SumUp-Konto gehackt: Muss SumUp gestohlene Tageseinnahmen erstatten?

Wenn die Tageseinnahmen plötzlich auf fremden Konten landen

Für Restaurants, Einzelhändler, Dienstleister und Marktbetreiber gehören Kartenzahlungen inzwischen zum täglichen Geschäft. SumUp ist dabei besonders verbreitet, weil Kartenterminal, Zahlungsabwicklung und Geschäftskonto innerhalb einer Plattform genutzt werden können.

Genau diese Kombination kann jedoch gravierende Folgen haben, wenn Unbefugte Zugriff auf ein SumUp-Profil erhalten.

In mehreren von uns bearbeiteten Fällen zeigte sich ein ähnliches Muster: Die Täter griffen offenbar auf das bestehende Nutzerkonto zu, richteten innerhalb des SumUp-Systems ein zusätzliches Geschäftskonto ein beziehungsweise veränderten die Auszahlungseinstellungen und leiteten die eingehenden Umsätze um.

Anschließend wurden die Gelder innerhalb kurzer Zeit weiterüberwiesen. Teilweise gingen zahlreiche Überweisungen unmittelbar hintereinander auf unterschiedliche Konten im Ausland.

Für den betroffenen Betrieb bedeutet dies: Die Kunden haben ordnungsgemäß bezahlt, das Geld ist bei SumUp eingegangen – kommt beim Händler aber nicht mehr an.

Gerade bei umsatzstarken Betrieben können innerhalb weniger Tage Schäden von mehreren zehntausend Euro entstehen.

Zwei Verfahren gegen SumUp vor dem Landgericht Berlin II

Nachdem eine außergerichtliche Erstattung in den von uns vertretenen Fällen nicht erreicht werden konnte, haben wir die Ansprüche gerichtlich geltend gemacht.

Inzwischen konnten wir in zwei Verfahren vor dem Landgericht Berlin II Versäumnisurteile gegen SumUp erwirken.

Dabei ging es um erhebliche Beträge:

• in einem Verfahren um knapp 13.000 Euro,
• in einem weiteren Verfahren um rund 49.000 Euro.

Neben den jeweiligen Schadenssummen wurden auch Rechtsanwaltskosten geltend gemacht.

In einem der Verfahren ist die Einspruchsfrist bereits abgelaufen, sodass das Versäumnisurteil rechtskräftig geworden ist.

Wichtig ist dabei die juristische Einordnung: Ein Versäumnisurteil ist keine höchstrichterliche Grundsatzentscheidung über sämtliche SumUp-Betrugsfälle. Es zeigt aber, dass die geltend gemachten Zahlungsansprüche erfolgreich gerichtlich durchgesetzt werden können. Jeder weitere Fall muss anhand seines konkreten Ablaufs und der jeweiligen Vertragsbedingungen geprüft werden.

Muss SumUp bei nicht autorisierten Überweisungen erstatten?

Im Mittelpunkt solcher Fälle steht regelmäßig die Frage, ob der betreffende Zahlungsvorgang vom Kontoinhaber tatsächlich autorisiert wurde.

§ 675u BGB enthält hierfür einen wichtigen gesetzlichen Ausgangspunkt. Bei einem nicht autorisierten Zahlungsvorgang muss der Zahlungsdienstleister den Zahlungsbetrag grundsätzlich erstatten und ein belastetes Zahlungskonto wieder auf den Stand bringen, auf dem es sich ohne den nicht autorisierten Vorgang befunden hätte.

Entscheidend ist deshalb nicht allein, dass eine Überweisung technisch über ein bestehendes SumUp-Konto ausgeführt wurde.

Es muss vielmehr geklärt werden:

• Wer hat die Zahlung tatsächlich veranlasst?
• Wurde der Vorgang vom Kontoinhaber freigegeben?
• Welche Authentifizierung wurde verwendet?
• Wurde ein neues Gerät hinterlegt?
• Wurde die Auszahlungseinstellung verändert?
• Wurde ein zusätzliches Geschäftskonto eingerichtet?
• Welche Sicherheitsabfragen fanden dabei statt?
• Lassen sich die Vorgänge technisch dem berechtigten Nutzer zuordnen?

