Postkonto geplündert

Die Post machts Betrügern leicht: Für eine Einkaufstour im Internet brauchts nur die Nummern von Postkonto und Postcard. Wer eine Bankkarte hat, lebt sicherer.

Mohamed Kesraoui aus Bern erschrak, als er nach einem längeren Ferienaufenthalt in seinem Heimatland Algerien die Auszüge seines Postkontos durchsah. Verteilt auf knapp zwei Monate summierten sich Ausgaben von über 17 000 Franken, die direkt von seinem Konto abgebucht worden waren.

In erster Linie wurden in diversen Online-Shops grössere Summen ausgegeben - vorwiegend für Handys und Zubehör. Kesraoui selber hat allerdings noch nie in seinem Leben über Internet eingekauft. Er war offensichtlich Opfer eines Betrugs geworden.

Ohne Unterschrift und PIN-Code bezahlt

Umgehend wandte sich Kesraoui an die Post. Dort wollte man aber auch nach mehrmaligem Hin und Her nur die Belastungen der letzten 30 Tage zurückerstatten. So stehe es in den Allgemeinen Geschäftsbedingungen. Gut 13 200 Franken hätte sich der Postkunde ans Bein streichen müssen.

Was viele Postkonto-Inhaber nicht wissen: Betrüger können ganz simpel im grossen Stil absahnen. Beim Einkauf im Internet muss man bloss die Zahlungsart «Postfinance Debit Direct» anwählen, die Nummern eines Postkontos und der entsprechenden Postcard angeben - und schon wird der Betrag vom Konto abgebucht.

Beide Nummern stehen direkt auf der Postcard. Wer sie benutzt, benötigt also weder einen PIN-Code noch eine Unterschrift oder Name und Adresse des Karteninhabers. Betrüger können sich so problemlos und gratis Ware per Post an einen Fantasienamen unter einer beliebigen Adresse liefern lassen. Belastet wird dieser Kauf dann dem Postkonto des Betrogenen, dessen Kontonummer eingegeben worden war.

Postfinance-Sprecher Alex Josty rechtfertigt sich: «Die Teilnahmebedingungen werden dem Konsumenten beim Einkauf im Internet deutlich sichtbar präsentiert.» Nur: Das nützt dem betrogenen Kontoinhaber gar nichts. Das eigentliche Problem bleibt: Postfinance bietet eine Zahlungsart an, die alles andere als sicher ist.

Immerhin hat Postfinance im Fall Kesraoui nach Intervention des K-Tipp eingelenkt und auch die restlichen 13 200 Franken zurückerstattet. Postfinance bleibt zwar dabei, dass sie am Fall «kein Verschulden trifft», will aber prüfen, ob «weitere Sicherheitselemente eingeführt werden können».

Tipp: Wer sich schützen will, darf seine Postcard nie aus den Händen geben. Noch besser ist es allerdings, wenn man sein Postkonto für die Belastungen von Debit-Direct-Zahlungen sperrt.

So läufts bei Maestro- und Kreditkarten

Was beim gelben Konto die Postcard, ist bei den Banken die Maestro-Karte. Man kann damit an Automaten Geld beziehen und in zahlreichen Geschäften bezahlen - immer durch Eintippen des geheimen PIN-Codes. Der Einkauf im Internet hingegen funktioniert mit der Maestro-Karte nicht. Und zwar aus «Sicherheitsüberlegungen», wie UBS-Sprecher Serge Steiner sagt.

Anders sieht es bei den Kreditkarten aus. Sie werden online oft als Zahlungsmittel eingesetzt. Meist reicht die Angabe von Kartennummer und Gültigkeitsdatum. Im Unterschied zum Bezahlen per Postcard werden die Beträge aber nicht direkt vom Bankkonto abgebucht, sondern am Monatsende per Rechnung eingefordert.