Ein 78-jähriger Kunde der Cembra-Bank fällt aus allen Wolken, als er seine Kreditkartenabrechnung erhält. 9200 Franken wurden ihm belastet – gekauft hat er jedoch nichts. Betrüger haben über neunzigmal für meistens je hundert Franken eingekauft. Immer im gleichen Onlineshop, bei der Offerz AG. Diese verkauft digitale Gutscheine und Geschenkkarten.
Onlineshop ist selbst Opfer der Betrüger
Die Firma ist aber offensichtlich selbst zum Opfer dieser Betrugsmasche geworden. Sie hätten ein gutes Sicherheitssystem, das über neunzig verschiedene Betrugsregeln checke und laufend angepasst werde, erklärt Dominik Megert, Geschäftsführer der Offerz AG. Aber die Betrüger würden immer perfider, und der Cembra-Kunde war nicht der einzige Geprellte.
«Mit Samsung Pay wurden Gutscheine gekauft. Es gab nur ganz wenige Transaktionen pro Kunde. Danach wurden neue Konten erstellt, mit einer neuen E-Mail-Adresse und einem neuen Namen», so Megert. Für das Sicherheitssystem seien das somit verschiedene Einkäufe von verschiedenen Kunden gewesen. Die Gutscheine wurden dann innerhalb weniger Minuten bei einem Partnershop eingelöst. Man habe keine Chance, diesen Prozess zu stoppen.
Sorgfaltspflicht verletzt
Der Kunde meldet sich bei der Bank und sperrt sofort seine Karte. Man werde den Fall prüfen, sagt ihm Cembra. In einem Brief schreibt ihm die Bank dann: «Aufgrund der vorliegenden Situation müssen wir davon ausgehen, dass Sie auf ein betrügerisches Ereignis reagiert haben (z.B. Phishing)…». Er habe die Sorgfaltspflicht verletzt und seine Kreditkartendaten weitergegeben. Den ausstehenden Betrag von 9200 Franken werde die Bank deshalb nicht übernehmen.
Der Mann ist am Boden zerstört. Der Rentner hätte das Geld gerne für ein GA für sich und seine Frau eingesetzt. Jetzt ist es weg. Er meldet sich beim SRF-Konsumentenmagazin «Espresso», welches noch einmal Kontakt mit der Cembra aufnimmt.
Via Phishingmail Wallet eingerichtet
Die Bank bekräftigt gegenüber «Espresso» ihre Annahme, dass der Kunde auf ein Phishingmail mit einem betrügerischen Link reagiert haben müsse. Ziemlich sicher habe ihn der Link auf eine Betrugswebsite geleitet, auf der er seine Kreditkartendaten eingab. Er dachte, er richte ein Wallet ein, ein digitales Portemonnaie. Passiert ist aber Folgendes: Die Betrüger haben mit den Daten des Kunden auf ihrem eigenen Handy ein Wallet eingerichtet.
Bestätigungscode für die Betrüger
Für das Wallet brauchten sie allerdings noch einen Bestätigungscode der Bank. Dieser wurde von der Cembra direkt per SMS an den Kunden verschickt. Es enthält auch eine Warnung: Der Kunde solle sich beim Kundendienst melden, wenn nicht er das Wallet bestellt habe. Darauf hat der Rentner nicht reagiert. Stattdessen dachte er, mit dem Code bestätige er sein eigenes Wallet. Er gab ihn deshalb auf der Website ein. Bestätigt hat er damit jedoch das Wallet der Betrüger. Diese hatten nun freien Zugang zu seiner Kreditkarte.
Fast ein Happy End
Die Bank schreibt «Espresso»: «Jede Transaktionsbeanstandung wird sorgfältig geprüft und aufgrund des jeweiligen Sachverhalts sowie der entsprechenden Gegebenheiten individuell beurteilt. Wir haben mit dem Kunden zusammen eine gemeinsame Lösung gefunden.» Heisst: Cembra übernimmt 6200 Franken, der Kunde muss also nur 3000 Franken zahlen. Unter diesen Umständen eine faire Lösung.
