Kreditkartenbetrug: wie er abläuft und was du tun kannst

Eine Kreditkarte ist schnell missbraucht: Für viele Zahlungen braucht ein Täter nur die Daten auf der Karte, nicht die Karte selbst. Die Polizei nennt für 2025 in der Polizeilichen Kriminalstatistik 22.430 Fälle von Betrug mit Zahlungskarten mit PIN und 16.630 Fälle von Betrug mit rechtswidrig erlangten Karten ohne PIN ^[1]. Diese Seite erklärt, wie Kartendaten in falsche Hände geraten, woran du Missbrauch erkennst, wie du sperrst und wer den Schaden trägt.

Wie Kartendaten in falsche Hände geraten

Polizei und BaFin beschreiben mehrere Wege. Manche brauchen die Karte selbst, andere nur ihre Daten.

• Skimming: Am Geldautomaten bringen Täter Lesegeräte oder gefälschte Frontplatten an, kopieren die Kartendaten und spähen die PIN über eine manipulierte Tastatur oder eine Minikamera aus ^[2].
• Phishing und Schadprogramme: Gefälschte E-Mails und Trojaner sollen Kartendaten, Passwörter und persönliche Daten erbeuten ^[1].
• Fake-Shops: Gefälschte Online-Shops mit auffällig günstigen Angeboten liefern nach Vorkasse nicht und greifen zugleich Kartendaten ab ^[2].
• Unseriöse Händler: Kartennummer, Gültigkeitsdatum und Unterschrift stehen auf Belegen. Unseriöse Händler können die Daten nach dem Kauf weitergeben oder selbst nutzen ^[1].
• Unverschlüsselte Verbindungen: Ist die Verbindung beim Bezahlen nicht verschlüsselt, können Dritte die Daten abgreifen ^[1].
• Diebstahl, Verlust und Ausspähen der PIN: Liegengelassene oder gestohlene Karten werden missbraucht. Beim Ausspähen der PIN beobachten Täter die Eingabe, etwa als aufdringliche Personen oder angebliche Helfer ^[1].

Wer seine Kartendaten auf einer gefälschten Seite eingibt, merkt das oft nicht sofort. Wie solche Nachrichten aussehen, zeigt die Seite Phishing-Mails erkennen, wie du betrügerische Shops vor dem Kauf erkennst, die Seite Fake-Shops erkennen.

Was die starke Kundenauthentifizierung bringt

Für Zahlungen im Internet ist die starke Kundenauthentifizierung vorgeschrieben. Sie verlangt mindestens zwei Sicherheitsfaktoren aus unterschiedlichen Kategorien: Wissen wie ein Passwort, Besitz wie ein Mobiltelefon und Inhärenz wie ein Fingerabdruck ^[3]. Beim Bezahlen mit Kreditkarte im Internet reicht es deshalb nicht, die Daten auf der Karte samt Prüfziffer einzugeben; zusätzlich sind etwa ein geheimes Passwort und eine TAN nötig ^[3]. Zahlungen, die der Zahlungsdienstleister nach einer automatischen Risikoanalyse als wenig riskant einstuft, können ohne diesen Schritt laufen, dafür gilt eine gesetzliche Obergrenze ^[3].

Für dich hat die Regel auch eine rechtliche Seite. Verlangt deine Bank keine starke Kundenauthentifizierung oder akzeptiert der Händler sie nicht, musst du für einen Missbrauch keinen Schadensersatz leisten, außer du hast betrügerisch gehandelt ^[4]. Täter versuchen deshalb, auch an die zweite Stufe zu kommen: Gefälschte E-Mails verlangen PIN und TAN, und bei Anrufen von gefälschten Bankrufnummern fordern sie unter Zeitdruck Daten oder Überweisungen ^[2]. Banken fragen auf diesen Wegen nicht nach Zugangsdaten, TANs oder Bankdaten ^[2].