Gerade diese Fragen sind bei einem sogenannten Account-Takeover entscheidend.

Reicht ein technisch korrekt ausgeführter Zahlungsvorgang als Beweis?

Nicht unbedingt.

§ 675w BGB enthält besondere Regeln für den Nachweis der Authentifizierung. Danach hat der Zahlungsdienstleister bei einem streitigen Zahlungsvorgang grundsätzlich nachzuweisen, dass eine Authentifizierung stattgefunden hat und der Zahlungsvorgang ordnungsgemäß aufgezeichnet und verbucht wurde.

Allein die technische Nutzung eines Zahlungsinstruments reicht nach dem Gesetz aber nicht notwendigerweise aus, um zu beweisen, dass der Kontoinhaber den Vorgang tatsächlich autorisiert oder grob fahrlässig gehandelt hat.

Bei SumUp-Fällen kommt allerdings eine Besonderheit hinzu: Viele Betroffene nutzen den Dienst gewerblich und sind deshalb keine Verbraucher.

Für Zahlungsdienstnutzer, die keine Verbraucher sind, lässt § 675e Abs. 4 BGB in bestimmten Bereichen vertragliche Abweichungen von den gesetzlichen Zahlungsdiensteregelungen zu. Deshalb müssen bei einem gewerblichen SumUp-Konto immer auch die konkret vereinbarten Vertragsbedingungen geprüft werden. Eine pauschale Aussage, SumUp müsse in jedem gewerblichen Fall ausnahmslos sämtliche Umstände nach § 675w BGB beweisen, wäre zu weitgehend.

Gerade deshalb ist eine Prüfung des jeweiligen Vertrags und des technischen Ablaufs besonders wichtig.

„Sie müssen Ihre Zugangsdaten weitergegeben haben“ – reicht dieser Einwand?

Nach unserer Erfahrung versuchen Zahlungsdienstleister bei Betrugsfällen häufig, den Schaden dem Kontoinhaber zuzurechnen. Dabei kann beispielsweise behauptet werden, Zugangsdaten seien weitergegeben, Sicherheitsmechanismen nicht ausreichend geschützt oder Warnhinweise missachtet worden.

Allein die Tatsache, dass Täter Zugriff auf ein Konto erhalten haben, beweist jedoch noch kein grob fahrlässiges Verhalten des Betroffenen.

In den von uns bearbeiteten Fällen war gerade von Bedeutung, dass die Betroffenen nach ihrer Darstellung weder die streitigen Überweisungen selbst veranlasst noch diese bewusst bestätigt hatten.

§ 675l BGB verpflichtet Zahlungsdienstnutzer zwar grundsätzlich dazu, personalisierte Sicherheitsmerkmale vor einem unbefugten Zugriff zu schützen und eine missbräuchliche Nutzung nach Kenntnis unverzüglich zu melden. Eine vollständige Haftung des Nutzers wegen Vorsatzes oder grober Fahrlässigkeit setzt jedoch entsprechende Voraussetzungen voraus.

Bei gewerblichen Nutzern müssen wiederum ergänzend die jeweiligen Vertragsbedingungen berücksichtigt werden.

Pauschale Schuldzuweisungen sollten Betroffene deshalb nicht vorschnell akzeptieren.

Wie konnte überhaupt ein weiteres SumUp-Geschäftskonto eingerichtet werden?

Dieser Punkt kann für die rechtliche Bewertung besonders interessant sein.

SumUp beschreibt für die Einrichtung beziehungsweise Freischaltung eines Geschäftskontos selbst eine Identitätsverifizierung. Auf der aktuellen SumUp-Seite wird für die Verifizierung ein Ausweisdokument verlangt. SumUp beschreibt außerdem Sicherheitsmechanismen wie ein vertrauenswürdiges Gerät, Bestätigungs-PINs und biometrische Authentifizierung für sensible Vorgänge.

Wenn ein fremder Dritter trotzdem Änderungen vornehmen, ein Konto freischalten oder Gelder weiterleiten konnte, stellt sich deshalb die Frage, welche Prüfungen tatsächlich durchgeführt wurden.

