Black Friday 2024 : Betrugsmasche mit PayPal: Wenn Online-Shopping zum Albtraum wird

In der Black Week tobt eine Rabattschlacht. Doch manchmal buchen Onlineshops Geld ab, obwohl die Betroffenen nichts bestellt haben. Was steckt dahinter?

Abzocke: Gauner benutzen eine besondere Funktion von PayPal.

Foto: imago images

Der Zahlungsdienst PayPal ist beliebt: vielfach einsetzbar, unkompliziert nutzbar – gerade jetzt, in der Rabattschlacht rund um die sogenannte Black Week. Offenbar wissen das nicht nur Verbraucher, sondern auch Betrüger zu schätzen. Die scheinen eine besondere Funktion von PayPal zu missbrauchen: Gastkonten. 

Eigentlich sollen diese Gastkonten es Verbrauchern ermöglichen, auch ohne PayPal-Konto Zahlungen über PayPal abzuwickeln. Das Geld wird von PayPal vom Girokonto der Gäste abgebucht, über ein Lastschriftverfahren. Klingt praktisch. Doch womöglich sind die Gastkonten ein Einfallstor für Onlinebestellungen in fremdem Namen. „Über Betrug mit PayPal-Gastkonten beschweren sich immer wieder Verbraucherinnen und Verbraucher bei den Verbraucherzentralen“, sagt Heiko Fürst, Referent im Team Marktbeobachtung Finanzmarkt beim Bundesverband der Verbraucherzentralen (vzbv).

So wunderte sich zum Beispiel ein angehender Arzt aus Niedersachsen, als sich in seinem E-Mail-Postfach plötzlich zwischen ungewöhnlich vielen Spammails auch Abrechnungen von PayPal fanden. Angeblich hatte er Papiertüten für 70 Euro bestellt. Er hielt auch diese Mail für einen Fake. Schließlich hatte er nichts bestellt.

Zur Sicherheit fragte er jedoch direkt beim betreffenden Onlineshop nach. „Ich habe die Telefonnummer von deren Website angerufen, um nicht auf irgendwelche Phishing-Versuche hereinzufallen“, erzählt der junge Mann, der seinen Namen nicht veröffentlicht sehen möchte. Und dann kam die Überraschung: Ein Mitarbeiter des Onlineshops erklärte ihm, dass die Papiertüten über ein PayPal-Gastkonto bestellt worden seien. 

Leider, so erklärte ihm der Mitarbeiter, häuften sich Betrugsversuche auf diesem Wege. Die angebliche Bestellung wurde sofort storniert. „Von meinem Konto ist das Geld trotzdem abgebucht worden“, sagt der junge Mann. Er ließ die Zahlung über seine Bank zurück buchen, woraufhin nun eine Mahnung von PayPal folgte, samt drei Euro Aufschlag als „Verwaltungskosten“. „Trotz mehrfacher Telefongespräche mit dem PayPal-Kundendienst wurde die Zahlung dort auch nicht gestrichen, obwohl die Bestellung nie verschickt und vom Onlineshop storniert wurde.“

Er wundert sich, wie leicht es offenbar ist, in fremdem Namen Waren zu bestellen. „Wenn ich PayPal nutze, muss ich Zahlungen mit etwas Aufwand freigeben. Bei den Gastkonten reicht offenbar die Kenntnis nur weniger Daten aus, um auf meine Kosten etwas zu bestellen.“ Damit sich das Ganze nicht wiederholt, hat er nun sein PayPal-Konto geschlossen.

„Mit fremden Daten bestellt“

Betrügereien mit PayPal-Gastkonten sind grundsätzlich nichts Neues. Ein Zeitungsartikel der „Allgemeinen Zeitung“ aus Mainz von 2021 berichtet unter dem Titel „Mit fremden Daten bestellt“ bereits über eine solche Betrugsmasche. Doch offensichtlich hat das nicht dazu geführt, dass dem Betrug ein Riegel vorgeschoben wurde. 

Gäste können über Gastkonten bis zu drei Mal oder bis zu einem Gesamtbetrag von 1500 Euro zahlen, ohne ein PayPal-Konto zu eröffnen. Damit diese Zahlungen trotzdem sicher seien, führe PayPal bei jeder Gastzahlung eine Überprüfung der angegebenen Daten durch, etwa über die Schufa, heißt es in einem Infoschreiben von PayPal, das sich auf eine zuletzt am 11. Juni 2009 geänderte Richtlinie bezieht. Ob diese Angaben noch aktuell sind, konnte PayPal auf Anhieb nicht beantworten. 

