Nicht autorisierte Händlerabbuchungen

PayPal stellt seinen Nutzern mit dem Instrument der Händlerabbuchung ein Pendant zum Lastschriftverfahren von Banken zur Verfügung. Im Rahmen des »World Seller«-Programms werden ausgewählte Händler von PayPal ermächtigt, E-Geld von den Accounts ihrer Kunden einzuziehen, ohne daß diese einzelne Transaktionen bestätigen müssen. Dazu erteilt ein PayPal-Nutzer dem entsprechenden Händler eine Abbuchungserlaubnis. Im Allgemeinen ist zur Autorisierung einer solchen Abrechnungsvereinbarung ein einmaliges Einloggen bei PayPal erforderlich. Ab diesem Zeitpunkt kann der Händler bis auf Widerruf Guthaben vom PayPal-Account des Kunden abbuchen.

Dieses Verfahren kommt vor allem bei regelmäßigen Zahlungen zum Einsatz (beispielsweise dem Abonnement von elektronischen Zeitschriften oder anderen Services), kann aber auch für einzelne Transaktionen verwendet werden. So könnte der Inhaber eines Online-Shops seinen Kunden die Zahlung per Händlerabbuchung anbieten, um deren Einkäufe durch eine vollständig automatisierte Zahlungsabwicklung noch komfortabler zu gestalten.

PayPal tritt in dieser Konstellation allerdings nur als Vermittler auf und prüft die Berechtigung einzelner Abbuchungen nicht nach. Es gibt keine Garantie für den Kunden, daß der Händler den tatsächlich vereinbarten Betrag einzieht oder seine Gegenleistung ordnungsgemäß erbringt. Insbesondere kann Zahlungen per Händlerabbuchung nicht im Nachhinein widersprochen werden. Somit ist es jederzeit möglich, Opfer einer unberechtigten Händlerabbuchung zu werden. Eine Käuferbeschwerde ist in diesem Fall das einzige Mittel, mit dem der Nutzer versuchen kann, sein Guthaben oder wenigstens Teile davon zurückzuholen.

Auch Betrüger machen sich das Instrument der Händlerabbuchung zunutze, in dem sie mit zuvor übernommenen PayPal-Accounts Abrechnungs- vereinbarungen bei verschiedenen Händlern schließen. Oftmals werden so virtuelle Waren wie zum Beispiel elektronische Bücher, Software oder auch Charaktere, „Gegenstände“ und „Währungen“ aus Online-Spielen (diese haben einen teils enormen Gegenwert in echtem Geld) erworben. Im Gegensatz zum Versand materieller Waren an eine real existierende Adresse können die Betrüger bei einer Zustellung der so erschlichenen Waren per E-Mail oder Download beziehungsweise durch die Übergabe von „Gegenständen“ in einem Online-Spiel vollständig anonym bleiben. Für den rechtmäßigen Besitzer des mißbrauchten PayPal-Accounts wird dieses Vorgehen zum entscheidenden Nachteil, denn für solche und andere virtuelle Artikel kann keine Käuferbeschwerde eingereicht werden.

Der gravierende Unterschied zum „gewöhnlichen“ Betrug mit gehackten PayPal-Accounts besteht darin, daß die einmalige Überprüfung einer Abrechnungsvereinbarung durch die Angabe von Nutzernamen und Paßwort nicht immer erforderlich ist. Zur Legitimation einer Zahlung bei PayPal reicht in manchen Fällen offenbar die bloße Versicherung eines Händlers aus, mit einem Kunden eine Händlerabbuchung vereinbart zu haben. Um eine nicht autorisierte Abbuchung durchführen zu lassen, genügt einem betrügerischen Käufer also unter Umständen das bloße Nennen eines beliebigen PayPal-Nutzernamens bei einem Händler. Der Nutzername eines PayPal-Accounts ist aber gleichbedeutend mit der E-Mail-Adresse, die zum Senden und Empfangen von Guthaben verwendet wird. Damit ist er jeder Person bekannt, mit der der Account-Inhaber in der Vergangenheit Transaktionen durchgeführt hat.

Auch die Darstellung des entsprechenden Händlers widerspricht der Position PayPals. Ein Angestellter erklärt auf Nachfrage, daß die PayPal-Accounts der Kunden nicht überprüft werden (können) und zum Einkauf kein PayPal-Paßwort benötigt wird:

Durch eine nicht autorisierte Händlerabbuchung verlorenes Guthaben ist fast unmöglich zurückzuerlangen. PayPal betrachtet eine Abrechnungsvereinbarung als ausschließliche Vertragsbeziehung zwischen Händler und Kunde und verweist einen geprellten Account-Besitzer mit seinen Ansprüchen deshalb an den jeweiligen Verkäufer. Dieser sitzt zumeist im Ausland; außerdem hat er seine Gegenleistung mit an Sicherheit grenzender Wahrscheinlichkeit erbracht (nur eben an die falsche Person), was er oft sogar beweisen kann.