Von Bedeutung können beispielsweise folgende Informationen sein:

• Wann wurde das zusätzliche Konto eingerichtet?
• Von welcher IP-Adresse erfolgte der Zugriff?
• Welches Gerät wurde verwendet?
• Wurde ein neues Gerät registriert?
• Welche Telefonnummer war zu diesem Zeitpunkt hinterlegt?
• Wurde eine SMS-Bestätigung durchgeführt?
• Kam eine PIN oder biometrische Freigabe zum Einsatz?
• Welche Identitätsunterlagen wurden verwendet?
• Wurde die Änderung der Auszahlungseinstellungen zusätzlich bestätigt?
• Gab es Warnmeldungen oder Auffälligkeiten im Nutzerkonto?

Diese technischen Daten können für die Rekonstruktion des Betrugs entscheidend sein.

Auch ungewöhnliche Überweisungsmuster können eine Rolle spielen

Neben der erstmaligen Kontoübernahme ist auch der anschließende Zahlungsverkehr relevant.

Wenn ein Gewerbetreibender üblicherweise keine größeren Auslandsüberweisungen tätigt und plötzlich innerhalb kürzester Zeit zahlreiche hohe Beträge an verschiedene ausländische Empfänger überwiesen werden, stellt sich die Frage, ob diese Vorgänge sicherheitsseitig auffällig waren.

Das gilt besonders dann, wenn gleichzeitig weitere ungewöhnliche Veränderungen am Nutzerkonto vorgenommen wurden.

Eine solche Betrachtung ersetzt zwar nicht die Prüfung der einzelnen Autorisierung. Sie kann aber bei der Rekonstruktion des Gesamtgeschehens und der Bewertung möglicher Sicherheitsmechanismen von erheblicher Bedeutung sein.

SumUp selbst verlangt Sicherheitsbestätigungen bei wichtigen Änderungen

Interessant ist außerdem, dass SumUp bei Änderungen von Auszahlungseinstellungen nach eigenen Angaben Sicherheitsbestätigungen vorsieht.

Je nach hinterlegten Sicherheitseinstellungen kann hierfür beispielsweise ein per SMS versandter Verifizierungscode oder eine Bestätigung über ein bekanntes Gerät mittels PIN beziehungsweise biometrischer Authentifizierung erforderlich sein.

Für einen konkreten Betrugsfall stellt sich daher umso mehr die Frage, wie eine nicht vom Kontoinhaber veranlasste Änderung technisch möglich war und welche Authentifizierung dabei protokolliert wurde.

Diese Informationen sollten gegenüber SumUp möglichst frühzeitig angefordert und gesichert werden.

SumUp-Konto gehackt: Was sollten Betroffene sofort tun?

Wer verdächtige Bewegungen oder unbekannte Änderungen in seinem SumUp-Konto feststellt, sollte möglichst schnell reagieren.

1. SumUp unverzüglich informieren

Melden Sie die nicht autorisierten Vorgänge schriftlich und verlangen Sie die sofortige Sicherung beziehungsweise Sperrung des betroffenen Kontos.

2. Jeder einzelnen Transaktion widersprechen

Es sollte klar dokumentiert werden, welche Überweisungen oder Änderungen nicht von Ihnen vorgenommen oder genehmigt wurden.

3. Sämtliche Unterlagen sichern

Speichern Sie insbesondere:

• Konto- und Umsatzübersichten,
• Screenshots des SumUp-Profils,
• E-Mails von SumUp,
• SMS und Verifizierungscodes,
• Hinweise auf Änderungen von Telefonnummer oder E-Mail-Adresse,
• Empfängerkonten und IBANs,
• Zeitpunkte der einzelnen Überweisungen,
• Support-Chats und sonstige Kommunikation mit SumUp.

4. Keine Daten im Konto vorschnell verändern

Soweit das sicherheitstechnisch vertretbar ist, sollten zunächst Beweise gesichert werden. Nachträglich geänderte Einstellungen können die Rekonstruktion erschweren.

5. Strafanzeige erstatten

Die unbekannten Täter sollten bei der Polizei angezeigt werden. Empfängerkonten, Überweisungsdaten und sämtliche vorhandenen Informationen sollten dabei mitgeteilt werden.

