Hallo zusammen,
ich habe versucht diesen Fall nicht öffentlich zu klären, allerdings sehe ich dies mittlerweile notwendig um Andere zu warnen.
Am 10.06.2024 wurden wir leider Opfer von Phishing. Mit einer höchst raffinierten Masche (wird hier nicht genannt, um keine Tipps zu generieren) wurde sich Zugang zu unserem O2-Kundenkonto verschafft. An dieser Stelle sei zu erwähnen, dass der Zugang zum Online Portal mit einem einfachen Code vom Handy ohne Passwort möglich ist. IT-Sicherheitsfachkräfte schreien da auf. Würde man zusätzlich zumindest einen Link über eine E-Mail verschicken, wäre das System deutlich sicherer (und ich hätte den Link erhalten und hätte vorher reagieren können).
Nun zum Ablauf.
17:02 Uhr: Betrüger verschafft sich Zugang zum Konto
17:04 Uhr: Betrüger bestellt E-SIM für eine unserer Nummern
Ich bekomme diese Benachrichtungen auf mein Handy, erkenne die Situation und reagiere sofort. Ich ändere das Passwort und logge alle eingeloggten Geräte vom O2 Konto aus. Anschließend rief ich umgehend die O2-Hotline an. Diese Gespräche wurden übrigens von einem Zeugen mitgehört und werden ja ohnehin von O2 aufgezeichnet. Sollte sich im möglicherweise folgenden Rechtsstreit also nachvollziehen lassen.
17:19 Uhr: ich bin mit der Hotline verbunden, schildere den Fall. Dort wird mir mitgeteilt, dass eine E-SIM für eine Telefonnummer von uns aktiviert wurde. Diese wurde dann sofort gesperrt. Auf Nachfrage, ob bereits eine Zahlung getätigt wurde, wurde uns gesagt “Nein, machen Sie sich keine Sorgen Herr XY. Sie haben rechtzeitig reagiert.”. Ich fragte außerdem, ob eine weitere E-SIM für eine andere Nummer aktiviert wurde. Dies wurde mir mit einem eindeutigen “Nein” beantwortet.
Nach dem Telefonat schaute ich nochmal ins Kundenkonto. Die E-SIM war tatsächlich schon wieder gesperrt (ist sie bis heute), aber dann der nächste Schock: entgegen der Aussage der O2-Hotline-Mitarbeiterin wurde doch eine E-SIM für unsere andere Telefonnummer aktiviert. Also wieder anrufen.
18:38 Uhr: endlich mit einem Mitarbeiter verbunden. Ich schildere wieder den Fall. Er sperrt auch die zweite E-SIM. Ich frage erneut nach, weil ich ein Skeptiker bin, ob bereits Bestellungen über die E-SIM getätigt wurden. Auch hier wieder ein klares “Nein. Machen Sie sich keine Sorgen.”
Daraufhin habe ich nochmals das Passwort geändert, alle Drittanbieterdienste präventiv für die Zukunft gesperrt. Im Konto sah ich auch, dass die 2. E-SIM gesperrt wurde (auch diese wurde bis heute nicht mehr aktiviert). Also alles gut? Dachten wir zunächst.
Ende des Monats kam dann die Rechnung mit zusätzlichen Kosten von knapp 300 €. Über beide E-SIM Karten wurden jeweils 2 Käufe im Playstation Store getätigt (also 4 Käufe insgesamt ). Der letzte Kauf wurde um 18:20 Uhr abgewickelt. Betrachtet man jetzt die von mir oben angegebenen (nachweisbaren) Uhrzeiten, ist dies doch höchst interessant.
Mir stellen sich da viele Fragen:
- warum haben die Supportmitarbeiter keinen Einblick in Echtzeitdaten, versichern aber (eindeutig!), dass sie es hätten?
- Was lief da bei der Deaktivierung schief?
- Wie konnte die erste Supportmitarbeitern die zweite E-SIM übersehen?
Für mich als Softwareingenieur stellt sich auch vorallem die Frage nach einer fehlerhaften Datenverarbeitungen (die Serverlogs würde ich an dieser Stelle gerne mal sehen). Das Ausloggen von allen Geräten scheint ebenfalls nicht zu funktionieren (die Session scheint bestehen zu bleiben). Werden die Daten für eine Online-Einsicht gesperrt, gilt dies nur für die Desktopvariante, mobil alles weiterhin schön einzusehen. Dies zeugt von einer enormen Sicherheitslücke und katastrophalem Umgang mit Kundendaten.
Nach weiteren Kontaktaufnahmen, schiebt O2 die Verantwortung komplett an Sony ab (die schieben natürlich zurück). Das Einzige was O2 mir zukommen lassen hat, ist ein sinnbefreiter Einzelverbindungsnachweis. Sinnbefreit deshalb, weil diesem keinerlei weiteren Transaktionsdetails zu entnehmen sind, also nur: Betrag, Datum, Uhrzeit und dass die Zahlung vom Playstation Store kommt.
Ich gebe O2 jetzt nochmal hier die Möglichkeit den Fall zu klären. Der Verbraucherschutz und die einschlägige Verbraucher- und Tech-Presse hätten auch Interesse an Ihrem weiteren Vorgehen.
Wir sind mittlerweile seit über 12 Jahren treue Kunden bei O2 - das wird sich in Zukunft leider ändern.
Mit freundlichen Grüßen
Markus (Pseudonym)
