Betrüger überwinden Sicherheitsmaßnahmen
bei eBay: „Sieben auf einen Streich“

In den letzten zwei Wochen recherchierte »falle-internet.de« zu einer Gruppe von Kriminellen, die für ihre Betrugsversuche in dieser kurzen Zeitspanne ca. 1.000 übernommene eBay-Mitgliedskonten nutzte. Daraus wurden zu teuren Artikeln je 3 bis 7 betrügerische Angebote an unterlegene Bieter unterbreitet, über »Fragen an den Verkäufer« jeweils bis zu 25 Phishing-Mails verschickt. Innerhalb kurzer Zeit potenziert sich so die Zahl der möglichen Opfer.

Der Bieter hat den Eindruck, das Angebot käme vom ursprünglichen Verkäufer; es erscheint im Posteingang in »Mein eBay« und hat damit die Echtheitsmerkmale, die auf den eBay-Hilfeseiten erklärt werden. Wer seine Mails über »web.de« oder »gmx« abruft, sieht neben dem betrügerischen Angebot das Sicherheitssiegel von eBay als Bestätigung der vermeintlichen Echtheit.

Wenn der Interessent auf das Angebot eingeht, erhält er eine Zahlungsaufforderung mit dem falschen Versprechen, eBay würde bei der Transaktion eine Treuhandfunktion übernehmen: »Findet nach erfolgter Bezahlung keine Warenauslieferung seitens des Verkäufers statt, garantiert die eBay Gesellschaft für eine entsprechende Rückvergütung des Kaufpreises«.

Über gekaperte Mitgliedskonten werden viele weitere Phishingmails über die Funktion »Frage an den Verkäufer« verschickt, andere Verkäufer reagieren wieder auf die alarmierende Nachricht, im Kreislauf vervielfacht sich die Zahl der Opfer.

Die in diesen Fällen vollkommen wirkungslosen Sicherheitsmaßnahmen wurden größtenteils im Jahr 2008 eingeführt, um zwei verbreitete Betrugsformen auf dem Online-Marktplatz zu bekämpfen: den Verkauf aus übernommenen Mitgliedskonten und das Verschicken von gefälschten »Angeboten an unterlegene Bieter«.

Betrügerische Angebote über gekaperte Mitgliedskonten sollten durch die Vergabe von »Flash-Cookies« erschwert werden. Diese »Neue Maßnahme zur Erhöhung der Sicherheit auf dem eBay-Marktplatz« wird im April 2008 von eBay erklärt: »Welche Technologie wird angewendet?
Zur Identitätsbestätigung verwenden wir sogenannte „Flash-Cookies“. Cookies sind kleine Informationseinheiten, die lokal auf Ihrem Computer gespeichert werden. Die Flash-Cookies, die wir für die Identitätsbestätigung verwenden, verbleiben auf Ihrem Computer, sodass unser System Sie bei Ihrem nächsten Besuch wiedererkennt«.

Bei all diesen Verfahren muss nicht das Verkaufsformular verwendet werden, denn es werden bereits erstellte Angebote benutzt. Dazu kommt, dass ein Verkäufer auch die Liste mit allen Bieternamen ohne Anonymisierung sehen und allen unterlegenen Bietern ein Angebot unterbreiten kann. Für ein »Angebot an einen unterlegenen Bieter« (englisch: »Second Chance Offer«) wird von eBay automatisch ein Sofortkauf-Angebot zum jeweiligen Gebotspreis erstellt. Ein Betrüger, der sowieso nicht die Absicht hat, die Ware zu liefern, kann diese also mit wenigen Klicks sogar mehrfach anbieten – und das tut er auch:

Hierbei spielen zwei weitere Sicherheitsmaßnahmen von eBay den Betrügern direkt in die Hände: Zum Schutz vor unerwünschten »Spam-E-Mails« werden die Mailadressen von Verkäufern ihren Kunden seit Ende 2007 nicht mehr mitgeteilt. Potentielle Betrugsopfer haben also keine Möglichkeit zu erkennen, dass sie nicht mit dem Verkäufer mailen, sondern mit einem Betrüger. So werden noch Käufer per Mail zur Bezahlung betrügerischer Angebote überredet, wenn das gekaperte eBay-Mitgliedskonto längst wieder im Besitz des rechtmäßigen Inhabers ist.

