Hackerangriffe auf Amazon- Geschäftskonten

Hackerangriffe sind längst keine Seltenheit mehr. Die Zwei- Faktor- Authentifizierung galt lange als sicherer Schutz. Neue Tricks der Betrüger überwinden nun aber auch diese und lassen Betroffene nahezu handlungsunfähig zurück. Im Folgenden klären wir Sie über die Hackermethoden auf und geben Tipps, was Sie tun können, um sich zu schützen.

 

Amazon- Marketplace- Verkäufer

Marketplace- Verkäufer sind unabhängige Verkäufer auf Amazon, die sowohl neue als auch gebrauchte bzw. wieder hergestellte Waren sowie Sammlerexemplare anbieten.

Für den Kunden ist es der gleiche Bestellprozess, wie bei einer Bestellung direkt über Amazon. Amazon leitet lediglich den Bestellauftrag und die Zahlungsbestätigung an den Verkäufer weiter. Die Zahlungsdaten erhält der Verkäufer allerdings nicht, diese verbleiben bei Amazon.

Von daher wird auch nie der Fall eintreten, dass ein Kunde direkt an einen Marketplace- Verkäufer bezahlen muss. Etwaigen Zahlungsaufforderungen sollten niemals nachgekommen werden und unbedingt dem Amazon- Kundenservice gemeldet werden!

Leitet ein Verkäufer auf eine Seite außerhalb von Amazon, verstößt er nämlich gegen die Amazon- Richtlinien und kann gesperrt werden.

Surftipp: Mit dem Girokontorechner das beste Girokonto finden

Wie gelangen die Betrüger an die Daten der Händler?

Die bevorzugte Methode sind gefälschte Nachrichten im Amazon- Design, die sehr authentisch wirken- sogenannte Phishing Mails.

Verkäufer werden z.B. aufgefordert auf eine Kundenbeschwerde zu reagieren. In der Mail enthalten ist ein Link, der auf eine andere Website führt, die aber auf den ersten Blick aussieht wie von Amazon. Gibt der Verkäufer seine Zugangsdaten ein, haben die Verbrecher nun leichtes Spiel und können den Account übernehmen.

Oftmals merken betroffene Händler den Betrug erst, wenn Kundenanfragen zu Fake- Artikeln eingehen.

Was sind Phishing- Mails?

Laut dem Bundesamt für Sicherheit in der Informationstechnik ist Phishing „ein Kunstwort aus „Passwort“ und „Fishing“ und bezeichnet Angriffe, bei denen Benutzern gezielt Passwörter, Kreditkartendaten oder andere vertrauliche Informationen entlockt werden. Beispielsweise können die Angreifer geschickt formulierte E-Mails an die Benutzer senden.“.

Man kann Phishing also umgangssprachlich mit „Passwort fischen“ übersetzen.

Aufbau einer Phishing- Mail

Anrede z.B. „Sehr geehrter Kunde“; manchmal sogar mit korrekten Namen, die richtige Anrede ist also kein Ausschlusskriterium!

Grund der Mail: z.B. sollen Sie auf Kundenbeschwerde reagieren; Artikel wurde beschädigt oder ist nicht angekommen; Gesetzesänderungen; Einführung neuer Sicherheitstechnik; Konto wurde gesperrt und ein Datenabgleich wird benötigt

Notwendigkeit zum Handeln, da Konsequenzen bei Nichtbeachtung verharrend sind z.B. wird anderenfalls das Konto gesperrt

Dringlichkeit wird mit knapper Fristsetzung deutlich gemacht (damit man nicht lange überlegt, ob man reagieren soll)

Link oder Dateianhang

Merkmale einer Phishing- Mail

Nicht immer machen es einem die Betrüger einfach eine Phishing- Mail zu erkennen, da sie sehr echt wirken. Es gibt jedoch Merkmale, die mit ziemlicher Sicherheit auf einen Betrugsversuch hindeuten, falls Sie in der Mail zu finden sind.

