfen. Der direkteste Schutz prüft im Browser, dass nur das echte Kartenformular erscheint, und blockiert jede darübergelegte Ebene, bevor der Kunde tippt.
• Den Kundenservice vorbereiten. „Ich musste meine Karte zweimal eingeben“ ist ein Sicherheitsalarm, kein Bedienproblem; legen Sie fest, an wen diese Meldung geht.

Proteside schützt genau diesen Moment: Es prüft im Browser des Käufers die Zahlungsformulare auf der Seite und stoppt das darübergelegte Formular, bevor der Kunde seine Daten preisgibt. Lernen Sie den Schutz für Kartenzahlungen kennen und testen Sie ihn 14 Tage kostenlos.