Brushing-Betrug: Was ist das und wie funktioniert er?

Was ist ein Brushing-Betrug?

Brushing-Betrug ist eine Form des E-Commerce-Betrugs, bei dem Verkäufer Produkte an beliebige Adressen versenden, um ihre Online-Präsenz auf dem jeweiligen Marktplatz zu verbessern – in der Regel, indem sie nach der Zustellungsbestätigung gefälschte Bewertungen hinterlassen.

Ein typischer Brushing-Betrug kann so aussehen: Jemand erhält ein Produkt – etwa ein Haargummi oder ein Plastikspielzeug – ohne Absenderadresse. Da ein echtes Produkt an eine echte Person versandt wurde, können diese Bestellungen bei Online-Marktplätzen wie eBay oder Amazon als legitim erscheinen – und dem Verkäufer ermöglichen, eine "verifizierte" Bewertung zu hinterlassen.

Vielleicht denken Sie sich: Kostenlose Pakete im Briefkasten – es könnte Schlimmeres geben! Vielleicht waren Sie ohnehin auf der Suche nach einer günstigen Kunststoff-Handyhülle.

Doch die Tatsache, dass der betrügerische Verkäufer überhaupt an Ihren Namen und Ihre Adresse gelangt ist, deutet darauf hin, dass Ihre persönlichen Daten möglicherweise offen einsehbar sind – im Dark Web, auf legalen Datenbroker-Websites oder in öffentlichen Quellen – und von Betrügern genutzt werden. Schlimmer noch: Bei einer neueren Variante des Brushing-Betrugs bringen manche Betrüger schädliche QR-Codes an diesen Paketen an, um persönliche Daten der Empfänger zu stehlen.

Wie funktioniert Brushing-Betrug?

Brushing-Betrug funktioniert, weil Bestellungen mit bestätigter Zustellung von Marktplätzen als "verifiziert" eingestuft werden. Bei diesem Scam werden nur günstige Artikel verschickt (obwohl der bewertete Artikel ein Luxusprodukt sein kann). Die Versandkosten können als Investition betrachtet werden, denn eine große Anzahl positiver, verifizierter Bewertungen kann dem Verkäufer helfen, im Algorithmus des Marktplatzes besser eingestuft zu werden.

So läuft ein Brushing-Betrug Schritt für Schritt ab:

Brushing-Betrug mit gefälschten QR-Codes

Eine Weiterentwicklung des Brushing-Betrugs durch Cyberkriminelle besteht darin, schädliche QR-Codes an die Pakete anzubringen. Diese Art von Angriff wird als Quishing oder QR-Code-Phishing bezeichnet. Ein neugieriger Empfänger eines unbestellten Pakets könnte den Code scannen, in der Hoffnung herauszufinden, woher das mysteriöse Paket stammt oder wie er es zurückschicken kann.

Doch der in diesen Quishing-Codes eingebettete Link kann zu einer schädlichen Website führen, die Opfer mithilfe von Social Engineering austrickst. Die Seite fordert Sie möglicherweise auf, mit einer gefälschten Anmeldeseite zu interagieren und dabei Ihre Zugangsdaten preiszugeben, Kartendaten in ein gefälschtes Zahlungsportal einzugeben oder informationsstehlende Malware herunterzuladen.

Das FBI warnt, dass diese hybriden Brushing-Quishing-Angriffe zwar nicht so weit verbreitet sind wie manche anderen Scams, aber dennoch eine ernste Bedrohung darstellen. Opfer sollten Fälle beim Internet Crime Complaint Center (IC3) melden.

Warum ist Brushing-Betrug schädlich?

Obwohl der erhaltene Artikel gefälscht sein kann, richtet Brushing-Betrug für die Betroffenen in der Regel keinen direkten Schaden an. Sie werden nicht für den Erhalt eines gefälschten Artikels im Rahmen eines Brushing-Betrugs zur Verantwortung gezogen.

Dennoch ist Brushing-Betrug nicht gänzlich harmlos – er kann sogar ein Symptom eines größeren Problems sein: Datenpannen. Wenn Sie Opfer eines Brushing-Betrugs geworden sind, bedeutet das, dass Ihre personenbezogenen Daten irgendwo im Internet kursieren und für Betrüger zugänglich sind.

