Betrug mit Deutschlandtickets: Sicherheitsrisiko SEPA-Lastschrift 😲💸 | Marktcheck SWR

Es kann jeden treffen, der ein Konto hat: Abbuchungen für Deutschlandtickets im Wert von tausenden Euro. So funktioniert die Betrugsmasche.

----------- 
Dieser Film ist ein Teil des "Kompetenzcenters Verbraucher" und unter anderem am 03.09.2024 im SWR Fernsehen gelaufen. Verbraucherinhalte aus allen Rundfunkanstalten der ARD werden ab jetzt hier im Kanal gebündelt 😊.   


Übrigens: Da MARKTCHECK zum SWR gehört, könnt ihr dieses Video kostenlos im WLAN herunterladen und unterwegs offline schauen!
----------- 

LÜCKE BEI SEPA-LASTSCHRIFT
Das Vorgehen der Täter ist simpel: Sie kaufen Tickets und wählen bei der Zahlungsmethode "Lastschrift" aus. Hierbei geben sie geklaute Bankdaten an, die sie im Darknet erworben haben, und schon sind sie fast am Ziel. Denn laut der Verbraucherzentrale Stuttgart sind weder Händler noch Banken verpflichtet, zu prüfen, ob der Besteller auch der Kontoinhaber ist. Das Geld für die Bestellung wird folglich ohne vorherige Identitätsprüfung abgezogen.

DREISTE MASCHE BEI DEUTSCHLANDTICKET
Die hohe Nachfrage beim Deutschlandticket (49-Euro-Ticket) der Deutschen Bahn nutzen Kriminelle für sich aus. Sie kaufen die Tickets mit falschen oder gefälschten IBAN-Daten und verkaufen sie anschließend billiger weiter, zum Beispiel in Telegram-Foren und auf eigens eingerichteten Websites, die den Seiten der Deutschen Bahn zum Verwechseln ähnlichsehen. Die Daten stammen in der Regel Fällen aus Phishing-Kampagnen oder Datenlecks.

KONTO REGELMÄßIG KONTROLLIEREN
Bislang wurde die Sicherheitslücke bei den Lastschriftverfahren noch nicht geschlossen. Das Gute bei dieser Zahlungsmethode ist allerdings, dass man sich das Geld wieder zurückholen kann. SEPA-Lastschriften können innerhalb von acht Wochen zurückgeholt werden. Bei betrügerischen Abbuchungen beträgt die Frist sogar 13 Monate. Wer sein Konto nicht regelmäßig kontrolliert, riskiert unrechtmäßige Kontoabbuchungen zu spät oder gar nicht zu bemerken.

ZWEI-FAKTOR-AUTHENTISIERUNG
Die Stuttgarter Verbraucherzentrale sieht den Gesetzgeber und die Banken in der Pflicht, das Verfahren beispielsweise mit einer Zwei-Faktor-Authentisierung sicherer zu machen, um sicherzustellen, dass Abbuchungen nur mit Einverständnis des Kontoinhabers durchgeführt werden.

Autorin und Autor: Michaela Krause, Florian Doetsch
Bildquelle: picture alliance/dpa | Fabian Strauch, Imago

----------- 
----------- 
----------- 
 
#betrugsgeschichten #marktcheck #deutschlandticket

[IonizedSun]

Ich finde es lobenswert, dass die Verkehrsbetriebe Dresden offen darüber sprechen. 👍

[herkommlicheeigenmarke]

Um es kurz zu machen. Lastschriften kann im prinzip jeder einrichten ob berechtigt oder nicht, wird erstmal nicht geprüft.

[jadziadax]

Bei dummen Newslettern muss ich per Link bestätigen, dass ich den wirklich abonniert habe und ein Deutschland Ticket kann einfach jeder kaufen, der meine IBAN und den Namen kennt 🤯 unfassbar...

[pvdns]

Da machen es sich die Firmen aber mal wieder besonders einfach. Ich finde, dass ich einer SEPA-Lastschrift aktiv zustimmen müsste. Zum Beispiel über die Bank-App wie bei einer Überweisung.

[ReinerWahnsinn-kbcm]

Der Fehler liegt doch schon bei den Ticketanbietern. Wieso sollte eine Privatperson bei einem nicht übertragbaren Deutschlandticket dieses 30 mal kaufen und das mehrfach?

[Entweder_Oda]

Solange die Verkehrsbetriebe Geld generieren ist alles cool und nicht komisch, dass ein Kunde 30 Tickets kauft.
Wenn dann aber die Rückbuchungen kommen, dann wird man plötzlich hellhörig.
Stabile Preventionsmaßnahmen gegen Betrug🤝

[DDDD.]

