Einen Tag lang empfängt Nurith Mörsberger keine einzige E-Mail. Dass nicht einmal Spam-Mails in ihrem Postfach eintrudeln, macht sie besonders stutzig. Als sie ihren Mail-Account überprüft, entdeckt sie zwei Neueinstellungen bei den Filterregeln: Alle E-Mails sollen gelöscht werden, nur als „wichtig“ eingestufte Nachrichten werden an eine ihr unbekannte Adresse weitergeleitet. Jemand muss sich Zugang verschafft haben. So findet sie Nachrichten, die während des Tages über das Portal Kleinanzeigen an ihre Adresse geschickt und direkt aus ihrem Posteingang weitergeleitet wurden: „XY hat dir ein Angebot gemacht, klicke jetzt auf ‚Zustimmen‘.“ „Hey, deine Anzeige sieht aus wie Betrug!“

Die Hamburgerin bietet häufiger gebrauchte Kinderkleidung über Kleinanzeigen – ehemals Ebay Kleinanzeigen – zum Verkauf an. Sie hat selbst auch schon Dinge über das Online-Portal gekauft. Doch als sie jetzt versucht, sich in ihr Kleinanzeigen-Konto einzuloggen, funktioniert das Passwort nicht und für die Wiederherstellung ist eine ihr fremde Telefonnummer hinterlegt. „Das fühlte sich furchtbar an.“

Betrüger arbeiten sehr schnell

Dass Betrüger sich auf der Verkaufsplattform Kleinanzeigen Zugang zu Konten verschaffen und fremde Accounts übernehmen, ist laut dem Unternehmenssprecher Pierre du Bois keine Seltenheit: „Der Account Takeover ist eines der größten Probleme, die wir haben, aber wir können nicht jede Attacke erkennen.“ Nur in sehr seltenen Fällen habe es jemand auf ein konkretes Konto abgesehen. „Da muss man von organisierter Kriminalität ausgehen, die Betrüger gehen arbeitsteilig vor und arbeiten sehr schnell.“

Bis Nurith Mörsberger das Kleinanzeigen-Portal über ihr gekapertes Konto informiert, schaffen es die Betrüger, in ihrem Namen innerhalb von 24 Stunden mehr als 1.000 Euro zu ergaunern. „Ich habe anscheinend eine Klarinette verkauft und Kameras, also halbwegs hochwertiges Zeug.“ Einige Käufer schöpfen erst nach dem Kauf Verdacht, schließlich ist die Hamburgerin eine vertrauenswürdige Händlerin: „Bei mir waren noch Kindersachen eingestellt, ich habe sehr gute Rezensionen.“

KI macht das Erkennen schwierig

Laut du Bois ist es nicht leicht, betrügerische Anzeigen als solche zu erkennen. Weder schlecht formulierte Texte noch Rufnummern aus dem europäischen Ausland seien Hinweise für Fake-Anzeigen. „Übersetzungsprogramme und KI sind so gut geworden, dass Betrüger zum Teil ganze Legenden schreiben, warum sie sich von einem bestimmten Artikel trennen würden.“

Manche böten von sich aus an, eine Kopie des Personalausweises zu schicken, um Vertrauen zu erwecken, oft mit dem Hinweis, sie seien selbst schon betrogen worden. Bei den versendeten Dokumenten handele es sich oft um Fotos fremder Ausweise, die zuvor andernorts erbeutet wurden. „Es gibt auch nicht den einen Artikel, bei dem besonders oft betrogen wird.“

Gute Passwörter gegen Betrugsmaschen

Dem Kleinanzeigen-Sprecher zufolge sind es häufig Konten, die selten genutzt werden, zu denen sich Betrüger Zugang verschaffen. Das tun sie dann meist mithilfe von Listen mit gehackten Passwörtern anderer Dienste, die im Internet kursieren. Wer bei Portalen wie Kleinanzeigen, Vinted oder Ebay registriert ist, sollte sich deshalb dort regelmäßig einloggen und nach dem Rechten sehen.

Ungenutzte Konten können gelöscht werden, bevor sie Betrügern in die Hände fallen. Noch wichtiger ist es, das eigene Postfach abzusichern – und zwar mit einem individuellen und aus unterschiedlichen Zeichenarten bestehenden Passwort. Hilfreich kann es sein, sich beim Bau eines Passwortes einen Satz als Vorbild zu nehmen, von dem nur die ersten Buchstaben der einzelnen Wörter und die Satzzeichen genutzt werden.

Keine Haftung für gehackten Account

Auch Nurith Mörsberger ändert sofort das Passwort für ihr E-Mail-Konto, richtet zusätzlich eine Zwei-Faktor-Authentifizierung ein. Dabei muss der Login über ein zweites Gerät, etwa das Smartphone, bestätigt werden. „Früher fand ich das lästig, jetzt habe ich gelernt, dass das eine sinnvolle Lösung ist.“ Außerdem erstattet sie Anzeige bei der Polizei, „schließlich ist das alles in meinem Namen passiert.“

Haftbar gemacht werden können Inhaber von gehackten Konten in aller Regel jedoch nicht, denn zwischen dem echten Account-Inhaber und der Gegenseite kommt kein Kaufvertrag zustande. So urteilte der Bundesgerichtshof auch in einer Auseinandersetzung zwischen zwei Eheleuten: Über den Account seiner Ehefrau verkaufte ein Mann ihre Möbel. Sie hatte ihn weder zum Verkauf berechtigt, noch genehmigte sie sein Verhalten im Nachhinein. Der Kaufvertrag kam nicht zustande (VIII ZR 289/09).

Wichtig dabei ist jedoch, das eigene Konto ausreichend zu sichern und einen möglichen Missbrauch direkt anzuzeigen. Wer allein davon ausgeht, dass die Plattform sich schon kümmern wird, muss im Zweifel mit rechtlichen Konsequenzen rechnen, weil die widerrechtliche Nutzung eines Dritten geduldet und damit auch genehmigt wurde.