So lief die Masche ab
In einem aktuellen Fall wurde ein privater Verkäufer auf einer Plattform für gebrauchte Kleidung Opfer eines raffinierten Betrugs, vor dem PayPal in einer E-Mail an seine Nutzer:innen inzwischen ebenso warnt. Ein angeblicher Käufer übersandte dem Verbraucher einen QR-Code mit dem Hinweis, dieser diene der „Zahlung an den Verkäufer“. Nach dem Scannen führte der Code laut dem Betroffenen auf eine täuschend echt gestaltete Website im Look der Original-Internetseite. Dort erschien ein weiterer Button mit der Aufschrift „Zahlung erhalten“, der anscheinend zur gewohnten PayPal-Anmeldeseite weiterleitete. Im Vertrauen auf die Echtheit dieser Seiten und in der Annahme, eine Zahlung zu erhalten, erfolgte der Login. Tatsächlich wurden unmittelbar danach ohne Wissen oder Zustimmung des Betroffenen vier Zahlungen in Höhe von insgesamt über 3.000 Euro ausgelöst.
Tipps der Verbraucherzentrale
„Auf seriösen Verkaufsplattformen bestimmt immer der oder die Verkaufende den Zahlungsweg und nicht die kaufende Person“, so Erk Schaarschmidt, Jurist bei der VZB. Wenn jemand beim Kauf auf eine bestimmte Zahlungsmethode außerhalb der Plattform besteht, ist das ein deutliches Warnsignal für Betrug. Misstrauen ist auch geboten, beim Erhalt einer Zahlungsbestätigung per Link. Bei den gängigen Zahlungswegen kommt das Geld automatisch auf dem dazugehörigen Konto an. Verkaufende sollten sich daher vorab mit den Vor- und Nachteilen verschiedener Bezahlmethoden auseinandersetzen. Der sicherste Zahlungsweg ist das integrierte Bezahlsystem der jeweiligen Plattform oder die Übergabe von Ware gegen Geld an einem verabredeten Ort. Um zu verhindern, dass Unbefugte rechtswidrige Transaktionen durchführen, empfiehlt die VZB zudem, bei der Nutzung von Zahlungsdiensten wie PayPal unbedingt darauf zu achten, dass nicht nur die Zahlung, sondern auch der Login über eine Zwei-Faktor-Authentifizierung abgesichert ist.
Quishing: Neue Form einer alten Masche
Beim in diesem Fall genutzten „Quishing“ – also Phishing über QR-Codes – handelt es sich um eine vergleichsweise seltene, aber zunehmend genutzte Betrugsmasche. Kriminelle platzieren gefälschte QR-Codes in E-Mails, Nachrichtendiensten oder sogar im öffentlichen Raum – etwa in Verkehrsmitteln, an Parkautomaten, Ladesäulen oder auf gefälschten Strafzetteln. Deshalb gilt: QR-Codes nur dann scannen, wenn die Herkunft eindeutig ist. Viele Smartphones zeigen beim Scannen die Zieladresse (URL) an. Diese sollten Verbraucher:innen stets sorgfältig auf Abweichungen zur Originaladresse prüfen.
