Achtung! Diese Mail kommt nicht von PayPal! Es handelt sich um einen Phishing-Versuch von Kriminellen.

Das nenne ich mal ein gutes Design für eine Phishing-Spam!

Das gute Design kann allerdings kaum über inhaltliche Schwächen hinwegtäuschen:

Dass es keine Mail von PayPal ist, zeigt sich nicht nur an der eigenwilligen Formulierung „um Ihr Kundenkonto noch mehr Sicherheit zu gewähren“, sondern auch an der unpersönlichen Anrede. Der Link geht dann auch nicht etwa auf die deutschsprachige PayPal-Webseite, sondern auf die fragwürdige Domain kunden37 (punkt) secure (strich) paypal (punkt) de, die natürlich nichts mit PayPal zu tun hat. Jeder kann sich eine Domain registrieren, auch eine, die den Namen einer beliebigen Firma als Namensbestandteil enthält – und Verbrecher machen das gern.

Auf der richtigen Website von PayPal könnte man hingegen alles nachlesen, um sicher zu erkennen, dass es sich hier um Phishing handelt:

Phishing (zusammengesetzt aus den Begriffen password und fishing, also das „Fischen“ nach Passwörtern) funktioniert nach dem immer gleichen Prinzip: Internet-Nutzer bekommen eine E-Mail oder einen Link in einer E-Mail zugeschickt, der nach einer offiziellen Mitteilung eines bekannten Unternehmens aussieht und meist sogar mit originalen Logos und Internet-Adressen versehen ist. Beim Klick auf diesen Link können Daten abgefangen werden.

Daran erkennen Sie echte PayPal-E-Mails

• Sie können sich darauf verlassen: Unsere E-Mails kommen immer ohne Anhang.
• Wir sprechen Sie immer mit vollständigem Vor- und Nachnamen an.
• Wir werden Sie in E-Mails nie auffordern, Ihre Kreditkartennummer oder Kontoverbindung, Ihr Passwort, Ihre E-Mail-Adresse oder Ihren vollständigen Namen, die PIN oder TAN Ihres Bankkontos direkt preiszugeben. Das geschieht ausschließlich in Ihrem PayPal-Konto.

Wenn Sie sich nicht sicher sind, ob Sie es mit einer Phishing-Mail oder einem seriösen Link zu tun haben, öffnen Sie ein neues Browser-Fenster. Gehen Sie auf www.PayPal.de und geben Sie auf dieser selbst aufgerufenen Seite Ihr Passwort ein. E-Mails, die auf eine Phishing-Mail hindeuten, können Sie an spoof@paypal.com weiterleiten. Danach sollten Sie die Mails aus dem E-Mail-Konto löschen.

Die Phishing-Site ist zum Glück mittlerweile vom Hoster aus dem Netz genommen worden, so dass ich nicht mehr abschließend nachvollziehen kann, wie die Betrugsnummer hier läuft.

Aber ich habe folgenden Verdacht:

1. Es wird auf einer „liebevoll“ nachgemachten PayPal-Seite die Eingabe der PayPal-Anmeldedaten gefordert – frei nach dem Motto „Melden sie sich an“
2. Diese Anmeldedaten gehen an die Verbrecher, die damit vollständigen Zugriff auf das PayPal-Konto bekommen. Sie können betrügerische Geschäfte darüber abwickeln, Geld bewegen und das Geld auf das Konto eines Muli überweisen, der dann über Western Union, MoneyGram oder durch Bargeld-Übergabe weiterleitet.
3. Die angegebene Handynummer wird nicht für irgendein MTAN-Verfahren eingetragen. Dies ist nur der Vorwand, der angebliche Grund für diese „Mitteilung von PayPal“.
4. Es ist aber auch gut möglich, dass die so mitermittelte Handy-Nummer verbrecherisch benutzt wird, dass also „alarmierende“ SMS-Nachrichten oder gar Anrufe „von PayPal“ kommen, um darüber eine zusätzliche Betrugsnummer durchzuführen. Wenn das der Fall ist, weiß ich nicht, wie hier vorgegangen wird. Möglichkeiten gibt es einige, bis hin zur telefonischen Abfrage von weiteren Daten (Kreditkarte, Bankkonto) unter ausgelöstem Stress.

Es ist also nur das „gewöhnliche“ Phishing – mit einer Unsicherheit, ob die Telefonnummer für weitere Betrügereien verwendet wird. Die persönlich genutzte Telefonnummer ist generell ein Datum, das man nur sehr sparsam an andere weitergeben sollte, auch wenn sich in letzter Zeit eine bedenkliche Tendenz feststellen lässt, dass sie in allen möglichen Kontexten (zum Beispiel für die Nutzung von Google-Diensten) ohne sachlichen Grund dreist und unter der Behauptung zusätzlicher „Sicherheit“ eingefordert wird. Ein Telefonanruf geht wesentlich intensiver in die private Spähre hinein, als das eine E-Mail jemals könnte, und gewerbsmäßige Betrüger wissen ebenso wie windige Kaufleute, wie in solchen Situationen jener Stress ausgelöst werden kann, der zur Unvernunft führt.

Im Falle dieser Mail gilt einmal mehr: Wer niemals in eine Mail klickt und die Adresse von Websites wie PayPal, eBay oder seiner Bank immer direkt in die Adresszeile seines Browsers eingibt, kann auf das Phishing über Mail kaum hereinfallen.

Deshalb: Niemals in eine Mail klicken!

Danke für die Zusendung dieser aktuellen Phishing-Spam an S. K.