Verkauft, geklickt, Geld weg: Phishing-Falle bei Kleinanzeigen
Das Wichtigste in Kürze
- Zahlungen nur innerhalb von Kleinanzeigen tätigen: Externe Links sind meist Phishing.
- Nach Phishing schnell reagieren: Konto sperren lassen, Bank informieren, Anzeige erstatten.
- Rückerstattung möglich: Gerichte sehen Erstnutzer häufig nicht als grob fahrlässig an.
Erster Verkauf auf Kleinanzeigen und plötzlich sind fast 3.000 Euro weg. So ist es einem Verbraucher ergangen, nachdem er auf eine täuschend echte Phishing-Mail geklickt hat. Müssen Banken erstatten? Dieser Fall zeigt, wann Sie gute Chancen haben, Ihr Geld zurück zu bekommen.
Ein Verbraucher berichtet folgendes: Er habe Kleinanzeigen zum ersten Mal genutzt, um einen gebrauchten Klapptisch zu verkaufen. Von einem Kaufinteressenten erhält er Nachrichten sowie eine E-Mail mit dem Absender „Kleinanzeigen Team“.
Aufmachung und Informationen sind im Stil von Kleinanzeigen:
„Sicher bezahlen - Sehr geehrter Kunde, Der Käufer har Ihre Ware bereits über Kleinanzeigen bezahlt. Um die Zahlung zu bestätigen und zu erhalten, klicken Sie bitte auf den untenstehenden Button und folgen Sie weiteren Anweisungen. [Button Zahlung bestätigen].
Auszug aus Phishing E-Mail des Verbrauchers
Mit Klick auf den Button öffnete sich folgende Information:
„€20.00 Anfrage erhalten. Glückwunsch zum erfolgreichen Verkauf! Der Käufer hat auch die Versandkosten übernommen. Bitte verifizieren Sie nun Ihre Daten, um die Auszahlung zu erhalten. Das ist selbstverständlich kostenlos. Klicken Sie dazu einfach auf ‚Anfrage akzeptieren‘.“
Auszug aus Phishing E-Mail des Verbrauchers
Aufforderung befolgt – Was geschah dann?
Der Aufforderung kommt der Verbraucher nach. Er wird auf eine Seite weitergeleitet, die durch den Bestätigungsprozess führt. Um die Zahlung zu bestätigen, sollte er sein Konto verknüpfen und über eine fiktive Transaktion bestätigen. Anschließend wurden insgesamt 2.890 Euro von seinem Konto abgebucht.
Geld zurück? Banken sehen das anders
Der Verbraucher ist Opfer einer Phishing-Masche geworden. Betroffene wollen von ihrer Bank oder Sparkasse das Geld wieder zurückerhalten. Ihnen war nicht bewusst, überhaupt eine Zahlung geleistet zu haben. Banken und Sparkassen lehnen eine Rückerstattung jedoch regelmäßig ab. Sie übernehmen keine Verantwortung und behaupten, die Geschädigten hätten grob fahrlässig gehandelt.
Vor allem Erstnutzerinnen und Nutzer bei Kleinanzeigen können nicht erkennen, dass die E-Mail gefälscht ist und sie auf eine Phishing-Webseite weitergeleitet werden. Der Angriff hat sie überrumpelt und überrascht. Banken und Sparkassen wenden dagegen ein, dass Nutzerinnen und Nutzer alle E-Mails und weiterführende Links auf Anmeldeseiten genaustens überprüfen müssten.
Wie bewerten Gerichte die Situation?
Nach Auffassung mehrerer Gerichte sind Geschädigte vor allem dann im Recht, wenn sie die Plattform Kleinanzeigen und die Funktion „Sicheres Bezahlen“ zum ersten Mal genutzt haben. Dann bestand für sie kein Anlass, einen Phishing-Angriff zu vermuten. Die Rechtsprechung ist also verbraucherfreundlich.
Urteil Landgericht Berlin vom 13. Dezember 2023
Das Landgericht Berlin ging davon aus, dass dem Kläger zwar eine schuldhafte Pflichtverletzung anzulasten gewesen wäre, wenn er auf der manipulierten Seite seine Zahlungskartendaten und Anmeldedaten für das Online-Banking eingegeben hätte. Es hätte aber auch dann nicht grob fahrlässig gehandelt. Vielmehr wäre dies als „Augenblicksversagen“ zu bewerten - also ein situativ bedingtes Fehlverhalten, indem er unvorbereitet von einem Angriff überrumpelt wurde. Da es auch nicht jedem einleuchten müsse, dass man auf einem Android-Endgerät ein Antivirenprogramm installieren sollte, wäre die Unkenntnis einer entsprechenden Verpflichtung nicht als grob fahrlässig anzusehen (Urteil vom 13. Dezember 2023 - 10 O 21/23).