Woran du Missbrauch erkennst

Die Polizei rät, Belege aufzubewahren oder zu vernichten und Kontoauszüge zeitnah zu kontrollieren ^[1]. Die BaFin empfiehlt, die Kontoumsätze regelmäßig zu prüfen ^[2]. Auffällig sind:

• Buchungen auf der Kreditkartenabrechnung, die du nicht kennst ^[1]
• eine neu eingerichtete Bezahlfunktion wie Google Pay oder Apple Pay oder eine neue App, gefolgt von hohen Beträgen ^[6]
• Buchungen in der Nacht oder viele Buchungen kurz hintereinander ^[6]
• eine Karte, die der Geldautomat einbehalten hat; auch sie lässt du sperren ^[1]

Am Automaten selbst fällt Skimming kaum auf. Achte auf Hinweiszettel, die dich zu einer mehrfachen PIN-Eingabe auffordern; die Polizei zählt sie zu den Tricks der Täter ^[1]. Auffällige Veränderungen am Automaten meldest du ^[1].

Karte sperren und Missbrauch melden

Lass eine verlorene oder gestohlene Karte sofort sperren, auch wenn ein Geldautomat sie einbehalten hat ^[1]. Der Sperr-Notruf 116 116 ist rund um die Uhr erreichbar, auch an Feiertagen, und sperrt Girocard, Kreditkarte, Online-Banking, den E-Personalausweis und SIM-Karten ^[7]. Aus dem deutschen Festnetz ist der Anruf kostenlos, aus dem Mobilfunknetz können Kosten anfallen ^[7]. Aus dem Ausland wählst du +49 116 116 oder +49 30 4050 4050 ^[7]. Bei einer Kreditkarte genügt für die Sperre der Name der Bank oder die Bankleitzahl ^[1]. Notiere Datum und Uhrzeit der Sperre ^[7]. Kannst du nicht telefonieren, nennt der Sperr-Notruf andere Wege, darunter einen Faxdienst und eine App ^[7]. Die Nummer gibt es seit dem 01.07.2005; über sie lassen sich nach Angaben der Polizei mehr als 90 Prozent aller Bank- und Zahlungskarten sperren ^[1].

Die Polizei nennt zusätzlich die Sperrnummern der Kartenorganisationen, darunter für Anrufe aus Deutschland Mastercard 0800 071 3542 und Visa 0800 811 8440 ^[1]. Informiere außerdem deine Bank, manche Banken haben einen eigenen Notruf ^[1]. Bei Verdacht auf eine Straftat erstattest du sofort Anzeige ^[1]. Die Verbraucherzentralen raten, jede betroffene Buchung schriftlich oder per E-Mail als nicht autorisiert zu melden, mit Datum, Betrag und Empfänger, und das Aktenzeichen der Anzeige an die Bank weiterzugeben ^[6]. Hast du neben der Kreditkarte auch eine Girocard verloren, meldest du sie zusätzlich bei der Polizei als gestohlen. Nur so gilt die Sperre auch für das Lastschriftverfahren ^[1], und nur die Polizei kann diese KUNO-Sperre veranlassen ^[2]. Den genauen Ablauf mit allen Karten beschreibt Karte und Konto sperren, Geld zurückholen.

Wer den Schaden trägt

Bei Zahlungen, die du nicht autorisiert hast, muss die Bank den Betrag unverzüglich erstatten, spätestens bis zum Ende des Geschäftstags, der auf den Tag folgt, an dem sie davon erfahren hat ^[5]. Nach dem Urteil des Europäischen Gerichtshofs vom 15.10.2026 (C-70/25) darf sie die Erstattung nicht mit dem Vorwurf grober Fahrlässigkeit verweigern. Einen Schaden kann sie erst danach zurückverlangen, und dafür muss sie nachweisen, dass er auf Vorsatz oder grobe Fahrlässigkeit von dir zurückgeht ^{[6, 9]}. Wie viel du am Ende selbst trägst, regelt § 675v BGB:

Grob fahrlässig handelt nach dem Bundesgerichtshof nur, wer schwer und schlechthin unentschuldbar gegen die nötige Sorgfalt verstößt, und das hängt vom Einzelfall ab ^[6]. Lehnt die Bank ab, kannst du die Schlichtungsstelle einschalten, die im Impressum der Bank genannt ist ^[6]. Mehr zur Rechtslage steht unter Wer zahlt, wenn Betrüger dein Konto leeren.