Bei der Summe der Abbuchungen hätte eigentlich das Sicherheitssystem der Banken greifen müssen. Normal sind solche Abfolgen von Abbuchungen in so einer kurzen Zeit nicht! Ebenso sollte man das Ticket nicht mehr im Abo anbieten, sondern als normale Zeitkarte, die man am Automaten ziehen kann. Funktioniert doch mit den üblichen Monatskarten auch!

[johannes]

Erschreckend wie einfach es ist. Es wäre so einfach das zu verhindern. Aber nein wir bleiben bei den Methoden der 90er Jahre...

[HavanaClub]

Meanwhile in Germany: Du kannst das Deutschlandticket nur über Sepa machen, was unsicher ist. Und nicht über eine Kreditkarte, wo man zum einen eine autofizierung hat und zum anderen bei X Abbuchungen der Kartenanbieter (oder der Algorithmus) auch skeptisch wird und die Karte blockt.

[Propagandamaschineri]

Das war schon 2000 ein Thema. Und da ging das auch mit Kreditkarte, dann kam der CVC/CVV und jetzt sporadisch 2FA.

[maelbela]

Das ist schon seit 12 jahren in Frankreich Gestez für jede im eigenem land also französische firma muss der kunde per app notification oder SMS die Buchung akzeptieren sonst geht die Bezahlung nicht durch ..

[Mas-icbw]

Super und ich hab meine EC Karte letztens verloren und jetzt Panik das jemand Schabernack mit meiner IBAN macht. Ich checke es einfach nicht wieso das ganze ohne 2AF in Deutschland möglich ist. Bei Amazon braucht man nichts außer die IBAN und den Namen, beides zu wissen ist so dermaßen einfach. Da braucht es keine Sicherheitslücken…mein Chef kennt meine IBAN, mein Vermieter, die Personalabteilung.
So Dämlich das System.

[spaltmass]

der eigentliche skandal ist dass man Nur IBAN und namen braucht um sowas zu machen... gruselig.

[JH]

Deswegen auf Kleinanzeigen nie die IBAN preisgeben

[emerelle]

Ich bin sicher die betroffen hatten nichts zu verbergen. Auch nicht ihre IBAN. Datenschutz ist ein reales Thema, Daten- und Identitätsdiebstahl eine reale Gefahr.

[Benten]

In Deutschland kann man so etwas auch so einfach machen. :D

[felixro]

Ich habe mich schon seit Jahren gefragt, warum das noch nicht ausgenutzt wurde.

Auf der anderen Seite muss man natürlich auch sagen, dass es schon Sinn ergibt, dass der Leistungsempfänger und der Zahler unterschiedliche Personen sein können.

Eine Abfrage, z. B. über die TAN App, wäre schon gut. Oder alternativ sowas wie eine einmal-IBAN (wird nur mit Abos ne Herausforderung, lässt sich aber auch umsetzen). Bei Kreditkarten gibt es das alles schon.

[klicka]

Stimmt, die Bank könnte eine Push Benachrichtigung schicken, ob die Zahlung wirklich durchgeführt werden soll. Der Service der die Anfrage stellt, könnte dann per API informiert werden, das es erlaubt wurde. Aufjedenfall deutlich sicherer als jetzt. Allerdings gibt es so eine Regelung nicht. Eventuell könnte mit dem Europäischen "Paypal" ähnliches umgesetzt werden, man gibt dann nicht mehr sein Konto sondern sein Wallet an.

[xxalicex]

Euch ist schon klar, dass jeder (auch privat personen) eure IBAN name usw haben, sobald ihr damit was bezahlt? Da muss man nicht mal irgendwie "unvorsichtig" sein. Es reicht ein "netter" Mensch auf Ebay Kleinanzeigen oder ähnlichen Plattformen bei dem ihr mit IBAN zahlt. Bank unterstellt bei solchen Fällen dennoch, dass man seine IBAN ja weitergegeben hat. Wie soll man zahlen ohne das andere es sehen lol? Die größte Sicherheitslücke überhaupt. IBAN sollte nicht sichtbar sein, wenn man das nur hinterlegen braucht zum zahlen! Hatte mal so ein ähnliches Prblem mit Amazon. Deren IBAN sperren war schwierig, da die sehr viele haben. Aber was anderes ging nicht. Die Bank war so hilfreich, wie ein *piep*. Die Mitarbeiter scheinen nicht genügend geschult zu sein. Die hatten auch keine Lust gehabt die mehrere IBAN zu sperren, weil das so viel Aufwand ist. Achso jaa sorry, dass es so viel Aufwand ist, kein Problem, dann zahle ich einfach für Fremde weiter danke .-.

[michaelmueller]

Wenn ich nur schnell Kontostand prüfen will muss ich dies per TAN bestätigen. Will ich von einem anderen Konto Geld einziehen mache ich das mit ein paar Klicks 😂