Kreditkartenbetrug aber keine Hilfe

[smoritz]

Liebe Community,

ich bin Anfang des Monats per SMS darauf aufmerksam gemacht worden, dass von meinem Kreditkartenkonto Zahlungen getätigt wurden, die nicht von mir stammten. Ich habe mich umgehend an die Hotline gewendet und die Karte sperren lassen. Der nette Herr am Telefon empfahl mir die Zahlungen der comdirect als betrügerisch zu melden, sobald/falls sie auf mein Konto gebucht sind, damit mir hier kein finanzieller Schaden entsteht. 

Als 4 Tage später die Zahlungen gebucht wurden - insgesamt 12 Stück im Wert von über 2000 Euro - habe ich mich also, wieder sofort, an die comdirect gewendet, und diese Buchungen als betrügerisch gemeldet. Der Kundenservice antwortete recht rasch innerhalb weniger Tage und erklärte mir, dass "eine Erstattung der reklamierten Beträge nicht möglich" sei, da die Zahlungen über "Google Pay unter Verwendung eines mobilen Endgerätes getätigt wurden" und die "Freischaltung von Google Pay durch Sie erfolgt bzw. ermöglicht worden ist". 

Nun nutze ich kein Google Pay, besitze nicht einmal ein Google-Pay-fähiges Endgerät. Ich kann mich auch nicht erinnern eine Nachricht, TAN Freigabe oder sonst irgendwas in Richtung Phishing erhalten oder gar freigegeben zu haben. Nun kann ich natürlich nicht kategorisch ausschließen, dass ich hier ich hier irgendwo mal einen Fehler gemacht habe, aber die Ausführungen des Kundenservices sind mir zu wenig, und zumindest meinen Fehler hätte ich schon gern gewusst, damit ich in Zukunft besser aufpassen kann.

Eine kurze Recherche ergibt, dass die Bank hier laut Gerichtsurteil vom 16.02.2009 (Az.: 242 C 28708/08) in der Pflicht steht mir die Fahrlässigkeit nachzuweisen. Also wende ich mich erneut an den Kundenservice mit der Bitte um einen Nachweis aus dem meine Fahrlässigkeit hervorgeht. 

Das war vor mehr als einer Woche und ich habe noch keine Antwort erhalten. 

Nun meine Frage an euch? Habt ihr schon etwas ähnliches erlebt. Konntet ihr herausfinden wie der Betrug funktioniert? Habt ihr euer Geld zurück bekommen?

Vielen Dank und liebe Grüße

[dg2210]

---

@MusikSommer  schrieb:

Augenblicklich wurden ihr 615 € von unbekannter Hand abgebucht.

---

So wie ich deinen Beitrag verstehe, wurden die 615 EUR nicht von unbekannter Hand, sondern vom einem T-Shirt-Versender belastet.

Ich nehme an, du hast dort die Bestellung sofort storniert und die Rückerstattung des Geldes veranlasst.

Hast du von denen auch  Name/Anschrift des Bestellers bekommen?

[MusikSommer]

Nein, das T-Shirt wurde nur zufällig zu ähnlicher Zeit gekauft. Die 615 € wurden abgebucht von "ZEN.COM UAB VILNIUS LT"...

Der Kauf und die Bezahlung, sowie Lieferung des T-Shirts lief normal, dabei handelte es sich nur um 28 €.

[alba96]

Zen.com ist ein in England ansässiges Fintech mit Litauischer eMoney Lizenz.

Was jetzt erstmal shady klingt, ist ein durchaus seröses Unternehmen; es gibt gute Gründe dort Kunde zu sein.

Man bekommt ein Konto mit IBAN für den Zahlungsverkehr und eine MC Debitkarte; es ist im Prinzip einer der vielen Revolut Clone.

Eines der Features ist, das Konto in Sekundenschnelle über eine Kreditkarte mit Geld aufzuladen (also im Gegensatz zu einer Überweisung an die eigene IBAN, was ja 1-2 Tage dauern würde). Gedacht ist das natürlich nur dafür, dass man seine eigenen Karten dafür hernimmt um sich die Laufzeiten einer Überweisung zu sparen.

Für jemanden der fremde Kreditkartendaten erbeutet hat, ist das aber auch die perfekte Methode damit Bargeld zu generieren: Zen.com mit der gestohlenen Kredit- oder Debitkarte aufladen und das Geld dann wegüberweisen oder mit der Zen.com eigenen Karte am Automaten abheben.

Ich denke das wird bei euch so passiert sein und untermauert nur den Verdacht, dass ihr Opfer eines Betrugs geworden seid.

Die Aufladung per GooglePay anstatt mit den reinen Kartendaten hat für den Betrüger den Vorteil, dass keine Bestätigung mit einen zweiten Faktor notwendig ist, wie es ja bei Onlinegeschäften sonst der Fall ist.

