Singapur weltweit auf Platz zwei bei gestohlenen Zahlungskarten, während der Handel im Darknet wächst

Singapurs hohe digitale Nutzung bringt Angriffsfläche, keine Schwäche

Singapur liegt weltweit an zweiter Stelle beim Anteil gestohlener Zahlungskarten, die auf Darknet-Marktplätzen gehandelt werden. Nur die USA liegen davor, Spanien dahinter. Das geht aus einer Analyse von rund 50.700 Kartendatensätzen hervor, die eine Plattform zur Erfassung von Bedrohungen im Mai 2025 gesammelt hat. Mehr als 60 Prozent der gestohlenen Karten in der Stichprobe gehörten Nutzern in den USA, rund 11 Prozent Nutzern in Singapur und etwa 10 Prozent Nutzern in Spanien.

Sicherheitsexperten warnen davor, diese Rangliste als Hinweis auf ein besonders unsicheres Bankensystem zu verstehen. Sie spiegele vielmehr die Größe und den Grad der Digitalisierung wider. In Singapur werden besonders häufig online bezahlt, mobile Wallets genutzt und grenzüberschreitende E-Commerce-Geschäfte getätigt. Ein größerer digitaler Fußabdruck bietet Kriminellen mehr Möglichkeiten, Kartendaten abzugreifen, selbst wenn Banken und Händler strenge Sicherheitsvorkehrungen treffen.

Die Preise auf diesen Märkten sind in den vergangenen zwei Jahren gestiegen. In Neuseeland war der Anstieg mit mehr als 444 Prozent am stärksten; auch für Argentinien und Polen wurden deutliche Zuwächse gemeldet. Trotz der höheren Preise sind gestohlene Kartendaten für Kriminelle auf niedrigerem Niveau weiterhin günstig. Eine einzelne Karte kostet oft etwa so viel wie eine Kinokarte. Der weltweite Durchschnitt liegt bei rund 9 US-Dollar, wobei es je nach Land große Unterschiede gibt. In Asien erzielen japanische Karten mit durchschnittlich rund 22,80 US-Dollar den höchsten Preis. Es folgen Kasachstan mit 16,87 US-Dollar und Thailand mit 15,08 US-Dollar. In Singapur ausgegebene Karten werden im Schnitt für etwa 13,19 US-Dollar verkauft, rund 29 Prozent mehr als 2023. In Europa liegen die Preise in Spanien, Frankreich und der Schweiz bei etwa 11 bis 12 US-Dollar.

So funktionieren Märkte für gestohlene Karten

Das Darknet besteht aus verborgenen Diensten, die Anonymisierungssoftware nutzen, um Identitäten und Standorte zu verschleiern. Dort gibt es Marktplätze, auf denen Anbieter gestohlene Kartennummern und Ablaufdaten verkaufen, manchmal auch vollständige Datensätze mit CVV-Prüfnummer, Rechnungsadresse und Geräte-Fingerabdrücken. Die Daten stammen aus Schadsoftware auf privaten Geräten, Phishing-Seiten, die Bank- und Händler-Websites nachahmen, Sicherheitslücken in Händlersystemen sowie kompromittierten Zahlungsdienstleistern.

Auf diesen Märkten werden Karten einzeln oder in großen Mengen verkauft. Anbieter kennzeichnen die Angebote oft mit Angaben zur ausgebenden Bank, zum Land und dazu, ob die Karte die 3D-Secure-Authentifizierung unterstützt. Käufer testen die Karten mit kleinen Zahlungen und versuchen anschließend, größere Einkäufe zu tätigen, etwa von Geschenkkarten, Flugtickets oder weiterverkaufbaren Waren. Branchenanalysen zufolge bleibt ein großer Teil der angebotenen Kartendaten monatelang nutzbar. Kriminelle haben dadurch ausreichend Zeit, Geld abzuschöpfen, wenn erste Testzahlungen keine Betrugswarnungen auslösen.

Angebot, Nachfrage und Preise

Die Preise richten sich nach einfachen Regeln von Angebot und Nachfrage. Wo das Angebot groß ist oder Banken strenge Betrugskontrollen einsetzen, sind Karten günstiger. Bei knappem Angebot und strengen Betrugsprüfungen kosten sie mehr, weil erfolgreicher Betrug mehr Vorbereitung und Geduld erfordert. Das erklärt, warum japanische Karten zu den teuersten zählen und ein Land mit vielen angebotenen Karten wie Singapur trotz seines großen Anteils an der Gesamtstichprobe einen mittleren Durchschnittspreis haben kann.

