Donald Duck, Peter Müller, die SCHUFA und eBay

Geändert am 18.07.2007

Wenn Identitätsmissbrauch Methode hat

Vorkasse bezahlt - keine Ware erhalten: mit dieser Kurzformel lassen sich die meisten Betrugsfälle bei eBay beschreiben. Wird der Käufer unruhig und fragt telefonisch nach dem Verbleib seines Schnäppchens, muss er oft hören: Sein angeblicher Vertragspartner hat die Ware gar nicht angeboten, ist gar kein Mitglied bei eBay oder hat nicht mal einen Internet-Zugang. Ein alltäglicher Fall von Identitätsdiebstahl - kaum ein Betrüger wird seine eigenen echten Daten angeben, wenn er ein eBay-Mitgliedskonto anmeldet. Da keine wirkungsvolle Überprüfung stattfindet, kann jeder mit dem Namen einer unbeteiligten und ahnungslosen Person die Anmeldung durchführen, ein Brief wird an die angegebene Adresse nicht mehr verschickt. Stattdessen wird nach Aussage von eBay-Sprechern direkt online abgeglichen, ob ein Stammdatensatz mit dem Namen, Ort und Geburtsdatum des Neuanmelders bei der SCHUFA eingetragen ist. Es wird nicht überprüft, ob diese Daten missbräuchlich verwendet werden. Der Freischaltcode wird an eine E-Mail-Adresse übermittelt, die man ebenfalls sekundenschnell ohne Überprüfung bei web.de, Yahoo, GMX oder einem anderen der so genannten Freemailer erstellen kann.

Es gibt im Internet zahlreiche Möglichkeiten, sich rasch und ohne Identitätsprüfung eine E-Mail-Adresse zuzulegen. Dagegen ist im Zeitalter von Spam und zum Schutz der Privatsphäre an sich auch nichts einzuwenden. Man sollte sich aber darüber im Klaren sein, dass der Name eines E-Mail-Absenders nichts mit dem wirklichen Namen zu tun haben muss.

Um ein Verkäuferkonto einzurichten, muss man ein Bankkonto oder eine Kreditkarte zum Einzug der eBay-Gebühren hinterlegen. Dieses Bankkonto kann wie auch die anderen Daten einem völlig ahnungslosen Dritten gehören, der erst viel später - wenn überhaupt - bemerkt, dass unautorisierte Abbuchungen stattfinden. Hierbei muss das Bankkonto nicht einmal mit dem Konto übereinstimmen, auf das die Käufer später das Geld überweisen sollen, denn dieses kann auch erst nach dem Kauf per E-Mail übermittelt werden. Lediglich, wenn ein anderes Mitglied bereits früher das gleiche Bankkonto zum Gebühreneinzug angegeben hatte, erhält dieses Mitglied eine Benachrichtigung über die erneute Verwendung - ganz unabhängig davon, ob es sich um den tatsächlichen Kontoinhaber handelt. Das kann zu der grotesken Situation führen, dass der Datendieb (und nicht das Opfer) von eBay benachrichtigt wird, dass sich nun das Opfer des Datenklaus mit einem weiteren Mitgliedskonto angemeldet habe.
Eine Steigerung ins Absurde ist darüber hinaus noch möglich: Der Datenspender selbst wird unvermutet vom Handel bei eBay ausgeschlossen, weil mit seinen Daten Schindluder getrieben wurde. Und zur Krönung wird ihm dadurch auch noch die Kontaktaufnahme zu den Käufern über das E-Mail-System bei eBay versperrt. Auch der Ruf nach Hilfe in den eBay-Foren, wenn die kostpflichtige Hotline und der mehr als nur schleppende E-Mail-Support gescheut werden, ist dem Opfer dann versperrt. Außer vielleicht durch Anmeldung eines neuen Accounts - auf fremde Daten, versteht sich.
Wenn ein geprellter Käufer feststellt, dass er keinen verantwortlichen Vertragspartner hat, bei dem er die Lieferung der Ware einfordern kann, bleibt ihm als Anhaltspunkt nur das Bankkonto, auf das er überwiesen hat. Um an die Daten des Bankkontoinhabers zu gelangen, der nun sein Geld hat, muss der Käufer eine Anzeige erstatten. Der Gang zur Polizei ist auch dem unfreiwilligen Identitätsspender dringend zu empfehlen, denn weitere Unannehmlichkeiten drohen nicht nur von erzürnten Käufern, die telefonisch oder schriftlich nachdrücklich ihre Ware fordern, dabei eine Betrugsanzeige ankündigen oder gar einen »Hausbesuch zur Abholung« androhen; auch eBay wird mit Nachdruck versuchen, die Gebühren für die Online-Auktionen einzutreiben. Zur Abwehr der Forderungen kann es hilfreich sein, die Vorgangsnummer der eigenen Anzeige wegen Identitätsdiebstahls vorzuweisen.