• Es werden Konsequenzen angedroht, durch diese die Notwendigkeit zum unbedingten sofortigen Handeln deutlich wird.
• Grammatik- und Orthografie- Fehler, Zeichensatzfehler (z.B. kyrillische Buchstaben) lassen darauf schließen, dass die Mail aus dem Ausland stammt und mit einem Übersetzungsdienst übersetzt wurde.
• Anrede mit „sehr geehrter Kunde“: Ihr Vertragspartner wird Sie nicht mit „Kunde“ anreden, sondern mit Ihrem vollen Namen. Aber Vorsicht, im Umkehrschluss bedeutet es nicht, dass die Mail glaubwürdig ist, nur weil der Name korrekt geschrieben wurde.
• Abfrage von PINs oder Passwörtern: Ihr Vertragspartner Sie nicht in einer E-Mail bitten vertrauliche PINS oder Passwörter zu bestätigen.
• Amazon fordert niemals die Aktualisierung der Zahlungsinformationen über einen Link in einer E- mail an. Stattdessen gibt Ihnen das Unternehmen Anleitungen, wie Sie Ihre Kontoinformationen, einschließlich Zahlungsarten, über die Amazon.de- Seite überprüfen können.
• Die Absenderadresse stimmt nicht mit der Adresse im E-Mail- Header überein.
• Mail enthält Forderung oder Mahnung: Diese werden fast ausschließlich per Post versendet und nicht auf dem elektronischen Weg.

Surftipp: Online Girokonten vergleichen und die besten Konditionen finden!

Umgang mit E- Mail bei Verdacht auf Betrug

• Sie sind nicht sicher, ob es sich tatsächlich um einen Betrugsversuch handelt? Fragen Sie beim echten Anbieter nach! Aber auf keinen Fall über die Kontaktmöglichkeit aus der E-Mail, sondern in der Filiale, per Telefon oder Internetseite des Anbieters, die sie außerhalb des E-Mail- Postfaches separat öffnen.
• Sie haben die E-Mail als Phishing- Mail identifiziert? Leiten Sie die Mail an kontakt@verbraucherschutz.com weiter. Am besten kontaktieren Sie noch den echten Anbieter (Amazon, Paypal etc.), damit dieser andere User warnen kann und weitere Schritte einleiten kann.
• Löschen Sie die E- Mail, außer Sie haben bereits einen Link angeklickt, einen Anhang geöffnet oder Daten eingegeben. In diesem Fall ist die Mail ein Beweismittel und sollte aufbewahrt werden.

Aufgepasst bei den folgenden Absendern und Betreffzeilen!

Vebraucherschutz.com sammelt Absender und Betreffzeilen von E- Mails, die Händler im Namen von Amazon Seller Central erhalten haben, bei denen es sich aber um Betrügermaschen handelt. Sind Sie selbst Adressat einer solchen Nachricht geworden, leiten Sie die E- Mail an kontakt@verbraucherschutz.com weiter. Die Verbraucherschützer prüfen die Nachrichten und veröffentlichen diese, um Leser schneller zu warnen.

Umgehung der Zwei- Faktoren- Authentifizierung

Die Zwei- Faktor- Authentifizierung meint das zusätzliche Schützen des Kontos durch Einmalpasswörter, die beispielsweise per SMS empfangen werden.

Sie gilt als sehr sicher, aber kann trotzdem keine absolute Sicherheit versprechen.

Es haben sich in letzter Zeit Fälle gemehrt, bei denen trotz diesen zweifachen Schutzes die E-Mail- Adresse, die hinterlegte Handynummer und das Passwort geändert wurden.

Wie ist es möglich, dass der Verkäufer so von seinem eigenen Konto ausgesperrt wird?

1. Variante: Bei einigen Mobilfunkunternehmen ist bzw. war es möglich eine zweite SIM- Karte der Telefonnummer des Opfers zu beantragen und an eine andere Adresse, als die hinterlegte, zu senden. → In dem Fall erhalten die Kriminellen die Einmalpasswörter ganz einfach selbst, leiten also die Zwei- Faktor- Authentifizierung auf sich selbst um.
2. Eine andere Möglichkeit ist, dass das Smartphone von einem trojanischen Pferd befallen ist, der die Codes an die Täter weiterleitet.
3. Über Phishing (gefälschte E-Mail oder gefälschte Websites) gibt das Opfer die Codes selbst ein, in dem Glauben sich auf der echten Website zu befinden.
4. Bei der Nutzung mancher Apps kann es sein, dass der zweite Faktor gar nicht abgefragt wird.
5. Eine weitere Methode ist es, dass die Betrüger die Session Cookies des Geschädigten übernehmen, dann braucht es keine weitere Authentifizierung, um auf das Konto zuzugreifen.