Warum in Singapur viele gestohlene Karten auftauchen

Singapur ist ein Finanz- und Logistikzentrum. Kreditkarten sind weit verbreitet, und kontaktloses Bezahlen wird nahezu überall akzeptiert. Verbraucher kaufen online bei inländischen und internationalen Händlern ein, bezahlen Verkehrsmittel und Restaurantbesuche mit mobilen Wallets und reisen häufig. Dadurch entsteht ein enormes Volumen legitimer Transaktionen und gespeicherter Kartenprofile bei zahlreichen Diensten. Kriminelle greifen in großem Maßstab auf Daten zurück, die sie mit Phishing-Kits gegen Banken in der Region erbeuten oder mit Schadsoftware aus gespeicherten Zugangsdaten und automatisch ausgefüllten Browserformularen auslesen.

Die weitverbreitete Nutzung tokenisierter mobiler Zahlungen hat auch die Betrugsmuster verändert. Wenn Banken und Händler Betrug mit nicht physisch vorgelegten Karten blockieren, weichen Kriminelle auf andere Wege aus. Sie fügen etwa gestohlene Karten zu Smartphone-Wallets hinzu oder täuschen Händler bei Transaktionen vor Ort. Der Anteil gestohlener, in Singapur ausgegebener Karten in Untergrundshops spiegelt diese große Angriffsfläche wider, nicht fehlende Schutzmaßnahmen.

Betrugsschutzsysteme erschweren die Verwertung

Banken in Singapur setzen auf mehrschichtige Schutzmaßnahmen. Die Transaktionsüberwachung sucht nach ungewöhnlichen Händlerkategorien oder Orten. 3D Secure leitet viele Onlinekäufe über eine zusätzliche Authentifizierung. Benachrichtigungen treffen innerhalb von Sekunden ein, sodass Karteninhaber und Banken die Karte schnell sperren können. Zusammen mit weitreichenden Rückbuchungsrechten erhöhen diese Maßnahmen Kosten und Risiken für Kriminelle. Das ist ein Grund dafür, dass in Singapur ausgegebene Karten trotz ihrer Verbreitung im Darknet nicht zu den teuersten zählen.

Von Phishing bis Ghost Tapping: So machen Betrüger Beute

Bei vielen Fällen ist Phishing der Einstieg. Angreifer verschicken gefälschte Zustellbenachrichtigungen oder Sicherheitsnachrichten von Banken und locken Opfer auf Anmeldeseiten, die Karten- und Kontodaten abgreifen. Infostealer-Schadsoftware wie Racoon, Azorult und andere Programme sammeln unbemerkt gespeicherte Zugangsdaten und Formulardaten aus Browsern. Gestohlene Identitätsdaten, darunter nationale Ausweisnummern und für Know-your-Customer-Prüfungen angefertigte Selfies, werden in Untergrundforen verbreitet. Damit können Kriminelle Strohleutekonten eröffnen, Geld waschen und versuchen, fremde Konten zu übernehmen.

Missbrauch mobiler Wallets und Betrug im Geschäft

Eine zunehmend verbreitete Methode besteht darin, gestohlene Kartendaten für Einkäufe im Geschäft mit Apple Pay oder Google Pay auf Wegwerfhandys zu verknüpfen. Ein Teil dieses Vorgehens wird von Analysten als Ghost Tapping bezeichnet: Kriminelle können dabei kontaktlose Signale weiterleiten oder gestohlene Karten vorab auf Smartphones einrichten, die sie angeworbenen Einkäufern überlassen. Banden koordinieren sämtliche Abläufe: von der Anwerbung von Strohleuten und der Planung von Einkaufstouren bis zum Verkauf der Waren über Telegram oder E-Commerce-Plattformen. Berichten zufolge haben Strohleute, die sich als Touristen ausgaben, in Singapur große Einzelhandelsverluste verursacht und sich schnell zwischen Geschäften bewegt. Ende 2024 registrierte die Polizei innerhalb von drei Monaten mindestens 656 Fälle und Verluste in Höhe von 1,2 Millionen Singapur-Dollar durch Kreditkarten-Phishing und Betrug mit mobilen Wallets.

Aktuelle Fälle in Singapur zeigen das Vorgehen

Gerichte haben mehrere Fälle verhandelt, die diesen Methoden ähneln. In einem Fall wurde ein 29-jähriger chinesischer Staatsangehöriger zu 30 Monaten Haft verurteilt. Er hatte innerhalb von drei Tagen mit gestohlenen Kartendaten 20 iPhone-16-Geräte im Wert von mehr als 40.000 Singapur-Dollar gekauft. Er erhielt ein Telefon mit einer App, über die aus Phishing-Angriffen erlangte Kartendaten aus der Ferne geladen wurden. Die Einkäufe erfolgten bei großen Elektronikhändlern, die Geräte wurden gegen Bargeld weiterverkauft und der Erlös von Hintermännern abgeholt.

In einem anderen Fall wurde eine 25-jährige Malaysierin verurteilt, weil sie beim Verkauf von iPhones half, die mit Kartendaten gekauft worden waren, welche in eine mobile Wallet geladen wurden. Ihr Partner tätigte in Apple Stores mehrere Einkäufe mit virtuellen Karten, die mit den Daten von Opfern verknüpft waren. Die Opfer erhielten Warnmeldungen ihrer Banken, und die Polizei griff ein, bevor das Paar mit dem restlichen Erlös das Land verlassen konnte. Die Verfahren zeigen, wie grenzüberschreitend agierende Banden Helfer für schnelle Einkäufe hochwertiger Waren losschicken.

Risiken durch Insider und mangelhaften Umgang mit Daten

Risiken entstehen auch innerhalb von Unternehmen. Ein ehemaliger Bankmitarbeiter in Singapur wurde verurteilt, weil er Informationen über mehr als 1.000 Kunden preisgegeben hatte, nachdem Anrufer, die sich als ausländische Polizisten ausgaben, ihn getäuscht hatten. Bei einem anderen Vorfall bei einem großen Autohändler waren zwar keine Kredit- oder Debitkartennummern betroffen. Ein Datenleck, bei dem 147.000 Kundendatensätze offengelegt wurden, zeigt jedoch, wie persönliche Informationen in Umlauf geraten, sobald Angreifer Fuß gefasst haben. Dokumente und Identitätsdaten erleichtern Betrug, weil Kriminelle damit Identitätsprüfungen oder Abfragen zur Aufdeckung sozialer Manipulation bestehen können.

So reagieren Banken, Händler und Aufsichtsbehörden

Banken verschärfen weiterhin die Kontrollen beim Einrichten mobiler Wallets. Eine Risikoanalyse des Geräts prüft, ob das anfragende Smartphone bereits bekannt oder manipuliert ist und ob die Anfrage zum Kundenprofil passt. Einige Banken bitten ihre Kunden, neue Wallet-Verknüpfungen in der Banking-App statt per SMS zu bestätigen, um soziale Manipulation zu erschweren. Echtzeitanalysen und Modelle für maschinelles Lernen helfen, verdächtige Einkäufe bereits bei der Autorisierung zu blockieren.

Händler verstärken die Kontrollen an den Kassen. Mitarbeiterschulungen weisen auf Warnsignale hin, etwa wiederholte Fehlversuche, Kunden, die mehrere Smartphones oder Karten ausprobieren, und Versuche, teure Einkäufe auf viele kleine Transaktionen aufzuteilen. Geschäfte können bei teurer Elektronik einen Identitätsnachweis verlangen, eng mit den Zahlungsdienstleistern zusammenarbeiten und Videoaufnahmen für schnelle Ermittlungen bereithalten. Zahlungsanbieter passen ihre Regeln an, um riskante Kombinationen von Händlern und Geräten zu erkennen, die auf organisierte Einkaufstouren hindeuten.

Polizei und grenzüberschreitende Zusammenarbeit

Gemeinsame Einsätze von Banken, Kartennetzwerken, Fluggesellschaften und Polizei haben sich bei der Bekämpfung bestimmter Betrugsarten bewährt. Bei einer früheren Aktion der Reihe Airport Action Days nahmen Beamte zahlreiche Reisende fest, die mit gestohlenen Kartendaten Flugtickets kaufen wollten. INTERPOL koordinierte die Einsätze in Asien von seinem Innovationszentrum in Singapur aus. Ähnliche gemeinsame Maßnahmen mit nationalen Polizeibehörden dienen heute dazu, Phishing-Kits, Anwerbungsnetzwerke für Strohleute und die Untergrundmärkte für gestohlene Karten zu zerschlagen.

