Amazon und PayPal: Betrug mit geklauten Daten – Einkauf auf fremde Kosten

Wenn Sie plötzlich eine Rechnung oder Mahnung von Amazon oder PayPal bekommen, dann muss es sich um keine Phishing-Nachricht handeln. Unter Umständen haben Kriminelle auf Ihre Kosten im Internet eingekauft. Dafür benötigen diese nur Ihre IBAN und Ihren Namen. Wir erklären, wie der Betrug funktioniert.

Immer öfter melden sich Verbraucher bei uns, weil Sie beispielsweise eine Rechnung von Amazon bekommen haben. Einige Nutzer haben auch eine Amazon-Mahnung bekommen. Kurios: Diese Kunden haben teils gar kein Amazon-Konto oder haben im fraglichen Zeitraum nichts eingekauft. Ähnlich ist es auch bei PayPal. Wenn unerwartet eine Mahnung vom Zahlungsdienstleister kommt, ist der Schreck und die Verwunderung besonders groß. Immer häufiger stellt sich heraus, die E-Mails sind echt und es handelt sich um keine gefälschte E-Mail im Namen von Amazon oder PayPal.

Soziale Organisationen werben im Internet um Spenden, Vereine nutzen das Web um Mitgliederwerbung zu betreiben. Den Aufnahmeantrag findet man online und dieser enthält auch die IBAN-Nummer. Doch auch Verbraucher sind betroffen, denn die IBAN-Nummer wird über dubiose Anrufe erfragt. Zudem werden massenhaft persönliche Daten samt Kontonummern im Internet verkauft. Das nutzen Betrüger aus, um illegal Beträge abzubuchen. Die Redakteure der Servicezeit, des Verbrauchermagazins des WDR, sind der Sache nachgegangen.

Kriminelle suchen im Internet gezielt nach Kontodaten. Finden sie dabei ein Konto, das noch nicht mit PayPal verbunden ist, melden sie sich mit der gestohlenen IBAN bei dem Bezahldienst an und gehen dreist auf Einkaufstour. Bis dem geprellten Kontoinhaber der Betrug auffällt, sind die Täter mit der Ware längst über alle Berge.

Ähnliche Fälle gibt es auch bei Amazon. Auch hier geben Kriminelle die persönlichen Daten von fremden Personen ein und kaufen anschließend Gutscheine oder andere Produkte. Meist wird zu den persönlichen Daten passend noch eine neue E-Mail-Adresse angelegt. Schließlich soll der betrogene Kunde die Bestellbestätigung nicht erhalten.

Keine Rückbuchung bei PayPal

Oft erfahren die Opfer des Datenmissbrauchs erst nach mehreren Monaten von dem Missbrauch. Wenn sich der Geschädigte dann bei PayPal meldet, erklärt sich der Bezahldienst für nicht zuständig. Denn die achtwöchige Frist sei verstrichen, der Kunde hätte den Betrug früher angeben müssen. Doch ganz so einfach ist die Sachlage nicht.

Tatsächlich hat jeder Kontoinhaber die Pflicht, sein Konto regelmäßig durchzusehen, um Fehlbuchungen rechtzeitig festzustellen, so die aktuelle Rechtsprechung. Finanzexperten sehen das jedoch anders. Denn der Betrug ist oft klar erkennbar, wenn Beträge eindeutig illegal abgebucht wurden. Zahlreiche Verfahren gegen PayPal sind deshalb zur Zeit bei den Gerichten anhängig, meist wegen unberechtigter Lastschriften. Der Bezahldienst nimmt es offensichtlich nicht so genau mit dem SEPA-Verfahren, kann in vielen Fällen keine ordnungsgemäßen Lastschriftmandate vorlegen.

Fehlende Sicherheitsabfrage

PayPal führt normalerweise bei der Anmeldung eine Sicherheitsabfrage durch, um jedes neue Konto zu überprüfen. Dem Neukunden wird unmittelbar nach der Anmeldung von PayPal ein Cent auf sein Girokonto überwiesen. Im Verwendungszweck findet sich dann ein vierstelliger Code, den der Antragsteller in die Eingabemaske auf der Webseite der Online-Bank einfügt. Damit ist sichergestellt, dass er über die Kontoeröffnung informiert wird und einverstanden ist. Aber diese Sicherheitsprozedur wird offensichtlich nicht in jedem Fall durchgeführt. Und somit entsteht eine deutliche Sicherheitslücke, die Cyberkriminelle ausnutzen.