6. Erstattungsansprüche ausdrücklich geltend machen

Es genügt nicht immer, lediglich einen Betrugsfall beim Support zu melden. Betroffene sollten deutlich machen, dass sie die betreffenden Zahlungsvorgänge nicht autorisiert haben und die Rückzahlung verlangen.

7. Keine vorschnelle Erklärung zur eigenen Verantwortlichkeit abgeben

Insbesondere sollte nicht ungeprüft bestätigt werden, Zugangsdaten weitergegeben, Sicherheitsmaßnahmen verletzt oder Zahlungen selbst freigegeben zu haben.

Gewerbetreibende sollten hohe Verluste nicht vorschnell abschreiben

Ein Angriff auf ein SumUp-Konto kann für einen kleinen oder mittelständischen Betrieb existenzielle Folgen haben.

Wenn mehrere Tagesumsätze verschwinden oder innerhalb kurzer Zeit fünfstellige Beträge ins Ausland transferiert werden, fehlt dieses Geld unmittelbar für Löhne, Lieferanten, Miete und laufende Betriebskosten.

Eine ablehnende Nachricht des Zahlungsdienstleisters bedeutet jedoch nicht automatisch, dass keine Ansprüche bestehen.

Entscheidend ist vielmehr eine detaillierte Prüfung des Einzelfalls:

• Welche Zahlungen wurden nicht autorisiert?
• Wie gelangten die Täter in das Konto?
• Welche Sicherheitsmechanismen wurden ausgelöst?
• Wurde ein neues Geschäftskonto eingerichtet?
• Wurden Auszahlungseinstellungen verändert?
• Welche Vertragsbedingungen gelten?
• Welche technischen Protokolle existieren?
• Kann dem Betroffenen tatsächlich ein relevantes Fehlverhalten nachgewiesen werden?

Gerade bei hohen Schadenssummen sollte eine Ablehnung daher nicht ohne weitere Prüfung akzeptiert werden.

Unsere Kanzlei setzt Ansprüche gegen SumUp gerichtlich durch

Wir vertreten bereits Gewerbetreibende, deren Einnahmen nach einer Übernahme ihres SumUp-Kontos auf fremde Konten transferiert wurden.

Dabei prüfen wir insbesondere die Autorisierung der einzelnen Vorgänge, die eingesetzten Sicherheitsverfahren, die Vertragsbedingungen und mögliche Ansprüche auf Rückzahlung.

Dass eine gerichtliche Durchsetzung möglich sein kann, zeigen die beiden von unserer Kanzlei vor dem Landgericht Berlin II erstrittenen Versäumnisurteile über knapp 13.000 Euro beziehungsweise rund 49.000 Euro. In einem der Verfahren ist das Urteil bereits rechtskräftig.

Auch wenn daraus keine automatische Erfolgsgarantie für andere Fälle folgt, sollten Betroffene erhebliche Verluste nicht vorschnell hinnehmen.

Fazit: Nach SumUp-Betrug lohnt sich eine genaue rechtliche Prüfung

Wird ein SumUp-Konto von unbekannten Tätern übernommen und werden Geschäftseinnahmen ohne Zustimmung des Kontoinhabers weitergeleitet, kann ein Anspruch auf Erstattung bestehen.

Besonders wichtig ist die Frage, ob die Zahlungen tatsächlich autorisiert wurden und welche Sicherheits- und Authentifizierungsverfahren bei der Kontoübernahme, bei Änderungen der Auszahlungseinstellungen und bei den anschließenden Überweisungen eingesetzt wurden.

Die bislang von unserer Kanzlei geführten Verfahren zeigen, dass sich eine konsequente Prüfung und gerichtliche Geltendmachung auch bei hohen fünfstelligen Schäden lohnen kann.

Wenn auch Ihr SumUp-Konto gehackt wurde oder Einnahmen ohne Ihre Zustimmung auf unbekannte Konten transferiert worden sind, prüfen wir gerne Ihre rechtlichen Möglichkeiten.

Aktuelle Rechtstipps und Hinweise zu neuen Entscheidungen erhalten Sie außerdem über unseren kostenlosen Newsletter.