Lidl Pay ist das hauseigene Bezahlsystem des Discounters. Es existiert nur in Deutschland und kann als Teil der breiter aufgestellten App Lidl Plus verwendet werden. Lidl Plus war ursprünglich als sogenannte Loyalty-App zur Kundenbindung geplant. Hier gibt es Coupons für vergünstigte Artikel, Infos zu den neuesten Angeboten und mehr.

Seit Anfang Mai können Nutzende über die App das Bezahlsystem Lidl Pay verwenden. Dazu hinterlegen sie ihre Kontodaten. An der Kasse wird dann von der App ein QR-Code generiert, den das Kassenpersonal nur noch scannen muss.

Ein individuelles Zahlungslimit legt Lidl unter Berücksichtigung der Bonität des Kunden, aber auch im Kontext der eigenen Erfahrungen mit der Zahlungszuverlässigkeit des Kunden fest. Typischerweise scheint das Limit zwischen 100 und 200 Euro zu liegen.

Bei der Zahlung findet kein direkter Kontenabgleich statt. Vielmehr bildet Lidl Pay hier den Bezahlvorgang per Lastschrift ab. Dafür gibt es keine Absicherungen. Das Ausfallrisiko liegt beim Discounter, der die Forderung dann beim Kunden zivilrechtlich geltend machen müsste.

Es sollte also zu erwarten sein, dass Lidl ein besonderes Interesse daran hat, die Korrektheit der Kontoangaben im Vorfeld zu prüfen. Dienstleister wie Payback oder Paypal regeln das in der Regel über eine Cent-Überweisung auf das angegebene Konto. Im Verwendungszweck wird ein Code übermittelt, der im Nachgang wieder über den Kunden-Account beim Dienstleister eingegeben werden muss. So weiß der Dienstleister, dass der Anmeldende auch tatsächlich Zugriff auf das hinterlegte Konto hat.

So geht Lidl nicht vor. Hier reicht das Hinterlegen einer E-Mail-Adresse. Die Kontodaten selbst werden nicht mehr geprüft. Diesen Umstand haben sich nun offenbar Betrüger in einem Umfang zunutze gemacht, dass die Polizei Berlin bestätigen kann, diese Fälle systematisch im Betrugsdezernat des Landeskriminalamts zu erfassen.

Konkrete Zahlen konnte die Polizei nicht nennen. Dafür sei der Erhebungszeitraum seit dem 1. Juni 2021 schlicht zu kurz, so ein Sprecher gegenüber dem Supermarktblog, der zuerst über das Problem berichtete.

Dabei besteht der Betrug in der Tatsache, dass Kriminelle beim Discounter einkaufen und per Lidl Pay mit einem Konto zahlen, das ihnen nicht gehört. Woher die offenbar geklauten Kontodaten kommen, ist unklar. Möglich scheint, dass Betrüger sie aus einem der bekannt gewordenen Daten-Leaks entnehmen.

Verschärft wird das Problem durch die Lidl-Praxis sich für die Abbuchung des Einkaufs einige Tage Zeit zu lassen. So können Betrüger das fremde Konto immer wieder neu belasten.

Zudem wird auf der dann folgenden Abbuchung nicht ausgewiesen, in welcher Filiale der Einlauf getätigt wurde. Betroffene, deren Kontenstand per Lidl Pay dezimiert wurde, haben daher kaum Anhaltspunkte für die Aufklärung der jeweiligen Vorgänge. Es bleibt entsprechend nur, der Lastschrift zu widersprechen, was regelmäßig Post vom Inkassobüro nach sich zieht.

Laut Supermarktblog zeigt sich der Discounter in solchen Fällen nicht sonderlich kommunikativ und verweist lediglich darauf, man möge bei der Polizei Anzeige erstatten. In einer Stellungnahme hat der Discounter bestätigt, die Inkassoforderung im Betrugsfall einstellen zu wollen.

Am System selber soll offenbar nichts geändert werden. So wäre etwa – wie bei Payback möglich – das alternative Hinterlegen einer Kreditkarte ein Sicherheitsgewinn. Lidl scheint indes das Risiko der Rücklastschrift vorzuziehen. Dem Kunden kann es im Prinzip gleich sein. Wenn Lidl eine Lastschrift von einem Konto zieht, muss das Unternehmen nachweisen können, dass ihm ein Sepa-Mandat, also eine gültige Lastschrifteinzugsermächtigung, vorliegt. Das dürfte nicht möglich sein.