Missbrauch von Apple Pay und Google Pay: Wie Betrüger Bankkarten in fremde Wallets schleusen

Der Betrug mit digitalen Wallets gewinnt spürbar an Bedeutung. Banken und Zahlungsdienstleister berichten über eine wachsende Zahl von Fällen, in denen Zahlungskarten in Verbindung mit Apple Pay oder Google Pay missbräuchlich eingesetzt werden. Auffällig ist dabei, dass die betroffenen Karten weiterhin beim eigentlichen Karteninhaber verbleiben.

Der Angriffspunkt liegt beim Menschen, nicht bei der Technik

Die Vorgehensweise folgt einem bekannten Muster: Persönliche Daten werden im Vorfeld über Phishing abgegriffen. Der eigentliche Schaden entsteht jedoch erst deutlich später, wenn die Täter telefonisch Kontakt aufnehmen und sich als Bankmitarbeiter ausgeben. Entscheidend ist dabei nicht technische Raffinesse, sondern soziale Manipulation. Die Anrufer verfügen über genügend korrekte Informationen, um glaubwürdig zu wirken. In der Folge konstruieren sie eine angebliche Sicherheitslage, etwa nicht erkannte Kartenumsätze, und leiten daraus weitere Maßnahmen ab. An diesem Punkt setzen sie auf Zeitdruck und Verunsicherung.

Die kritische Freigabe ist technisch legitim

Was den Betrug besonders problematisch macht: Die entscheidende Freigabe ist aus technischer Sicht korrekt. Banken versenden tatsächlich Push-Benachrichtigungen oder Einmalcodes, wenn eine Karte zu einer Wallet hinzugefügt wird. Genau diese Abfrage wird von den Tätern ausgelöst, nachdem sie die Kartendaten bereits in ihrem Besitz haben. Bestätigt der Kunde diese Anfrage, wird die Karte auf einem fremden Gerät aktiviert – vollständig regelkonform. Für die nachgelagerten Zahlungssysteme ist der Vorgang damit zunächst nicht auffällig.

Wallet-Zahlungen sind für Händler schwer zu unterscheiden

Nach erfolgreicher Hinterlegung handeln die Täter schnell. Bezahlt wird bevorzugt bei Händlern, bei denen hochpreisige Waren mit geringem Wiederverkaufsverlust erhältlich sind. Elektronik, Smartphones oder Markenbekleidung lassen sich rasch weiterveräußern, bevor Sperrmechanismen greifen. Für Händler ist eine Wallet-Zahlung in der Regel nicht von einer regulären Transaktion zu unterscheiden. Auch aus Bankensicht ist der Missbrauch schwer frühzeitig zu erkennen, da die Zahlung formal korrekt autorisiert wurde.

Warum diese Masche zunimmt

Auffällig ist, dass dieser Betrugstyp gerade deshalb zunimmt, weil klassische Sicherheitsmechanismen besser greifen. Wo direkte Überweisungsbetrügereien häufiger scheitern, weichen Täter auf indirekte Angriffswege aus. Wallets bieten sich an, weil sie Komfort und Geschwindigkeit mit vergleichsweise wenigen Nutzerinteraktionen verbinden. Hinzu kommt ein Gewöhnungseffekt. Sicherheitswarnungen werden häufig bestätigt, ohne den genauen Kontext zu prüfen. Genau darauf setzen die Täter.

Verantwortung und Grenzen der Systeme

Weder Apple noch Google entscheiden letztlich über die Freigabe einer Karte. Diese Verantwortung liegt bei den Banken. Die Wallet-Anbieter stellen die Infrastruktur bereit, während Institute über zusätzliche Prüfungen, Verzögerungen oder Limits entscheiden können. Viele Banken haben ihre Verfahren bereits angepasst, etwa durch zusätzliche Prüfungen bei Wallet-Aktivierungen oder durch verzögerte Freischaltungen. Dennoch bleibt der entscheidende Faktor der Nutzer selbst.