Neue Dimension des Cyber-Betrugs? Warum Solaris/ADAC in Beschwerden versinken

Die morgendliche ZDF-Sendung „Volle Kanne – Service täglich“ entzieht sich normalerweise unserem Medienkonsum (wobei wir immerhin noch wussten, dass das Format früher mal „Volle Kanne, Susanne“ hieß). Dieser Tage allerdings ging es neben Beiträgen zu „Fünf Jahre Corona, „Insektenfreundlicher Garten“ oder „Drehregale bauen“ auch um zwei Themen, die unsere eigene Leserschaft frontal betreffen. Das eine lautete: „Weiße Sneaker reinigen“ (okay, das lassen wir heute Morgen trotzdem mal außen vor). Und das andere: Kreditkartenbetrug – und zwar konkret am Beispiel der co-gebrandeten ADAC-Karte der Solarisbank.

Nun muss man fairerweise sagen, dass mehr oder weniger jede Bank, die Kreditkarten begibt, auch mit Betrug zu kämpfen hat. Trotzdem trafen die ZDF-Redakteure mit ihrer Fokussierung auf ADAC/Solaris durchaus ins Schwarze (der „Bayerischer Rundfunk“ berichtete übrigens ebenfalls und wusste zu vermelden, dass der Automobilclub sogar eine „Task Force“ zu dem Berliner Fintech entsandt habe). Wie es nämlich aussieht, sind die Probleme in dem Fall so massiv, dass man ohne Übertreibung von „Volle Kanne, Solaris“ sprechen könnte. Wobei sich die Frage stellt: Kann der leidgeprüfte Berliner „Banking as a Service“-Spezialist wirklich was dafür? Oder sind Solaris und ADAC in diesem Fall selber Opfer?

Von vorn: Opfer sind natürlich zunächst einmal die betroffenen Endkunden, von denen es hunderte, wenn nicht sogar noch mehr geben dürften – was extrem viel ist, selbst wenn man in Rechnung stellt, dass es sich bei der ADAC-Kreditkarte (von denen rund 1,3 Mio. Stück kursieren) um ein Massenprodukt handelt. Beim Beschwerdeportal „Trustpilot“ ist inzwischen eine niedrige vierstellige Anzahl an meist extrem kritischen Bewertungen und Kommentaren aufgelaufen. Der Tenor hier, genau wie in den Beiträgen im ZDF* und beim BR: Es gibt ein massives Problem mit offenbar unrechtmäßigen Abbuchungen von der Karte. Dabei geben viele Nutzer an, sie könnten sich den Hintergrund der Abbuchungen schlicht nicht erklären.

Recherchen von Finanz-Szene legen nahe, dass die Massen an Beschwerden nicht von ungefähr kommt. So könnten sich Cyber-Kriminelle die Solarisbank nach der Übernahme des ADAC-Portfolios im gezielt für Phishing-Attacken im ganz großen Stil ausgeguckt haben – eine These übrigens, die im Umfeld des Berliner Fintechs durchaus geteilt wird. Der Modus operandi wäre demnach:

• Die Internet-Betrüger könnten zig Websites angelegt haben, die allesamt der Login-Seite für die ADAC-Kreditkarte zum Verwechseln ähnlich sehen.
• Anschließend wurden Karteninhaber dann gezielt über Whatsapp, andere Kurznachrichten sowie E-Mails gezielt auf diese Seiten gelotst
• Dort vollzogen die Kunden dann auf einer „geklonten“ Site im Glauben, es handele sich im die echte Website, den vermeintlichen Login
• Tatsächlich aber griffen die Betrüger auf diesem Wege die Login-Daten – und ließen sich eine Freigabe erteilen, mit deren Hilfe dann wiederum Karteneinsätze oder gleich ein neues Gerät mit einer neuen Bezahlwallet zum mehrfachen Bezahleinsatz freigegeben werden konnten

Wie es aus dem Umfeld der Solarisbank heißt, sollen bei den Manövern teilweise sogar Google-Anzeigen zum Einsatz gekommen sein, über die Kunden auf die entsprechenden Betrugsseiten gelockt wurden.

