Kundenmitarbeiter hat einfach die E-Mail geändert

Hallo zusammen,

ich habe eine simple kleine Frage und zwar wie kann es sein, dass ein Kundenmitarbeiter einfach die E-Mail ändert wenn jemand völlig FREMDES anruft und sich als die Person darstellt.

Zur Geschichte:

Bei meiner Freundin hat man mit ERFOLG die E-Mail-Adresse geändert sowie die abweichende Lieferadresse. Damit haben die Betrüger (ein Mann und eine Frau) sich somit erfolgreich ein IPhone 11 64GB Pro Max in Nachtgrün geholt. 

Angefangen hat es mit einem Schreiben von heute, 14.10.2020, “Ihr Anliegen vom 9.Oktober 2020”, wo es um die persönliche Kundenkennzahl geht, die angefordert worden ist. Kritisch dem Schreiben gegenüber bat ich meiner Freundin einen Blick ins o2online Konto zu werfen und ggf. die Kennwörter zu ändern, für den Fall der Fälle. Doch es war bereits VIEL ZU SPÄT dort stand nämlich schon eine geänderte E-Mail-Adresse die definitiv nicht von meiner Freundin war, frecherweise aber der Nachname meiner Freundin in der hinterlegten E-Mail enthalten war. Daraufhin hat meine Freundin beim Kundenservice angerufen und erzählt, dass sie wohlmöglich Opfer eines Betruges ist. Jetzt kommt etwas wofür ich gar keine Worte eigentlich habe. Der Kundenservice-Mitarbeiter berichtete meiner Freundin, dass die Betrügerin bei “o2” angerufen hat und eine Änderung der E-Mail-Adresse, Lieferadresse und eine Bestellung über das bereits oben benannte IPhone tätigen wollte. Wo eigentlich jetzt ein wenig die ALARMGLOCKEN hätten läuten müssen wurde nur nach der persönlichen Kundenkennzahl gefragt, welche die Betrügerin natürlich nicht wusste, deswegen ja auch das Schreiben welches wir heute bekommen haben. Auf die Frage wie die letzten Stellen der IBAN sind fand sie wohl auch keine Antwort. Spätestens jetzt sollten wirklich die Kirchglocken läuten. Die Betrügerin meinte sie meldet sich noch einmal wieder wenn sie es herausgefunden hat. Die Kundenservice-Mitarbeiterin machte sich zumindest kleine Notizen im System und wurde wahrscheinlich ein wenig nur stutzig.  Nach ungefähr 10-15 Minuten hat die Betrügerin wieder angerufen, hatte aber dieses Mal einen männlichen Kundenservice-Mitarbeiter am Telefon, der ihr dann die E-Mail-Adresse geändert hat OHNE die persönliche Kundenkennzahl. Die Bestellung ging raus und das Paket wurde bereits geliefert und ist angekommen. Am 13.10.2020 wurde wieder versucht anzurufen und ein Handy zu bestellen, diesmal wohl ein männlicher Anrufer.

Der Kundenservice-Mitarbeiter der mit meiner Freundin telefoniert hat, meinte dass die Angreifer wahrscheinlich den Mail-Account geknackt haben und somit die E-Mail-Adresse geändert haben anders kann er es sich schwer vorstellen. Dies kann ich aber mit sehr großer Wahrscheinlichkeit verneinen. Warum ?

Der zweite männliche Kundenservice-Mitarbeiter hat einfach die E-Mail-Adresse geändert weil in den ersten Notizen der weiblichen Kundenservice-Mitarbeiterin, die Anfrage enthalten war E-Mail-Adresse ändern und Lieferanschrift. Es würden auch sämtliche Benachrichtigungen erscheinen auf dem Handy meiner Freundin weil das Postfach mit dem Handy verbunden ist und und und … 

Dass die Betrüger sich für eine Ratenzahlung entschieden haben erwähne ich mal beiläufig.

Jetzt erklärt mir mal bitte, wie kann das möglich sein im Zeitalter von DSGVO, dass man so verdammt leicht mit nur zwei Anrufen und obwohl in der Notiz stand, dass evtl. etwas nicht stimmt, trotzdem so etwas lächerliches passieren kann? Werdet Ihr nicht genau dafür geschult ? Das ganze ist so kurios. 

Sicher werden wir jetzt zur Polizei gehen und es zur Anzeige bringen aber ich habe in dieser Zeit als Familienvater von 2 Kindern etwas viel besser vor als EURE Fehler auszubaden, danke !