Kurze Antwort
Eine Plattform zahlt Verkäufer nie über einen Link, den der Käufer schickt. Wenn Ihnen jemand einen Link zum Geldempfang sendet und die Seite Kartennummer, Ablaufdatum oder Prüfziffer verlangt, ist es Diebstahl – Geld empfängt man nicht durch Eingabe von Kartendaten, damit autorisiert man eine Zahlung.
Diese Masche zielt auf Verkäufer, nicht auf Käufer, und deshalb funktioniert sie weiter. Der Käufer ist freundlich, akzeptiert den Preis sofort und kann nicht persönlich kommen – ein Verwandter kommt, ein Kurier, oder er ist „in einer anderen Stadt“. Dann kommt statt Zahlung bei Übergabe ein Link: eine Seite im Design der Plattform, überschrieben mit „sichere Zahlung“ oder „Kurierzahlung“, auf der der Verkäufer Kartendaten eingeben soll, um das Geld zu erhalten.
Die Logik ist absichtlich umgekehrt. Für den Empfang braucht man nur eine IBAN. Kartennummer, Ablaufdatum und Prüfziffer tippt man ein, wenn man selbst zahlt.
Das Skript, Zeile für Zeile
- Der Kontakt läuft über den Plattform-Chat und wechselt dann zu WhatsApp oder Telegram, „weil es schneller ist“.
- Der Preis wird ohne Verhandlung akzeptiert, und die Übergabe wird so geplant, dass es nie zu einem Treffen kommt.
- Ein Link kommt: „Geben Sie Ihre Kartendaten ein, damit der Kurier das Geld bei Ankunft überweist.“
- Die Seite zeigt einen glaubwürdigen Fehler – „Karte abgelehnt, bitte eine andere“ – so wird eine zweite Karte erfasst, oft aus demselben Haushalt.
- Nach der Autorisierung geht der Betrag in einer oder mehreren kleinen Kartenzahlungen ab, bevor das Inserat gelöscht und der Chat geschlossen wird.
Wie ein echter Plattform-Ablauf aussieht
- Geld kommt über das Treuhand- oder „geschützte Zahlungssystem“ der Plattform und ist dort sichtbar, oder als normale Überweisung auf Ihre IBAN.
- Der Käufer braucht nie Ihre Kartendaten, und die Plattform verschickt keine Einzellinks pro Transaktion.
- Zahlung bei Lieferung oder Barzahlung bei Übergabe bleiben auf Marktplätzen normal – und genau das erwartet ein echter Käufer.
- Ein Angebot, das plötzlich Ihre Karte verlangt, ist eine Richtungsänderung: Ihre Daten sollten nur zu einem Händler fließen, den Sie ausgewählt haben.
Den Link in zehn Sekunden prüfen
Fügen Sie den Link in den BaitScan-Linkprüfer ein, statt ihn zu öffnen. Er löst das echte Ziel auf, markiert die Muster, die eine Marktplatz- oder Kurierdomain nachahmen, und sagt Ihnen, ob die Seite Karten- oder Zugangsdaten verlangt. Er läuft in Ihrem Browser – der Link geht weder an uns noch sonst wohin.
- Die Domain liegt ein Zeichen neben der echten oder ergänzt ein Wort: `olx-pay`, `olxsecure`, `olx.ro-livrare.com`.
- Es fehlt das https-Schloss, oder das Schloss ist da, aber die Domain ist falsch – ein Schloss belegt Verschlüsselung, nicht Eigentum.
- Die Seite hat keine Navigation: keine Kategorien, keine Hilfe, keine AGB. Echte Marktplätze sind ganze Websites; Betrugsseiten sind ein Formular auf einer leeren Seite.
- Ein Countdown oder der Hinweis „Link läuft in 5 Minuten ab“. Echte Zahlungsabläufe laufen nicht ab, um Druck zu erzeugen.
Wenn Sie die Karte schon eingegeben haben
- Karte in der Banking-App sperren, dann die Bank anrufen und Sperrung mit Ersatzkarte verlangen.
- Die Zahlungen am selben Tag reklamieren und angeben, dass die Daten auf einer betrügerischen Zahlungsseite eingegeben wurden.
- Haben Sie auf derselben Seite Ihr Marktplatz-Passwort eingegeben, ändern Sie es sofort und melden Sie alle Sitzungen ab – solche Zugangsdaten werden getrennt von der Karte verkauft.
- Chat und Link aufbewahren: Sie sind der Nachweis, den Ihre Bank verlangt, und was die Plattform zum Sperren des Kontos braucht.
- Inserat und Nutzer in der Plattform melden, dann die Nummer blockieren.
Häufige Fragen
Die Fragen, die zu diesem Artikel am häufigsten gestellt werden – direkt beantwortet.
Kann ein Käufer mir Geld ohne meine Kartendaten schicken?
Ja, und das ist der Normalfall: Eine Überweisung braucht Ihre IBAN, ein Plattform-Treuhandkonto Ihren Account. Kartendaten sind nur nötig, um Geld abzuziehen, nie um es einzuzahlen.
Die Seite hatte ein gültiges https-Schloss und sah offiziell aus. Ist sie sicher?
Nein. Zertifikate werden automatisch ausgestellt und belegen nur, dass die Verbindung zu dieser Domain verschlüsselt ist. Wer die Domain besitzt, sagen sie nicht – und genau daran scheitert eine nachgebaute Domain.
Ich habe auch Name, Telefon und Adresse angegeben. Was nun?
Rechnen Sie mit gezielten Anrufen und Nachrichten mit diesen Daten und behandeln Sie jede Fortsetzung, die das Inserat erwähnt, als Teil desselben Vorgangs. Bestätigen Sie keine Codes und prüfen Sie anrufende Nummern mit dem Telefonprüfer.
Warum besteht man auf WhatsApp statt des Plattform-Chats?
Damit das Gespräch die Moderation und Aufbewahrung der Plattform verlässt. Ein Chat in ihrer Hand hat keinen Meldebutton und kann dem Betrugsteam der Plattform nicht vorgelegt werden.
Geschrieben von Die BaitScan-Redaktion
Ergebnisse sind automatische Risikoeinschätzungen auf Basis öffentlicher Indikatoren und Heuristiken.