Die Karte blieb in Ihrer Hand, das Geld kam aus einem fernen Automaten

Der Anruf beginnt mit einer Bandansage. Eine ruhige Stimme meldet verdächtige Aktivitäten auf Ihrem Konto und bittet Sie, die 1 zu drücken, falls Sie diese nicht veranlasst haben. Dann meldet sich ein höflicher „Bankmitarbeiter“. Ihre Karte müsse sofort gesperrt werden, sagt er, also installieren Sie doch bitte diese App und halten Sie die Karte an die Rückseite Ihres Handys. Sie tun es. Im selben Moment hält in einer anderen Stadt ein junger Mann sein eigenes Handy an einen Geldautomaten und hebt Bargeld von Ihrer Karte ab – die Sie immer noch in der Hand halten.

So lief die Masche, die laut der niederländischen Polizei eine Gruppe durchzog, bis das Cybercrime-Team in Rotterdam sie im Oktober 2026 auffliegen ließ. In den drei Wochen, in denen die Ermittler zusahen, zählten sie rund 170 Opfer und 380.000 Euro Schaden – und es traf keineswegs nur Rentner: Dutzende waren in ihren Zwanzigern und Dreißigern. Der Trick selbst ist mindestens zwei Jahre alt. Neu sind die KI-generierten Stimmen und die Frage, die sie mit sich ziehen: Wer erstattet jemandem das Geld, der seine eigene Karte an sein eigenes Handy gehalten hat?

Eine Karte, quer durchs Internet verlängert

Kontaktloses Bezahlen funktioniert über NFC, eine Funkverbindung mit einer Reichweite von wenigen Zentimetern. Das Terminal oder der Geldautomat stellt der Karte eine Aufgabe, der Chip antwortet, und diese Antwort verrät der Bank, dass die Karte echt ist. Alles beruht auf simpler Physik: Wenn der Chip antwortet, muss die Karte direkt da sein.

Die Betrugs-App trickst diese Physik aus. Sie liest die Antworten des Chips über die NFC-Antenne im Handy des Opfers und schickt sie über einen Server an ein zweites Handy in der Hand eines Komplizen. Der hält dieses Handy an einen Geldautomaten, und der Automat „sieht“ eine Karte, die in Wahrheit am anderen Ende des Landes liegt. Die Karte wird nicht so sehr kopiert als vielmehr verlängert: Zwischen Chip und Geldautomat spannt sich ein unsichtbares Kabel, Dutzende Kilometer lang.

Die niederländische Polizei beschreibt die Übergabe. Während das Opfer die Karte ans Handy drückte, wartete ein „Pinner“ mit derselben App bereits an einem Geldautomaten oder einem Bezahlterminal. (Das niederländische Verb pinnen heißt Geld abheben, daher der Name für den Komplizen, der es einsammelt.) Tausende Euro flossen ab, und die Opfer merkten nichts. Wie die Gruppe an die PINs kam, steht nicht in der Polizeimitteilung. Ein Polizeisprecher sagte dem Sender RTL Nieuws, manchmal sei nicht einmal eine PIN nötig, ohne zu erklären, welche Vorgänge er meinte. Bei einer ähnlichen Masche in Tschechien tippten die Opfer sie direkt in die App ein. Deshalb wiederholt die Polizei immer wieder drei Dinge, um die Ihre Bank Sie nie bitten wird: eine App herunterzuladen, die Karte ans Handy zu halten oder Ihre PIN zu nennen.

Geboren in einem Uni-Labor

Der Angriff hat einen akademischen Stammbaum. Studierende am Secure Mobile Networking Lab der Technischen Universität Darmstadt entwickelten NFCGate, eine quelloffene Android-App, die NFC-Signale zwischen zwei Geräten abfängt, aufzeichnet und weiterleitet. Sie soll Forschern helfen, kontaktlose Protokolle auf Herz und Nieren zu prüfen. Auf der Projektseite werden die Nutzer ausdrücklich gebeten, sie nicht für böswillige Zwecke einzusetzen.

Nicht alle hielten sich daran. Im August 2024 beschrieben Forscher der Sicherheitsfirma ESET NGate, die erste bekannte Schadsoftware auf Basis von NFCGate. Kunden dreier tschechischer Banken bekamen SMS über eine angebliche Steuerrückerstattung; die Opfer installierten daraufhin eine gefälschte Banking-App, gaben ihre PIN ein und hielten ihre Karte ans Handy. Im März 2024 nahm die Polizei in Prag einen 22-Jährigen fest, der Bargeld an Automaten abgehoben hatte. Er trug 160.000 tschechische Kronen (etwa 6.000 Euro) bei sich, die laut Polizei allein von den letzten drei Opfern stammten.

Danach ging die Masche in Serie. Im ersten Halbjahr 2025 registrierte ESET mehr als 35-mal so viele NFC-Angriffe wie im zweiten Halbjahr 2024. Im selben Frühjahr stießen Forscher in Italien auf SuperCard X: derselbe Trick, als Abo über Telegram-Kanäle verkauft, samt Kundensupport. Die Autoren von NFCGate vermerken auf ihrer Projektseite inzwischen, dass Virenscanner ihr Forschungswerkzeug immer wieder mit NGate verwechseln.

Eine Stimme, die wie Ihre Bank klingt

Die Rotterdamer Gruppe fügte der alten Technik nur eine neue Zutat hinzu: die Stimme. Die Betrüger ließen per KI Dutzende Aufnahmen mit unterschiedlichen Stimmen erzeugen und gaben sich als verschiedene Banken und Unternehmen aus. Was die KI ihnen verschaffte, war Masse: Eine kleine Gruppe konnte wie viele verschiedene Organisationen klingen, jede mit eigener Stimme, ohne einen einzigen Sprecher anzuheuern. Ein automatischer Anruf mit Menü klingt wie eine gewöhnliche Servicemeldung, und die 1 zu drücken, fühlt sich nicht riskant an. Dann übernahm ein echter Mensch, der nach einem Skript arbeitete, das Zeitdruck erzeugen sollte.

„Da steht nicht mehr ein Betrüger an der Haustür, sondern am Telefon ist ein überzeugender Anrufer, der äußerst professionell auftritt“, sagte Ruben van Well vom Rotterdamer Cybercrime-Team. Diese technische Methode hätten die Ermittler noch nie gesehen, fügte er hinzu.

Gefährlich ist die Masche, weil sie sich wie Schutz anfühlt. Die Karte verlässt nie Ihre Hände, also glauben Sie, Ihr Konto zu sichern, merkt HCC an, ein niederländischer Computernutzerverein. Die 1 drücken, die App installieren, die Karte hinhalten: Jeder Schritt wirkt wie eine Sicherheitsmaßnahme, nicht wie ein Risiko.

Mitte September bemerkten die Banken einen sprunghaften Anstieg, und am 6. Oktober nahm die Polizei zwei Männer fest: einen 23-Jährigen, der die Masche ausgeheckt haben soll, und einen 25-Jährigen, der sie koordiniert haben soll. Beide sitzen in Untersuchungshaft; verurteilt ist keiner von ihnen.

Wer Ihnen das Geld zurückgibt

Für die Opfer beginnt der eigentliche Ärger nach dem Anruf. Die Bank kann sagen: Sie haben die App installiert, Sie haben die Karte hingehalten, das ist grobe Fahrlässigkeit. Niederländische Banken sagen das immer öfter. 2021 erstatteten die Banken 92 Prozent der Schäden durch falsche Bank-Helpdesks, 2024 nur noch 48 Prozent – so der niederländische Bankenverband NVB. 2025 verloren knapp 5.900 Opfer zusammen fast 26 Millionen Euro.

Am 15. Oktober 2026 griff der Gerichtshof der Europäischen Union in diese Rechnung ein. Der Trick in seinem Fall war ein anderer, der Streit aber derselbe: Die Bank verweigerte die Erstattung und schob es auf die Unachtsamkeit der Kundin. Die Rechtssache C-70/25 begann in Polen. Eine Frau verkaufte etwas auf einem Online-Marktplatz; ein „Käufer“ schickte ihr einen Link, angeblich zur Bestätigung des Verkaufs, und sie gab ihre Onlinebanking-Zugangsdaten auf einer gefälschten Seite ein. Rund 700 Euro verschwanden von ihrem Konto. Sie meldete es am nächsten Tag, doch die Bank wollte nicht zahlen: Aus ihrer Sicht war die Frau selbst schuld.

Der Gerichtshof entschied, dass das nicht zulässig ist, und stellte die Reihenfolge auf den Kopf.

Die Begründung des Gerichts war schlicht: Dürften Banken von vornherein ablehnen, wäre die Pflicht zur sofortigen Erstattung bedeutungslos. Kunden müssten selbst vor Gericht ziehen, mit allen Kosten und Mühen. Das Urteil bindet Gerichte in der ganzen EU, den polnischen Streit selbst entscheidet aber ein polnisches Gericht. Es gilt für Vorgänge, die der Kunde nicht autorisiert hat, etwa wenn ein Fremder am Geldautomaten Bargeld abhebt. Folgt ein Opfer den Anweisungen eines Betrügers und überweist das Geld selbst auf ein „sicheres Konto“, gilt das meist als autorisierte Zahlung, und eine sofortige Erstattung ist nicht selbstverständlich.

Ist das Geld schon weg, legt das Urteil eine einfache Reihenfolge nahe. Melden Sie den nicht autorisierten Vorgang sofort Ihrer Bank, denn das Gericht macht die umgehende Meldung zur Bedingung für die Erstattung. In der EU muss die Bank Ihnen das Geld dann bis zum Ende des nächsten Geschäftstags zurückzahlen und kann später über Ihre Unachtsamkeit streiten; berufen Sie sich auf das Urteil in der Rechtssache C-70/25.

Der NVB vertritt laut niederländischen Medien die Position, dass das Urteil ändere, wann erstattet wird, nicht aber, wer am Ende den Schaden trägt. Das stimmt teilweise. Doch der Zeitpunkt zählt. Monatelang zu warten und um das eigene Geld zu klagen, ist das eine; es am nächsten Tag zurückzubekommen und abzuwarten, ob die Bank sich überhaupt die Mühe macht, Ihnen ein Verschulden nachzuweisen, etwas ganz anderes.

Was als fahrlässig gilt

Genau dort wird der nächste Streit ausgetragen. Die Karte ans Handy zu halten, weil „die Bank“ darum bat, wirkt im Nachhinein naiv, doch vor ein paar Jahren hatte kaum jemand von diesem Trick gehört. Im Frühjahr 2026 forderte Kifid, die niederländische Beschwerdestelle für Finanzdienstleistungen, die Banken auf, Kunden öfter im Zweifel recht zu geben, weil Kriminelle ihre Opfer so geschickt bearbeiten.

Für die Geldautomaten-Masche ist der erste Schritt nun klar, der zweite nicht. Die eigentliche Frage hat noch kein Gericht beantwortet: Ist es grob fahrlässig, einer Stimme zu vertrauen, die eigens so erzeugt wurde, dass sie wie Ihre Bank klingt, und die um etwas bittet, das selbst die niederländische Polizei in dieser Form noch nie gesehen hatte?