Was Verbraucher jetzt tun können

Die meisten Kartenherausgeber erstatten nicht autorisierte Kartenkäufe, doch schnelles Handeln ist wichtig. Wer Betrug früh erkennt, begrenzt Verluste und verkürzt die Zeit, in der Kriminelle die Daten testen und erneut verwenden können. Die folgenden Schritte verringern das Risiko eines Datenmissbrauchs und helfen, Betrug schnell zu erkennen.

• Aktivieren Sie in Ihrer Banking-App Echtzeit-Benachrichtigungen für jede Karte, einschließlich Wallet-Zahlungen und Onlinekäufen.
• Prüfen Sie Ihre Kontoauszüge wöchentlich und reklamieren Sie unbekannte Belastungen umgehend.
• Verwenden Sie für Ihre Bank- und Kartenkonten ein starkes, einmaliges Passwort und speichern Sie es in einem vertrauenswürdigen Passwortmanager.
• Speichern Sie keine Kartennummern oder Passwörter in Webbrowsern. Infostealer-Schadsoftware greift gezielt auf automatisch ausgefüllte Browserdaten zu.
• Aktivieren Sie die Zwei-Faktor-Authentifizierung für Banking-, E-Mail- und Einkaufskonten. Bevorzugen Sie die Bestätigung über die Banking-App gegenüber SMS.
• Nutzen Sie virtuelle Kartennummern oder Einmal-Token, sofern Ihre Bank diese anbietet, insbesondere bei Händlern, bei denen Sie selten einkaufen.
• Sperren oder deaktivieren Sie Karten in Ihrer Banking-App oder legen Sie Transaktionslimits fest, wenn Sie gerade nicht einkaufen. Deaktivieren Sie Zahlungen im Ausland oder ohne physische Karte, sofern Sie diese nicht benötigen.
• Halten Sie Smartphones und Computer auf dem neuesten Stand, installieren Sie Sicherheitsupdates umgehend und meiden Sie inoffizielle App-Stores und Downloads.
• Schützen Sie Ihre Konten für die nationale digitale Identität, etwa SingPass. Ändern Sie Ihre Passwörter, wenn Sie Phishing vermuten, und melden Sie einen möglichen Datenmissbrauch umgehend.
• Seien Sie vorsichtig bei Nachrichten zu Lieferungen, Rückerstattungen oder Sicherheitswarnungen. Rufen Sie Ihre Bank über die offizielle Webadresse oder die App auf, statt auf Links in Nachrichten zu tippen.

Die wichtigsten Punkte

• Auf Singapur entfallen rund 11 Prozent der gestohlenen Zahlungskarten, die laut einer Datensammlung aus dem Mai 2025 gehandelt wurden. Die USA liegen davor, Spanien dahinter.
• Gestohlene, in Singapur ausgegebene Karten kosten im Schnitt etwa 13,19 US-Dollar, rund 29 Prozent mehr als 2023. Für japanische Karten werden etwa 22,80 US-Dollar erzielt.
• Experten führen Singapurs Platzierung auf die starke digitale Nutzung und das hohe Transaktionsvolumen zurück, nicht auf schwache Kontrollen der Banken.
• Zu den Betrugsmethoden zählen Phishing, Infostealer-Schadsoftware und der Missbrauch mobiler Wallets, mit denen angeworbene Strohleute Einkäufe in Geschäften tätigen können.
• Verfahren vor Ort zeigen, wie grenzüberschreitende Banden mit gestohlenen Kartendaten iPhones und andere Waren kaufen und gegen Bargeld weiterverkaufen.
• Banken und Händler verschärfen die Authentifizierung beim Einrichten von Wallets und verstärken die Kontrollen an den Kassen. Die Strafverfolgungsbehörden koordinieren grenzüberschreitende Einsätze.
• Verbraucher können das Risiko mit Benachrichtigungen, sorgfältigem Umgang mit Passwörtern und Zwei-Faktor-Authentifizierung senken und sollten Kartendaten nicht im Browser speichern.