So überprüfen Sie die Sicherheit der Website bei der Zahlung

Selbst „bekannte“ Websites haben Schwachstellen: gefälschte Zahlungsformulare, Phishing-Domains, Kartenlecks aufgrund falscher Integration. Im Folgenden finden Sie kurze und erweiterte Checklisten, mit denen Sie die Risiken vor der Zahlung schnell einschätzen und die Daten nicht an Angreifer weitergeben können.

60-Sekunden-Express-Check (Minimum zu tun)

1. Adressleiste: Domain ohne Fehler/Ersatz (Beispiel: 'brand. com', nicht 'brand. com 'mit ähnlichen Zeichen).

2. HTTPS und „Schloss“: Die Verbindung ist verschlüsselt. Das Schloss ≠ eine Garantie für Ehrlichkeit, aber ohne es - gehen Sie sofort.

3. Domain-Match: Zahlungsform auf der Domain einer Marke oder einer bekannten PSP (Payment Provider).

4. 3DS2/Biometrie: Bei Kartenzahlung fordert die Bank eine Bestätigung (SMS/App/Biometrie) an.

5. Visuelle Inkonsistenzen: Rechtschreibfehler, seltsame Schriftzeichen/Logos, Pixel-Icons - ein Grund, aufzuhören.

6. Datenschutzerklärung/Angebot: offen, lesbar, keine leeren Stecker.

Wenn etwas davon nicht zusammenpasst - geben Sie keine Karten-/Wallet-Daten ein.

Erweiterte Checkliste (5-7 Minuten)

1) Browser-Indikatoren und Zertifikat

HTTPS: muss auf allen Zahlungsschritten einschließlich Umleitungen sein.

TLS-Zertifikat: gültig, ausgestellt von einer bekannten Zertifizierungsstelle; Der Domänenname stimmt überein.

HSTS: Bei einem erneuten Aufruf erzwingt die Website sofort HTTPS (der Browser verhindert das Öffnen der HTTP-Version).

Kein „gemischter Inhalt“: Die Zahlungsseite sollte keine nicht privaten Ressourcen (Bilder/Skripte über HTTP) enthalten.

2) Domäne und Marke

Alter und Geschichte der Domain: verdächtig „gestern registriert“.

Einheitliche Marke: Die Domäne der Website, des Ablagefachs und des Supports ist konsistent (und kein Mischmasch aus verschiedenen Zonen).

Kontakt: reale Adresse, Jur. Name, TIN/Regnomer (für Finservices/Casinos - Lizenzdaten).

3) Verhalten der Zahlungsform

Hosting-Formular:

Ein eingebauter iFrame von PSP oder eine Umleitung auf eine PSP-Domain ist gängige Praxis.
Das Eingabefeld der Karte auf der Hauptseite ohne iframe ist ein erhöhtes Risiko (der Betreiber selbst „sieht“ PAN/CVV).
Tokenization: Die Website schreibt explizit, dass die Kartendaten tokenisiert und nicht beim Händler gespeichert werden.
Feldgrenzen: Eingabemasken, JS-Einschubverbot, BIN-Autodetekt - Zeichen gelebter Fraud-Logik.
Keine automatische Speicherung: Der Browser schlägt nicht vor, das „Passwort zu speichern“, um die Felder der Karte/Wallet.

4) Standards und Kontrolle

PCI DSS (für Karten): Erwähnung der Konformität und wer die PAN tatsächlich verarbeitet.

SCA/3DS2: Zwei-Faktor-Bestätigung durch die Bank.

AML/KYC: Die Regeln spezifizieren grundlegende Kontrollen - das ist normal, nicht „Bürokratie“.

Rückkehr- und Streitpolitik: Fristen und Verfahren sind klar festgelegt.

5) UI/UX-Kleinigkeiten, die oft Phishing verraten

Verschiedene Schriftarten und ein „zerrissenes“ Layout in einem Schritt.

Buttons ohne Hovers/Zustände (graue „Bilder“ statt Live-Buttons).

