Wie deutsche Nutzer in Foren der Zahlungsanbieter Paypal und Google Pay berichtet haben, soll ihnen Geld in nicht unerheblicher Höhe abgebucht worden sein – für Zahlungen, die sie nicht getätigt haben. Bei einem Blick in den Zahlungsverlauf zeigten sich Empfänger wie die US-amerikanische Discounterkette Target. Dort haben die Betroffenen aber gar nicht eingekauft, wie heise.de berichtete. Paypal zahlt den Nutzern das Geld zwar zurück. Was hinter den unberechtigten Abbuchungen steckt, dazu äußerte sich der Konzern aber bisher nicht.

Von den dubiosen Abbuchungen betroffen sollen jedenfalls nur Kunden sein, die den Google-Bezahldienst Google Pay mit ihrem Paypal-Konto verknüpft haben. Zwischenzeitlich aufgetauchten Gerüchten, Google habe mit einem Rausschmiss der Paypal-Option bei der Neueinrichtung von Google Pay reagiert, hat Google derweil widersprochen. An der Partnerschaft zu PayPal habe sich nichts geändert, schreibt etwa Giga.de. Google verweist aber Beschwerden seiner Nutzer zu möglichen Fehlbuchungen an Paypal.

Paypal wiederum erklärte, dass die Lücke mittlerweile geschlossen sei. Überhaupt sei nur eine „sehr geringe Anzahl“ an Paypal-Kunden, die Google Pay nutzen, von dem Problem betroffen gewesen. Sämtliche nicht-autorisierte Zahlungen will Paypal an die betroffenen Kunden zurückzahlen, wie Spiegel Online schreibt. Paypal zufolge seien keine persönlichen Daten erbeutet worden. Und: Die von dem deutschen Sicherheitsexperten Markus Fenske ins Spiel gebrachte Sicherheitslücke, die er schon vor einem Jahr gemeldet hatte, die aber noch nicht geschlossen sei, sei für die Falschabbuchungen nicht verantwortlich.

Fenske zufolge sollen dabei die für die Zahlungsabwicklung von Paypal bereitgestellten virtuellen Kreditkarten leicht hackbar sein. Schon 100 Versuche würden reichen um eine gültige Kreditkartennummer zu generieren und damit beliebige Summen von zufälligen Paypal-Konten einzuziehen. Der Sicherheitsforscher erklärt, es sei nicht auszuschließen, dass die Paypal-Abbuchungen aufgrund einer anderen Sicherheitslücke möglich gewesen seien. Fenske sei aber noch immer der Meinung, dass die von ihm entdeckte und noch nicht vollständig geschlossene Lücke die Fehl-Abbuchungen ermöglicht haben könne.

Ob es bei der „sehr geringen Anzahl“ um Hunderte oder Tausende Paypal-Kunden in Deutschland geht, wollte Paypal gegenüber Spiegel Online nicht kommentieren. Eine Erklärung zu technischen Hintergründen gab der Konzern ebenfalls nicht ab. Sicherheitsexperte Fenske geht derweil davon aus, dass die Lücke noch nicht komplett geschlossen sei. Sein Kollege Andreas Mayer habe noch am Donnerstag mit einer virtuellen Kreditkarte bei Amazon zahlen können – wäre die Lücke schon geschlossen, wäre das nicht möglich gewesen, so der Sicherheitsexperte laut Spiegel.

Ebenfalls interessant: Zahlen per Smartphone – Paypal beliebter als Apple Pay