Außerdem werden auch die Höchstbieter seit November 2008 nicht mehr angezeigt. Ein Empfänger eines »Angebotes an unterlegene Bieter« kann somit nicht den eigentlichen Käufer kontaktieren um nachzufragen, ob dieser auch wirklich vom Kauf des Artikels zurückgetreten ist.

Viele seriöse Verkäufer erstellen auch keine Zweitbieter-Angebote, weil sie aus einem anderen Grund um ihren guten Ruf fürchten: »Das sieht immer nach Pushen aus«, erklärte ein eBay-Mitglied in einer kürzlichen Forendiskussion.
So genannte „Pusher“, die mit Eigengeboten den Preis hochtreiben, loten das Gebot eines Bieters aus. Viele Käufer haben schon erlebt, dass sie knapp überboten wurden und ihnen kurz nach dem Ende des Angebots mitgeteilt wird, der Höchstbieter wolle die Transaktion nicht abschließen, deshalb sei der Artikel nun zu ihrem persönlichen Höchstpreis zu verkaufen.

Während man früher leicht erkennen konnte, ob ein Mitglied auf Artikel eines Verkäufers auffällige Gebote abgibt, ist das seit April 2008 nicht mehr möglich. Alle Benutzernamen bei eBay-Angeboten werden anonymisiert und bis auf zwei werden alle Buchstaben als Sternchen dargestellt, zum Beispiel a***y und r***4.
Durch diese Maßnahme hat eBay bei den normalen Nutzern viel an Transparenz und Vertrauen eingebüßt.

Für Unmut sorgte auch die rigorose Einschränkung der Funktion »Mit eBay-Mitglied Kontakt aufnehmen«. Viele Mitglieder reagierten mit Empörung darauf, dass - wenn überhaupt - nur noch eingeschränkter Kontakt zu anderen eBay-Nutzern möglich ist. Für die Phishing-Spammer ist diese Beschränkung indes keine Hürde: die von ihnen benutzte »Frage an den Verkäufer« ist davon ausgenommen.

Auch eine weitere neue Sicherheitsmaßnahme wird von den Betrügern umgangen: die anonymisierte E-Mail-Weiterleitung. »Seit Anfang Oktober 2008 anonymisieren wir zum Schutz unserer Mitglieder vor unerwünschten (Spam) oder betrügerischen E-Mails standardmäßig die E-Mail-Adressen von Mitgliedern [...]. Sobald ein Artikel verkauft wurde, zeigen wir Verkäufern auch weiterhin alle Kontaktdaten des Käufers an, inklusive der „richtigen“ E-Mail-Adresse«.
Aus einem übernommenen Verkäuferkonto können die Daten der letzten Käufer abgerufen werden.

»Hilfe, mein Käufer hat nach drei Wochen doch noch bezahlt. Ich habe die Ware aber mittlerweile an den Zweitbieter verkauft. Was soll ich tun?« Eine solche Frage wird im Schnitt zwei Mal pro Woche von einem ratsuchenden Verkäufer im eBay-Forum »Bezahlung« gestellt.

Bei der von »falle-internet.de« untersuchten Gruppe handelte es sich um eine einzige von vielen, sie agiert vorwiegend in Deutschland. Die über 1.000 Opfer innerhalb von zwei Wochen wurden auf nur 18 bekannten Phishing-Seiten um ihren eBay-Account gebracht. Gleichzeitig geht eine unbekannte Zahl Krimineller nach dem selben Muster vor. Obwohl die Zahl der eBay-Phishing-Seiten nach der Einführung der »Flash-Cookies« zunächst merklich zurückgegangen war, ist in jüngster Zeit ein sprunghafter Anstieg zu verzeichnen. Allein von Anti-Phishing-Aktivisten der Seite »PhishTank« wurden im entsprechenden Zeitraum über 500 eBay-Phishing-Seiten entdeckt und gemeldet. Zuzüglich Dunkelziffer ist also zur Zeit von hunderttausenden Betrugsversuchen bei eBay im Gesamtwert von mehreren Millionen Euro alle zwei Wochen auszugehen.