Die SZ hat darüber berichtet, dass bei PayPal für einige Tage die Sicherungssysteme ausgefallen waren. Ich machte mir so meine Gedanken, was da technisch eigentlich passiert ist. Denn so genau fiel der SZ+-Bericht nicht aus. Ich musste selbst recherchieren.
Der Betrug läuft über Händlerkonten. Alle Händler, die irgendwas an uns Kunden verkaufen, haben bei PayPal besondere Konten. Das bedeutet: Sie sitzen sozusagen an der Kasse und können Bank-Lastschriften bei Paypal beantragen. Und weil sie uns Ware verkauft haben, dürfen sie das natürlich auch. Paypal führt die Lastschriften auf unsere Konten aus und alles ist gut. Ich habe meine Ware, der Händler hat sein Geld. Alles könnte schön sein.
Leider machen sich viele Händler nicht so viele Gedanken um die IT-Sicherheit. Also übernehmen die Hacker die PayPal-Händlerzugänge, ändern die Bankverbindung, und fordern bei Paypal Tausende von Lastschriften an. Und jetzt kommen die Sicherheitssysteme von PayPal ins Spiel. Sie erkennen die Betrugsmuster und stoppen die Zahlungsaufträge.
PayPal erkennt die Betrugsmuster – normalerweise.
Jetzt trug es sich aber zu, dass genau diese Sicherungssysteme bei PayPal ausfielen. Die technischen Systeme von PayPal haben daraufhin alle Lastschriftaufträge durchgewunken. Das Desaster war da und wäre vollständig perfekt gewesen, wenn nicht als letzer Rettungsanker die Sicherungssysteme der Banken angesprungen wären.
Scheinbar reagiert das internationale Bankensystem sehr schnell. Fällt einer Bank ein Angriff auf, wird die Information offensichtlich blitzschnell weltweit verbreitet. Etwa 10 Milliarden Euro an Lastschriften wurden blockiert. Das bedeutet aber eben auch, dass Händler auch das ihnen rechtmäßig zustehende Geld nicht bekommen. Mit einem Riesenaufwand müssen alle Lastschriftaufträge auf Gut und Böse gecheckt werden.
Man muss zu der Betrugsmethode auch wissen, dass es die Betrüger nicht immer auf die ganz großen Beträge abgesehen haben. Wenn sie einen Händlerzugang übernommen haben, dann werden Lastschriftaufträge mit kleinen Beträgen zwischen 5 und 15 Euro veranlasst. Die Masse macht es. Wenn also ein Händler von 50.000 Kunden die Zahlungsdaten hinterlegt hat, dann erfolgen die Lastschriftversuche genau auf diese 50.000 Kunden. Es läuft nicht über irgendwelche Mail-Adressen wie im Privatbereich. Auch mit IBAN-Nummern kommen die Hacker nicht weiter. Denn wenn sie 50.000 IBAN-Nummern hätten, dann bräuchte er PayPal nicht, könnte kleinere Beträge direkt per Lastschrift abbuchen und hoffen, dass die Kontoinhaber die nächsten Wochen nicht so genau auf ihr Konto schauen. Denn Lastschriften kann man zurückgehen lassen. Deshalb haben auch die Banken ein fundamentales Interesse daran, dass es bei den Lastschriften mit rechten Dingen zugeht.
Wer auf dem Schaden sitzen bleibt.
Wenn der Betrug über ein geknacktes Händlerkonto geschieht, dann geht die Rückzahlungskette bis zurück zum Händler, dessen Konto ins Minus rutscht. Kleine Händler dürften nach einem solchen Vorfall in große Not geraten. Die Händler können Cyber-Versicherungen abschließen, doch schaut die Statistik nicht besonders gut aus. Man schätzt dass im KMU-Bereich nur 20 bis 25% eine solche Versicherung haben.
Für unsereins heißt es, täglich aufs Konto zu schauen und auch PayPal zu checken. In der Sparkassen-App wird man per Push-Nachricht im Moment direkt darauf hingewiesen, dass es Probleme bei Paypal gab.
Bei allen Risiken von Online-Banking sehe ich es doch als unvermeidlich an, Online-Banking zu nutzen. Ich kann – wenn mir langweilig ist – auf dem iPhone alle zwei Minuten meine Konten und auch den Paypal-Zustand prüfen. Das beruhigt. Und kaum spreche ich es aus und schaue auf meine Mails, bekomme ich diese hier:
Zum Glück habe ich auf PayPal immer ein kleines Guthaben, sonst hätte ich die zwei Zweitliga-Fußballtickets für das Wochenende nicht kaufen können.
Entdecken Sie mehr von Michael Behrens
Melden Sie sich für ein Abonnement an, um die neuesten Beiträge per E-Mail zu erhalten.