Datenschützer warnen: Sofortüberweisung.de durchsucht Onlinekonten

Der Bezahldienst Sofortüberweisung.de hat offenbar Nutzer darüber getäuscht, welche Daten er für die Durchführung einer Transaktion abfragt. Geprüft wird nach Recherchen von NDR Info nicht nur der Kontostand, sondern auch die Umsätze der letzten 30 Tage, der Dispokredit, die Stände weiterer Konten bei der gleichen Bank sowie vorgemerkte Auslandsüberweisungen – laut der Betreiberfirma Payment Network aus Gründen der „Betrugsprävention“. Schließlich sei der online angezeigte Kontostand nicht immer der tatsächlich verfügbare Betrag.

Um eine Transaktion durchzuführen, will Sofortüberweisung.de den „Verfügungsrahmen“ überprüfen. Dazu ist die Eingabe von Kontonummer und Onlinebanking-PIN erforderlich.

Erst ein Klick auf die Datenschutzhinweise offenbart aber, was wirklich überprüft wird. „Was heißt das jetzt: Kontodeckung und Verfügungsrahmen? Es ist nicht verbraucherfreundlich formuliert, um nachvollziehen zu können, was für Möglichkeiten hier eigentlich eingeräumt werden“, sagt Frank-Christian Pauli, Finanzexperte des Bundesverbands der Verbraucherzentralen (VZBV) gegenüber NDR Info. „Eigentlich heißt das ja auf Deutsch nichts anderes als: Ihr gewährt mir den Zugang, komplett in euer Konto reinzugucken.“

Payment Network speichert diese Informationen nach eigenen Angaben nicht; auch haben Mitarbeiter keinen Zugriff. Das übernehme eine Software, erklärte ein Sprecher gegenüber NDR Info. Solche Prüfungen werden demnach zwar nicht in allen, aber doch in einer überwiegenden Zahl der Fälle durchgeführt.

Selbst Datenschützer haben jedoch Definitionsprobleme, wenn es um Begriffe wie „Kostendeckungsabfrage“ geht: „Ich würde glauben, dass man fragt, ob so viel Geld auf dem Konto ist, dass ich meine Rechnung bezahlen kann. Alles, was darüber hinaus geht, bedarf der Erklärung“, erklärt Thomas Kranig, Leiter des bayerischen Landesamts für Datenschutzaufsicht. Er ist für Payment Network zuständig, das seinen Firmensitz in Gauting bei München hat. In einem Brief an das Unternehmen fordert er jetzt eine Stellungnahme.

Erstmals auf Diskrepanzen aufmerksam geworden war c’t-Tester Axel Kossel. Er hatte 2009 im Zuge einer Recherche eine Zahlung über den Dienst durchgeführt. Er hatte ein Girokonto angegeben, abgebucht wurde aber von einem anderen. „Eigentlich hätte Sofortüberweisung.de ja gar nichts von dem anderen Konto wissen können“, sagte Kossel gegenüber NDR Info. „Offensichtlich hat man also meine PIN erst mal benutzt, um zu schauen, welche Konten da sind, und dann ein falsches für die Zahlung ausgewählt.“