Chargeback bei selbst ausgelösten Zahlungen

Anders liegt der Fall, wenn du die Zahlung selbst freigegeben hast, etwa in einem Fake-Shop, der nie liefert. Dann kommt das Chargeback in Frage, ein Rückbuchungsverfahren der Kartenorganisationen. Es beruht auf den Regeln der Kartenorganisationen; einen gesetzlichen Anspruch darauf gibt es nicht ^[8]. Die Frist beträgt in der Regel bis zu 120 Tage, meist ab dem Abbuchungsdatum auf der Abrechnung; bei ausbleibender Lieferung etwa 30 Tage, nachdem absehbar ist, dass nichts mehr kommt ^[8]. Das Europäische Verbraucherzentrum rät, zuerst den Händler schriftlich zu kontaktieren und ihm eine kurze Frist von höchstens einer Woche zu setzen ^[8]. Den Antrag stellst du dann bei der Bank, die deine Karte ausgegeben hat, nicht bei Visa oder Mastercard; bei American Express ist das Unternehmen selbst die ausgebende Stelle ^[8]. Beizufügen sind Belege wie Abrechnung, Bestellbestätigung, Rechnung und Schriftverkehr ^[8]. Reine Girocard-Zahlungen sind dafür nicht geeignet, bei Debitkarten von Visa oder Mastercard kann ein Chargeback möglich sein ^[8].

So schützt du deine Karte

Die Polizei rät, die PIN auswendig zu lernen, den PIN-Brief zu vernichten und die PIN nirgends zu notieren, auch nicht getarnt ^[1]. Bei der Eingabe verdeckst du das Tastenfeld und achtest darauf, dass niemand zusieht ^[1]. Karten verwahrst du sorgfältig wie Bargeld, etwa in einer verschlossenen Innentasche, und vor dem Abheben prüfst du Umfeld und Automaten auf Veränderungen ^[1].

Im Internet gibst du Kartendaten nur über verschlüsselte Verbindungen ein und die Kartenprüfnummer nur, wenn sie verlangt wird ^[1]. Prüf vor dem Kauf den Anbieter, etwa über Impressum und Existenz des Unternehmens, und druck dir die Geschäftsvorgänge aus ^[1]. Auf dem Gerät gehören ein aktueller Virenschutz und eine Firewall dazu, und Mails unbekannter Absender öffnest du nicht ^[1]. Bei Händlern im Ausland, vor allem außerhalb der EU, rät die Polizei, auf andere Zahlungsarten auszuweichen ^[1]. Weitere Hinweise stehen unter Sicher online bezahlen. Welche Versicherungen manche Kreditkarten zusätzlich enthalten, erklärt die Seite Versicherungen in der Kreditkarte.

1. Behörde EC- und Kreditkartenbetrug. Polizeiliche Kriminalprävention der Länder und des Bundes. Stand ohne Datum. abgerufen am 29.10.2026
2. Behörde Datendiebstahl durch Phishing und Co.: So schützen Sie sich. Bundesanstalt für Finanzdienstleistungsaufsicht. Stand ohne Datum. abgerufen am 29.10.2026
3. Behörde Starke Kundenauthentifizierung: Regeln für Onlinebanking und Onlineshopping. Bundesanstalt für Finanzdienstleistungsaufsicht. Stand ohne Datum. abgerufen am 29.10.2026
4. Gesetz § 675v BGB: Haftung des Zahlers bei missbräuchlicher Nutzung eines Zahlungsinstruments. Bundesministerium der Justiz. Stand ohne Datum. abgerufen am 29.10.2026
5. Gesetz § 675u BGB: Haftung des Zahlungsdienstleisters für nicht autorisierte Zahlungsvorgänge. Bundesministerium der Justiz. Stand ohne Datum. abgerufen am 29.10.2026
6. Organisation Kreditkartenbetrug und Kontobetrug: Das können Sie jetzt tun. Verbraucherzentrale Bundesverband. Stand 16.10.2026. abgerufen am 29.10.2026
7. Organisation Sperr-Notruf 116 116. Sperr-Notruf 116 116 e.V.. Stand ohne Datum. abgerufen am 29.10.2026
8. Organisation Chargeback: So holen Sie Kreditkartenzahlungen zurück. Europäisches Verbraucherzentrum Deutschland. Stand 31.03.2026. abgerufen am 29.10.2026
9. Behörde Pressemitteilung Nr. 147/26: Urteil in der Rechtssache C-70/25. Gerichtshof der Europäischen Union. Stand 15.10.2026. abgerufen am 29.10.2026

Zuletzt geprüft am 30.10.2026, nächste Prüfung spätestens im Oktober 2027. Fehler entdeckt? Schreib uns.