Surftipp: Von guten Zinsen und Konditionen profitieren – unser Kreditkartenrechner hilft!

Weiteres Vorgehen der Kriminellen, nachdem Verkäufer Account gehackt wurde

Schritt 1: Im Namen der seriösen Amazonverkäufer werden ahnungslose Kunden abgezockt, indem Markenprodukte zu Hauf sehr günstig eingestellt werden. Der Vorteil ist hierbei, dass etablierte Verkäufer bei Amazon bereits viele (positive) Bewertungen haben und dadurch vertrauenswürdig wirken. Das machen sich die Betrüger zu Nutzen.

Schritt 2: Wenn ein Kunde dann aufgrund des augenscheinlich super Deals auf einen Artikel aufmerksam wird und in den Warenkorb zum Bezahlen legt, fordern die Hacker außerhalb von Amazon über die Käufer- E-Mail die vollständige Adresse und Telefonnummer des Kunden. Eine andere Variante ist die, dass bereits in der Artikelinformation oder Käuferbeschreibung steht, dass Kunden bei Interesse mit ihnen in Kontakt treten sollen.

Schritt 3: Daraufhin ergeht einige Tage später eine Zahlungsaufforderung, die optisch so gestaltet ist, dass man denkt sie käme von Amazon.

Schritt 4: Der Kunde wird dazu verleitet das Geld per Banküberweisung (nicht über das Amazon Bezahlsystem) an Strohmänner mit Konten im In- und Ausland zu bezahlen. Dahinter steckt also ein ausgeklügeltes System, was es schwer macht die wahren Drahtzieher ausfindig zu machen.

Schritt 5: Die betroffenen Kunden erhalten die Ware nicht und das Geld erlangen sie in der Regel auch nicht wieder.

Hilfestellung für betroffene Verkäufer

• Sollten Sie auf eine Phishing- E- Mail hereingefallen sein, ändern Sie sofort Ihr Passwort bei der Amazon- Passworthilfe (möglichst sichere Kombination aus Klein- und Großbuchstaben, Zahlen und Sonderzeichen). Diesen Schritt sollten Sie auch dann unternehmen, wenn Sie die Datenpreisgabe abgebrochen haben, also noch keine Daten abgesendet haben, aber bereits teilweise eingetippt.
• Amazon- Passworthilfe kann unter dem nachfolgenden Link aufgerufen werden:

Surftipp: Amazon Passworthilfe


 
• Wenn Sie bereits keinen Zugriff mehr haben, versuchen Sie sich ein neues Passwort über „Passwort vergessen“ zusenden zu lassen.
• Falls auch das fehlschlägt: Kontaktieren Sie umgehend den Amazon Kundenservice (es gibt telefonisch leider keinen direkten Service für Händler) und informieren Sie diesen über den Kontoangriff.
• Lassen Sie ihr Antiviren- bzw. Malwareprogramm auf allen Geräten, auf denen Sie Amazon nutzen, durchlaufen und auf Auffälligkeiten kontrollieren.
• Es empfiehlt sich die Kunden (falls vorhanden) auf Ihrer Händler- Facebookseite/ eigenen Website über den Hackerangriff zu informieren und zu warnen.
• Auch wenn es schwerfällt mit ansehen zu müssen, wie Betrüger Schaden in ihrem Namen anrichten: Viel mehr als Amazon zu kontaktieren können Sie jetzt leider nicht tun. Warten Sie bis Amazon ihr Konto gesperrt hat und Ihnen wieder Zugriff gestattet.
• Nutzen Sie das betroffene Gerät erst wieder, wenn Sie sicher sind, dass es nicht mehr infiziert ist. Da möglicherweise Sicherheitssysteme Ihres Geräts manipuliert wurden, bringt das Anti- Viren- Programm keine absolute Sicherheit.
• Am besten wäre es somit den PC von einem externen Betriebssystem zu starten und auf Schadprogramme zu untersuchen.
• Weiterhin gibt es die Möglichkeit sich an einen Experten zu wenden, der das Gerät überprüft.
• Haben Sie wieder Zugriff auf Ihr Konto, sollten Sie die getätigten Bestellungen der Fake- Artikel stornieren und die Kunden informieren. Meist storniert Amazon aber bereits automatisch und löscht die falschen Artikel.
• Sichern Sie Beweise für eine spätere Anzeige, zum Beispiel geänderte E- Mail- Adressen, Lieferanschriften oder neue Bankverbindungen. Am besten fertigen Sie dazu Screenshots an.
• Die Geldauszahlung von Amazon an den Händler muss neu beantragt werden. Dabei ist nicht klar wie lange die Überprüfung dauert. Das Guthaben wird währenddessen nicht ausgezahlt und sozusagen „eingefroren“. Als Nachweis, dass Sie befugt sind, dient ein Kontoauszug.
• Stellen Sie eine Strafanzeige bei der Polizei gegen Unbekannt. Dies ist auch online möglich: https://www.bka.de/DE/KontaktAufnehmen/Strafanzeigen/strafanzeigen_node.html

