Bundesamt für Cybersicherheit warnt vor gefälschter Kartenzahlungsfalle auf Website für Essenslieferungen

Eine vertraute Essensbestellung wurde zum Weg zu Zahlungsdaten. Das Bundesamt für Cybersicherheit warnt, dass Kriminelle die Zahlungsseite eines Essenslieferdienstes in der Schweiz manipuliert und damit Kundinnen und Kunden gefährdet haben, während diese eine legitime Website nutzten. Die Behörde erklärte, die Angreifer hätten Schadcode in die Website eingeschleust und die ursprüngliche Twint-Option des Anbieters durch eine betrügerische Kreditkartenzahlungsoption ersetzt.

Kundinnen und Kunden, die die gefälschte Option auswählten, sahen ein Pop-up, in dem sie zur Eingabe ihrer Kartendaten aufgefordert wurden. Die Angaben gelangten direkt an die Angreifer. Eine anschliessende Fehlermeldung behauptete, Kreditkartenzahlungen befänden sich noch in einer Testphase, und forderte die Kundschaft auf, stattdessen Twint zu verwenden. Diese Meldung könnte dazu geführt haben, dass der kompromittierte Bezahlvorgang normal wirkte, obwohl die Daten bereits gestohlen worden waren.

Die am 1. September 2026 veröffentlichte Warnung macht ein schwieriges Problem für Schweizer Konsumentinnen und Konsumenten deutlich. Eine vertraute Domain, ein normaler Bestellvorgang und ein echtes Unternehmen garantieren nicht, dass alle Bestandteile einer Website sicher bleiben. Die Manipulation fand innerhalb des vertrauenswürdigen Dienstes statt, genau an der Stelle, an der die Kundschaft die Zahlung abschliessen wollte.

Das gefälschte Formular enthielt einen Hinweis, den Kundinnen und Kunden hätten bemerken können. Das Zahlungs-Pop-up war auf Englisch verfasst, während der Rest der betroffenen Seite auf Deutsch war. Diese sprachliche Abweichung hinderte das Formular nicht daran, Daten zu erfassen, bot aber Nutzerinnen und Nutzern, die mit dem üblichen Schweizer Bezahlvorgang der Website vertraut waren, ein Warnsignal.

Das Bundesamt für Cybersicherheit stuft die Methode als Skimming ein. Beim E-Commerce-Skimming schleusen Kriminelle Code in einen echten Online-Shop ein und erfassen Zahlungsinformationen, während Kundinnen und Kunden diese eingeben. Phishing funktioniert anders: Dabei werden Personen auf eine nachgeahmte Website geleitet, die wie das Original aussieht. Dieser Unterschied ist wichtig, denn der übliche Rat, die Webadresse zu überprüfen, reicht möglicherweise nicht aus, um einen Skimming-Angriff auf einer legitimen Domain zu erkennen.

Konsumentinnen und Konsumenten sollten unerwartete Zahlungsoptionen, ungewohnte Formulierungen und plötzliche Änderungen im Bezahlvorgang als Anlass nehmen, den Vorgang abzubrechen. Sie sollten keine Kartennummern in ein neu erscheinendes Formular eingeben und den Händler über einen unabhängigen Kanal kontaktieren. Die Quelle nannte weder den betroffenen Anbieter noch die Zahl der Kundinnen und Kunden, die ihre Angaben eingegeben hatten. Das Ausmass des Vorfalls bleibt daher unklar.

Eine unerklärliche Kartenbelastung kann das erste Anzeichen dafür sein, dass ein vertrauenswürdiger Shop kompromittiert wurde. Das Bundesamt für Cybersicherheit rät Kundinnen und Kunden, bei einer verdächtigen Transaktion nach einem Onlinekauf auch E-Commerce-Skimming in Betracht zu ziehen, selbst wenn der Kauf auf einer bekannten Website getätigt wurde.

Als Erstes sollten sie umgehend ihre Bank oder den Kreditkartenanbieter kontaktieren und betrügerische Transaktionen beanstanden. Ausserdem sollten sie den betroffenen Shop benachrichtigen und den Vorfall dem Bundesamt für Cybersicherheit melden. Wenn Geld verloren gegangen ist, empfiehlt die Behörde, bei der zuständigen Kantonspolizei Anzeige zu erstatten. Die Schweizer Plattform Suisse ePolice hilft Nutzerinnen und Nutzern, die passende Polizeistelle zu finden.