Makaber: Wenn Tote handeln

Auch Todesanzeigen werden gelegentlich für diese Zwecke missbraucht, was besonders belastend für die trauernden Angehörigen ist. So flatterten kurz nach dem Tod von Wilhelm P. schriftliche Forderungen zur Lieferung von angeblich angebotenen Sammlerstücken ins Haus, Strafanträge wegen Betrugs wurden gestellt. Konsterniert bat die Witwe einen Verwandten um Hilfe, der eBay zur Sperrung des mit den Daten des Verstorbenen angelegten Mitgliedskontos aufforderte.
»Demgegenüber habe ich […] vom Telefonsupport der Firma Ebay die Auskunft bekommen, dass der Betrüger noch nicht einmal gesperrt sei und dies nur erfolgen könne wenn eine Kopie der Sterbeurkunde dort vorliegt.«

Kein angemeldetes Mitglied: Was reguläre Inhaber eines Mitgliedskontos gerne vermeiden möchten, für die Opfer eines Identitätsdiebstahls ist es oft ein steiniger Weg dorthin.
Besonders makaber: Dieses Mitglied wurde einen Tag nach Erscheinen der Todesanzeige "angemeldet".

Inzwischen versuchte er, selbst die Käufer aufzuklären: »Ich möchte hiermit die restlichen Käufer darum bitten, sich mit mir in Verbindung zu setzen und nicht gleich zu einem Anwalt zu rennen oder meinen verstorbenen Schwiegervater anzuzeigen. Meine Schwiegermutter hat schon genug damit zu tun, über den Verlust des Ehemannes hinwegzukommen. […] Nochmals: Mein Schwiegervater hat mit dieser Sache nichts zu tun!! Er hatte nie einen PC, er war nie in einem Internet-Cafe und er kannte sich mit PC überhaupt nicht aus.«
Kurz darauf stellte sich heraus, dass der mutmaßliche Betrüger noch mindestens ein weiteres Mitgliedskonto mit den Daten der ebenfalls kürzlich verstorbenen Hilde B. eröffnet hatte. Auch deren Todesanzeige war zuvor in der örtlichen Tageszeitung erschienen. Immer mehr Regionalzeitungen stellen einen Teil ihrer Ausgaben online abrufbar bereit - einschließlich Berichten über Jubilare und Ehrenbürger. Liebevoll erstellte Vereinseiten von Kleintierzüchtern enthalten mitunter komplette Mitgliederlisten mit Geburtsdatum und sogar die Kontonummer des Kassenwarts.
Täglich aktualisiert wird die Transferliste der Bundesliga, natürlich mit Geburtsdatum der Spieler:

  Wie hier existieren im Internet zahlreiche Listen mit Namen und zugehörigen Geburtsdaten. Einem Missbrauch sind durch das derzeitige Anmeldeverfahren bei eBay so gut wie keine Schranken gesetzt.