Die Hausbank kann helfen

PayPal erklärt auf Anfrage der WDR-Redaktion: „Es ist möglich, Zahlungen mit PayPal auch ohne diese Bestätigung durchzuführen. (…) Spätestens ab einem Betrag von 2 500 Euro pro Jahr ist PayPal gesetzlich dazu verpflichtet, die Identität des Kunden und weitere Angaben zu prüfen sowie anhand externer Unterlagen zu bestätigen.“ Und eben diese Lücke wird von den Kriminellen genutzt, um kleinere Beträge illegal abzubuchen.

Bekommt man den Betrag von PayPal nicht zurück, sollte man sich an die eigene Bank wenden. Denn diese kann acht Wochen lang die Lastschrift wieder zurückbuchen, und zwar ohne jede Begründung. Mit einem guten Argument verlängert sich die Frist sogar auf 13 Monate, allerdings sollte man sich für diesen Fall mit einem Anwalt beraten.

Sie sind ebenfalls von einem Datenmissbrauch betroffen?

Haben Unbekannte auch in Ihrem Namen eingekauft und die entsprechenden Händler oder gar Inkasso-Unternehmen wenden sich nun per E-Mail oder Post mit Rechnungen und Mahnungen an Sie? In diesem Fall sollten Sie die Schreiben nicht ignorieren. Zeigen Sie keine falsche Scham. Nachfolgend erklären wir, was Sie nach der Online-Abzocke tun sollten.

• Erstatten Sie in jedem Fall sofort Strafanzeige bei der Polizei. Eine Anzeige können Sie entweder online erstatten oder Sie gehen auf die nächste Polizeidienststelle. Bevor Sie Polizei aufsuchen, sollten Sie unser Tipps zur Anzeigenerstattung gelesen haben.
   
• Widersprechen Sie gegenüber dem Unternehmen oder dem Inkassounternehmen der Rechnung oder Mahnung. Teilen Sie mit, dass Sie die Bestellung nicht ausgelöst haben und übermitteln Sie die Nummer der Anzeige bei der Polizei. Mit dem Widerspruch erreichen Sie auch, dass die Forderung nicht bei der Schufa eingetragen werden kann und es nicht so schnell zu einem Mahnverfahren oder einer Zwangsvollstreckung kommt.
   
• Sollten Sie doch Post vom Gericht bezüglich der Einleitung eines Mahnverfahren bekommen, dann müssen Sie gegenüber dem Gericht noch einmal widersprechen. 
   
• Informieren Sie unbedingt Ihre Bank über den Datenmissbrauch. Wenn Kriminelle Ihre Daten verwenden ist es gut möglich, dass diese das nicht nur einmal tun. Wir empfehlen einen Wechsel der Bankverbindung um zukünftigen unberechtigten Zugriffen auf Ihr Bankkonto aus dem Weg zu gehen.
   
• Fordern Sie eine Auskunft über die bei der Schufa über Sie gespeicherten Daten an. So können Sie überprüfen, ob es womöglich weitere Fälle gibt, die bereits bei der Schufa eingetragen sind.
   
• Wenn Sie sich nicht erklären können, wie Ihre persönlichen Daten in die Hände von Dritten geraten sind, dann sollten Sie zuerst Ihren Computer auf Viren und Schadsoftware überprüfen, bevor Sie diesen weiter nutzen. Eine wirkungsvolle Überprüfung des Computers können Sie beispielsweise mit der kostenlosen Software Malwarebytes durchführen.

Wir helfen bei Fragen

Sie bekommen eine E-Mail mit einer Rechnung oder Mahnung und wissen nicht genau, ob die Nachricht echt ist oder ob es sich um Phishing handelt. Nutzen Sie zunächst die Suchfunktion auf unserer Webseite. Für populäre Händler und Zahlungsanbieter finden Sie auf unserer Webseite sowohl gefälschte E-Mails die gerade im Umlauf sind als auch eine Entwarnung für echte E-Mails. Wird Ihre Frage nicht beantwortet, leiten Sie die E-Mail an unsere Redaktion unter [email protected] weiter. Wir prüfen diese und geben Ihnen auf Wunsch eine Rückmeldung.

Für allgemeine Fragen können Sie die Kommentare unterhalb des Artikels nutzen. Wir beantworten diese Fragen oft innerhalb weniger Stunden.