Mit physischem Zugang und der richtigen Schadsoftware können Kriminelle einen Geldautomaten dazu bringen, Bargeld ohne eine legitime Transaktion auszugeben.
Das war der Plan hinter einem versuchten Jackpotting-Betrieb in Kansas, der damit endete, dass sich fünf venezolanische Staatsangehörige der Verschwörung zum Diebstahl aus einer Bank schuldig bekannten.
Die Gruppe reiste im Dezember 2025 aus Indiana an, versuchte, Schadsoftware auf Geldautomaten in Wamego und Manhattan zu installieren, und plante, die kompromittierten Geräte aus der Ferne zu aktivieren, damit sie Bargeld ausgaben.
Beide Versuche scheiterten, doch der Fall reiht sich in einen landesweiten Anstieg des ATM-Jackpottings ein.
Das FBI erklärt, dass Kriminelle physischen Zugang mit ATM-Schadsoftware kombinieren, die mit der zugrunde liegenden Hardware-Steuerungssoftware des Geräts interagieren kann. Dadurch könnte Bargeld ohne eine gültige Karte, ein Kundenkonto oder eine Genehmigung der Bank ausgegeben werden.
Was ist ATM-Jackpotting?
Geldautomaten sollen Bargeld ausgeben, nachdem eine Bank eine Transaktion genehmigt hat; Jackpotting stellt dieses Modell auf den Kopf.
Anders als beim Skimming, das typischerweise versucht, die Kartendaten oder PIN eines Kunden zu erfassen, zielt Jackpotting auf den Geldautomaten selbst.
Der Angriff beginnt mit physischem Zugang zum Geldautomaten. Im Fall Kansas erklärten die Staatsanwälte , dass die fünf Angeklagten gezielt Geldautomaten ins Visier genommen hatten, die ihrer Einschätzung nach anfälliger für Schadsoftware waren.
Sobald sich die Schadsoftware auf dem Gerät befindet, kann der Angreifer die Softwareebene ins Visier nehmen, die die Anwendungen des Geldautomaten mit seiner physischen Hardware verbindet.
Laut einem FBI-Hinweis, kann Schadsoftware aus der Ploutus-Familie die eXtensions for Financial Services oder XFS ausnutzen – die Ebene, welche die Anwendungen eines Geldautomaten mit seiner Hardware verbindet. Indem sie nicht autorisierte Befehle über XFS ausführen, können Angreifer den Geldausgabeschacht anweisen, Geld ohne Bankkarte, Kundenkonto oder Genehmigung der Bank auszugeben.
Finanziell motiviertes Hacking geht einen anderen Weg
Finanziell motiviertes Hacking bestand traditionell darin, Zugangsdaten für Bankkonten zu stehlen, Konten zu kompromittieren oder Opfer dazu zu bringen, Geld zu überweisen. Jackpotting geht einen anderen Weg, indem es direkt auf die Geldquelle abzielt. Es ähnelt eher einem Bankraub – nur verwenden die Kriminellen Schadsoftware und manipulierte Geldautomaten-Hardware statt Waffen, um an das Bargeld zu gelangen.
Dieser Wandel ist bedeutsam, weil Jackpotting nicht voraussetzt, dass Kriminelle einen Kunden täuschen oder ein einzelnes Konto kompromittieren. Stattdessen nehmen die Angreifer das Gerät ins Visier, in dem sich das Bargeld der Bank befindet.
Die Zahlen des FBI zeigen, dass dies zu einem größeren Problem und nicht nur zu einer vereinzelten kriminellen Methode wird.
Die Behörde registrierte von 2020 bis 2025 in den USA 1.900 ATM-Jackpotting-Vorfälle. Mehr als 700 davon ereigneten sich allein 2025 und verursachten Schäden von über 20 Millionen US-Dollar.
Anders als Betrug, der möglicherweise durch verdächtige Kontobewegungen entdeckt wird, können Jackpotting-Operationen einen Geldautomaten innerhalb weniger Minuten leeren und werden dem FBI zufolge möglicherweise erst bemerkt, wenn das Bargeld bereits verschwunden ist.
Der gescheiterte Versuch ist eine Lektion für alle
Die Tatsache, dass diese Angriffe scheiterten, zeigt, warum Unternehmen mehrere ineinandergreifende Schutzmaßnahmen benötigen.
Die Angeklagten hatten Berichten zufolge Geldautomaten ins Visier genommen, die ihrer Einschätzung nach anfälliger für Schadsoftware waren. Das erinnert daran, dass Angreifer nach den schwächsten Systemen suchen, statt zu versuchen, die am besten geschützten zu überwinden.
Das bedeutet, sämtliche Software und zugrunde liegenden Betriebssysteme mit Sicherheitsupdates zu versehen und die Schnittstellen abzusichern, über die Software mit verbundener Hardware kommuniziert.
Doch die Lektion reicht weit über Geldautomaten hinaus. Sicherheitsteams sollten davon ausgehen, dass Prävention versagen kann, und Systeme so aufbauen, dass ein versuchter Angriff nicht unbemerkt an ihnen vorbeigeht.
Das bedeutet, Methoden der mehrschichtigen Abwehr einzusetzen. Zugriffskontrollen können unbefugten Zugriff verhindern; Endpoint-Schutz kann Schadsoftware blockieren; Anwendungskontrollen können einschränken, welche Software ausgeführt werden darf; und Protokollierung und Überwachung können eine weitere Möglichkeit bieten, verdächtige Aktivitäten zu erkennen, wenn frühere Schutzmaßnahmen versagen.
In Wamego löste der versuchte Schadsoftware-Installationsvorgang einen Alarm aus, der die Strafverfolgungsbehörden zum Tatort brachte. Beide versuchten Diebstähle wurden außerdem von Überwachungskameras aufgezeichnet, und die Behörden nahmen die Angeklagten mehrere Tage später fest.
Die wichtigste Erkenntnis für Finanzinstitute lautet, dass die Sicherheit von Geldautomaten sowohl den physischen als auch den digitalen Zugang abdecken muss. Das Aktualisieren von Software, die Beschränkung des Zugangs, die Überwachung der Geräteaktivität und überlappende Schutzmaßnahmen können verhindern, dass aus einem durchbrochenen Schloss oder einem übersehenen Alarm ein geleerter Geldautomat wird.
Mehr lesen:Neue Android-Schadsoftware namens Manic kann Bankzugangsdaten stehlen und Daten über infizierte Telefone in der Nähe weiterleiten, was zeigt, dass finanziell motivierte Angreifer weiterhin neue Wege finden, herkömmliche Schutzmaßnahmen zu umgehen.