Urteil Landgericht Berlin II vom 9. Februar 2024
Ähnlich entschied das Landgericht Berlin II: In dem zu beurteilenden Fall war zwar unstreitig eine Authentifizierung erfolgt. Der Kläger hatte den per SMS von seiner Bank erhaltenen Freischaltcode für die Überweisung auf der gefälschten Internetseite eingegeben und damit seine Sorgfaltspflichten verletzt. Außerdem wurde er bei Erhalt der SMS darauf hingewiesen, dass er den Code nur in die App seiner Bank eingeben darf. Da der Kläger die „Sicher Bezahlen“-Funktion aber zuvor noch nie benutzt hatte und er auch die Banking-App noch nicht auf sein Smartphone heruntergeladen hatte, sei die Pflichtverletzung nicht als grob fahrlässig einzustufen (Urteil vom 9. Februar 2024 – 38 O 118/23 ).
Was sollten Sie nach einem Phishing-Angriff tun?
- Sperranzeige unverzüglich vornehmen: Sobald Sie einen Missbrauch, Verlust oder Diebstahl von Zahlungsdaten feststellen, müssen Sie dies sofort Ihrem Zahlungsdienstleister- etwa der Bank, der Sparkasse oder einer hierfür benannten Stelle - anzeigen. Der Zahlungsdienstleister ist dann verpflichtet, den Online-Zugang oder das Zahlungsinstrument zu sperren.
- Strafanzeige bei der Polizei erstatten: Diebstahl oder Missbrauch der Zugangsdaten sollten Sie unverzüglich bei der Polizei anzeigen, um strafrechtliche Ermittlungen zu ermöglichen und den Vorgang zu dokumentieren.
- Bank oder Sparkasse informieren: Informieren Sie Ihre Bank oder Sparkasse über nicht autorisierte oder fehlerhafte Zahlungsvorgänge sofort nachdem Sie davon wissen. Das Zahlungsinstitut ist grundsätzlich verpflichtet, den Betrag zu erstatten und das Konto auf den Stand vor der Belastung zu bringen, sofern keine grob fahrlässige Pflichtverletzung Ihrerseits vorliegt.
Achtung: Erfolgt die Anzeige nicht unverzüglich und nicht spätestens innerhalb von 13 Monaten nach der Belastung des Kontos, sind Erstattungsansprüche ausgeschlossen. - Sicherheitsmaßnahmen ergreifen: Ändern Sie alle Zugangsdaten, prüfen Sie das betroffene Endgerät auf Schadsoftware und aktualisieren Sie Sicherheitssoftware (Antivirus, Firewall).
- Beweismittel sichern – soweit möglich: Speichern Sie E-Mails und SMS, dokumentieren Sie Webseiten und sonstige Kommunikationsmittel, die zum Phishing geführt haben. So können Sie im Streitfall die Umstände nachweisen.
- Schiedsstelle einschalten: Falls die Bank sich weigert, die Abbuchung rückgängig zu machen, sollten Sie zunächst die für Ihre Bank zuständige Verbraucherschlichtungsstelle einschalten. Die zuständige Schlichtungsstelle können Sie bei Ihrem Geldinstitut erfragen. Diese ist meistens in dem jeweiligen Impressum auf der Webseite der Bank oder Sparkasse genannt. Die Schlichtungsverfahren sind für Sie kostenfrei.
- Ansprüche rechtlich prüfen lassen: Kommen Sie bei der Schiedsstelle nicht weiter, sollten Sie die Erfolgsaussichten einer Klage durch einen Rechtsanwalt oder eine Rechtsanwältin prüfen lassen. Da es auf den Einzelfall ankommt, ist individuell zu beurteilen, ob Ihnen grob fahrlässiges Verhalten anzulasten ist oder nicht. Problematisch wird es da, wo Sie nicht nur Karten- oder Kontodaten preisgegeben, sondern auch Sicherheitsmerkmale wie etwa eine TAN herausgegeben beziehungsweise eingegeben haben. Auch eine Mitverantwortung der Bank kann in Frage kommen. Das wäre zum Beispiel dann möglich, wenn das Geldinstitut eine verdächtige Buchung ohne weitere Prüfung oder Rückfrage bei Ihnen ausgeführt hat.
Was bedeutet „Sicher Bezahlen“ bei Kleinanzeigen?
„Sicher bezahlen“ ist ein bei Kleinanzeigen integriertes Zahlungssystem mit Käuferschutz: Die Zahlung (per SEPA-Überweisung, Kreditkarte, Apple Pay oder Google Pay) wird zunächst an den Zahlungsdienstleister OPP (Online Payment Platform) von Kleinanzeigen geleistet. Dieser informiert den Verkäufer über die Zahlung, der Verkäufer verschickt die Ware. Der Verkäufer erhält das Geld erst, wenn der Käufer den Erhalt bestätigt oder 14 Tage seit der Zahlung verstrichen sind.
Der Schutz greift nur, wenn Sie den Ablauf innerhalb von Kleinanzeigen (App / Website, Nachrichtenverlauf, Buttons wie „Jetzt sicher bezahlen“) nutzen. Verwenden Sie einen externen Link, ist dies kein von Kleinanzeigen vertraglich abgesicherter Vorgang.
Weiterführende Artikel