Gebrochene Lokalisierungen, seltsame Währung/Zeitzone.

Timer „Bezahlen Sie für 2:59, sonst wird alles verschwinden“ - Druck und Manipulation.

Besonderheiten nach Zahlungsmethoden

Bankkarten

3DS2 ist obligatorisch. Keine zusätzliche Bestätigung - hohes Risiko.

Machen Sie keine Fotos von der Karte und leiten Sie die PAN/CVV nicht an den „Support“ -Chat weiter.

Speichern Sie die Karte nur, wenn der Anbieter Token unterstützt und Sie der Website vertrauen.

E-Wallets/lokale Methoden

Überprüfen Sie die Limits und Gebühren vor der Bestätigung.

Kryptowährung

Netzwerk und Adresse müssen exakt mit den angegebenen (TRC20/ERC20/BTC/LN) übereinstimmen.

Denken Sie daran: Transaktionen sind unwiderruflich; Doppelte Überprüfung der Adresse/des Betrags ist obligatorisch.

Zahlung durch Verwahrungsdienst - Überprüfen Sie seinen Ruf und KYC.

Rote Fahnen (sofort stoppen)

Es gibt kein HTTPS oder der Browser schwört auf das Zertifikat.

Domain mit Tippfehler/Symbolwechsel, „Spiegel“ ohne Erklärung.

Die Kartenfelder befinden sich auf der Website selbst ohne explizite iFrame/PSP-Umleitung.

Fordern Sie ein Foto der Karte auf beiden Seiten und einen Pass in einem Brief „zur Beschleunigung“.

Sie versprechen „kein KYC“, „jedes Land ohne Einschränkungen“, „0% immer“.

Sie schreiben: „Übertragen Sie auf die persönliche Karte/Geldbörse des Managers“.

Was tun im Zweifel

1. Hör auf. Geben Sie keine Daten ein.

2. Überprüfen Sie die Domain manuell, besuchen Sie die Website über ein Lesezeichen oder eine Suche von Grund auf.

3. Überprüfen Sie das Bank-/Wallet-Büro: Gibt es unvollständige Autorisierungsanfragen?

4. Fragen Sie den Support (kurz und bündig) - wer ist ihr Zahlungsanbieter und gibt es PCI- DSS/3DS2?

5. Alternativ bezahlen: über eine geprüfte Wallet/PSP; Vermeiden Sie P2P auf persönlichen Karten.

6. Informieren Sie die Bank bei jeder verdächtigen Autorisierung, geben Sie die Karte bei einem PAN/CVV-Leck erneut aus.

Mini-Politik für sich selbst (Vorlage)

Ich bezahle nur für HTTPS, mit 3DS2/SCA und Tokenisierung.

Ich gebe keine PAN/CVV/seed Phrasen per Brief oder Chat weiter.

Ich speichere die Karten nur bei geprüften Anbietern.

Für Krypto - Whitelist-Adressen und 2FA, eine kleine Testüberweisung vor einer großen Summe.

Im geringsten Zweifel - eine andere Methode/andere Website.

FAQ (kurz)

Sorgt das Schloss in der Adressleiste für Sicherheit?

Nein. Er spricht nur von einer Verschlüsselung der Verbindung. Die Website kann immer noch Phishing sein.

Umleitung auf eine Zahlungsdomain - ist das normal?

Ja, wenn die Domain eine bekannte PSP ist. Die Hauptsache ist, die Adresse zu überprüfen.

Der Support bittet um Kartendaten „zur schnellen Überprüfung“. Geben?

Niemals. Der Support sollte keine PAN/CVV sehen.

Sicheres Bezahlen ist eine Disziplin mit ein paar einfachen Regeln: korrekte Domain, HTTPS/Zertifikat, 3DS2/SCA, sichtbare PSP/Tokenisierung und keine exotischen „Versprechungen“. Indem Sie jedes Mal eine Minutenüberprüfung durchführen, schließen Sie 90% der Phishing- und Zahlungsdatenleckszenarien.