sb - Als im Mai dieses Jahres die potenziellen Sicherheitslücken kontaktloser Karten die Schlagzeilen in deutschen Medien dominierten, stellte sich bei näherem Hinsehen heraus: Sollte es Hackern gelingen, die Daten kontaktloser Karten auszulesen, könnten sie damit tatsächlich betrügerische Transaktionen durchführen - allerdings nur mit Kreditkarten und nur bei solchen Anbietern, die im Card-Not-Present-Bereich auf Sicherheitsverfahren wie 3-D-Secure oder die Abfrage der Kartenprüfnummer verzichten. Hier sahen Teile der deutschen Kreditwirtschaft die internationalen Kartengesellschaften am Zug, solche Sicherheitslücken zu schließen.
Fraud-Migration in den E-Commerce
Diese Mahnung hat freilich nicht nur deshalb ihre Berechtigung, weil diese tatsächlich vorhandene Sicherheitslücke bei kontaktlosen Visa- und Mastercard-Kreditkarten auch das kontaktlose Girogo der deutschen Kreditwirtschaft in Verruf bringen könnte. Denn der am 25. Juli veröffentlichte erste Bericht der Europäischen Zentralbank zum Kartenbetrug weist aus, dass in dem ganzen Themenkomplex die Card-Not-Present-Transaktionen von Jahr zu Jahr an Bedeutung gewinnen. Von 2007 bis 2010 stieg ihr Anteil an den betrügerischen Transaktionen insgesamt von 48 auf 53 Prozent, der Anteil an den Betrugsverlusten von 47 auf 52 Prozent. In absoluten Zahlen erhöhten sich die Betrugsverluste aus dem Distanzhandel von 2007 bis 2010 von 571 auf 648 Millionen Euro, wobei im Jahr 2009 ein Spitzenwert von 684 Millionen Euro erreicht wurde.
Hier zeichnet sich ganz deutlich eine Betrugsmigration vom Geldautomaten und PoS hin in den E-Commerce ab, da in diesem Bereich EMV seine Wirkung nicht entfalten kann. Und doch zeigt das Beispiel Großbritanniens, dass auch im Nicht-Präsenz-Handel wirksame Betrugsprävention möglich ist - durch die IT-Systeme sowie durch Verfahren wie 3-D-Secure. Immerhin haben es die Briten geschafft, den Card-Not-Present-Betrug seit 2007 um ein Drittel sinken zu lassen.
Nachdem die Chipinfrastruktur für Präsenzhandel und Geldautomaten nun einigermaßen steht (europaweit waren laut EZB Ende 2010 96 Prozent aller Geldautomaten, 90 Prozent der PoS-Terminals und 81 Prozent der Karten entsprechend ausgestattet), gilt es also das Augenmerk verstärkt auf den Mail-Order/Telephone-Order-Bereich beziehungsweise den Internethandel zu richten.
Betrugsintensität verlangsamt sich
Betrug am Geldautomaten war im Jahr 2010 für elf Prozent aller Betrugsfälle verantwortlich, jedoch für 16 Prozent der Betrugsverluste. 36 Prozent der Fälle und 32 Prozent der Verluste entfallen auf den PoS. Beim Zeitvergleich lässt sich die Wirkung der EMV-Migration gut beobachten: Denn da die PoS-Terminals hier hinter den Geldautomaten hinterherhinkten, gab es von 2007 bis 2009 eine Verschiebung des Kartenbetrugs vom GAA hin zum PoS. Seit der PoS beim Thema Chipfähigkeit aber aufgeholt hat, ist der Anteil der Geldautomaten am gesamten Kartenbetrug wieder gewachsen: Hier lassen sich größere Beträge erbeuten, außerdem ist Bargeld für die Täter vermutlich attraktiver als Waren.
Schwachpunkt der Karteninfrastruktur ist der Geldautomat aber beileibe nicht. Denn die Chiptechnologie hat dazu geführt, dass Skimming-Angriffe auf die Geräte an Attraktivität verloren haben. So hat sich ihre Zahl in Deutschland im ersten Halbjahr 2012 im Vergleich zum Vorjahreszeitraum mehr als halbiert: Die Anzahl der manipulierten Geldautomaten in Deutschland sank von 532 im Vergleichszeitraum 2011 auf 253 Fälle im laufenden Jahr, so berichtet es Euro Kartensysteme. Damit ist Deutschland zwar eine Ausnahme: Das European ATM Security Team EAST weist für das erste Halbjahr 2011 nur drei Länder aus, in denen Skimming-Attacken auf Geldautomaten rückläufig waren, in acht Ländern haben sie weiter zugenommen. Insgesamt hat sich das Wachstum aber zumindest verlangsamt.
In der Summe haben die von der EZB erfassten Betrugsverluste an Geldautomaten, am PoS und im Distanzhandel von 1,26 Milliarden Euro von 2007 bis 2010 um 0,7 Prozent zugenommen, während sich gleichzeitig die Anzahl der Transaktionen um 5,1 Prozent erhöhte. Mit anderen Worten: Die Intensität des Kartenbetrugs hat abgenommen.
Von 2009 auf 2010 ist sogar ein deutlicher Rückgang um 12,1 Prozent zu verzeichnen. Bei den Geldautomaten lagen die Verluste 2010 sogar unter denen des Jahres 2007. Einen deutlicheren Beleg für die Wirksamkeit der Migration auf die Chiptechnologie kann es kaum geben.