Das Internet wird immer mehr zum Karrieresprungbrett, viele Bewerber stellen sich ausführlich mit Bild und Lebenslauf vor, ob als Wahlkandidaten oder Aspirant für eine neue berufliche Wirkungsstätte. In einigen Berufsgruppen ist die Nennung des Geburtsdatums dabei unerlässlich, zum Beispiel bei Schauspielern oder Sportlern. Die Jockeys der Trabrennbahn Hoppegarten wurden so reihenweise unfreiwillig zu eBay-Mitgliedern, ihre Daten und die junger Schauspielerinnen wurden zur Anmeldung von mehr als 400 Mitgliedskonten missbraucht. Die Anmelder, zwei arbeitslose Schauspieler, boten mit täglich mehrfach neu eröffneten Verkäuferkonten Videofilme an, die sie unberechtigt vervielfältigt hatten. Eine Bande Berliner Jugendlicher bringt es gar auf mehr als 4000 Anmeldungen in zwei Jahren, sie eröffnen die Mitgliederkonten auf nächtlichen Streifzügen durch die Internet-Cafés der Hauptstadt.
Für solche geübten „Faker“ [engl. Fälscher] dauert die Anmeldung eines Verkäuferkontos bei eBay nur wenige Minuten, die Auktionsbeschreibungen werden kurzerhand von anderen Anbietern kopiert; zwischen Flirts in Single-Chats verschickt man Zahlungsaufforderungen an Käufer, die dann vergeblich auf die Ware warten.

Spaßbieter - Alles nur Jux?

Aber nicht nur zum betrügerischen Anbieten von Waren, auch zur Gebotsabgabe ohne Kaufabsicht werden gestohlene Identitäten benutzt. Die Bezeichnung „Spaßbieter“ beschreibt diese Zeitgenossen aber nur unzureichend. Denn nicht wenige dieser digital Vermummten bieten nicht aus Jux, sondern setzen dieses unlautere Mittel ganz gezielt im Kampf gegen Konkurrenten ein.
»Ich habe eine Eisenbahn bei eBay gewonnen, das hat mir jemand am Telefon gesagt.« berichtete ein Senior beim Abendbrot. Da der gesetzte Herr nicht mal wusste, wie man einen Computer anschaltet, konnte er auch nicht den bei eBay üblichen Sprachgebrauch kennen: »Herzlichen Glückwunsch! Sie haben die Auktion gewonnen!« Dass er für die „gewonnene“ Eisenbahn 199,99 Euro bezahlen sollte, versuchte der Verkäufer ihm am Telefon zu erklären, musste aber schnell einsehen, dass er „an der falschen Adresse“ war. Als der vermeintliche Käufer dann erfuhr, dass er am gleichen Tag insgesamt 24 Eisenbahnen bei verschiedenen Verkäufern ersteigert haben sollte, riet ihm die Familie zur Anzeige bei der Polizei wegen Identitätsmissbrauch.

Diese Bieterliste eines Angebots für eine Spielzeugeisenbahn zeigt einen „Spaßbieter“ als Gewinner der Auktion. Da er auch bei anderen Anbietern erfolgreiche Gebote ohne Kaufabsicht abgegeben hatte, und von diesen dafür später negative Bewertungen erhielt, wurde das Mitgliedskonto schließlich geschlossen.