Anforderungen, um Händler- Konto auf Amazon reaktivieren zu können

Senden Sie über die Rubrik „Kontaktieren Sie uns“ im Amazon Sellercentral einen Maßnahmenplan mit folgenden Angaben:

• Bestätigung, dass alle Verweise auf externe Websites und/ oder externe Verkaufsprozesse entfernt wurden
• Bestätigung, dass Sie alle Tabs überprüft haben, also Rücksendungen, Garantien und Erstattungen, Versandrichtlinien, Geschäftsbedingungen und Hilfe und diese (wieder) mit den Amazon Richtlinien übereinstimmen
• Bei Änderungen von einem nicht autorisierten Benutzer, müssen Sie bestätigen, dass Sie die folgenden Maßnahmen ergriffen haben, um das Konto zukünftig zu sichern:

1. Erstellen eines neuen sicheren Passworts
2. Bestätigung, dass die aktiven Angebote und Bestellungen Ihre eigenen sind
3. Bestätigung, dass die hinterlegten Bankinformationen Ihre eigenen sind
4. Bestätigung, dass die Zwei- Faktor- Authentifizierung und die Kontakteinstellungen Ihre eigenen sind

• Zusätzlicher Tipp: Es empfiehlt sich auch Anmelde- E-Mail- Adresse für das Amazonkonto zu ändern

Schäden, die den betroffenen Händlern entstehen

Bezahlungen, die noch offen waren, werden erst nach einer Überprüfung durch Amazon an den Geschäftsinhaber ausgezahlt. Die Händler büßen zum einen den Umsatz ihres Tagesgeschäft ein, für die Zeit, in der sie lahmgelegt sind und zum anderen geht eine Menge an Zeit verloren, um wieder Zugriff zum Shop zu erhalten, ganz zu schweigen von dem Aufwand die Fake- Artikel zu löschen bzw. die Kunden zu benachrichtigen.

Doch die Schäden für betroffene Händler gehen noch weiter: Sie bangen um ihre Vertrauenswürdigkeit/ ihren guten Ruf, den sie sich mitunter über Jahre aufgebaut haben.

Sie sollten also bestenfalls vorbeugende Maßnahmen ergreifen und stets wachsam sein für auffällige E- Mails.

Vorbeugende Maßnahmen für Verkäufer

• Führen Sie in regelmäßig einen Viren- bzw. Malwarescan durch.
• Amazon empfiehlt weiterhin alle Programme auf Ihrem Gerät regelmäßig zu aktualisieren, um den optimalsten Schutz zu gewährleisten. (Windows Updates, iOS Update, aktuellstes Javascript, etc.)
• Wenden Sie sich an Ihren E- Mail Anbieter, um Ihren Spam- Filter anzupassen und eventuell weitere technische Möglichkeiten in Anspruch zu nehmen, um zu vermeiden, dass sie überhaupt erst Phishing- Mails erhalten.
• Verwenden Sie nur sichere Passwörter und ändern Sie diese regelmäßig.
• Nutzen Sie Amazon nur als Zusatzkanal. Es ist ein Vorteil, wenn Ihre Haupteinnahmequelle ein eigener Shop ist. Falls Ihr Amazon Account aufgrund eines Angriffs gesperrt ist, verlieren Sie bis zur erneuten Freischaltung nicht sämtliche Einnahmequellen.

