Datenklau: Datenklau: Abgefischt im Netz

Halle (Saale)/MZ. - Die Nachricht überrascht, mitten im Urlaub und fern von zu Hause. "Eine Sendung liegt für Sie in der Packstation 102 in Friedberg zur Abholung bereit." Per SMS auf das Handy und per E-Mail - wie sonst auch - erreicht mich diese Meldung. Ein Irrtum, ein technischer Fehler? Es ist nichts bestellt, und die Packstation im hessischen Friedberg ist mir unbekannt. Pakete gehen indes regelmäßig an eine solche Station - allerdings in Halle. In die Stationen können Kunden ihre Sendungen schicken lassen, wenn sie unter anderem ihre achtstellige Postnummer als Anschrift angeben. Der DHL-Kunde kann die Packstation dann mit Hilfe von Kundenkarte oder Postnummer und Sicherheitscode öffnen und das Paket mitnehmen.

Ein Irrtum?

Auf die überraschende Packstation-Mitteilung folgt sofort von mir eine Antwort-Mail an DHL mit der Bitte um Aufklärung. "Das muss ein Irrtum sein - weder ist das meine Packstation noch erwarte ich eine Sendung." Eine Nachricht, die offenbar versandet - eine Reaktion der Post-Tochter erfolgt nicht. So können Unbekannte noch am Abend desselben Tages in Friedberg das Päckchen unbehelligt abholen. Das weist meine Sendungsübersicht auf der Internetseite zur Packstation aus. Und in Friedberg sind meine Postnummer und der vierstellige Sicherheitscode - die Post-Pin - eingesetzt worden.

Was war passiert? Wie ist es möglich, dass die Packstation-Daten in fremde Hände geraten sind? Ein Anruf bei DHL bringt keine Antwort, man will sich kümmern und bittet um Details. Erst langsam klärt sich: Ich war auf einen sogenannten Phishing-Angriff hereingefallen. Kurz vor Weihnachten traf eine SMS ein, die den Eindruck erweckte, vom DHL-Kundenservice zu kommen. Der Packstation-Account sollte erneuert werden. Ich war skeptisch - bis ich im E-Mail-Postfach dieselbe Nachricht entdecke: "Aufgrund der großen Nachfrage des Packstation-Systems sind wir gezwungen, dauerhaft inaktive Accounts für neue Kunden freizugeben. Selbstverständlich können Sie auf Wunsch weiterhin Ihre Packstation nutzen. Hierfür ist lediglich ein Login unter ... nötig." Beide Nachrichten waren gefälscht.

Natürlich sollte die Packstation weiter genutzt werden. Deshalb doch der - letztlich fatale - Klick auf den Link in der Mail. Es öffnete sich die täuschend echte, gefälschte Packstation-Seite. Schnell waren die Daten eingegeben und damit abgefischt. Das bestätigt vier Tage nach der Friedberg-Überraschung DHL: Man gehe davon aus, dass die Daten ausgespäht worden seien, der Packstation-Account sei gesperrt. Zu erfahren ist auch: Das nach Friedberg geschickte Päckchen kam von einem Internet-Buchversand, bei dem ich nicht Kunde bin. Ach ja, und Anzeige bei der Polizei sollte erstattet werden - das ist mittlerweile geschehen.

Der Schaden scheint gering, aber es bleiben Fragen. Welchen Nutzen haben die Datendiebe? Das Bundesamt für Sicherheit in der Informationstechnik (BSI) geht davon aus, dass die Phishing-Angriffe auf Kunden von Packstationen von Tätern verübt werden, die einem kriminellen Netzwerk angehören. Sie sollen im Versandhandel Waren mit gestohlenen Kreditkartendaten erwerben. Die ausgespähten Packstation-Daten dienen dann zum Empfang der Waren, die Station quasi als toter Briefkasten. So lassen sich Spuren verwischen. Es gibt keine direkte Verbindung zum Kreditkarten-Betrug. DHL-Sprecherin Dunja Kuhlmann berichtet zudem von Versuchen, gezielt Packstation-Daten zu kaufen.

"Es gibt keinen Hackerzugriff"

Und woher haben die Daten-Fischer Handy-Nummer und E-Mail-Adresse, mit denen sie auf die Phishing-Seite locken? Nicht von DHL, betont Kuhlmann, "da gibt es keinerlei Hackerzugriffe". Eher seien sie bei Online-Händlern wie Ebay abgegriffen worden. Zudem gebe es einen illegalen Handel mit Datensätzen. Den bestätigt auch Gabriele Emmrich von der Verbraucherberatung Sachsen-Anhalt. Angeboten werden teilweise auch Geburtsdaten und Kontonummern.

So lasse sich bei Betrugsversuchen durchaus Vertrauen aufbauen und ein "echter Kontakt" etwa der Bank vortäuschen. Dann kann ein schneller Klick leicht zur betrügerischen Adresse im Internet führen - und schließlich zur unerwünschten Urlaubsüberraschung.