PayPal-Zwang bei eBay Deutschland:
Baron von Münchhausen trifft Dagobert Duck

Verkäufer bei eBay mit weniger als 50 Bewertungen müssen seit dem 25. Februar PayPal als Zahlungsmethode anbieten. Betrüger umgehen die als Sicherheitsmaßnahme begründete PayPal-Pflicht mit einfachsten Mitteln.

Die Methoden sind unterschiedlich, aber alle gleich einfach. Bewertungen werden einerseits direkt bei einschlägig bekannten Verkäufern gekauft. Alternativ inszenieren Betrüger eine Reihe von Scheinverkäufen und bewerten sich mit ihrer Vielzahl von Mitgliedskonten „im Kreis“. Ebenfalls beliebt: Käufe bei großen „PowerSellern“. Diese eBay-Verkäufer wickeln so viele Transaktionen ab, dass die individuelle Bewertungsabgabe mit großem Zeitaufwand verbunden wäre. Daher kommt eine Software – ein „Bewertungsautomat“ – zum Einsatz, dessen Aufgabe es ist, positive Kundenbewertungen mit ebensolchen zu erwidern. Eine entsprechende Anzahl Käufe mit sofortiger Bewertungsabgabe bei Verkäufern, die einen Bewertungsautomaten nutzen, garantiert die benötigte Anzahl positiver Rückbewertungen in Minuten – ohne, dass jemals eine einzige Transaktion tatsächlich stattgefunden hat. Bevor die Verkäufer bemerken, dass ihr „Kunde“ niemals am Artikel, sondern ausschließlich an der Bewertung interessiert war, haben die Betrüger das so aufgebaute Mitgliedskonto längst für ihre Zwecke eingesetzt.

Bewertungsaufbauende eBay-Betrüger sind also offensichtlich die einzigen, die von der PayPal-Pflicht nicht betroffen sein werden.

»Untersuchungen haben ergeben, dass die Anzahl schlechter Kauferfahrungen bei Angeboten von Verkäufern mit weniger als 50 Bewertungspunkten doppelt so hoch ist wie bei Verkäufern, die mehr als 50 Bewertungen haben. Wir wollen es für Käufer […] sicherer machen, von Verkäufern mit weniger als 50 Bewertungspunkten zu kaufen« – so lautet die offizielle Lesart, mit der eBay die PayPal-Pflicht begründet.

Das ohnehin minimalistische Identifizierungsverfahren, neu angemeldeten Mitgliedern einen Brief mit Freischaltcode an die angegebene Anmeldeadresse zu senden, hat eBay bereits vor Jahren zugunsten der sogenannten „Schufa-Prüfung“ aufgegeben. Dabei werden die bei der eBay-Anmeldung angegebenen Daten an die Schufa übermittelt und auf Plausibilität mit dort hinterlegten Datensätzen abgeglichen. Das System erlaubt es Betrügern nicht nur, die Daten völlig unbeteiligter real existierender Personen zu missbrauchen; es hat auch so viele Lücken, dass von einer „Prüfung“ eigentlich überhaupt keine Rede sein kann. Die in einschlägigen Kreisen gut bekannten Methoden, die Schufa-Prüfung zu überwinden oder zu umgehen, kann »falle-internet.de« an dieser Stelle aus nachvollziehbaren Gründen nicht im Detail erläutern. Ein Beispiel illustriert das Problem jedoch anschaulich: das Mitgliedskonto des Barons von Münchhausen.

Im Widerspruch zur gängigen Praxis fordert das Geldwäschegesetz von PayPal als Zahlungsdienstleister eigentlich verstärkte Sorgfaltspflichten und benennt eine beglaubigte Ausweiskopie als geeignetes Mittel der Identitätsprüfung, wenn eine Geschäftsbeziehung begründet wird, ohne dass ein Kunde persönlich bei Kontoeröffnung anwesend ist. Mit Hinweis auf den luxemburgischen Firmensitz erklärt sich PayPal jedoch regelmäßig für nicht an deutsches Recht gebunden.

Ein einfaches Beispiel aus dem eBay-Forum zeigt eine mögliche Vorgehensweise beim Betrug mit PayPal: Es werden ohne Lieferabsicht Waren angeboten, die Zahlungen der Käufer über PayPal kassiert. Mit dem so erworbenen PayPal-Guthaben gehen die Betrüger ihrerseits auf Einkaufstour bei nichtsahnenden Verkäufern. Die bestellten Produkte lassen sie sich anonym liefern: an eine Packstation (»falle-internet.de« berichtete), eine leerstehende Wohnung oder - wie in diesem Bericht - einen ungenutzten Briefkasten, der einfach mit einem passenden Namensschild beschriftet wird. Die ursprünglich betrogenen Käufer werden im Rahmen des vielbeworbenen Käuferschutzes von PayPal entschädigt – das Geld dafür verfolgt PP über mehrere Stationen bis zum letzten Empfänger und bucht es mit dem Hinweis auf eine „Zahlung aus betrügerischen Quellen“ von den Konten der Verkäufer ab, deren einziger Fehler es war, PayPal als Zahlungsmethode anzubieten. Ein Teilnehmer der Diskussion fasst zusammen: »Ich glaube, erst durch dieses konkrete Beispiel werden viele Mitglieder erkennen, wie riskant und unsicher PayPal tatsächlich ist. Da wird Guthaben kreuz und quer durch den virtuellen Raum verschoben, ohne dass dabei ein einziges Mal ein echter Name oder ein echtes Bankkonto benutzt wird. Am Ende verliert aber irgendjemand echtes Geld. Und das ist in der Regel nicht die Firma PayPal...!«