• Geben Sie Ihre Passwörter nicht an andere Personen weiter.
• Nicht auf unerwartete Nachrichten antworten, denn dadurch bestätigen Sie dem Absender einer Phishing- Nachricht, dass Ihre E-Mail- Adresse gültig ist.
• Klicken Sie nicht unbedarft auf Links oder Dateianhänge in Emails und vor allen: Geben Sie nicht Ihre Zugangsdaten in einer E- Mail preis.

Achtung: E- Mails im HTML- Format können auch dann bereits gefährlich sein, wenn keine Links oder Dateianhänge geöffnet werden, da im Quellcode schädliche Inhalte versteckt sein können. Überprüfen Sie daher wie Sie Ihre E- Mails empfangen und deaktivieren Sie die Anzeige Ihrer Emails im HTMI- Format.

Tipps für sichere Passwörter

• Kombination aus Klein- und Großbuchstaben, Zahlen und Sonderzeichen
• Mindestens acht Zeichen
• Ein Passwort, welches Sie nirgends sonst verwenden
• Am besten ein kompletter Satz oder ein Zitat, den Sie mit Zahlen und Sonderzeichen ergänzen
• Ändern Sie Ihre Passwörter in regelmäßigen Abständen.

Tipps für Käufer, um nicht auf gehackte Amazon- Händler- Konten hereinzufallen:

• Nicht auf unerwartete Nachrichten antworten, denn dadurch bestätigen Sie dem Absender einer Phishing- Nachricht, dass Ihre E-Mail- Adresse gültig ist.
• Niemals Bezahlungen außerhalb der Amazon Website vornehmen! Diese können von Amazon nicht abgesichert werden.
• Keine Barzahlung oder Vorkasse!
• Wenn sich Produkte deutlich unter dem üblichen Preisrahmen bewegen- besser Finger weg!
• Checken Sie die Händlerinformationen genau! Verkauft hier ein Händler für Kinderartikel plötzlich z.B. Fernseher, sollten Sie wachsam sein und besser nichts in diesem Shop kaufen.

• Sie können den Händler anrufen und nachfragen, ob sein Amazon- Konto Opfer von Hackerangriffen geworden ist.
• Sollten Sie bereits Geld überwiesen haben, kontaktieren Sie umgehend Ihre Bank und versuchen Sie die Überweisung noch aufzuhalten bzw. rückgängig zu machen.

Verzeichnis von Fake- Shops bzw. Shops, die allein 2020 Betrügern zum Opfer fielen. Momentan umfasst die Liste über 200 Shops. (Stand 30.06.2020)

Kritik an Amazon und Stellungnahme des Unternehmens

Es wurde bereits oft Kritik laut, dass Amazon als Marktführer im Online- Handel nicht ausreichend gegen die Hackerangriffe vorgehe und die Händler wiederum kaum eine vergleichbare Alternative haben, als bei Amazon zu verkaufen. Amazon müsse auch eine bessere Aufklärung über die Betrugsmasche betreiben, denn es werden nicht nur Verkäufer, sondern auch Käufer geschädigt.

Es stellt sich die Frage wieso Amazon nicht verhindert, dass automatisiert Fake- Produkte hochgeladen werden, die dadurch auffallen, dass sie in einer Vielzahl vorkommen (Hunderte oder Tausende in Rekordzeit), in keinem Zusammenhang mit sonstigen Angeboten des Verkäufers stehen und deutlich günstiger sind als andere Angebote ihrer Art.

Amazon wiederum erwidert darauf, dass diese Betrugsmaschen nur Einzelfälle seien, die man überwiegend schnell und erfolgreich identifiziere und aufarbeite. Nach eigenen Angaben hat das Unternehmen 2018 über 400 Millionen US- Dollar für Maßnahmen zur Betrugsbekämpfung ausgegeben.

Warum stellt Amazon bei ausländischen Zugriffen bzw. von unbekannten Geräten keine weitere Sicherheitsabfrage? Denn die Warnung, dass sich jemand Fremdes eingeloggt hat, ist eher zwecklos, wenn man sogleich aus dem Konto gesperrt wird.

Andererseits: Würde Amazon vor den eigenen Marketplace- Händlern warnen, würden auch seriöse Händler darunter leiden. Zu hohe Sicherheitsvorkehrungen könnten eventuell den Kaufprozess unkomfortabler gestalten und Kunden und Verkäufer abschrecken. Wobei die Meisten bereit sein dürften für ihre Sicherheit Unannehmlichkeiten in Kauf zu nehmen.

