Ausspähen von Kontodaten: Wie schützt man sich vor Online-Skimming?

Von: Referat 32 - Bayerisches Staatsministerium für Umwelt und Verbraucherschutz

Unter Online-Skimming versteht man das Ausspähen von Konto- und Kreditkartendaten mithilfe von Spähsoftware, um mit den Daten unberechtigte Zahlungen und Abbuchungen von dem Konto der Betroffenen auszulösen. Wie können sich Verbraucher/-innen schützen?

Immer wieder berichten Medien über Hackerangriffe und unbefugte Zugriffe auf Kund/-innen- und Kreditkartendaten. Das Bundesamt für die Sicherheit in der Informationstechnik (BSI) veröffentlicht regelmäßig Hinweise über Sicherheitslücken, die für Angriffe und das Ausspähen von sensiblen Daten genutzt werden können. So erwähnt auch der Bericht über die Lage der IT-Sicherheit in Deutschland des BSI von 2021 darüber, dass gerade Online-Händler/-innen aufgrund der immensen Anzahl an Kundendaten immer wieder im Fokus von Angriffsbemühungen durch Skimming stehen. Bei solchen Angriffen werden legitime Websiten von Online-Händler/-innen kompromittiert, teilweise ohne dass diese es bemerken.

Es empfiehlt sich daher, regelmäßig sein Konto auf ungewöhnliche, nicht autorisierte Zahlungen zu überprüfen.
Sollten Sie eine missbräuchliche Verwendung Ihrer Kreditkartendaten feststellen, sind Sie verpflichtet, dies Ihrer Bank unverzüglich anzuzeigen (§ 675l Abs. 1 Satz 2 BGB). Grundsätzlich können Sie, wenn Sie von einer missbräuchlichen Abbuchung betroffen sind, von Ihrer Bank die Rückerstattung und Rückbuchung des Betrages verlangen (§ 675u BGB). Die Bank muss unverzüglich den Betrag rückbuchen, was in der Praxis von den Banken nicht immer beachtet wird.

Die Bank kann eine „Selbstbeteiligung“ bis zu einer Höhe von 50 Euro verlangen, es sei denn, die Verbraucherin bzw. der Verbraucher konnte die missbräuchliche Nutzung der Konto- und Kreditkartendaten „nicht bemerken“, d.h. er bzw. sie hat keine Sorgfaltspflichten schuldhaft verletzt. Den vollen Schadensersatz erhalten Verbraucherinnen und Verbraucher außerdem in Fällen, in denen die Bank keine starke Kundenauthentifizierung (d.h. die Abfrage von mindestens zwei Sicherheitsmerkmalen) durchführt (vgl. § 675v Abs. 2 und 4 BGB). Haben betroffene Verbraucherinnen oder Verbraucher vorsätzlich gehandelt oder grob fahrlässig gegen ihre Verpflichtungen verstoßen, haften sie für den gesamten Schaden (§ 675v Abs. 3 BGB).

Sofern die Täterinnen oder Täter die Spähsoftware auf die bei Online-Bestellungen verwendete Software installieren, sich darüber Zugang zu den Kreditkartendaten der Kund/-innen verschaffen und damit unberechtigte Zahlungen auslösen, kann eine Selbstbeteiligung des/der Betroffenen ausgeschlossen sein.