Die spannende Frage ist nun, wie es die Betrüger geschafft haben, die Karte Deiner Tochter in deren GooglePay zu aktivieren, ohne dass ihr dabei aktiv mitgewirkt habt. Wenn ihr oder deine Tochter nicht doch aus versehen irgendeine Sicherheitsanfrage weggeklickt, oder einen Code weitergegeben habt, kann das auf ein Sicherheitsproblem bei der Comdirect hindeuten.

[kammann]

---

@alba96  schrieb:

Die spannende Frage ist nun, wie es die Betrüger geschafft haben, die Karte Deiner Tochter in deren GooglePay zu aktivieren, ohne dass ihr dabei aktiv mitgewirkt habt.

---

Das ist relativ einfach: Google Pay kann weltweit auf jedem Android-Smartphone eingerichtet werden, man benötigt lediglich die 16-stellige Kartennummer, das Gültigkeitsdatum und den Sicherheitscode - diese Daten lassen sich z.B. über einen gehackten Onlineshop (oder Fake-Shop) erbeuten. Zur Einrichtung bei Google Pay genügt eine SMS, die sich über diverse Apps ebenfalls leicht erbeuten lässt (es gibt unzählige "Taschenlampen" oder "Screenhot"-Apps, die ein Zweitleben führen und über das Recht "SMS-Lesen" die ankommende Verifizierungs-SMS an Betrüger weiterleiten. Meist sind solche Apps nur kurz im Google Play-Store eingestellt und werden in dieser Zeit  massiv über Spiele- oder Messengerapps beworben. Man kann die App-Berechtigungen im "Berechtigungsmanager" in Android einsehen - wobei bei nachträglich etwas schwierig ist, da Android Apps ungenutzte Berechtigungen auch nach einiger Zeit entzieht  - daher erfolgen die Angriffe meist kurz nach Installation einer neuen App.

Rechtlich ändert das nichts daran, dass comdirect den Vertragsschluss zur Nutzung von Google Pay beweisen muss. Da die Banken (nicht nur comdirect) aber ersteinmal am längeren Hebel sitzen, läuft das in der Praxis auf eine "Negative Feststellungsklage" hinaus, die der Kunde einreichen muss, um die Bank überhaupt zur Auskunft zu bewegen.

[Morgenmond]

---

@kammann  schrieb:

---

@alba96  schrieb:

Die spannende Frage ist nun, wie es die Betrüger geschafft haben, die Karte Deiner Tochter in deren GooglePay zu aktivieren, ohne dass ihr dabei aktiv mitgewirkt habt.

---

Das ist relativ einfach: Google Pay kann weltweit auf jedem Android-Smartphone eingerichtet werden, man benötigt lediglich die 16-stellige Kartennummer, das Gültigkeitsdatum und den Sicherheitscode - diese Daten lassen sich z.B. über einen gehackten Onlineshop (oder Fake-Shop) erbeuten. ..

---

Ist ja alles gut und schön und bekannt, aber die Tochter von @MusikSommer hat kein Android-Smartphone !

Ich hätte übrigens hier nie solange mit der Bank palavert.

Die Anzeige bei der Polizei wäre taggleich der erste Schritt und als zweiten Schritt sucht man sich einen Rechtsanwalt

der den mühseligen Austausch mit der Bank zwecks Regress übernimmt.

Gruss Morgenmond

[MusikSommer]

Angefragt hatte ich bei einem Rechtsanwalt schon. Soviel Geld die 615 € für meine Tochte auch sind, ist das doch keine Summe, die nicht leicht von den Kosten eines Rechtsstreites überschritten werden könnte, um es mal vorsichtig zu sagen.

Insofern trägt mich noch die Hoffnung auf die Einsicht der Bank nach dem Austausch von Argumenten...  Vermutlich ist das naiv...

Viele Grüße an den Morgenmond...

[smoritz]

Hallo MusikSommer,

ich hatte auch Schwierigkeiten Bewegung in die Sache zu bekommen. Folgender Text hat aber geholfen:

Sehr geehrte XXX,

ich fordere Sie hiermit erneut auf im Sinne der Aufklärung dieses Falls, einen Nachweis zu liefern, aus dem hervorgeht inwiefern ich durch mein Handeln dazu beigetragen habe, dass dieser Schaden entstehen konnte. Im speziellen den Vertragsschluss zur Nutzung von GooglePay, und die zugehörigen Vertragsbedingungen, sowie den Zeitpunkt und die IP-Adresse. Darüber hinaus das verwendete Authorisierungsverfahren und die zugehörigen Parameter (Tel.nr bei SMS, Geräte-Id bei TAN, o.ä).