Strafbarkeit von Hackerangriffen

Nach §§ 202a bis 202c StGB ist das Ausspähen und Abfangen von Daten, sowie deren Vorbereitung strafbar.

Diese Paragrafen wurden durch das Einundvierzigste Strafrechtsänderungsgesetz zur Bekämpfung der Computerkriminalität am 11. August 2007 in das StGB eingefügt.

Strafbar handelt, wer Passwörter, andere Sicherheitscodes oder Computerprogramme herstellt, sich oder einem anderen verschafft, verkauft oder verbreitet, die es ermöglichen sich oder einem anderen unbefugt Zugang zu Daten zu verschaffen, die gesichert sind.

Diese Taten werden mit bis zu zwei Jahren Gefängnis oder mit einer Geldstrafe bestraft.

Der Rechtsausschuss des Deutschen Bundestages bestätigte, dass der gutwillige Umgang mit Hackertools durch IT-Sicherheitsexperten nicht vom § 202c StGB erfasst wird.

Neue P2B- Verordnung

Ab Juli 2020 gilt die Plattform- To- Business- Verordnung (kurz: P2B- Verordnung).

Mit dieser neuen Regelung wird die in der digitalen Wirtschaft herrschende Abhängigkeit der gewerblichen Nutzer von Suchmaschinen, Vergleichsportalen, sozialen Netzwerken anerkannt.

Amazon hat offensichtlich eine marktherrschende Position.

Mittels der neuen Verordnung sollen die Rechte von gewerblichen Nutzern gestärkt werden und somit das Verhältnis zwischen Händler und Plattform transparenter und ausgeglichener gestaltet werden.

Beispielsweise müssen Kriterien für die Rangfolge in der Listung nachvollziehbarer gestaltet sein.

Um Rechtssicherheit zu schaffen sollen künftig in den AGB des Betreibers die Gründe aufgezählt werden, die zu einem vorübergehenden oder dauerhaften Ausschluss des Händlers führen können.

Es gibt auch eine neue Rechtschutzmöglichkeit: die Errichtung eines internen Beschwerdemanagments. Amazon z.B. muss somit in Zukunft schnell, sorgfältig und individuell auf eingehende Beschwerden von Händlern reagieren. Das ist definitiv ein Schritt in die richtige Richtung. Bisher gab es keinen telefonischen Händlerservice. Es gestaltete sich für Betroffene sehr aufwendig überhaupt eine zuständige Person bei Amazon zu erreichen.

Fazit

Hundertprozentige Sicherheit wird Ihnen im Internet leider niemand versprechen können, aber mit erhöhter Aufmerksamkeit und vorbeugenden Maßnahmen kann ein Datenklau deutlich minimiert werden. Generell gilt: Gehen Sie immer sensibel mit Ihren Daten um und geben Sie diese nicht zu leichtfertig preis. Betreiben Sie lieber einmal den Mehraufwand, indem Sie beim wahren Absender einer E- Mail nachforschen, bevor Sie auf einen Betrüger hereinfallen.

 

Quellen

• Abzocke auf Amazon: Vorsicht vor Lockangeboten in Marketplace- Shops
• Betrug bei Amazon- Wie falsche Händler uns in die Falle locken
• CT Magazin für Computer Technik Ausgabe 13/ 2020, Seite 114f., „Altes Konzept, neuer Trick“, Autor: Christian Wölbert
• Über Bestellungen bei Marketplace- Verkäufern
• Mein System schützen
• Amazon Seller Central: Vorsicht bei diesen Phishing- E- Mails
• Phishing- Mails: Kein Tag ohne Betrug
• Merkmale einer Phishing- Mail:
• Phishing und trojanische Pferde- Angriffe auf den eigenen PC erkennen und abwehren
• Mehr Rechtsschutz für Händler bei Amazon & Co.
• Verordnung zur Förderung von Fairness und Transparenz für gewerbliche Nutzer von Online- Vermittlungsdiensten
• Betrüger schlagen immer öfter beim Online- Banking zu
• Kunden überweisen ins Nichts
• Über die sichere Identifizierung von Amazon E- Mails, Anrufen oder Textnachrichten