Auf dem Auszug des Bankkontos taucht in diesen Fällen eine reguläre PayPal-Abbuchung auf, obwohl die Betroffenen weder einen Einkauf getätigt noch verdächtige Aktivitäten in ihrem Account verzeichnet haben. Verantwortlich dafür sind rechtliche Grauzonen, missbrauchte Daten und perfide technische Täuschungen.
Auch interessant
Tücke Gastzahlung: Wenn Kriminelle nur Ihre IBAN brauchen
Eine besonders verbreitete Methode nutzt eine Schwachstelle bei Online-Zahlungen aus: den Kauf auf Lastschrift ohne Registrierung. Viele Händler ermöglichen Kunden, über PayPal auch ohne eigenes Kundenkonto als Gast per Bankeinzug zu bezahlen. Kriminelle nutzen diesen Weg gezielt aus:
- Gestohlene Bankdaten: Cyberkriminelle besorgen sich fremde IBAN-Nummern, beispielsweise aus vorangegangenen Datenlecks bei unsicheren Online-Shops.
- Fehlender Namensabgleich: Bei Gastbestellungen über PayPal wird in der Regel nicht abgeglichen, ob der Name des Bestellers mit dem tatsächlichen Inhaber des Bankkontos übereinstimmt.
- Leichter Datenzugriff: Da die eigene IBAN tagtäglich auf gewöhnlichen Rechnungen, Verträgen und Überweisungsbelegen steht, geraten diese sensiblen Ziffern leicht in unbefugte Hände.
Das Resultat ist bitter: PayPal zieht den fälligen Betrag per Lastschrift vom echten Konto des Opfers ein, während das eigene PayPal-Konto völlig unbeteiligt bleibt.
Versteckte Abos und gefälschte Bezahl-Buttons
Neben Datendieben nutzen auch dubiose Online-Händler die Zahlungsmechanismen von PayPal aus. Nutzer schließen dabei scheinbar harmlose Bestellungen ab, wie etwa ein Probepaket für zwei Euro oder ein zeitlich begrenztes Test-Abo. Im Kleingedruckten oder hinter unübersichtlich gestalteten Klick-Flächen verbirgt sich jedoch eine sogenannte Abbuchungsvereinbarung.
Mit dem ersten Klick erteilen Kunden dem Verkäufer technisch die Erlaubnis für wiederkehrende Zahlungen im Einzugsverfahren. Da dem Zahlungsdienstleister eine formell gültige Autorisierung vorliegt, bucht das System die teuren Folgemonate ganz automatisch ab – oft fällt der Schaden erst nach mehreren Monaten auf.
Live-Phishing im Fake-Shop hebelt Zwei-Faktor-Schutz aus
Im dritten Bedrohungsszenario errichten Kriminelle eigens programmierte Fake-Shops mit unschlagbar günstigen Lockangeboten. Klickt der Käufer im Kassenbereich auf den PayPal-Button, öffnet sich eine exakte Kopie der vertrauten Login-Maske.
Im Hintergrund läuft ein automatisierter Angriff: Während der Käufer seine Login-Daten eintippt, übermitteln die Betrüger diese zeitgleich auf der echten PayPal-Plattform. Gibt das Opfer anschließend den per SMS oder Authentifizierungs-App übermittelten Einmalcode auf der gefälschten Seite ein, nutzen die Täter diesen Schlüssel sofort für teure Einkäufe im echten System. Selbst moderne Zwei-Faktor-Verfahren bieten in diesem Moment keinen Schutz mehr.
So schützen Sie sich und handeln im Ernstfall
Um sich vor unbemerkten Abbuchungen zu schützen, empfehlen Sicherheitsexperten einfache, aber wirksame Vorsichtsmaßnahmen:
- Kontoauszüge kontrollieren: Werfen Sie in kurzen Abständen einen Blick auf alle Abbuchungen Ihres Bankkontos, um unberechtigte Posten sofort zu erkennen.
- Abbuchungsvereinbarungen prüfen: Rufen Sie in den PayPal-Einstellungen unter dem Menüpunkt "Zahlungen" die Option "Zahlungen im Einzugsverfahren" bzw. "automatische Zahlungen" auf und entfernen Sie alle unklaren Händler.
- Vorsicht bei Billig-Shops: Prüfen Sie bei verdächtig günstigen Angeboten immer das Impressum und nutzen Sie im Zweifel direkt die offizielle PayPal-App. Kontrollieren Sie zudem genau die Adresszeile im Webbrowser.
Sollte es dennoch zu einem Schaden kommen, müssen Betroffene rasch reagieren:
- Lastschrift zurückholen: Bei einem IBAN-Missbrauch lässt sich die Lastschrift bei der eigenen Hausbank reklamieren. Bei unberechtigten Abbuchungen beträgt die Frist üblicherweise acht Wochen, bei völlig unautorisierten Lastschriften sogar bis zu 13 Monate.
- Meldung an PayPal und Polizei: Informieren Sie PayPal unverzüglich über den Identitätsdiebstahl und erstatten Sie bei unberechtigten Forderungen Strafanzeige bei der Polizei. Mahnungen sollten Sie stets schriftlich widersprechen.
- Abo kündigen und Passwörter sperren: Stoppen Sie bei Abo-Fallen sofort die Einzugsermächtigung im PayPal-Profil. Wurden Daten auf Fake-Seiten eingegeben, ändern Sie umgehend Ihr Kennwort und kontaktieren Sie Bank sowie Bezahldienst.