Das Landeskriminalamt Rheinland-Pfalz warnt davor, dass Betrüger die Verwirrung rund um die neue europäische Zahlungsrichtlinie PSD2 ausnutzen, um an Daten und Geld von Bank- und PayPal-Kunden zu kommen. Seit dem 14. September 2019 müssen Zahlungen im Internet in der Europäischen Union mit zwei Faktoren bestätigt werden, neben dem Passwort etwa eine per TAN-Generator oder App erzeugte TAN. Für Kreditkartenzahlungen galt zu diesem Zeitpunkt noch eine Übergangsfrist.
Nach Angaben des Landeskriminalamts verschicken Betrüger Phishing-Mails, in denen sie Bankkunden auffordern, ihre Kundendaten zu bestätigen und sich dabei auf die neue Zahlungsrichtlinie berufen. Die Empfänger werden dabei auf gefälschte Portale gelockt, auf denen sie ihre Zugangsdaten an die Täter weitergeben. Auch bei Zahlungsdienstleistern wie PayPal seien der Polizei ähnliche Maschen bekannt, heißt es in der Warnung.
Fake-Kreditkarten als Nachnahme-Sendung
Neben dem klassischen Phishing nutzen Anbieter teurer Prepaid-Kreditkarten die Unsicherheit ebenfalls aus. In einem vom Landeskriminalamt geschilderten Fall wurde einer Verbraucherin telefonisch erklärt, ihre Kreditkarte sei wegen der Gesetzesänderungen nicht mehr nutzbar und müsse ersetzt werden. Kurz darauf erhielt sie eine nicht bestellte Sendung, für die sie 98,90 Euro per Nachnahme zahlen sollte. Die Polizei rät, bei E-Mails und Anrufen im Namen der Bank oder eines Zahlungsdienstleisters besonders misstrauisch zu sein.
Angriffe zielen auf den Menschen statt auf die Technik
Die PSD2 sollte Phishing und Betrug eigentlich erschweren, indem sie die starke Kundenauthentifizierung verpflichtet. Die Umstellung im Online-Banking und beim Bezahlen im Netz schuf zugleich die Verwirrung, die die Betrugsmaschen ausnutzen. Viele dieser Angriffe richten sich gegen den Menschen als Schwachstelle und nicht gegen die IT-Systeme, ein Muster, das sich im BSI-Digitalbarometer 2019 mit Betrug im Online-Handel als häufigster Straftat wiederfindet. Auch Betrugsversuche am Telefon werden immer ausgefeilter: Beim Fall der KI-gestützten Stimmimitation im September 2019 gab sich ein Anrufer als Konzernchef aus und löste eine Überweisung über 220.000 Euro aus.
Für Nutzer digitaler Angebote bleibt der Hinweis zentral, dass echte Banken und Zahlungsdienstleister keine Zugangsdaten per E-Mail oder Telefon abfragen. Wer Online-Käufe etwa über PayPal abwickelt, sollte Zahlungsseiten nur über die bekannte Adresse des Anbieters erreichen und keine Links aus unerwarteten Nachrichten anklicken.