Kartendatendiebstahl im Checkout: So funktioniert das Kopieren

Kartendatendiebstahl im Checkout läuft so ab: Ein Stück Schadcode, versteckt auf der Zahlungsseite eines seriösen Shops, liest mit, was der Kunde eintippt (Kartennummer, Ablaufdatum, Prüfnummer) und schickt eine Kopie an die Täter, während der Kauf ganz normal weiterläuft. Der Shop wird bezahlt, der Kunde bekommt seine Bestellung, und niemand merkt etwas, bis fremde Buchungen auf der Abrechnung auftauchen.

Was auf dem Bildschirm des Kunden passiert

Jede Zahlungsseite wird im Browser des Käufers aus vielen Code-Bausteinen zusammengesetzt: denen des Shops, der E-Commerce-Plattform, von Plugins und von Partnern wie Analyse-, Chat- oder Bewertungsdiensten. Sie alle laufen gemeinsam in derselben Seite. Das ist praktisch (so kann die Seite sofort melden, dass eine Kartennummer unvollständig ist), bedeutet aber auch: Jeder Code, der dort läuft, kann sehen, was in die Felder getippt wird.

Genau das nutzt der Angriff aus. Die Täter bringen eigenen Code auf die Seite, indem sie in den Admin-Bereich eindringen, eine Lücke in Plattform oder Plugin ausnutzen oder einen Partner kompromittieren, der ein Skript liefert. Danach läuft es fast immer gleich ab:

1. Der Kunde füllt das Kartenformular aus wie bei jedem Kauf.
2. Der Schadcode liest die Felder beim Tippen oder beim Klick auf „Bezahlen“ aus.
3. Eine Kopie der Daten geht an eine Adresse der Täter, oft benannt wie ein seriöser Statistikdienst.
4. Der Kauf läuft weiter und wird genehmigt. Für Shop und Kunde wirkt alles normal.

Der Leitfaden, den das PCI Security Standards Council im März 2025 veröffentlicht hat, nennt diese Angriffsart still: Aus Sicht von Kunde und Händler funktioniert alles wie erwartet, deshalb kann sie lange unentdeckt bleiben.

Echte Fälle, die das Muster zeigen

Der am besten dokumentierte Fall ist British Airways. Laut der im Oktober 2020 veröffentlichten Entscheidung der britischen Datenschutzbehörde (ICO) gelangte ein Angreifer mit kompromittierten Fernzugangsdaten in das Netzwerk der Airline und veränderte eine Code-Datei der Website. 15 Tage lang, zwischen August und September 2018, schickte jeder Kunde, der seine Kartendaten eingab, unwissentlich eine Kopie an eine Domain, die der der Airline ähnelte, und die Buchung lief ohne Unterbrechung weiter. Rund 430.000 Menschen könnten betroffen gewesen sein, und es war ein Dritter, kein interner Alarm, der das Unternehmen warnte. Die ICO verhängte später ein Bußgeld.

2019 beschrieb das Betrugsabwehr-Team von Visa einen solchen Code und nannte ihn Pipka. Er ließ sich so einstellen, dass er bestimmte Felder kopierte (Nummer, Ablaufdatum, Prüfnummer, Name und Adresse) und löschte sich direkt nach der Ausführung von der Seite, um Ermittlungen zu erschweren. Visa fand ihn in mindestens 17 Shops.

Es ist kein Einzelfall. Im Dezember 2023 informierte eine von Europol koordinierte Aktion mit Polizeibehörden aus 17 Ländern binnen nur zwei Monaten 443 Onlineshops darüber, dass Kartendaten ihrer Kunden abgeflossen waren. Im April 2026 meldete das Forschungsunternehmen Sansec fast 100 Shops mit Code, der in einem unsichtbaren Bildelement versteckt war und die Daten an Adressen schickte, die wie die Statistik eines sozialen Netzwerks aussahen.

Warum klassische Schutzmaßnahmen es nicht sehen

Firewall, Virenschutz auf dem Server und Betrugsprüfung sind wichtig, schauen aber woanders hin. Die Betrugsprüfung bewertet, ob eine Transaktion echt wirkt, und das ist sie: Der Kunde ist echt, die Karte gehört ihm, der Kauf auch. Die Firewall schützt den Zugang zum Server. Das Kopieren passiert aber im Browser des Käufers, nachdem die Seite den Server längst verlassen hat.

Zwei Dinge verschärfen das. Schadcode imitiert gern bekannte Tools und fällt bei einer schnellen Durchsicht nicht auf. Und wer den auf dem Server gespeicherten Code prüft, sieht nicht, was später hinzukam: durch einen Partner, einen Tag-Manager oder direkt auf der Live-Seite. Deshalb kommt der Hinweis fast immer von außen: von einer Bank, die gehäuften Betrug bemerkt, vom Kartennetzwerk, von Forschern.

Was Sie in Ihrem Shop tun können

• Wissen, was im Checkout läuft. Listen Sie alle Skripte der Zahlungsseiten auf, wer für jedes verantwortlich ist und warum es dort sein muss.
• Überflüssiges entfernen. Marketing-, Chat- und Bewertungstools gehören selten auf die Seite, auf der die Karte eingegeben wird.
• Eingänge schließen. Plattform, Theme und Plugins aktuell halten, Ungenutztes entfernen und für jeden Admin- und Fernzugang eine Zwei-Faktor-Anmeldung verlangen.
• Ziele beschränken. Die Seite so konfigurieren, dass sie Code nur von freigegebenen Adressen lädt und Daten nur an diese sendet.
• Die Seite überwachen, die der Kunde erhält, nicht nur den Code auf dem Server: Neue oder veränderte Skripte und Datenabflüsse an unbekannte Ziele sollten sofort Alarm auslösen.
• Einen Plan haben. Festlegen, wen Sie bei Verdacht anrufen (Acquirer, Zahlungsdienstleister, Technikteam) und wie Sie Kunden informieren.

Diese Maßnahmen sind auch der Kern der PCI-DSS-Anforderungen 6.4.3 und 11.6.1, die seit dem 31. März 2025 verpflichtend sind.

Proteside wurde für genau diesen Moment entwickelt: ein Skript auf der Zahlungsseite, das im Browser des Käufers prüft, wer die Kartenfelder liest und wohin die Daten gehen, und die Kopie blockiert, bevor sie die Seite verlässt. Sehen Sie, wie der Schutz vor Kartendatendiebstahl funktioniert, und testen Sie ihn 14 Tage kostenlos.