Mit Tausenden solcher „Spaßbieter“-Gebote wurde seinerzeit eine Warenkategorie bei eBay attackiert, um die Preise für gewerbliche Einkäufer zu manipulieren.
Üblicherweise wurden dazu im Ausland angemeldete Mitgliedskonten benutzt, denn in einigen Ländern können reine Phantasiedaten angegeben werden: »Donald Duck, Erpelweg 13« etwa soll Gerüchten zufolge noch mehr Mitgliedskonten bei eBay besitzen als »Winnetou, wohnhaft im Wigwam 5«.
Nigerianische Betrüger bevorzugen seriös klingende Adressen wie Mrs. Gloria Collins oder gar Reverend Daniel Thomas aus London, um Verkäufer durch Vortäuschung einer bereits erfolgten Zahlung zum Versand der Ware zu veranlassen. Zur Demonstration der Verbreitung dieser Betrugsversuche auf der eBay-Plattform wurden mehr als 5.000 solcher Mitgliederprofile exemplarisch gesammelt - innerhalb nur eines einzigen Monats.
Hierbei müssen die hinterlegten Kontaktdaten keineswegs einen Sinn ergeben. Es ist auch möglich, Kontaktdaten wie diese zu hinterlegen: »Verkäufer: hsfhsfhsdhhshhsd, Adresse: rrrffsf fsqfqssqq, 21000 Dijon«.
Wie konnte das „Mitglied hsfhsfhsdhhshhsd“ mit dieser „Adresse“ dann aber 10 positive Bewertungen erlangen? Dazu reichte eine funktionierende E-Mail-Adresse, denn alle Artikel wurden nur per E-Mail ausgeliefert - es handelte sich durchweg um E-Books. Der Anmelder des Mitgliedskontos hielt sich aber ganz sicher nicht in Frankreich auf, denn die Bezahlung für die Verkäufe von Technik-Artikeln sollte nach China erfolgen. Von China aus werden Mitgliedskonten in vielen verschiedenen eBay-Ländern eröffnet; teilweise in menschlicher Fleißarbeit, teilweise automatisiert. „Chinesische“ Schweden heißen Henrik Johansson, Franzosen Maurice Gautrand. Jeweils zum Land passende Datensätze werden durch Software generiert und sind kopierbar, selbst wenn weder Schrift noch jeweilige Landessprache gelesen oder verstanden werden kann.
Das sollte bei einer Anmeldung bei eBay Deutschland wegen des SCHUFA-Abgleichs eigentlich nicht möglich sein, doch offenbar gelingt es chinesischen Anmeldern, eine Lücke auszunutzen: Bekannt wurden zum Beispiel 40 Mitgliederkonten, die alle in Deutschland an einem einzigen Tag angemeldet wurden, und die dabei für chinesische Massenanmelder so typische Namen trugen wie crwq1v4f, dqjj286o, fpf4cobl, fw48ql3z, gyv4oy4p, hmbto6zz, xmtdhnv0, hyzulfql, i1soh0u9.
Der Geschäftsführer von eBay Deutschland wurde im »Online-Chat mit Stefan Groß-Selbeck« mehrfach von Mitgliedern mit dem Problem konfrontiert:
»die Stimmung der Käufer wäre auch bedeutend besser- wenn sie Ware bekommen würden […]
Account der China-Betrugs-Mafia - auf geklaute deutsche und öst.(aber auch ital. und französische Daten ) angemeldet […]
10-12 Bewertungen gekauft und Luft eingestellt
«
Es folgte eine lange Auflistung von Beispielen für in Deutschland angemeldete Mitgliedskonten mit chinesischen Betrugsangeboten, darunter Reihen von Mitgliedsnamen wie ulrich3223, ulrich3272, ulrich3431, ulrich3658. Sollten diese nicht automatisch erstellt worden sein, so wurden sie zumindest automatisch bewertet: Alle Bewertungen für den gleichen Artikel erfolgten innerhalb von zwei Minuten.

