Kreditkartenbetrug aber keine Hilfe

[smoritz]

Liebe Community,

ich bin Anfang des Monats per SMS darauf aufmerksam gemacht worden, dass von meinem Kreditkartenkonto Zahlungen getätigt wurden, die nicht von mir stammten. Ich habe mich umgehend an die Hotline gewendet und die Karte sperren lassen. Der nette Herr am Telefon empfahl mir die Zahlungen der comdirect als betrügerisch zu melden, sobald/falls sie auf mein Konto gebucht sind, damit mir hier kein finanzieller Schaden entsteht. 

Als 4 Tage später die Zahlungen gebucht wurden - insgesamt 12 Stück im Wert von über 2000 Euro - habe ich mich also, wieder sofort, an die comdirect gewendet, und diese Buchungen als betrügerisch gemeldet. Der Kundenservice antwortete recht rasch innerhalb weniger Tage und erklärte mir, dass "eine Erstattung der reklamierten Beträge nicht möglich" sei, da die Zahlungen über "Google Pay unter Verwendung eines mobilen Endgerätes getätigt wurden" und die "Freischaltung von Google Pay durch Sie erfolgt bzw. ermöglicht worden ist". 

Nun nutze ich kein Google Pay, besitze nicht einmal ein Google-Pay-fähiges Endgerät. Ich kann mich auch nicht erinnern eine Nachricht, TAN Freigabe oder sonst irgendwas in Richtung Phishing erhalten oder gar freigegeben zu haben. Nun kann ich natürlich nicht kategorisch ausschließen, dass ich hier ich hier irgendwo mal einen Fehler gemacht habe, aber die Ausführungen des Kundenservices sind mir zu wenig, und zumindest meinen Fehler hätte ich schon gern gewusst, damit ich in Zukunft besser aufpassen kann.

Eine kurze Recherche ergibt, dass die Bank hier laut Gerichtsurteil vom 16.02.2009 (Az.: 242 C 28708/08) in der Pflicht steht mir die Fahrlässigkeit nachzuweisen. Also wende ich mich erneut an den Kundenservice mit der Bitte um einen Nachweis aus dem meine Fahrlässigkeit hervorgeht. 

Das war vor mehr als einer Woche und ich habe noch keine Antwort erhalten. 

Nun meine Frage an euch? Habt ihr schon etwas ähnliches erlebt. Konntet ihr herausfinden wie der Betrug funktioniert? Habt ihr euer Geld zurück bekommen?

Vielen Dank und liebe Grüße

[Antonia]

Hallo @smoritz 

Sei trotz deinem traurigen Anmeldegrund oder besser, gerade wegen dessen, herzlich in der Community willkommen!

Leider kann ich dir gar nicht behilflich sein und, ein Glück, habe ich auch keinerlei Erfahrung damit.

Mein erster Gedanke war, hast du Anzeige erstattet?

Das würde ich umgehend machen.

Vielleicht kann auch das @SMT_Service am Montag ein paar hilfreiche Infos oder Empfehlungen schreiben?

Alles Gute!!!

[CurtisNewton]

Auffällig ist dass dies jetzt schon der zweite Fall ist wo mittels  Google Play Zahlungen autorisiert wurden ohne dass laut Aussage des Opfers überhaupt jemals Google Pay aktiv war, kurz vor Weihnachten hatte sich schon ein User hier im Forum gemeldet. Scheint auf jeden Fall ein neues Schema zu sein. 

@ehemaliger Nutzer 

Ich halte deine Theorie für durchaus plausibel. Wie wir ja aus dem Thread mit der gescheiterten Namensänderung nach Hochzeit und den abgelehnten Kreditkartenzahlungen gelernt haben sollten Belastungen bei denen der Name nicht zur Karte passt automatisch abgelehnt werden (vielleicht ist das bei GPay ja aber auch anders). Insofern halte ich einen Hinweis per SMS zumindest für fragwürdig.