Laut dem alten Infoschreiben würden bei der Überprüfung persönliche Daten, wie Vor- und Nachname, Straße, Hausnummer, Postleitzahl, Ort und Geburtsdatum abgeglichen. Dabei gehe es nicht um eine Prüfung der Kreditwürdigkeit. Gecheckt werde, ob die Daten mit den bei der Schufa gespeicherten Daten übereinstimmten. Auch Kontodaten würden darauf hin überprüft, ob es bei der jeweiligen Kontonummer zu nicht-eingelösten Lastschriften gekommen sei. Zusätzlich würden die Daten mit dem Datenbestand des Onlineshopping-Portals eBay abgeglichen, zum Zwecke einer Identitätsprüfung und Risikobewertung.

Schneller schlau: Schufa

Was ist die Schufa?

Zum Geschäftsmodell der 1927 gegründeten „Schutzgemeinschaft für allgemeine Kreditsicherung” gehört es, Daten zu sammeln. Auf deren Basis liefert die Schufa ihren etwa 10.000 Vertragspartnern - unter anderem Banken und Sparkassen, Versandhändler und Energieversorger - bei berechtigtem Interesse eine Einschätzung zur Bonität (Kreditwürdigkeit) von Verbraucherinnen und Verbrauchern. Nach eigenen Angaben verfügt die Schufa über Informationen zu 68 Millionen Menschen in Deutschland. Zu mehr als 90 Prozent seien „ausschließlich positive Informationen gespeichert”. Pro Tag erteilt die Auskunftei im Schnitt 320.000 Auskünfte an Unternehmen. Außer der Schufa gibt es weitere Wirtschaftsauskunfteien: etwa Creditreform und Crif.

Welche Daten sammelt die Schufa?

Die Schufa erhält von ihren Vertragspartnern Informationen etwa über die Eröffnung von Girokonten, die Ausgabe von Kreditkarten, den Abschluss von Leasingverträgen und Krediten. Die Schufa speichert zudem persönliche Daten wie Name, Geburtsdatum und Anschrift, hat aber keine Informationen etwa über das Einkommen einer Person.

Was macht die Schufa mit diesen Daten?

Anhand der Daten errechnet sich der Basis-Score, der quartalsweise aktualisiert wird. Dieser beschreibt auf einer Skala von 0 bis 100 Prozent eine Wahrscheinlichkeit, mit der ein Verbraucher finanziellen Verpflichtungen nachkommen wird. Je höher der Score, umso höher die Kreditwürdigkeit. Wer Rechnungen regelmäßig unpünktlich bezahlt und oft Mahnungen bekommt, wird schlechter eingeschätzt.Wie der Score genau berechnet wird, legt die Schufa nicht detailliert offen. Ihr Argument: „Läge das Berechnungsmodell völlig offen, könnte der Score manipuliert werden und hätte so keinen Wert mehr.” Die Formel sei aber „der zuständigen Datenschutzbehörde bekannt und wird von ihr und unabhängigen Wissenschaftlerinnen und Wissenschaftlern kontrolliert”. Unternehmen und Einzelpersonen wie Vermieter können Auskünfte bei der Schufa einholen.

All das reicht offensichtlich nicht, um betrügerische Bestellungen mittels PayPal-Gastkonten auszuschließen. PayPal teilt auf Anfrage dazu mit, dass Betroffene bei mit ihren Daten vorgenommenen fremden Zahlungen Kontakt zur Bank aufnehmen sollten. Verbraucher sollten mitteilen, dass ein Betrag ohne Zustimmung abgebucht worden sei, und um das Zurückbuchen der Lastschrift bitten. Zusätzlich sollten sie den PayPal-Kundenservice telefonisch kontaktieren. Dieser bitte Betroffene in der Regel, einen Nachweis vorzulegen, der die Person als Inhaberin oder Inhaber des jeweiligen Bankkontos bestätigt. So könne eine Einzelfallprüfung durchgeführt werden, teilt PayPal mit.

„Verbraucher können sich nicht schützen“

Das klingt nach den unschönen Begleiterscheinungen des normalen Geschäftsalltags. Der Bundesverband der Verbraucherzentralen sieht hinter den betrügerischen PayPal-Gastzahlungen jedoch einen Trend. Das Team Marktbeobachtung beschäftige sich derzeit mit genau diesem Thema, heißt es auf Anfrage. In Kürze sei ein Bericht zu Problemen beim Bezahlen mit Zahlungsdienstleistern wie PayPal oder Klarna geplant. PayPal-Gastkonten seien dabei durchaus relevant. 