SCHUFA-Abfrage schafft neue Probleme

Es ist fraglich, ob es tatsächlich von Vorteil wäre, wenn der SCHUFA-Abgleich einwandfrei funktionieren würde. Denn in diesem Fall gibt es bei jedem Betrugsversuch mit geklauter Identität zusätzlich zu den Käufern weitere Opfer: Die unfreiwilligen Identitätsspender.
Manche geben ihre Daten selbst an Online-Betrüger weiter, indem sie sich auf Job-Angebote bewerben. In Kleinanzeigen-Portalen wie dhd24 werden so genannte Verkaufsagenten geworben, die für ihre Auftraggeber Ware anbieten. Ist diese Ware dann bezahlt und das Geld auf das häufig (etwa „aus Steuergründen“) im Ausland befindliche Konto überwiesen, soll sie angeblich vom Versandlager des Auftraggebers versendet werden. Nur stellt sich oft genug heraus, dass weder das Versandlager noch der angebliche Arbeitgeber existieren. Die angeworbenen und unwissentlich zum Mittäter gewordenen Verkaufsagenten haben zu allem Überfluss ihrem vermeintlichen neuen Arbeitgeber auch noch alle Daten und ihre Kontoverbindung bekannt gegeben; damit können kurz darauf ohne ihr Wissen weitere Mitgliedskonten bei eBay angemeldet werden - von einem Unbekannten, der erneut in ihrem Namen Käufer betrügt. Noch ausgefeilter ist die Methode mancher Anwerber, die sich sogar eine Ausweiskopie schicken lassen. Auf diese Weise kann der kriminelle Anmelder einer eventuellen Überprüfung durch eBay unbesorgt entgegensehen, da er somit keine Probleme hat, die geforderte Ausweiskopie per Fax an eBay zu schicken.

Das dicke Ende: Gar nicht alles gut

Die Opfer von Identitätsdiebstahl können leider nur sehr eingeschränkt mit der Unterstützung von eBay bei der Bewältigung der entstehenden Probleme rechnen. Sie selbst bekommen nämlich keine Auskünfte über die Umstände, unter denen in ihrem Namen betrogen wurde. eBay beruft sich dabei paradoxerweise auf den Datenschutz:
Bitte haben Sie dafuer Verstaendnis, dass wir Daten unserer Mitglieder aus Gruenden des Datenschutzes leider nur im Rahmen der ueber die Plattform von eBay abgewickelten Auktionen weitergeben koennen, da wir ansonsten gegen geltendes Recht verstossen wuerden.

Der Betroffene selbst wird hingegen aufgefordert, eine beglaubigte Kopie seines Ausweises vorzulegen, um die mit seinen Daten angelegten Mitgliedskonten sperren zu lassen. Mit Erleichterung liest er dann zwar die Mitteilung
Ich habe alle gefundenen Konten die Ihre Adressdaten enthielten geprueft und gesperrt. Es ist demnach nicht mehr moeglich in irgendeiner Weise unser System zu nutzen.

