Wie eine gefälschte Zahlungsseite eines Essenslieferdienstes Kartendaten von Schweizer Kundinnen und Kunden stahl

Aus einer vertrauten Essensbestellung wurde am 1. September 2026 eine Falle zum Abgreifen von Kartendaten. Das Bundesamt für Cybersicherheit warnte, dass Kriminelle die Zahlungsseite eines Essenslieferdienstes manipuliert hatten. Dadurch konnten sie die Kreditkartendaten von Kundinnen und Kunden abgreifen, obwohl die Website selbst echt war.

Der Angriff ist deshalb besonders relevant, weil die Kundinnen und Kunden nicht unbedingt eine offensichtlich gefälschte Website besucht hatten. Sie gelangten zu einem seriösen Anbieter, wählten eine Zahlungsoption und folgten einem vertrauten Bezahlvorgang. Der Schadcode war in die Website des Anbieters eingeschleust worden und veränderte, was die Kundschaft beim Bezahlen sah.

Die Behörde bezeichnete die Methode als E-Commerce-Skimming. Anders als bei einem herkömmlichen Phishing-Betrug mussten die Angreifer ihre Opfer nicht auf eine separate gefälschte Website locken. Sie manipulierten einen Teil des echten Einkaufserlebnisses und nutzten ihn, um Zahlungsdaten abzufangen.

In den vorliegenden Informationen nennt die Warnung den betroffenen Essenslieferdienst nicht. Auch gibt sie keine Auskunft darüber, wie viele Kundinnen und Kunden betroffen waren. Wer den betroffenen Bezahlvorgang genutzt hat, sollte kürzliche und noch ausstehende Kartentransaktionen prüfen, einschliesslich kleiner Autorisierungsbeträge, die grösseren betrügerischen Zahlungen vorausgehen könnten.

Die Angreifer ersetzten Twint durch eine gefälschte Kreditkartenoption. Laut dem Bundesamt für Cybersicherheit entfernte oder verdrängte der in die Website eingeschleuste Schadcode die ursprüngliche Twint-Zahlungsmethode des Anbieters und zeigte der Kundschaft eine gefälschte Option für Kreditkartenzahlungen an.

Bei Auswahl dieser Option öffnete sich ein Pop-up-Fenster, in dem nach Kartendaten gefragt wurde. Die dort eingegebenen Angaben wurden direkt an die Betrüger übermittelt. Anschliessend versuchte die Seite, ihre Spuren zu verwischen: Eine Fehlermeldung behauptete, Kreditkartenzahlungen befänden sich noch in einer Testphase, und verwies die Kundschaft zurück zu Twint.

Ein Detail hätte Verdacht erregen sollen: Der Text im Pop-up war auf Englisch, während der Rest der Seite des Essenslieferdienstes auf Deutsch war. Unstimmigkeiten bei der Sprache können darauf hindeuten, dass eine Zahlungskomponente aus einer nicht autorisierten Quelle stammt. Das gilt besonders dann, wenn ein Schweizer Dienst seinen Bezahlvorgang normalerweise in einer einzigen Sprache anbietet.

Kundinnen und Kunden sollten innehalten, wenn sich ein vertrauter Bezahlvorgang plötzlich ändert. Eine neue Kartenoption, ein unerwartetes Pop-up, die Aufforderung, Angaben erneut einzugeben, oder eine Mitteilung über eine Zahlung in der Testphase sollten Anlass sein, den Vorgang über die offiziellen Supportkanäle des Unternehmens nochmals zu überprüfen. Verwenden Sie keine Kontaktdaten, die in einem verdächtigen Fenster angegeben sind.

Skimming findet innerhalb einer echten Website statt und ist deshalb für gewöhnliche Kundinnen und Kunden schwer zu erkennen. Beim Phishing wird ein Opfer in der Regel auf eine gefälschte Website geleitet, die eine Bank, einen Händler oder einen öffentlichen Dienst nachahmt. In diesem Fall war die Zahlungsseite eines echten Essenslieferdienstes manipuliert worden.

Dieser Unterschied verändert, worauf Kundinnen und Kunden achten sollten. Das Schloss-Symbol und die korrekte Webadresse können weiterhin angezeigt werden, weil die zugrunde liegende Website echt ist. Eine Kundin oder ein Kunde kann deshalb eine Bestellung auf einer legitimen Domain abschliessen und den Kriminellen trotzdem Kartendaten über ein manipuliertes Element des Bezahlvorgangs übermitteln.

Das Bundesamt für Cybersicherheit sagt, dass es für Personen ohne Fachwissen «sehr schwierig, wenn nicht gar unmöglich» sein kann, diese Art von Manipulation zu erkennen. Damit tragen die Betreiber eine erhebliche Verantwortung, nicht nur die Konsumentinnen und Konsumenten. Essenslieferplattformen und Online-Shops müssen das Verhalten beim Bezahlvorgang überwachen, Software und Plugins aktuell halten, Sicherheitsupdates installieren und Administratorkonten mit starken, individuellen Passwörtern sowie einer Zwei-Faktor-Authentifizierung schützen.