Verbraucherschützer Fürst schildert den Ablauf so: Betrüger kauften im Namen unbeteiligter Verbraucher ein und nutzten dafür ein Gastkonto, das sie für diesen Zweck anlegten. „Da Zahlungsdienste die Identität des Zahlers nicht zuverlässig prüfen, können sich Verbraucherinnen und Verbraucher vor diesem Betrug nicht schützen“, sagt Fürst. 

Wenn Waren an Packstationen geschickt oder über Weiterleitungsaufträge umgeleitet würden, könnten sie bei den Betrügern landen, so Fürst. „Betroffene Verbraucherinnen und Verbraucher bemerken den Betrug häufig erst, wenn sie Schreiben von Inkassobüros erhalten.“ Er rät dazu, entsprechenden Forderungen zu widersprechen. Es sei gefährlich, die Forderungen einfach zu ignorieren, weil man ja gar nichts gekauft habe.

Erst Einhorn-Trinkflasche, dann Großbestellung

Eine Grafikdesignerin aus Düsseldorf musste feststellen, dass fremde Bestellungen offenbar sogar unabhängig vom Zugriff auf ein PayPal-Konto möglich sind. Auch bei ihr begann alles mit einer plötzlichen Flut an Spammails. Dazwischen auch hier: Abrechnungen von PayPal. „Ich hatte mein PayPal-Konto etwa zehn Jahre nicht mehr genutzt, sodass ich das erst ebenfalls für Spam hielt“, erzählt die Grafikdesignerin. Doch sie musste feststellen, dass tatsächlich Geld von ihrem Girokonto abgebucht wurde. Die erste Bestellung, eine Kinder-Trinkflasche mit Einhorn-Motiv, ließ sie stornieren sowie das Geld seitens der Bank zurück buchen. Zur Sicherheit riet ihr der PayPal-Kundenservice, ihr ohnehin nicht genutztes PayPal-Konto sperren zu lassen.

Etwa eine Woche später, Ende Oktober, bekam die Frau trotzdem eine Mail zu einer Bestellung über 599,95 Euro bei einem Tennis-Onlineshop. Auch hier hatten offenbar Betrüger ein PayPal-Gastkonto genutzt – in ihrem Namen, trotz der Sperrung. Sie erstattete Anzeige bei der Polizei. Zudem riet ihr der PayPal-Kundenservice nun, ihr Girokonto zu wechseln. Ansonsten könnten Betrüger bei Kenntnis ihres Namens, ihrer Anschrift und Kontonummer womöglich auch weiter in ihrem Namen Ware bestellen.

Noch heute ist die Frau über den dreisten Betrugsversuch empört. „Ich bestelle so wenig wie möglich online – und bin so etwas trotzdem hilflos ausgeliefert.“ Immerhin: Die Tennis-Bestellung wurde schon nach knapp drei Stunden storniert, das Geld noch auf Ebene von PayPal zurück gebucht. Warum? Für die Grafikdesignerin blieb das unklar.

Wie groß ist das Problem mit den PayPal-Gastkonten wirklich? Der Händlerbund, eine Interessenvertretung von Onlineshops, beobachtet keinen Missbrauch dieser Funktion im großen Stil. „Das Perfide an dieser Masche ist jedoch, dass aus Händlersicht erstmal alles rechtens wirkt.“ Erst wenn Opfer sich meldeten, fliege der Betrug auf. Dann werde es auch für den Händler haarig. „Die Person kann das Geld zurückziehen und am Ende steht der Händler in der Regel ohne Geld und ohne Ware da“, teilt der Händlerbund mit.

Und der Betrug über Gastkonten sei längst nicht der einzige Weg, über PayPal in fremdem Namen zu bestellen. „Generell gibt es leider vielfältige Betrugsmaschen, die auf PayPal zurückgreifen“, heißt es beim Händlerbund. Manche Händler entschieden sich daher, ganz auf PayPal zu verzichten. Andere setzten bestimmte Verfahren ein, um vorab die Kundenbonität zu prüfen. Manche Zahlungsverfahren würden Kunden nur bei entsprechend hoher Bonität angeboten. Auch Begrenzungen bei der zulässigen Einkaufsumme von Neukunden könnten helfen.

Außerdem würden Händler teils abgleichen, ob die Sendeadresse mit der Andresse der angegebenen Kreditkarte übereinstimmt. Abweichungen könnten verdächtig sein. Ein genereller Ausschluss von Gastbestellungen, also ohne das vorherige Anlegen und Bestätigen eines Kundenkontos, sei theoretisch eine Abwehrmaßnahme. Doch dies – so teilt der Händlerbund mit – verstoße mittlerweile gegen die Datenschutzgrundverordnung und könne daher nicht empfohlen werden.

Lesen Sie auch: Nutzen Betrüger gezielt Datenlecks bei Paketzustellern?