Mit einem mobilen POS-Terminal Geld von Kreditkarten stehlen?

Von: ka

Neapel/Sorrent – Im Internet kursieren immer wieder Videos, in denen Taschendiebe mit einem mobilen POS-Terminal durch die Menge streifen und kontaktlose Zahlungen ausnutzen, um ahnungslosen Passanten, die von einem Komplizen abgelenkt werden, kleine Geldbeträge zu entwenden. Bei vielen von ihnen scheint es sich um Fake News oder von Schauspielern geschickt in Szene gesetzte Videos für TikTok und Instagram zu handeln. Ein Fall in Sorrent, bei dem bei einer festgenommenen Frau ein mobiles POS-Terminal sichergestellt wurde, zeigt jedoch, dass Kriminelle versuchen, diese Form des „Taschendiebstahls 2.0” anzuwenden, um ihre Opfer um kleine Geldsummen zu bringen.

In italienischen sozialen Netzwerken ist eine regelrechte Psychose entstanden, die durch das Auftauchen von zumeist alten Videos, die erneut hochgeladen wurden, ausgelöst wurde. Diese Videos sollen angebliche Diebstähle dokumentieren, die durch den Einsatz mobiler POS-Terminals begangen wurden.

Diese Netzvideos werden fälschlicherweise als in Italien gefilmt dargestellt, stammen aber aus ganz anderen Ländern – unter anderem aus Brasilien. Es besteht der Verdacht, dass es sich um inszenierte Filme handelt, in denen Schauspieler und Schauspielerinnen vermeintliche Taschendiebe 2.0 spielen.

Zum anderen liegt es daran, dass vor wenigen Tagen in Sorrent eine 36-jährige Frau festgenommen wurde. Als die Carabinieri sie wegen des Diebstahls eines 100-Euro-Scheins anhielten, stellten sie in ihrer Handtasche ein tragbares POS-Terminal sicher. Unter den Dutzenden von Diebstahlsfällen, die den Kriminellen vorgeworfen werden, sticht ein Diebstahl zum Schaden einer Touristin in Rom hervor: Mit einem solchen Gerät wurden ihr etwa 9.000 Euro entwendet. Seither fragen sich viele Nutzer und Kommentatoren im Netz, ob – und falls ja – wie solche „POS-Terminal-Taschendiebstähle” tatsächlich ablaufen.

Um diese Fragen zu beantworten, muss zunächst betrachtet werden, wie Zahlungen mit mobilen POS-Terminals ablaufen. Dabei handelt es sich um tragbare Geräte, die in der Regel von Fachleuten oder Hobbyisten genutzt werden, um Zahlungen per Kreditkarte oder mit digitalen Zahlungsmitteln wie Smartphones und ähnlichen Geräten zu empfangen. Elektronische – oder „kontaktlose” – Zahlungen erfolgen durch den Kontakt zwischen dem POS-Terminal und dem Smartphone beziehungsweise der Karte.

In beiden Fällen ist es äußerst schwierig, ahnungslosen Personen Geld zu entwenden. Da vor jeder Transaktion eine Authentifizierung erforderlich ist, ist dies insbesondere beim Smartphone fast unmöglich. Diese kann durch eine PIN, ein Passwort oder eine biometrische Authentifizierung – per Gesichtserkennung oder Fingerabdruck – erfolgen. Die Grundlage der kontaktlosen Zahlungstechnologie ist die Near Field Communication-Technologie (NFC). Anders verhält es sich bei der Benutzung von Kreditkarten. In diesem Fall ist die Eingabe der PIN nur bei Zahlungen über 50 Euro erforderlich.

Beim Smartphone kommunizieren die Geräte so, dass das Smartphone dem POS-Gerät einen Security-Token, also einen Sicherheitscode, übermittelt. Dieser gewährleistet die Anonymität der Zahlungskarte des Benutzers. Sobald der Kauf autorisiert wurde, kann die betreffende Bank den Token dem Benutzer zuordnen und die Transaktion genehmigen oder ablehnen.

Im Gegensatz dazu verfügen kontaktlose Karten über einen EMV-Chip (Europay, Mastercard, Visa), der bei jeder Transaktion dynamische Sicherheitscodes generiert. Auch hierbei kommt die NFC-Technologie zum Einsatz und es wird ein eindeutiger Token generiert. Anschließend „überprüft” die Bank des Verkäufers, ob auf dem Konto des Käufers ausreichend Guthaben vorhanden ist. Innerhalb weniger Sekunden kann der Verkäufer die Zahlung schließlich annehmen oder ablehnen.

Grundsätzlich fußen solche Zahlungen also auf zwei Banken, die in Bruchteilen von Sekunden miteinander „kommunizieren“, um so einen reibungslosen Ablauf zu gewährleisten. Doch wie sind solche Diebstähle, wie sie der in Sorrent festgenommenen Frau zugeschrieben werden, dann zustande gekommen? Eine Möglichkeit wäre, dass die Frau auf „traditionelle” Weise Kreditkarten gestohlen und sie an ihr POS-Terminal angelegt hat. Dabei hat sie jedoch viele Male nur geringe Beträge abgehoben, sodass sie nicht jedes Mal die PIN der Karte eingeben musste und die Transaktionen somit unbemerkt blieben. In jedem Fall muss das POS-Terminal mit einem Konto verbunden sein, das von der Täterin erst eröffnet und anschließend dem POS-Gerät zugeordnet werden muss.

Um den Dienst als Verkäufer nutzen zu können, muss eine Steuernummer angegeben und ein Foto der Vorder- und Rückseite des entsprechenden Personalausweises hochgeladen sowie ein kurzes Video einer Gesichtsregistrierung aufgenommen werden. Um das „Verkäuferkonto” zu aktivieren, ist dieser Prozess unbedingt erforderlich. Er dient gleichzeitig als Garantie für den Käufer. Im Falle einer betrügerischen Überweisung könnte die Täterin somit leicht aufgespürt werden, was den „Taschendieben 2.0” viele Steine in den Weg legt.

Nutzer werfen jedoch ein, dass die Registrierung des Kontos samt des mobilen POS-Terminals auf Strohmänner oder ahnungslose, mittellose Personen es Kriminellen ermöglicht, diese Sicherheitsschranken zu umgehen.

Um zu testen, ob diese Form des „Taschendiebstahls 2.0” möglich ist, verwendeten Journalisten des Corriere della Sera ein mobiles POS-Terminal, für das sie ein Konto eröffnet hatten. Als sie den Kauf eines 10-Euro-Artikels in das Gerät eingaben und das POS-Terminal an einer Brieftasche „rieben”, in der sich die Karte befand, war nur einer von drei Versuchen erfolgreich.

Zudem bleiben Einkäufe – auch betrügerische – nicht unbemerkt. Wenn die Karte über das Lesegerät geführt wurde, gab dieses einen lauten Piepston von sich und der Käufer erhielt eine SMS, die die erfolgte Zahlung bestätigte.

Theoretisch ist es Kriminellen somit möglich, auf diese Art und Weise ahnungslose Opfer zu bestehlen. Dies gilt allerdings nur für relativ kleine Beträge und nur für Kreditkarten. Wie die gescheiterten Versuche im Praxistest jedoch zu beweisen scheinen, ist es für die „Taschendiebe 2.0” sehr mühsam, mit mobilen POS-Terminals auf Opferjagd zu gehen. Ob sich der Aufwand der illegalen Beschaffung eines solchen Geräts lohnt, ist fraglich.