Betreiber sollten ausserdem Skripte von Drittanbietern mithilfe einer Content Security Policy einschränken. Eine solche Richtlinie kann festlegen, aus welchen Quellen JavaScript ausgeführt werden darf und wohin Daten übermittelt werden können. Automatisierte Tests des Bezahlvorgangs und Überwachungssysteme können helfen, einen unerwarteten Zahlungsablauf zu erkennen, bevor weitere Kundinnen und Kunden damit konfrontiert werden.

Handeln Sie rasch, wenn Sie Kartendaten eingegeben haben oder eine unerklärliche Belastung sehen. Gemäss den Empfehlungen des Bundes sollten Kundinnen und Kunden betrügerische Transaktionen unverzüglich bei ihrer Bank oder ihrem Kreditkartenanbieter beanstanden. Verwenden Sie dafür die Notfall- oder Betrugsnummer auf der Kartenrückseite oder die offizielle App des Anbieters, nicht einen Link in einer E-Mail oder einer verdächtigen Zahlungsmitteilung.

Fragen Sie den Kartenherausgeber, ob die Karte gesperrt und ersetzt werden sollte. Sichern Sie Beweise, bevor Sie die Seite schliessen oder Nachrichten löschen: Notieren Sie die Webadresse, den Zeitpunkt der Bestellung, die Zahlungsseite, die Fehlermeldung und allfällige Transaktionsbenachrichtigungen. Senden Sie die Kartennummer oder den Sicherheitscode nicht per E-Mail oder Chat an den Essenslieferdienst.

Melden Sie den mutmasslichen Skimming-Vorfall dem Bundesamt für Cybersicherheit und informieren Sie den betroffenen Shopbetreiber. Der Betreiber benötigt diese Angaben, um den Bezahlvorgang zu untersuchen und andere Kundinnen und Kunden zu warnen. Wenn Geld verloren gegangen ist, empfiehlt die Behörde, bei der zuständigen Kantonspolizei Anzeige zu erstatten. Suisse ePolice hilft dabei, die zuständige Polizeistelle zu finden.

Prüfen Sie Ihr Konto auch nach der ersten beanstandeten Transaktion weiterhin. Gestohlene Kartendaten können später getestet oder verwendet werden. Kontrollieren Sie deshalb sowohl ausstehende als auch abgeschlossene Zahlungen und reagieren Sie rasch auf Mitteilungen des Kartenherausgebers.

Der Vorfall zeigt, warum Zahlungssicherheit eine gemeinsame Verantwortung der digitalen Wirtschaft der Schweiz ist. Kundinnen und Kunden können das Risiko verringern, indem sie auf unerwartete Änderungen achten, etablierte Zahlungsmethoden bevorzugen und rasch handeln, wenn etwas nicht stimmt. Die Skripte, die im Hintergrund einer Bezahlseite laufen, können sie jedoch nicht selbst überprüfen.

Für Betreiber sind die Empfehlungen des Bundes konkret: Installieren Sie regelmässig Sicherheitsupdates, halten Sie sämtliche Systemkomponenten aktuell, prüfen Sie die Zahlungsfunktion auf Unregelmässigkeiten und setzen Sie nach Möglichkeit automatisierte Überwachungssysteme ein. Administratorkonten sollten mit individuellen Passwörtern und einer Zwei-Faktor-Authentifizierung geschützt sein. Eine restriktive Content Security Policy kann nicht autorisierten Code von Drittanbietern einschränken und verhindern, dass Daten an unbekannte Ziele übermittelt werden.

Der Fall des Essenslieferdienstes unterstreicht auch, wie wichtig eine auf die lokale Kundschaft abgestimmte Nutzererfahrung ist. Ein englisches Pop-up auf einem ansonsten deutschsprachigen Schweizer Dienst war ein hilfreicher Hinweis. Viele Kundinnen und Kunden würden jedoch verständlicherweise annehmen, dass ein Zahlungsfenster innerhalb einer vertrauten Website sicher ist.

Konsumentinnen und Konsumenten in der Schweiz sollten die Sicherheit ihrer Karten als fortlaufende Aufgabe betrachten. Überwachen Sie Ihre Konten, aktivieren Sie, falls verfügbar, Transaktionsbenachrichtigungen und überprüfen Sie ungewöhnliche Zahlungsaufforderungen über eine offizielle App oder Website. Meldet ein seriöser Shop einen Sicherheitsvorfall, befolgen Sie seine Anweisungen. Für den Kartenschutz ist jedoch die Bank zuständig, für eine allfällige Anzeige wegen eines Finanzdelikts die Kantonspolizei.