Vielleicht mag @smoritz ja tatsächlich nochmal prüfen ob er ausschließen kann hier eine "falsche" Hotline angerufen zu haben, auch um andere User vor ähnlichen Problemen zu schützen.

[kammann]

---

@smoritz  schrieb:

Eine kurze Recherche ergibt, dass die Bank hier laut Gerichtsurteil vom 16.02.2009 (Az.: 242 C 28708/08) in der Pflicht steht mir die Fahrlässigkeit nachzuweisen. Also wende ich mich erneut an den Kundenservice mit der Bitte um einen Nachweis aus dem meine Fahrlässigkeit hervorgeht. 

---

Das Problem mit den Urteilen rund um die Fahrlässigkeit ist, dass Banken diese immer dann unterstellen, wenn ein Authentisierungsmerkmal  an Dritte weitergegeben wird. Google Pay kann auf zwei Arten eingerichtet werden: Einmal über die comdirect App - dieses Verfahren ist sehr sicher (und wird übrigens von Google auch für Banken empfohlen). Die zweite Möglichkeit besteht darin, die Karte unter Eingabe der Kartennummer in Google Pay selbst zu hinterlegen. Hierfür wird neben der Kartennummer nur eine SMS benötigt. Dieses Verfahren ist angreifbar - Wenn Du Dich an keine Weitergabe einer SMS erinnern kannst, solltest Du schnellstmöglichst prüfen, (a) welche Rufnummer für SMS-Benachrichtigungen in Deinem comdirect Onlinebanking hinterlegt ist und (b) welche Apps auf Deinem Smartphone Zugriff auf das Lesen von SMS haben (unter Android: Suche in den Einstellungen nach "Berechtigungsnutzung").

Ich kann Dir hier keine Rechtsberatung geben, aber Du hast zwei Hebel in der Hand:

1) Die Bank muss Dir den Vertragsschluss zur Nutzung von Google Pay nachweisen - lt. allgemeiner AGBs gibt es hierfür besondere Nutzungsbedigungen, denen Du bei der Einrichtung von Google Pay (angeblich) zugestimmt hast. Die Bank muss Dir auf Anfrage sowohl den Wortlaut dieser Nutzungsbedingungen zukommen lassen als auch einen Nachweis Deiner Zustimmung. Frage also (schriftlich!) nach dem Zeitpunkt der Zustimmungen, der aufgezeichneten IP-Adresse sowie der Rufnummer für die (vermutlich) versandte SMS.

2) Gemäß Punkt 12.1 der  allgemeinen Bedingungen der comdirect VISA Debitkarte (siehe AGBs) muss eine Erstattung einer nicht autorisierten Kartenverfügungen am Ende des auf die Meldung folgenden Werktags wieder gutgeschrieben werden. Dies ist offensichtlich nicht geschehen - an Deiner Stelle würde ich diesen Punkt nochmals schriftlich explizit anmahnen.

Sollte auf 1) und 2) keine befriedende Reaktion erfolgen, gäbe es als nächste Möglichkeit (um schnell wieder an das Geld zu kommen) die Beantragung einer Einstweiligen Verfügung (EV) beim örtlichen Amtsgericht  - das geht auch ohne Anwalt, besser ist es aber, einen Anwalt einzuschalten. Der EV sollte eine eidesstattliche Versicherung beigefügt werden, dass die Buchungen nicht autorisiert wurden (bzw. hier Google Pay erst gar nicht eingerichtet wurde).

Viel Erfolg!

[__dpk]

Bei Aktivierung von Apple Pay erhält man ein Dokument in der Postbox, wird bei Google Pay wahrscheinlich auch so sein.

Man sollte die Email-Benachrichtigungen für die Postbox aktivieren und bei einer Nachricht immer zeitnah reinschauen.

So hat man zumindest eine Chance zu reagieren.

[smoritz]

Danke Kammann für die kompetente Unterstützung. Wirklich sehr gut.

Ich habe das so weiter gegeben.  

Btw: Hat jemand eine Empfehlung für eine Bank mit vernünftigem Kundenservice? Ich werde wechseln, wenn das nicht schnell ein gutes Ende nimmt.

