Betrug an der Packstation

10. November 2012 Diesen Titel trägt der Automat zu Recht: Als „innovativstes Produkt“ wurde die Packstation einst ausgezeichnet, drei Millionen Kunden sind begeistert. Wer über das Versandunternehmen DHL ein Buch bestellt, hat die freie Wahl des Lieferorts: Wohnung, Nachbarn, Post-Filiale. Oder in die Packstation.

Kein Murren, keinen Feierabend kennt die Maschine, hält 24 Stunden Jacke, Laptop, Kamera bereit. Praktisch ist das, auch für Kriminelle. Denn abgeholt wird anonym: Und so bestellen Betrüger auf den Namen ahnungsloser Packstationskunden Waren im Internet, Lieferadresse ist der Automat. Bezahlt wird mit geklauten Kreditkartendaten - oder auf Rechnung. Die geht dann an den Kunden. Für mehr als 100.000 Euro orderte ein Münsteraner vergangenes Jahr bei Händlern auf fremder Leute Rechnung: Laptops, iPads, Schmuck - alles an die Packstation. Gleich 20 Rechnungen erhielt ein Mandant des Kölner Rechtsanwalts Christian Solmecke für Dinge, die er nie bestellt hatte, geschweige denn erhalten. Gesamtwert: 13.000 Euro. Geliefert wurde an den Automaten.

Der Kunde ahnt nichts - bis die Rechnung kommt

Nun kann nicht einfach jeder in fremdem Namen an die Packstation bestellen. Dafür braucht es allerhand Daten des DHL-Kunden. Und bisher ließ sich das Paket nur mit Kundenkarte abholen - doch die hatte der Betrüger in Münster einfach nachgemacht, die Daten vorher auf dem Rechner des Packstationsbenutzers ausgespäht. „Phishing“ heißt das Delikt, bekannt aus der Bankenwelt, bei dem ahnungslose Kunden täuschend echte E-Mails vom Dienstleister erhalten: Man solle doch bitte auf der und der Seite seine Daten neu eingeben, es habe eine technische Panne gegeben. Der Kunde ahnt nichts - bis die Rechnung kommt.

Zahlen über die Häufigkeit der Packstationsbetrügereien hat das Bundeskriminalamt nicht, DHL spricht von 100 bis 200 bekannten Fällen pro Jahr. 200 Packstationsbetrügereien legte allerdings allein die Kriminalpolizei Rosenheim im Oktober 2011 jenem Tätertrio aus dem bayerischen Landkreis zur Last, das der Sonderkommission „Packstation“ ins Netz gegangen war: Vorwiegend hochwertige Elektroartikel hatte ein 29-Jähriger nebst Komplizen auf fremde Rechnung in die Packstation bestellt und nach Abholung versteigert.

DHL versteht die Aufregung nicht: „Durch Packstationsbetrug entsteht für den Kunden kein finanzieller Schaden.“ Den hat das Versandhaus zu tragen - eigentlich. Denn Opferanwalt Solmecke berichtet, vielen seiner betrogenen Mandanten flattere eine Inkassoforderung nach der anderen ins Haus: „Das ist für die Betroffenen belastend.“ Schlimmer noch: So eindeutig sei die Rechtslage nicht. Wie auch Bankkunden sind Packstationsopfer nach mancher Rechtsauffassung haftbar: „Wenn sie nicht auf ihre Daten aufgepasst haben.“

Klar: Ein Massenphänomen ist Packstationsbetrug noch nicht. Doch das könnte sich ändern: „In letzter Zeit beobachten wir, dass Betrüger mit geklauten Daten nicht nur Bankkonten abräumen, sondern auch Waren im Internet bestellen und diese auf fremde Namen an Packstationen liefern lassen“, sagt Timo Steffens vom Bonner Bundesamt für Sicherheit in der Informationstechnik (BSI). Die Kriminellen haben die Packstation als Alternative zu den risikoreichen Kontobetrügereien entdeckt: „Anders als nachverfolgbare Geldabhebungen lassen sich Pakete anonym abholen und ebenfalls anonym weiterverkaufen.“ Sogar Waffen orderten Schmuggler auf die Namen ahnungsloser Packstationskunden - öffnet der Zoll das Paket, muss sich nur der Adressat erklären.

„Es gibt niemals einen finalen Sicherheitsstandard“

Da drängt sich die Frage auf: Wie sicher ist die Packstation? Sicherer, sagt DHL - ab sofort. Diesen Monat hat der Transporteur eine neue Stufe eingezogen: Wer will, für den geht die Tür in der Packstation mit einem Code auf, der auf das Handy des Packstationsnutzers geschickt wird. „mTan“ heißt das Verfahren, ebenfalls bekannt aus dem Online-Banking. Die Idee: PCs sind auszuspähen. Doch das Handy müsste der Betrüger stehlen, um an SMS-Code und Paket zu kommen: „Mit der mTan haben wir den Sicherheitsstandard vieler Banken nun auch für den Paketdienst eingeführt“, sagt Andrej Busch, DHL-Paketchef: „Ich kann jedem guten Gewissens raten, die Packstation zu nutzen.“

Andererseits: „Es gibt natürlich niemals einen finalen Sicherheitsstandard.“ Sehr richtig: Erst vor eineinhalb Jahren hatte DHL die Packstation „noch sicherer“ gemacht, wie schon so oft. Gehindert hat es Kriminelle nie. Internetgangster seien „flexibel, schnell und professionell“, sagt Jörg Ziercke, Präsident des Bundeskriminalamts (BKA): Gebe es ein neues Sicherheitsverfahren, gingen die Fallzahlen kurzfristig zurück, dann stiegen sie noch stärker als vorher: „Die Täterseite verfügt schon jetzt über das technische Wissen zur Umgehung moderner Sicherungssysteme wie das mTan-Verfahren.“

Wie unter dem Brennglas zeigt das Beispiel Packstation die Probleme der digitalen Welt: Erst Anfang Oktober stellte DHL seine mTan-Idee auf dem IT-Security-Tag der Fraunhofer-Institute vor. Doch die Experten sind nicht überzeugt. Zu leicht ist es, sich auf ganz normalen Websites etwa auf Werbebannern Schadsoftware einzufangen: „Wenn erst mal ein Trojaner auf dem PC ist, kann der Angreifer damit sämtliche Daten abfischen“, sagt BSI-Experte Steffens. „Dann darf ein System nicht so konfiguriert sein, dass der Angreifer mit diesen Daten die mTan-Benachrichtigungen auf seine eigene Mobilnummer umleiten kann. Sonst landet die SMS mit dem Packstations-Code auf dem Handy des Betrügers.“ Matthias Ritscher vom Fraunhofer-Institut für Sichere Informationstechnologie sekundiert: „Es gibt Verfahren, die sicherer sind als die mTan.“ Chipkarten wie die EC-Karte böten „ein eindeutig geringeres Angriffspotential“.

Der Experte legt den Finger in die Wunde: „Die Umstellung auf ein solches Verfahren kostet natürlich Geld.“ Lohnt sich das? DHL-Manager Busch sieht es so: „Egal bei welchem Verfahren: Wo Menschen interagieren, besteht immer ein Sicherheitsrisiko.“