Massiver Betrug beim Deutschlandticket

Stand: 08.12.2024, 14:24 Uhr

Betrüger machen Gewinn mit illegalen Deutschlandtickets. Nach Recherchen des WDR-Magazins Westpol gab es seit der Einführung mindestens 10.000 Betrugsfälle in NRW.

Von Selome Abdulaziz, Merle Göddertz, Mariia Kalus, Jonas Helm, Laura Weigele

Für viele ist es eine Horror-Vorstellung: Man öffnet die Banking-App und sieht Abbuchungen, die man selbst gar nicht vorgenommen hat. Doch genau das passierte Andreas Kaiser. Seinen Namen haben wir geändert. Monatelang hatte er über 50 Abbuchungen von Verkehrsbetrieben auf seinem Konto. Tausende Euro - der Betreff war jedes Mal der gleiche: Deutschlandticket. Die Abbuchungen kamen von Verkehrsbetrieben aus Hagen und Duisburg, dabei wohnt Andreas Kaiser in Bayern. Offenbar kauften Betrüger mit seinen Kontodaten Tickets. Der Schock war groß.

Ich hatte das Gefühl, ausgeliefert zu sein. Jemand hat meine Daten und kann sie einfach verwenden und niemand fragt nach, ob ich das wirklich bin. Es war eine wirklich große psychische Belastung. Andreas Kaiser

Andreas Kaiser ist bei Weitem nicht der einzige Fall. Deutschlandweit schlagen die Betrüger zu. Sie nutzen Sicherheitslücken bei den Verkehrsbetrieben aus. Ein Großteil der Betriebe hat SEPA-Lastschriftverfahren als Bezahlmethode beim Deutschlandticket angeboten. Bei dieser Bezahlart müssen Kontoinhaber nicht sofort zustimmen, wodurch der Betrug oft auch unbemerkt bleibt.

Die Betrüger beschaffen sich IBAN-Daten aus dem Internet und kaufen damit gültige digitale Deutschlandtickets bei den Verkehrsbetrieben. Das Geld dafür wird vom Konto der ahnungslosen Opfer abgebucht. Anschließend bieten die Betrüger die Tickets über täuschend echt wirkende Websites oder in Telegram-Gruppen günstiger an und machen Gewinn.

Deutschlandticket für 30 Euro – Ein verlockendes Angebot

In diesen Gruppen kursieren verlockende Angebote: Ein Deutschlandticket für nur 30 Euro oder auch 3 Monate zum Spar-Tarif von 60 Euro. Preise, die die Verkehrsbetriebe nicht anbieten können. Die Kunden sollen den Verkäufern lediglich ihre persönlichen Daten schicken und bekommen dann ein personalisiertes Deutschlandticket.

Und der Betrug scheint sich zu lohnen. Westpol fragt alle Verkehrsbetriebe in NRW an, die das Deutschlandticket verkaufen. 49 der 59 angefragten Betriebe antworten. Das Ergebnis: Mehr als die Hälfte sind von Betrug betroffen – in unterschiedlichsten Größenordnungen. In Städten wie Essen und Aachen waren es nur wenige Fälle, in Duisburg und Wuppertal schon mehrere Hundert. Besonders betroffen sind zwei Betriebe aus Ostwestfalen mit jeweils über tausend Fällen. Zusammengefasst ergeben sich aus den Antworten in NRW mindestens 10.000 Betrugsfälle. Die Dunkelziffer ist vermutlich nochmal höher.

Betrugsmasche: SEPA-Lastschriftverfahren

Doch wie konnte es zu so einem Betrug kommen? Die meisten Verkehrsbetriebe wollen auf WDR-Anfrage nicht über den Betrug sprechen. Doch die Verkehrsbetriebe Westfalen Süd aus Siegen erklären sich zu einem Interview bereit. Dem Betrieb sind aktuell etwa 180 Betrugsfälle bekannt.

Laut Pressesprecher Stephan Boch bemerkte man dort den Betrug durch betroffene Kunden, denen Geld vom Konto abgebucht wurde. Später sei dem Verkehrsbetrieb dann ein Muster aufgefallen: Auffällig war, dass der Betrug immer über das SEPA-Lastschriftmandat lief. Die Betrüger konnten also mit der IBAN eines fremden Kontoinhabers beim Unternehmen einfach Tickets kaufen.

Aber warum gibt eine so simple Möglichkeit des Ticketkaufs überhaupt? Für Stephan Boch gibt es mehrere Gründe, dieses Bezahl-Verfahren weiter anzubieten: „Kostenseitig ist SEPA-Lastschrift tatsächlich das günstigste Bezahlverfahren im Vergleich zu PayPal, Kreditkarte oder ähnlichem. Und es ist natürlich auch das Medium, was die höchste Akzeptanz auf Kundenseite hat.“

Sicherheitslücken extrem groß

Die Ticketkäufe prüft man in Siegen jetzt aufwändig händisch, um Betrugskäufe herauszufiltern. Manche Verkehrsbetriebe haben höhere Sicherheitshürden beim Verkauf eingebaut oder SEPA-Lastschrift abgeschafft.

Aber besonders bei älteren Menschen seien PayPal Konten und Kreditkarten nicht so weit verbreitet, so Boch. Nicht nur in Siegen haben diese Argumente die Sicherheitsbedenken überwogen. Auch andere Verkehrsbetriebe bieten – trotz der Betrugsfälle – die Zahlung per Lastschrift weiter an.

Dabei warnen Cybersicherheitsexperten wie Manuel Atug seit Jahren vor dieser Methode. Er sieht die Verkehrsbetriebe in der Pflicht, Nutzer zu schützen. Auch durch besser gesicherte Verkaufsmethoden:

„Das ist desaströs und armselig. Dass man im Jahr 2024 immer noch nicht weiß, wie man ein Shopsystem betreibt und dann sogar Hunderttausende oder Millionen an Verlusten einfährt und vor allem die Nutzerinnendaten, die da abgegriffen werden, missbrauchen lässt und sozusagen in Kauf nimmt, dass unbescholtenen Bürgerinnen irgendwie Geld vom Konto abgebucht wird, ist ein Unding.“

Ermittlungsbehörden überfordert

Und auch die Politik müsse laut Atug mehr tun. Außerdem kritisiert er, dass die Entscheidung für die Einführung des Deutschlandtickets zu schnell gefällt wurde, ohne die Sicherheit mitzudenken. Man hätte den Verkehrsbetrieben Vorgaben machen und mehr Zeit für die Umstellung geben müssen. Außerdem seien aus Sicht des Sicherheitsexperten die Strafverfolgungsbehörden überfordert „und so können solche Webseiten je nachdem sehr lange funktionieren“.

Doch trotz des anhaltenden Betruges gibt es bisher keine gebündelten Ermittlungen, weder bei der Bundes- noch bei der Landespolizei. Ein Sprecher des NRW-Innenministeriums erklärt uns schriftlich: "Eine Bündelung dieser Ermittlungen beim LKA NRW oder die Übergabe von Ermittlungen an Bundesbehörden ist nicht vorgesehen und nach hiesiger Einschätzung in den konkreten Fällen auch nicht zielführend." Lediglich einzelne Polizeibehörden ermitteln, wenn Betroffene Anzeige erstatten. Diese laufen oft ins Leere, da die anonymen Täter online kaum zurückzuverfolgen sind. Auch Andreas Kaiser hat Anzeige erstattet. Bis heute konnten die Täter nicht ermittelt werden.

Unsere Quellen: