Betrug an Packstation-Kunden

Packstationen: Teure Deals mit ausgespähten Kundendaten

In ganz Deutschland stehen sie verteilt, die großen Boxen mit den vielen gelben Schließfächern. Rund 2.500 von diesen Packstationen gibt es mittlerweile im ganzen Bundesgebiet – sie stehen an Postfilialen, Supermärkten, Tankstellen und Häuserecken. Zwei Millionen Kunden nutzen bereits die Möglichkeit, wann und wo sie möchten Pakete entgegenzunehmen oder zu versenden – ganz unabhängig von den Öffnungszeiten der Postfilialen. Attraktiv ist das allerdings nicht nur für DHL-Kunden. Seit Einführung des Systems vor rund zehn Jahren nutzen auch Kriminelle immer wieder die Vorzüge der DHL-Packstationen.

So funktioniert die Packstation

Als der Gelsenkirchener Fotograf Michael W. aus seinem Urlaub zurückkam, staunte er zunächst über die vielen SMS von Packstationen auf seinem Mobiltelefon. Auf seinen Namen waren offensichtlich sechs Pakete in verschiedenen Packstationen eingetroffen und abgeholt worden. Und es wurde noch schlimmer. Denn kurz darauf bekam er Zahlungsermahnungen für Waren, die er nie bestellt hatte. Sogar ein Inkassobüro meldete sich mit Geldforderungen bei ihm. Michael W. meldete sich bei DHL und erfuhr: Sein Packstationszugang wurde offensichtlich geklaut, und: Er ist kein Einzelfall.

Für die Nutzung einer Packstation muss man sich als Kunde zunächst im Internet bei DHL anmelden. Per Einschreiben erhalten die Kunden dann eine Identifikationsnummer, eine DHL-Kundenkarte plus eine dazugehörige PIN geschickt. Auf seinem Onlineaccount kann der Kunde einstellen, ob er per E-Mail oder SMS benachrichtigt werden möchte, wenn ein Paket in der Packstation eingetroffen ist. Nach dieser Registrierung kann der Kunde sich Pakete an jede Packstation in Deutschland schicken lassen und sie dort mit seiner Kundenkarte, der sogenannten GoldCard, und der PIN auslösen.

Auch viele Online-Versandhäuser bieten Kunden den Service, ihre Bestellungen an eine der 2.500 Packstationen in Deutschland zu schicken. Statt der privaten Postadresse geben die Kunden dann die Adresse der gewünschten Packstation an. Genau dies macht Packstationen auch für Kriminelle so interessant. Auf diese Weise bestellten Packstation-Diebe auch im Namen von Michael W. Waren und holten sie mit den Zugangsdaten des Gelsenkirchener Fotografen dann aus der Packstation. Doch wie war das möglich?

Packstationskunden Opfer von Phishing-Mails

Seit Jahren gehen in den Landeskriminalämtern Anzeigen wegen Betrugs mit Packstationen ein. Die Masche ist immer wieder die gleiche: Kriminelle verschaffen sich Zugang zu fremden Packstation-Accounts, bestellen im Internet Waren und schicken sie an eine Packstation weit entfernt vom Wohnort des Opfers. Die Täter können durch den Diebstahl eines Packstation-Accounts völlig anonym betrügerisch bestellte Waren in Empfang nehmen.

Laut Ermittlungen der Polizei handelt es sich bei den Kriminellen sowohl um Einzeltäter als auch um organisierte Banden. In großen Mengen werden immer wieder Mails an viele Tausend E-Mail-Adressen verschickt. Diese E-Mails sehen wie normale Newsletter von DHL aus. Doch es handelt sich bei diesen äußerst professionell gemachten Schreiben um sogenannte Phishing-Mails: Mails, die nur dazu gemacht sind, um an die Zugangsdaten der Packstation-Kunden zu gelangen. Mal wird man in diesen Mails gebeten, seinen Account zu verifizieren, weil es einen so großen Andrang gebe. Mal wird ein neues System vorgestellt, was eine erneute Verifizierung notwendig macht. Besonders perfide: In manchen dieser Mails wird vor Phishing-Mails gewarnt, vor denen man seinen Account mit einer kurzen Verifizierung schützen könne. Laut LKA-Sprecher Falco Schleier wird hier ausgenutzt, dass viele Kunden sehr unbedarft mit ihren Daten umgehen, denn sie erwarten nicht, dass von einem vermeintlich harmlosen System wie der Packstation eine Gefahr für sie ausgehen könnte.

Die Packstation-Diebe haben leichtes Spiel

Mit einem Klick auf den Link in der Phishing-Mail werden Kunden auf eine Seite geleitet, die der echten DHL-Packstationsseite ebenfalls täuschend ähnlich sieht. Dort werden sie aufgefordert, ihre Identifikationsnummer, ihr Account-Passwort und ihre PIN einzugeben. Mit diesen Daten bekommen die Kriminellen nicht nur die Möglichkeit, den Packstationszugang der Kunden zu nutzen, sie gelangen über den Packstation-Account auch an die Privatadresse der Kunden. Mit diesen Daten können sie dann in vielen Onlineshops in Deutschland Waren auf die Rechnungsadresse der betrogenen Kunden bestellen und sich an eine beliebige Packstation schicken lassen.

Um die Machenschaften der Packstation-Diebe einzudämmen, hat DHL im März 2011 das Abholverfahren geändert: Pakete und Päckchen können nur noch mit der Kundenkarte, der sogenannten GoldCard, aus der Packstation geholt werden. Doch auch dieses „Sicherheitsupdate“ hat nicht lange Wirkung gezeigt. Denn, so erklärt Sicherheitsexpertin Christiane Ruetten von der Computerzeitschrift c’t, es handele sich bei den GoldCards, die jeder DHL-Kunde bei seiner Anmeldung zugeschickt bekommen hat, um ganz einfache Magnetstreifenkarten, die relativ einfach zu kopieren seien. Mit dieser Behauptung konfrontieren wir DHL-Sprecher Joerg Koens. Er versichert uns, dass DHL-GoldCards so sicher seien wie beispielsweise EC-Karten von Banken.