Verhaltensbiometrie kostet Visa 2,09 Milliarden Euro in bar. Für dieses Geld übernimmt der Kartenkonzern den israelischen Anbieter BioCatch, dessen Software Tippgeschwindigkeit, Wischgesten und Handhaltung von 760 Millionen Bankkunden misst. Für Europas Banken verschiebt der Kauf die Betrugsabwehr aus dem Zahlungsmoment in die Sitzung davor.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Die Verhaltensbiometrie von BioCatch wertet monatlich rund 19 Milliarden Banking-Sitzungen aus und achtet dabei weniger auf das Passwort als auf die Hand dahinter. Am 3. August 2026 bestätigte Visa den Kauf, gut anderthalb Jahre nach der Übernahme des britischen Betrugsspezialisten Featurespace für damals rund 823 Millionen Euro. Beide Zukäufe zielen auf dieselbe blinde Stelle im Kartennetz.
Das Wichtigste in Kürze
- Visa zahlt 2,09 Milliarden Euro in bar und kauft dabei Fonds des Finanzinvestors Permira heraus.
- BioCatch schützt 1,8 Milliarden Geräte und 760 Millionen Nutzer bei über 350 Banken in 21 Ländern.
- Kontoübernahmen und Betrugsmaschen kosten weltweit jährlich rund 870 Milliarden Euro, so Visas Rechnung.
- Der Abschluss steht unter Behördenvorbehalt und wird erst zum Ende des zweiten Geschäftsquartals 2027 erwartet.
Was steckt hinter dem Kaufpreis von 2,09 Milliarden Euro?
Der Preis hat sich in weniger als zwei Jahren fast verdoppelt. Im September 2024 übernahm Permira die Mehrheit an BioCatch bei einer Bewertung von rund 1,13 Milliarden Euro, damals mit gut 200 Instituten als Kunden. Heute stehen über 350 Banken in den Büchern.[1]
Andrew Torre, President Value Added Services bei Visa, nennt den Grund: „Künstliche Intelligenz ermöglicht diese Angriffe in bislang unbekanntem Ausmaß.“ Visa beziffert den weltweiten Schaden durch Kontoübernahmen und Betrugsmaschen auf umgerechnet rund 870 Milliarden Euro pro Jahr. Zur Prioritätenverschiebung passt der Schritt von Ende Juli, als der Konzern 2.600 Stellen strich und das Geld in Zusatzdienste umleitete.
Warum sehen Kartennetze den Betrug nicht?
Das Kartennetz sieht erst die Zahlung, nicht den Weg dorthin. Bei einer Kontoübernahme oder nach einem Schockanruf gibt der Kunde die Überweisung selbst frei, korrekt eingeloggt und mit gültiger Zwei-Faktor-Bestätigung. Klassische Regelwerke bewerten Betrag, Empfänger und Gerät, finden dort aber nichts Auffälliges. Wie perfekt solche Anrufe inzwischen klingen, zeigte zuletzt der Telefonbetrug mit geklonten KI-Stimmen.
BioCatch setzt eine Ebene früher an und misst über 3.000 anonymisierte Datenpunkte je Sitzung: den Rhythmus der Tastenanschläge, den Druckpunkt beim Wischen, die Neigung des Geräts und das Zögern vor dem Absenden. Ein Fernzugriff tippt zu gleichmäßig, ein telefonisch dirigiertes Opfer zu langsam. Betrugsabwehr wandert damit vom Bezahlvorgang in den Login. Dass Echtzeitzahlungen genau diese Vorverlagerung erzwingen, zeigte der Millionenvergleich der Cash App.
Visas Zukauf für die Betrugsabwehr auf einen Blick
Welche Signale die Software auswertet
Rhythmus der Tastenanschläge
Druckpunkt beim Wischen
Neigung des Geräts in der HandEin Kartennetz sieht bislang nur die Zahlung, BioCatch liefert Visa den Blick in die Sitzung davor. Europäische Banken bezahlen diesen Zugewinn mit Dokumentationspflichten nach DSGVO und KI-Verordnung.
— Michael Dobler, Herausgeber Dr. Web
Was ändert der Kauf für Banken in der EU?
Artikel 4 Nummer 14 der DSGVO zählt verhaltenstypische Merkmale ausdrücklich zu den biometrischen Daten, allerdings nur bei eindeutiger Identifizierung einer Person. Kein Softwareanbieter zieht diese Grenze für die Bank, die Einstufung bleibt beim verantwortlichen Institut. Wie schnell Verhaltensdaten politisch heikel werden, zeigte der Streit um biometrische Daten für visafreies Reisen.
