Das Telefon klingelt und ein angeblicher Bankmitarbeiter meldet einen unberechtigten Zugriff aufs Konto. Kurz darauf kommt per WhatsApp ein Link zu einer „Sicherheitsapp“, dann soll die Bankkarte ans Handy gehalten werden. Die Karte verlässt die Hand des Opfers nie und wird trotzdem für betrügerische Zahlungen genutzt.

Vor dieser Masche warnen Erste Bank und Sparkassen in Österreich seit dem 25. September, wie das Portal Mimikama berichtet. Im Visier sind im Moment vor allem Menschen mit Android-Handy und Bankkarte.

Als Vorwand nennen die Anrufer laut der Bank einen unberechtigten Zugriff aufs Konto oder eine verdächtige Zahlung. Den Link zur angeblichen Sicherheitsapp schicken sie danach per WhatsApp.

Ist die App installiert, soll das Opfer NFC einschalten, also die Funktechnik fürs kontaktlose Bezahlen. Dann soll es seine Debit- oder Kreditkarte ans Gerät halten. Meist fragen die Betrüger zusätzlich nach der Karten-PIN, entweder am Telefon oder direkt in der App.

Wie kommen die Täter ans Geld, wenn die Karte beim Opfer bleibt? Das Sicherheitsunternehmen Group-IB hat ähnliche Fälle untersucht. Das Ergebnis: In diesen Fällen liest eine Schadsoftware die Karte per NFC aus und schickt die Kartendaten in Echtzeit an ein Gerät der Täter weiter.

In den Fällen, die Group-IB am 12. August beschrieben hat, arbeitete das Programm „WindRelay“ mit „SpyNote“ zusammen. „SpyNote“ ist ein Fernsteuerungstrojaner, also eine Software, mit der Täter ein Handy aus der Ferne bedienen. Betroffen waren Menschen in Tschechien, der Slowakei und Slowenien.

In Deutschland erstattet die Bank eine Zahlung, die der Kunde nicht freigegeben hat, spätestens am Ende des Geschäftstags nach der Meldung (§ 675u BGB). Bei Missbrauch der Karte haften Kunden bis 50 Euro, bei Vorsatz oder grober Fahrlässigkeit für den ganzen Schaden (§ 675v BGB). Ist die Karte gesperrt, haften sie für alles Weitere nicht, außer bei Betrugsabsicht (§ 675v Abs. 5 BGB).

Grobe Fahrlässigkeit muss die Bank nachweisen, so die Verbraucherzentrale. Nach einem BGH-Urteil gilt es grundsätzlich als grob fahrlässig, PIN oder TAN am Telefon weiterzugeben, berichtet Jura Online.

Öffnen Sie keinen Link, den ein angeblicher Bankmitarbeiter per WhatsApp schickt. Legen Sie auf. Haben Sie die Karte schon ans Handy gehalten, lassen Sie sie sofort bei Ihrer Bank sperren.

Erste Bank und Sparkassen fordern am Telefon nie, eine App zu installieren, die Karte ans Handy zu halten oder die PIN zu nennen. „All diese Aufforderungen sind betrügerisch“, heißt es in einer Warnung vom 25. September.