Köln – Sie war einen Moment abgelenkt, gibt sie zu, nicht ganz bei der Sache, als ihre minderjährige Tochter sie bat, mal eben ihre Kontonummer in das Smartphone einzugeben, um die Registrierung bei Vinted abzuschließen. Ulla Kirkebohm (Name geändert), Mutter dreier Kinder, schaute nur flüchtig auf das Display, tippte ihre Bankverbindung samt TAN in die Maske – und damit nahm das Unheil seinen Lauf.

Vinted (früher als „Kleiderkreisel“ und „Mamikreisel“ bekannt) ist neben Ebay-Kleinanzeigen derzeit eine der beliebtesten Online-Plattformen für den Verkauf von Second-Hand-Artikeln, allerdings auch ein Tummelplatz für Betrüger. Gebrauchte Kleidung, Kinderspielzeug, Bücher, DVDs, Kosmetik, fast alles wird auf Vinted gehandelt. Ulla Kirkebohm hat ein eigenes Benutzerkonto, nun wollte auch ihre 13-jährige Tochter eines eröffnen. „Ich war gerade mit irgendetwas anderem beschäftigt, sie bat mich: Mama, du musst da deine Bankdaten eingeben“, erzählt die Kölnerin. „Ich habe ehrlich gesagt gar nicht genau verstanden, warum. Spätestens bei der TAN hätte es natürlich bei mir klingeln müssen.“ Eine TAN ist ein sechsstelliger Zahlencode, er funktioniert wie ein einmaliges Kennwort, mit dem man eine Online-Banking-Zahlung über seine Bank abwickeln kann.

Link in einer Mail führte auf eine Fake-Seite

Was Kirkebohm nicht ahnte: Nach dem Anlegen ihres Vinted-Benutzerkontos hatte ihre Tochter eine E-Mail erhalten mit einem Link, der auf eine angebliche Vinted-Seite führte. Dort wurde das Mädchen aufgefordert, eine Bankverbindung einzutragen. Doch die Mail war gefälscht, der Link führte zu einer Fakeseite, die Eingabemaske war so manipuliert, dass die Täter die Kontonummer samt TAN abgreifen konnten.

Dass irgendetwas nicht stimmte, merkte Ulla Kirkebohm ein paar Tage später: In der Kantine ihres Arbeitgebers konnte sie plötzlich nicht mehr mit EC-Karte bezahlen. Auch an der Supermarktkasse funktionierte die Karte nicht mehr. Die Bank hatte sie sperren lassen, denn dort hatte das automatische Betrugsmeldesystem Alarm geschlagen: Von Kirkebohms Konto war mehrfach versucht worden, Beträge von je 100 Euro per Western Union zu überweisen. Das hatte die 48-Jährige noch nie getan, der Bank kam das verdächtig vor und sie sperrte die Karte vorsorglich. Ein finanzieller Schaden ist Ulla Kirkebohm also nicht entstanden.

Seit Beginn der Corona-Pandemie häufen sich Betrugsfälle dieser Art, berichtet ein Sprecher der Kölner Polizei. Und zwar sowohl bei Vinted, als auch bei Ebay-Kleinanzeigen und anderen Plattformen. Vermutlich, weil seitdem einfach viel mehr Menschen online Geschäfte abwickeln. „Meistens geht es darum, dass Ware bezahlt, aber nicht geliefert wurde“, sagt der Sprecher. Aber auch andere Betrugsmaschen sind bekannt. Phishing zum Beispiel, das illegale Abgreifen von Daten über gefälschte Mails, Links und Internetseiten. Bei den Onlinehändlern ist das längst bekannt, doch nach Ansicht vieler Nutzer tun sie nicht genug, um Betrug vorzubeugen.

Vinted kennt die Betrugsmaschen und gibt Tipps

Angesprochen auf den Fall Kirkebohm teilt eine Vinted-Sprecherin mit: „Auf den ersten Blick können Phishing-Kontaktversuche wie offizielle Mitteilungen von Vinted wirken. Tatsächlich handelt es sich aber um Nachrichten von Betrügern, die versuchen, die Identität und/oder Bankinformationen zu stehlen.“ Die Täter versuchten, Nachrichten des Support-Teams nachzuahmen, und zwar sowohl über Direktnachrichten auf der Plattform als auch über andere Kommunikationswege wie SMS, Messenger-Dienste oder eben E-Mail. Echte Nachrichten des Vinted-Teams seien dagegen immer mit einem bestimmten Badge gekennzeichnet, einem unverkennbaren, gelben Logo.

Zudem, so sagt die Vinted-Sprecherin, werde man niemals Mitglieder dazu auffordern, ihre Kontonummer zu teilen – weder über In-App-Nachrichten, noch über externe Messenger oder E-Mail. Die Kontonummer werde lediglich benötigt, wenn man sich nach Beendigung einer Transaktion den verfügbaren Betrag über die sogenannte Geldbeutel-Funktion auszahlen lassen möchte. Wer einem Betrug aufgesessen ist, solle in jedem Fall die Polizei benachrichtigen.

Die Polizei empfiehlt Nutzerinnern und Nutzern von Online-Handelsplattformen, möglichst den sicheren Bezahldienst des Betreibers zu wählen. Auch Vinted bietet so etwas an, den sogenannten Käuferschutz über den „Kaufen“-Button. Dieser garantiere eine sichere Zahlungsabwicklung zwischen zwei Mitgliedern, ohne dass persönliche Bankdaten zwischen diesen ausgetauscht werden müssen, betont die Sprecherin. Der Nachteil: Diese Funktion kostet extra: 70 Cent plus fünf Prozent des Artikelpreises. Viele Mitglieder wollen sich das Geld sparen und wickeln die Zahlung lieber 1:1 mit dem Verkäufer ab – mit allen damit verbundenen Risiken.

Ulla Kirkebohm, so sagt sie, wird künftig genauer hinschauen, wenn sie um ihre Bankdaten gebeten wird.