Konsumentinnen und Konsumenten sollten wichtige Belege aufbewahren, darunter Bestellbestätigungen, Daten, Zahlungsbenachrichtigungen, Screenshots und den Schriftverkehr mit dem Händler oder der Bank. Sie sollten ihre Kontoauszüge auf weitere nicht autorisierte Transaktionen überprüfen und die Anweisungen ihres Kartenanbieters zum Sperren oder Ersetzen der Karte befolgen. Die Behörde rät zu raschem Handeln, denn eine umgehende Beanstandung liefert dem Finanzinstitut und den Ermittlungsbehörden wichtige Informationen, solange die Transaktion und die damit verbundenen Kontoaktivitäten noch zurückverfolgt werden können.

Die Hauptverantwortung für den Schutz liegt bei den Website-Betreibern, denn Kundinnen und Kunden bemerken die Manipulation möglicherweise nicht. Das Bundesamt für Cybersicherheit erklärte, dass es für Menschen ohne Fachwissen «sehr schwierig, wenn nicht unmöglich» sei, diese Art von Angriff zu erkennen. Damit tragen Essenslieferdienste und andere Online-Händler die Verantwortung, die Systeme hinter der Bezahlseite zu sichern.

Die Behörde empfiehlt, alle Sicherheitspatches regelmässig einzuspielen und sämtliche Systemkomponenten auf dem neuesten Stand zu halten. Betreiber sollten die Zahlungsfunktionen regelmässig auf Unregelmässigkeiten überprüfen und, wenn möglich, automatisierte Tests oder Überwachungstools einsetzen. Eine plötzliche Änderung der verfügbaren Zahlungsarten, unbekannte Skripte oder unerwartete Datenübertragungen sollten eine Untersuchung auslösen.

Für Administrationskonten sollten starke, einzigartige Passwörter verwendet und nach Möglichkeit die Zwei-Faktor-Authentifizierung aktiviert werden. Die Behörde empfiehlt zudem eine restriktive Content Security Policy (CSP). Damit können Betreiber festlegen, aus welchen Quellen ein Browser JavaScript ausführen darf und wohin Informationen gesendet werden dürfen. Diese Massnahme kann die Möglichkeit nicht autorisierter Skripte von Drittanbietern einschränken, Zahlungsdaten abzugreifen. Sie muss jedoch Teil umfassenderer Kontrollen für Software, Zugriffsrechte und Überwachung sein.

Die Warnung geht über einen einzelnen Essenslieferdienst hinaus. Schweizer Konsumentinnen und Konsumenten verlassen sich bei alltäglichen Einkäufen zunehmend auf Online-Shops und App-basierte Dienste. Deren Zahlungsseiten hängen von mehreren Softwareebenen, externen Skripten und administrativen Zugriffsrechten ab. Eine Kompromittierung auf jeder dieser Ebenen kann genau in dem Moment Folgen haben, in dem die Kundschaft glaubt, die Transaktion stehe kurz vor dem Abschluss.

Der Fall zeigt auch, weshalb ein Symbol für eine sichere Verbindung oder eine vertraute Website-Adresse allein keine Gewähr für Sicherheit bietet. Solche Kontrollen können helfen, gefälschte Websites zu erkennen, machen aber keinen Schadcode sichtbar, der in einen echten Dienst eingeschleust wurde. Nutzerinnen und Nutzer müssen auf Änderungen bei Sprache, Zahlungsmethoden und Verhalten des Bezahlvorgangs achten. Unternehmen wiederum brauchen laufende Tests statt einmaliger Sicherheitsprüfungen.

Das Bundesamt für Cybersicherheit hat keine Zahlen zur Anzahl der betroffenen Kundinnen und Kunden in diesem Fall veröffentlicht. Seine praktischen Empfehlungen zeigen daher am deutlichsten, was nun zu tun ist: Händler sollten Sicherheitslücken schliessen, ihre Systeme überwachen und Zugriffe beschränken. Kundinnen und Kunden sollten unerwartete Formulare hinterfragen und verdächtige Kartenbelastungen rasch melden. Für Menschen, die in der Schweiz das Abendessen bestellen, hängt die digitale Sicherheit inzwischen von beiden Seiten des Bezahlbildschirms ab.