Auch wenn sich die Schilderungen nur bedingt verifizieren lassen, erscheinen sie doch plausibel. So würde der „Tathergang“ beispielsweise erklären, warum ausweislich der Beiträge bei „Trustpilot“ viele Kunden fest überzeugt zu sein scheinen, dass sie eben keinerlei Transaktionen fälschlicherweise autorisiert zu haben – also sich keines Fehlers bewusst sind (ein Schwenk aus eigener Erfahrung: Ein Mitglied der Finanz-Szene-Redaktion ist vor einiger Zeit auf einer nahezu perfekten Kopie der „booking.com“-Website gelandet, inklusive Such- und Buchfunktion. Beinahe wäre eine tatsächlich getätigte Buchung (!) durch Angabe eines Zahlungsmittels ein zweites Mal bestätigt worden, diesmal über die Fake-Seite).

Auch aus anderen Gründen ist plausibel, dass sich die Cyber-Kriminellen bei ihrem mutmaßlichen Großangriff ausgerechnet die Solarisbank und das ADAC-Portfolio ins Visier genommen haben:

1. Das Portfolio umfasst, wie gesagt, 1,3 Mio. Karten und gehört damit zu den größten überhaupt im deutschsprachigen Raum. Selbst wenn die Betrüger ein eher weitmaschiges Netz ausgeworfen haben – also die versendeten Mails, SMS oder Whatsapps gar nicht gezielt an ADAC-Kunden gingen –, dürfte die Chance, den ein oder Fang zu landen, daher vergleichsweise groß gewesen sein.
2. Rund um die Migration der ADAC-Kreditkarten von der LBB zur Solarisbank letzten Herbst gab es viel Kundenkommunikation. Insbesondere die E-Mail-Phishing-Versuche in dem aktuellen Fall sollen häufig explizit auf den Issuer-Wechsel Bezug genommen haben. Das könnte dazu beigetragen haben, dass viele Kunden die Phishing-Mails offenbar nicht als solche erkannt haben, sondern dachten, es handle sich um eine offizielle Kommunikation der beteiligten Unternehmen.
3. Die Nutzer von ADAC-Kreditkarten dürften im Schnitt deutlich älter sein als der durchschnittliche Kreditkartennutzer. Natürlich sind ältere Kunden nicht per se anfälliger für Cyber-Angriffe – von der Tendenz her allerdings sind sie das schon.

Es ist also zumindest mal sehr wahrscheinlich, dass sich die Dinge tatsächlich so zugetragen haben, wie sie uns geschildert werden. Wobei sich hieran natürlich nun weitere Fragen anschließen (diesem Thema wollen wir uns in den nächsten Tagen nochmal separat widmen): Wie groß sind die entstandenen Schäden? Wer kommt dafür auf? Und natürlich: wer muss dafür aufkommen, die Kunden oder Solaris?

–-–

Was die Solarisbank selbst sagt:

In einer Stellungnahme von Solaris gegenüber Finanz-Szene hieß es am Wochenende unter anderem:

„Der Schutz unserer Kunden und die Sicherheit ihrer Einlagen haben für uns höchste Priorität. Der Kampf gegen Finanzkriminalität ist dabei eine zentrale Aufgabe, die wir mit umfassenden Sicherheitsmaßnahmen und modernster Technologie angehen. Unsere Banking- und Kreditkarten Plattform entspricht vollständig den regulatorischen Anforderungen zur Geldwäscheprävention und Betrugsbekämpfung. Sie wird kontinuierlich an das Risikoprofil unserer Partner, Kunden und Transaktionen angepasst. Dabei gehen wir über die gesetzlichen Mindestanforderungen hinaus und setzen auf eine eigene, hochentwickelte Sicherheitsmaßnahme […] Zu konkreten Fällen können wir aus datenschutzrechtlichen Gründen keine Stellung nehmen. Als lizenzierte Bank gelten für uns die Vorgaben der Bafin, die eine Offenlegung von Einzelfall Details untersagen. Phishing-Angriffe auf Bankkunden haben in den letzten Jahren leider stark zugenommen. Dabei versuchen Betrüger, sich über gefälschte E-Mails, SMS/Anrufe oder Webseiten Zugang zu sensiblen Daten zu verschaffen. Trotz unserer kontinuierlich optimierten Sicherheitssysteme bleibt Wachsamkeit der beste Schutz […]“

–––

* Das ZDF hat den Beitrag inzwischen aus seiner Mediathek entfernt – nach Angaben der Solaris, weil er die Behauptung enthielt, nicht Betrüger seien die Ursache der Probleme, sondern die Migration von der LBB zur Solaris

„Mit freundlichen Grüßen, Arno Walter“ – erreicht Phishing eine neue Qualität?

–––

Kartenbetrug: Banken und Sparkassen erreichen dramatisch mehr Beschwerden