Damit ist aber keineswegs ausgeschlossen, dass kurze Zeit später erneut Mitgliedskonten auf den gleichen Datensatz angemeldet werden, wie ein Betroffener in seinem »Erfahrungsbericht zur (Un-) Sicherheit von Ebay« schildert:
»Ich nehme weder als Anbieter noch als Käufer an Online- Auktionen teil. Und: Ich habe noch nie Waren oder Dienstleistungen über Ebay ge- oder verkauft. Dennoch wurde ich als unbeteiligter Aussenstehender in einen Strudel von Betrügereien im Ebay- System hineingezogen.«
Er beklagt sich unter Anderem über eine besondere Bescherung am Heiligabend:
»Ich habe viel zu viel Zeit und Geld in diese Angelegenheit investieren müssen. Und Ebay hat sich erdreistet, mir […] am 24.12. (!) dann auch noch eine Inkassoforderung i.H.v. EUR 373,35 für »Einstellgebühren und gegebenenfalls Verkaufsprovision« zustellen zu lassen. Ich wage zu bezweifeln, dass es möglich ist, die bodenlose Unverschämtheit von Ebay noch zu überbieten.«
Angesichts der rigorosen Inkassoforderungen erwägen Betroffene, einen Anwalt einzuschalten, denn ihre eigenen vorherigen Klärungsversuche per E-Mail, Telefon, Fax und Einschreiben blieben offensichtlich erfolglos. Zusätzlich zum bisherigen Aufwand drohen weitere Kosten, deren Erstattung fraglich ist, wie ein Opfer von Identitätsmissbrauch beschreibt:
»Der weniger erfreuliche Teil. Ich bekomme die Kosten von eBay für meinen Anwalt, um aus dem Inkasso-Verfahren raus zu kommen, von eBay nicht ersetzt. Dafür zwei Briefe, mit Vorwürfen, völlig überzogen reagiert zu haben. Das Einschalten eines Anwalts sei überflüssig, die Kosten werden deshalb nicht erstattet.
Was so natürlich nicht ganz stimmt, aus dem Inkasso-Verfahren kommt man leider nur mit Anwalt wieder zügig raus (ich hab nen Arbeitgeber, der braucht keine Mitarbeiter, die sich mit Inkasso-Unternehmen rumschlagen).
«
Das schreckt Betroffene von dem Versuch ab, ihre Rechte konsequent durchzusetzen. Erst der Weg über mehrere Instanzen führte zum viel zitierten Urteilsspruch des Brandenburgischen OLG vom 16.11.2005 (Az. 4 U 5/05) mit dem Verbot »unter Namen und Anschrift des Klägers andere Teilnehmer als ihn selbst zum Handel auf eBay zuzulassen«, bedroht mit der Zahlung eines Ordnungsgelds in Höhe von 250.000 Euro.
Die Vorgeschichte des Falles zog sich über mehr als zwei Jahre hin. Auch in anderen Veröffentlichungen wird von langwierigen Problemen mit dem Identitätsklau berichtet: »die Folgen spüre ich noch heute, drei Jahre später.«
Als „Erfolg“ wird bereits gewertet, wenn die Anmeldung eines Mitgliedskontos auf die eigenen Daten nur noch per Brief freigegeben werden kann:
»Da hat doch schon wieder jemand meine Daten benutzt, um bei eBay einen Account zu registrieren. Inzwischen habe ich von solchen Briefchen schon eine kleine Sammlung zusammen. Wenigstens wird jetzt - so wie es scheint - generell eine Anmeldung nur mit postalischer Abfrage angenommen. Damit würden die Accounts nicht mehr vollständig registriert werden können. Ein Schritt in die richtige Richtung.
Mit Identitätsklau bei eBay habe ich nun schon seit zwei Jahren meine Probleme.
«
Wie bei dem ergangenen Urteil sind diese Sicherungsmaßnahmen aber nur immer auf eine bestimmte Identität bezogen und werden nicht allgemein durchgeführt. Und so können die Täter sich aus dem reichhaltigen Angebot von Datensätzen im Internet einfach einen anderen auswählen. Einer der Schreiber vermutet:
»Die Ermittelungen sind wohl zu Ende... Der Schuldige sitzt wahrscheinlich in einem Internetcafe, betrügt den nächsten und ist glücklich mit seinem Leben.«
Nur wer bei eBay (kostenpflichtig) als „geprüftes Mitglied“ registriert ist, kann selbst die Kontrolle darüber behalten, ob ein neues Mitgliedskonto auf die eigenen Daten angelegt wird und die Freischaltung ausschließlich mit einem per Brief zugestellten Code verlangen.
Aber nicht jeder möchte seinen Datensatz eBay anvertrauen, wie ein weiteres Opfer von Identitätsmissbrauch schreibt:
»… doch Ebay möchte jetzt eine Kopie von meinem Personalausweis was ich nicht einsehe da meine ganzen Daten wieder an Ebay gehen würden was ich nicht möchte weil ich nie was mit Ebay zu tun hatte und auch nicht will!«
Ein berechtigter Wunsch, auf den leider keine Rücksicht genommen wird - weder von Betrügern noch vom eBay-Anmeldeverfahren.

ZUM SEITENANFANG