Darüber hinaus darf ich sie auf folgenden Auszug der comdirect AGB hinweisen:

"12 Erstattungs-, Berichtigungs- und Schadensersatzansprüche des Karteninhabers

12.1 Erstattung bei nicht autorisierter KartenverfügungIm Falle einer nicht autorisierten Kartenverfügung in Form der Abhebung von Bargeld oder der Verwendung der Karte zur Bezahlung bei einem Vertragsunternehmen hat comdirect gegen den Karteninhaber keinen Anspruch auf Erstattung ihrer Aufwendungen. comdirect ist verpflichtet, dem Karteninhaber den Betrag ungekürzt zu erstatten. Wurde der Betrag einem Konto belastet, bringt comdirect dieses wieder auf den Stand, auf dem es sich ohne die nicht autorisierte Kartenverfügung befunden hätte. Diese Verpflichtung ist gemäß „Preis- und Leistungsverzeichnis“ spätestens bis zum Ende des Geschäftstages zu erfüllen, der auf den Tag folgt, an dem der Bank angezeigt wurde, dass die Kartenzahlung nicht autorisiert ist, oder die Bank auf andere Weise davon Kenntnis erhalten hat. Hat die Bank einer zuständigen Behörde berechtigte Gründe für den Verdacht, dass ein betrügerisches Verhalten des Karteninhabers vorliegt, schriftlich mitgeteilt, hat die Bank ihre Verpflichtung aus Satz 2 unverzüglich zu prüfen und zu erfüllen, wenn sich der Betrugsverdacht nicht bestätigt."

Bitte kommen Sie den Vertragsbedingungen nach.

Mit freundlichen Grüßen

Der Mechanismus, wie der Betrug vonstatten ging, konnte leider nie nachvollzogen werden.

Viel Erfolg,

Moritz 

[Klever]

---

@CurtisNewton  schrieb:

Auffällig ist dass dies jetzt schon der zweite Fall ist wo mittels  Google Play Zahlungen autorisiert wurden ohne dass laut Aussage des Opfers überhaupt jemals Google Pay aktiv war, kurz vor Weihnachten hatte sich schon ein User hier im Forum gemeldet. Scheint auf jeden Fall ein neues Schema zu sein. 

---

Mit @MusikSommer ist es jetzt sogar der dritte Fall.

Gibt es eine Sicherheitslücke bei Google Pay und Comdirect? 

@SMTcomdirect die Sache muss m.E. gründlich untersucht werden.

Am Ende einfach nur eine Erstattung vorzunehmen - womöglich "aus Kulanz" - wird hingegen nicht ausreichen. 

Dass eine Erstattung zu erfolgen hat, dürfte klar sein: 

@Morgenmond  schrieb:

Ist ja alles gut und schön und bekannt, aber die Tochter von @MusikSommer hat kein Android-Smartphone !

---

Grüße

Klever

[MusikSommer]

Leider habe ich keine Fortschritte zu verkünden. Ich habe nach Moritz' Vorbild am 1.7. einen Brief mit Einschreiben/Rückschein an die comdirect verschickt mit der Aufforderung, mir den entscheidenden Fehler meiner Tochter nachzuweisen oder anderenfalls den Schaden gem. der AGB zu ersetzen. Natürlich habe ich noch keine Antwort. Indes ist meine Mail vom 8. Mai in der Sache immer noch unbeantwortet. Ich habe lediglich zweimal eine Mail von Kunden- und Kontoservice bekommen, mich doch bitte an den Technischen Support zu wenden. Doch da hängt man mindestens 45 Minuten in der Leitung (ich habe dann aufgegeben). Zwischendurch schaltet sich der Kunden- und Kontoservice dazwischen, um mir mitzuteilen, dass sie mir nicht weiterhelfen können und dass dies nur der Technische Support könne... 🙂

ich habe einen Termin bei der Verbraucherzentrale gemacht... Mal sehen, ob die eine entscheidende Idee haben...

Frustrierte Grüße vom MusikSommer

[Joerg78]

---

@Klever  schrieb:

---

---

Mit @MusikSommer ist es jetzt sogar der dritte Fall.

Gibt es eine Sicherheitslücke bei Google Pay und Comdirect? 

@SMTcomdirect die Sache muss m.E. gründlich untersucht werden.

Am Ende einfach nur eine Erstattung vorzunehmen - womöglich "aus Kulanz" - wird hingegen nicht ausreichen. 

Diese Frage bzgl. der Sicherheitslücke stelle ich mir auch mittlerweile. Gestern habe ich eine Postbox-Nachricht "Willkommen bei Google Pay" erhalten; lt. Kartendaten (im persönlichen Bereich) wurde meine schon vor einem Jahr bei Google Pay hinterlegte Visa Debit erneut hinterlegt.

Ein Anruf bei der Hotline ergab Folgendes: Seit Anfang der Woche gibt es vermehrt entsprechende Reklamationen; es kam (in meinem Fall) wohl auch ein "Google Pay-Token" bei der comdirect an (nur für die debit-Karte, nicht für die ebenfalls in Google Pay hinterlegte credit-Karte).

Die Visa debit wurde daraufhin dauerhaft gesperrt (davor habe ich sie in der CoDi-App temporär gesperrt), eine neue wird an mich verschickt (die lt. persönlichen Bereich übrigens auch schon für Google Pay aktiviert wurde - und das genau heute vor einem Jahr, also mutmaßlich dem Aktivierungsdatum der bisherigen Debit-Karte!).

Viele Grüße,

Jörg