Die Liste solcher und ähnlicher Betrugsfälle ist lang. Unter Betrügern beliebt ist auch der „abweichende Artikel“: Nach Erhalt des Pakets wird bei PayPal reklamiert, der Inhalt entspräche nicht der bestellten Ware. Ob der Käufer behauptet, ein Paket voller Steine erhalten zu haben oder mit Hilfe eines „Gutachtens“ einen angeblich defekten Artikel nachweist – PayPal bucht in solchen Fällen auf Zuruf beim Verkäufer zurück.

Nicht ohne Grund bestand Frerk-Malte Feller, langjähriger Geschäftsführer von PayPal Deutschland, bei seinen privaten eBay-Auktionen auf die Zusendung von Ausweiskopien, Kreditkartendaten und Kontoauszügen, falls seine Käufer PayPal als Zahlungsmethode nutzen wollten (»falle-internet.de« und Spiegel Online berichteten). »Der Hintergrund ist, dass PayPal Verkäufer nur bei Beachtung dieser Bedingungen vor unberechtigten Rückbuchungen schützt«, so Feller damals. Diese kreative Auslegung der PayPal-AGB, nach denen PayPal für die Identität der Mitglieder ausdrücklich keine Garantie übernimmt und sämtliche daraus resultierenden Gefahren auf die Verkäufer abwälzt, ist inzwischen von der Öffentlichkeit weitgehend unbeachtet von eBay verboten worden.

Stattdessen verweist man auf den Verkäuferschutz bei PayPal, der vor unberechtigten Rückbuchungen schützen soll. Dass unberechtigte Rückbuchungen durch PayPal überhaupt erst möglich werden und der Verkäuferschutz ohnehin nur eine Kulanzleistung ohne Rechtsanspruch ist, sagt eBay hingegen nicht. Seit der FMF-Klausel – so werden Fellers Bedingungen unter den eBay-Mitgliedern genannt – wurde der ohnehin marginale Verkäuferschutz noch weiter beschnitten. So ist es laut eBay-Grundsätzen beispielsweise verboten, die Bezahlung per PayPal an eine bestimmte Versandart zu knüpfen. Versicherter bzw. sendungsverfolgter Versand ist jedoch eine Grundbedingung für das Einreichen eines Antrags auf Verkäuferschutz. Der Verkäuferschutz für den Fall, dass als Grund für die Rückbuchung ein „erheblich von der Beschreibung abweichender Artikel“ angegeben wird, wurde gleich ersatzlos gestrichen: bei PayPal kennt man die Gefahren des Systems und die damit verbundenen Kosten offensichtlich sehr genau.

Im Zuge der gescheiterten Einführung von PayPal als Zwangsmaßname für alle Verkäufer in Australien hatte eBay schon einmal das Sicherheitsargument bemüht. Die australische Wettbewerbsbehörde »Australian Competition and Consumer Commission (ACCC)« verlangte damals solide Zahlen. eBay erklärte, dass die Betrugsquote bei PayPal-Zahlungen „nur“ 0,3% betrage. Dem gegenüber steht allerdings laut »Australian Payments Clearing Association (APCA)« ein Wert von 0.0167% für Zahlungen mit Kreditkarten. Das Betrugsrisiko mit PayPal ist gegenüber anderen im Online-Handel gängigen Zahlungsmethoden fast 18 Mal so hoch. Die APCA kam in ihrer Stellungnahme folgerichtig zu dem Schluss: »APCA also notes that PayPal’s buyer protection is not reducing fraud but instead is reallocating the cost of fraud from buyers to sellers.« – »Die APCA merkt außerdem an, dass der PayPal-Käuferschutz Betrug nicht verringert, stattdessen aber die Kosten von Betrug von den Käufern auf die Verkäufer umlegt.«

Dieser Einschätzung ist nichts hinzuzufügen, wie »falle-internet.de« aus unzähligen Berichten betroffener Verkäufer weiß.

PayPal führt die Liste der attraktivsten Phishing-Ziele unangefochten an. Die Weigerung, ein obligatorisches TAN-Verfahren einzuführen, wie es im Online-Banking seit Jahren üblich ist, dürfte diesen Umstand befördern. Als wohl einziger Zahlungsdienstleister hält PayPal entgegen gängiger Sicherheitsstandards überdies an der Praxis fest, die Kunden in Mails über einen darin enthaltenen Link zum Login aufzufordern. Das Bundesamt für Sicherheit in der Informationstechnologie äußert sich diplomatisch: »Die Sicherheit eines Zahlungsdienstes im Internet, der lediglich mit einem Passwort geschützt ist, ist grundsätzlich anzuzweifeln.«