Bei der KI-Verordnung liegt der Fall günstiger, als viele Compliance-Abteilungen befürchten. Anhang III Nummer 5 Buchstabe b stuft die Kreditwürdigkeitsprüfung als hochriskant ein, nimmt Systeme zur Aufdeckung von Finanzbetrug jedoch ausdrücklich aus.[2] Luft verschafft zusätzlich die Verschiebung der Hochrisiko-Pflichten auf Dezember 2027. Die seit dem 9. Oktober 2025 verpflichtende Empfängerprüfung nach der Verordnung (EU) 2024/886[3] greift hier ohnehin nicht: Das Opfer tippt die echte IBAN des Betrügers ein, Name und Konto passen zusammen.
Institute prüfen vor der nächsten Ausschreibung am besten die eigene Verarbeitungsdokumentation: Rechtsgrundlage nach Artikel 6 DSGVO festhalten, den Zweck eng auf Betrugsabwehr begrenzen und Löschfristen für Verhaltensprofile vertraglich fixieren. Die Begriffe dazu sortiert unser Cybersecurity-Glossar, den organisatorischen Rahmen liefert der Praxisleitfaden zum Zahlungsverkehr.
FAQ: Visa kauft BioCatch
Was ist Verhaltensbiometrie?
Verhaltensbiometrie beschreibt die Auswertung von Bewegungsmustern statt von Körpermerkmalen. Gemessen werden Tippgeschwindigkeit, Wischgesten, Mausbewegungen und die Neigung des Geräts. Aus diesen Signalen entsteht ein Profil, das laufend mit dem gewohnten Verhalten des Kontoinhabers abgeglichen wird.
Wie viel zahlt Visa für BioCatch?
Visa zahlt 2,4 Milliarden US-Dollar in bar, umgerechnet rund 2,09 Milliarden Euro zum Kurs von 0,87 am 3. August 2026. Verkäufer sind Fonds, die der Finanzinvestor Permira berät, sowie weitere Anteilseigner. Permira war im September 2024 bei einer Bewertung von 1,3 Milliarden US-Dollar eingestiegen.
Gelten Verhaltensdaten nach der DSGVO als biometrische Daten?
Artikel 4 Nummer 14 der DSGVO nennt ausdrücklich auch verhaltenstypische Merkmale, allerdings nur dann, wenn diese eine natürliche Person eindeutig identifizieren oder bestätigen. Die Einstufung hängt am konkreten Einsatzzweck und liegt beim verantwortlichen Institut, nicht beim Softwareanbieter.
Wann wird die Übernahme abgeschlossen?
Visa erwartet den Abschluss zum Ende des zweiten Geschäftsquartals 2027, also rund um den März 2027. Vorher müssen die zuständigen Kartell- und Aufsichtsbehörden zustimmen. Bis dahin arbeiten beide Unternehmen rechtlich getrennt weiter.
Welche Institute setzen die Software ein?
BioCatch nennt mehr als 350 Bankkunden in 21 Ländern, darunter über 100 der weltgrößten Institute. Ausgewertet werden nach Unternehmensangaben monatlich rund 19 Milliarden Sitzungen auf 1,8 Milliarden Geräten.
Können Bankkunden der Verhaltensanalyse widersprechen?
Ein Widerspruchsrecht nach Artikel 21 DSGVO besteht, sobald die Bank die Analyse auf ihr berechtigtes Interesse stützt. Erwägungsgrund 47 der DSGVO nennt Betrugsprävention allerdings ausdrücklich als solches Interesse, sodass Institute dem Widerspruch zwingende Gründe entgegenhalten können.
Quellen
[1] Visa Investor Relations: „Visa to Acquire BioCatch“
[2] Amt für Veröffentlichungen der EU: Verordnung (EU) 2024/1689 (KI-Verordnung), Anhang III
[3] Amt für Veröffentlichungen der EU: Verordnung (EU) 2024/886 (Echtzeitüberweisungen), Artikel 5c
Mehr Newshunger?
- Visa streicht 2.600 Stellen: Das Geld wandert zu Stablecoins und Firmenkunden
- Cash App zahlt 39 Millionen Euro: Was der Betrugsfall über Echtzeitzahlungen verrät
- Drei Sekunden genügen: Wie geklonte KI-Stimmen den Telefonbetrug verändern
- Razzia bei der Deutschen Bank: Warum der teuerste Betrug von innen kommt
- Biometrische Daten für visafreies Reisen: Was die EU den USA zugestehen soll
- KI-Verordnung: Hochrisiko verschoben, Bußgeld bleibt