[MusikSommer]

Hallo smoritz, welches Ende hat es genommen?

Meiner Tochter (16) ist am 1. Mai das gleiche passiert: Sie hatte niemals einen Kontostand, der höher als 250 € war. Als sie aber von Klassenkameraden Zahlungen für einen geplanten Ausflug nach Holland erhielt, war ihr Kontostand über 700 €. Augenblicklich wurden ihr 615 € von unbekannter Hand abgebucht.

Meine Tochter ließ die Karten sperren und ich reklamierte diesen "Umsatz" online. Daraufhin antwortete die comdirect per mail:

Sehr geehrter Herr ..., wir kommen erneut aufgrund der Visa-Umsatzreklamation für das Konto von ... auf Sie zu. Unsere Prüfung hat ergeben, dass die Transaktion vom 01.05.2024 mit einem für das mobile Bezahlen registrierten Smartphone erfolgt ist. Dieses Zahlungssystem funktioniert wie eine kontaktlose, virtuelle Visa-Debitkarte. Die Freischaltung eines Smartphones für Google Pay kann nur über einen legitimierten Anruf bei uns, in unserer App oder mit einem Code, der an die für den SMS-Info-Service hinterlegte Rufnummer verschickt wird, erfolgen. Vermutlich wurde die Einrichtung kurz nach dem Kauf bei Spreadshirts am 01.05.2024 um 18.21 Uhr getätigt. Hier sollte der Eingang von SMS auf dem IPhone von Clara am 01.05.2024 überprüft werden. Über die erfolgreiche Hinzufügung der Visa-Karte zu Google Pay haben wir mit unserer PostBox-Einstellung vom 01.05.2024 informiert. Umsätze, die dann über Google Pay getätigt werden, können nicht als Transaktionen reklamiert werden, die durch die Karteninhaberin weder genehmigt noch getätigt wurden, da die Freischaltung von Google Pay durch Sie erfolgt, bzw. ermöglicht worden ist. Wir bitten um Verständnis, dass vor diesem Hintergrund keine Rückerstattung möglich ist.

Da diese Schilderung nicht mit den Realitäten in Einklang zu bringen ist, antwortete ich (wieder per mail):

Sehr geehrte Frau ..., Ihre Mitteilung, dass Ihr Institut nicht bereit ist, meiner Tochter den unverschuldeten Schaden zu ersetzen, stößt bei uns auf großes Unverständnis. Dafür, dass meiner Tochter leichtfertiges oder gar fahrlässiges Handeln vorzuwerfen wäre, ist die Sachlage eine ganz andere: sie ist in keiner Weise am 1. Mai irgendwie aktiv gewesen, was eine Aktivierung von Google Pay betrifft. Google Pay ist ein Zahldienst, der für Android-Geräte entwickelt wurde: meine Tochter ist nicht im Besitz eines Gerätes mit diesem Betriebssystem. Einzig ein IPhone ist es. 1. Sie hat keinen Anruf mit Ihrem Institut am 1. Mai oder überhaupt irgendwann geführt. Das können Sie sicher leicht in Ihrer Daten-History überprüfen. 2. Ebenso hat sie nichts in der Comdirect-App aktiviert, was auch nicht geht, denn auf Ihrer Website heißt es: "Google Pay ist ein Mobile Payment Zahlungssystem für Smartphones mit dem Betriebssystem Android. Die Aktivierung erfolgt direkt in der Google Pay-App auf Ihrem Smartphone." Da ... kein Smartphone oder ein anderes Gerät mit Android-Betriebssystem besitzt, ist dieser Vorgang auch nicht möglich. 3. Eine SMS hat ... weder am 1. Mai noch sonst in letzter Zeit bekommen. Schon gar nicht von Ihrem Institut. Ihnen sind ja nur die Telefon-Nummern von meiner Frau und mir bekannt. ... hat keine deutsche Telefonnummer und die kanadische ist Ihnen, wie man auf Ihrer Webseite in ...s Konto ja sehen kann, gar nicht bekannt. Wenn Ihr Institut eine SMS mit einem Freischaltcode verschickt haben sollte, können Sie das ja einfach überprüfen. Auch, an welche Telefonnummer diese gegangen sein soll. Insofern kann keines der drei von Ihnen angeführten Freischaltungsverfahren zum Zuge gekommen sein. Der einzige Schluss ist der, dass es offenbar eine Sicherheitslücke gibt, die es unbefugten Personen ermöglicht, diese Freischaltung außerhalb der von Ihnen genannten Wege vorzunehmen. Zudem erscheint mir verdächtig, dass ausgerechnet in dem Augenblick, wo der Kontostand meiner Tochter ungewöhnlich hoch (über 700 €, sonst nur etwa 200 €) ist, dieser Betrag innerhalb von Stunden von Betrügern abgebucht wird. Hat hier jemand eine Möglichkeit, den Kontostand einzusehen? Ich bitte Sie, die Sachlage nochmal zu überprüfen und ich bin sicher, dass Sie feststellen werden, dass meiner Tochter kein Fehlverhalten vorzuwerfen ist.

