Was ist Web-Skimming?

Web-Skimming ist das Einschleusen bösartigen Codes in eine Checkout- oder Zahlungsseite, der Kartendaten beim Eintippen des Kunden lautlos abgreift und an einen vom Angreifer kontrollierten Server sendet. Benannt nach Magecart, dem losen Kollektiv von Gruppen, die die Technik gegen Magento-Shops populär machten, ist sie der digitale Nachfahre des physischen Skimming-Geräts über dem Kartenschlitz eines Geldautomaten: unsichtbar für den Zahlenden und funktioniert perfekt, egal wie gut die eigenen Systeme des Händlers Betrug erkennen, denn diese Systeme sehen den Diebstahl nie.

Wo die Injektion sitzt

Die Kompromittierung zielt selten direkt auf den eigenen Code des Händlers. Checkout-Seiten sind Collagen aus Erstanbieter-Code und Drittanbieter-Skripten, etwa Analytics, Chat-Widgets, Werbe-Pixel und Zahlungsbibliotheken, und Skimmer nutzen genau diese Lieferkette aus: Ein Skript kompromittieren, das Dutzende fremde Seiten laden, und der Skimmer reitet gleichzeitig in alle mit ein. Verwundbare E-Commerce-Plattformen und ungepatchte Plugins sind der andere verbreitete Einstiegspunkt und geben Angreifern direkten Schreibzugriff auf Checkout-Templates. Einmal installiert, ist der Skimmer-Code auf Unauffälligkeit gebaut: Er klont Formularfelder, beobachtet Tastenanschläge oder fängt das Absenden ab, und exfiltriert Daten typischerweise an eine Domain, die in einem Netzwerk-Traffic-Log unscheinbar wirken soll.

Warum die Erkennung langsam ist

Das Opfer erlebt nichts: Die Zahlung geht durch, die Bestellung bestätigt, die Ware wird verschickt. Der Einbruch zeigt sich erst, wenn gestohlene Kartennummern Wochen oder Monate später in Card-Not-Present-Betrug oder Carding-Operationen auftauchen: Ermittler verfolgen den gemeinsamen Kompromittierungspunkt dann zurück zu einer Checkout-Seite, die bis dahin bereits Tausende vergiftete Transaktionen verarbeitet hat. Regulierungsbehörden nehmen das Muster ernst: DSGVO-Durchsetzungsverfahren haben betroffene Händler direkt für unzureichende Checkout-Sicherheit gebüßt, was Web-Skimming zu einem Betrugs- wie zu einem Compliance-Problem für jede Seite macht, die Zahlungsdaten verarbeitet.

Die Checkout-Lieferkette verteidigen

Die Kerndisziplin behandelt jedes auf einer Zahlungsseite geladene Skript als Vertrauensentscheidung, nicht als Bequemlichkeit. Eine Content Security Policy, die auf Checkout-Seiten exakt festlegt, welche Domains ausführen oder Daten empfangen dürfen, blockiert unautorisierte Exfiltration selbst aus einem erfolgreich injizierten Skript. Subresource Integrity bindet Drittanbieter-Skripte an einen bekannten Hash, sodass eine still veränderte Datei nicht mehr lädt. Regelmäßiges Integritäts-Monitoring des Checkout-Codes und zügiges Patchen von CMS und Plugins darunter schließen die Einstiegspunkte, auf die Angreifer bauen. Nichts davon schützt vor der Aufklärung und automatisierten Schwachstellen-Sondierung, die verwundbare Checkouts überhaupt erst findet, hier leistet Bot-Erkennung wie CaptchaFox ergänzende Arbeit und hält automatisiertes Scannen und Credential-Testing von den Admin- und Checkout-Flächen fern, über die Skimming-Kampagnen ihren ersten Fuß in die Tür bekommen.