Auf diese Mail vom 8. Mai habe ich bis heute (7 Wochen!) von der comdirect keine Antwort erhalten. Am 27. Mai schickte ich eine Erinnerungsmail an die comdirect mit der Bitte, meine Mail zu beantworten. Hier bekam ich die automatisierte Antwort "Wir werden Ihnen so schnell wie möglich antworten." usw., habe aber auch auf diese Mail Stand heute (1 Monat!) keine Antwort.

Am 12. Juni telefonierte ich über die Hotline mit der comdirect über diesen Vorgang. Die nur gebrochen Deutsch sprechende Mitarbeiterin konnte mein Anliegen, dass ich Antworten auf meine Mails haben möchte, zunächst nicht verstehen. Dann sagte sie, sie müsste die Fachabteilung kontaktieren. Nachdem ich 25 min in der Warteschleife hing, teilte sie mir lediglich mit, dass meine Mails noch beantwortet würden...

Insgesamt ein höchst ärgerlicher Vorgang, nicht nur wegen des Betruges, sondern auch wegen der comdirect, die ihre Kunden derart entwürdigend behandelt und sie im Regen stehen lässt...

(Am 23. Mai 2024 hatte ich bei der Polizei Anzeige erstattet.)

[alba96]

Sehr spannende und plausible Schilderung, bitte halte uns auf dem laufenden.

Dass die Comdirect euren Fall nur halbherzig behandelt hat, sieht man ja schon daran, dass sie selbst in ihrem Schreiben die ganze Zeit von GooglePay spricht, dann aber selbst "Clara's iPhone" ins Spiel bringt.

Sie haben also selbst erkannt, dass ihre App auf einem iPhone installiert worden ist.

Da hätten sie ja auch selbst merken können, dass die Fakten nicht zusammen passen und eine differenziertere Analyse starten können.

An deiner Stelle würde ich noch überprüfen, ob in der Comdirect Postbox Deiner Tochter ein Schreiben zur Aktivierung von GooglePlay eingestellt wurde. Wenn ja, kann sich Deine Tochter ja vielleicht noch erinnern, wo sie zu genau diesem Zeitpunkt war; es soll ja schon vorgekommen sein das "Freunde" sich mal kurz das Handy von Klassenkameraden schnappen und Unfug treiben.

Ansonsten würde ich einen Brief aufsetzen, in dem du den Vorgang nochmal kurz schilderst und mit einer angemessenen Fristsetzung für die Erstattung des Betrags an den Vorstand der Comdirect adressiert. Fast zwei Monate Wartezeit sollten diesen Weg langsam rechtfertigen.

Danach solltest Du dir einen Anwalt nehmen; spätestens dann muß die Bank konkret darlegen, wie aus ihrer Sicht GooglePay aktiviert sein soll (Gerät, Betriebsystem,IP Adresse, Telefonnummer für die SMS etc...)