Schauen wir uns die Risiken von Brushing-Betrug etwas genauer an:

Gefährdung von Daten

Brushing-Betrug beruht auf echten Namen und Adressen. Das bedeutet, dass einige Ihrer persönlichen Daten wahrscheinlich gesammelt, verkauft oder im Darknet bzw. auf Datenbroker-Websites offengelegt wurden. Wenn Ihre Daten nach einer Datenpanne geleakt wurden, ist möglicherweise mit einem Anstieg von Betrugsversuchen zu rechnen, darunter auch Brushing-Betrug.

Die bloße Offenlegung Ihres Namens und Ihrer Adresse stellt zwar kein direktes Risiko für schwerwiegenden Betrug wie Identitätsdiebstahl dar, kann jedoch Ihre Anfälligkeit für gezielte Scams (auch bekannt als Spear-Phishing) erhöhen. Diese können letztlich zu Identitätsdiebstahl und finanziellem Schaden führen, wenn der Betrüger – bereits im Besitz einiger Ihrer persönlichen Daten – Sie dazu bringt, noch mehr sensible Informationen preiszugeben.

Und wenn Ihr Name und Ihre Adresse bereits offengelegt wurden, könnten auch weitere, vertraulichere Informationen betroffen sein. Überwachungstools wie Avast BreachGuard können Ihnen helfen zu ermitteln, wie viele Ihrer persönlichen Daten im Dark Web kursieren, damit Sie Maßnahmen zum Schutz Ihrer Konten und Identität ergreifen können.

Gefälschte Bewertungen in Ihrem Namen

Betrüger können Ihren Namen nutzen, um Bewertungen für "verifizierte Käufe" zu den versandten Artikeln zu hinterlassen. Das schadet Ihnen zwar nicht direkt, ist aber alles andere als ideal: Ihre Identität wird ohne Ihre Zustimmung genutzt, um betrügerische Praktiken zu unterstützen.

Unsichere oder gefälschte Produkte

Artikel, die im Rahmen von Brushing-Betrug verschickt werden, sind häufig minderwertig, gefälscht oder entsprechen nicht den geltenden Vorschriften. Der Empfang solcher Produkte bringt Sie nicht in Schwierigkeiten, doch sie erfüllen möglicherweise keine Sicherheitsstandards – insbesondere wenn es sich um Elektronik, Kosmetika oder Verbrauchsgüter handelt. Wir empfehlen, das Produkt nicht zu verwenden, wenn Sie vermuten, es im Rahmen eines Brushing-Betrugs erhalten zu haben.

Folgebetrug

In manchen Fällen versuchen Betrüger, Sie wegen des Pakets zu kontaktieren und geben sich dabei als Kundenservice, Lieferdienst oder Verkäufer aus. Wenn jemand Sie wegen einer unerwarteten Lieferung um Informationen oder Zahlung bittet, ist es am sichersten, die Nachricht zu ignorieren.

Unlautere Verkaufspraktiken

Brushing-Betrug wird dazu eingesetzt, Produktbewertungen und -rankings durch gefälschte "verifizierte" Rezensionen künstlich aufzuwerten. Das untergräbt das Vertrauen in Online-Marktplätze und benachteiligt seriöse Verkäufer. Käufer können sich beim Einkauf somit weniger auf Bewertungen verlassen.

QR-Code-Betrug

Manche Brushing-Pakete enthalten QR-Codes, die Sie für weitere Informationen zum Produkt oder zur Lieferung scannen sollen. Diese Codes können zu Phishing-Seiten führen, die darauf ausgelegt sind, persönliche Daten oder Zugangsdaten zu stehlen. Scannen Sie keine QR-Codes von unbestellten Paketen, insbesondere wenn Sie dann noch vertrauliche Daten eingeben sollen.

Was tun, wenn Sie ein unerwünschtes Paket erhalten?

Wenn Sie ein Paket erhalten, das Sie nicht bestellt haben, ignorieren Sie es am besten einfach. Enthält das Paket Verbrauchsgüter, Elektronik oder Kosmetika, entsorgen Sie diese auf sichere Weise. Scannen Sie keine angehängten QR-Codes, rufen Sie keine angegebenen Nummern an und reagieren Sie nicht auf Nachrichten, die angeblich vom Verkäufer oder Kundendienst stammen. Es handelt sich wahrscheinlich um Folgebetrug.

Achten Sie auf Etiketten, die darauf hinweisen könnten, auf welchem Marktplatz der Verkäufer seine Bewertungen fälscht – diese Informationen können beim Melden des Brushing-Betrugs hilfreich sein.

Nutzen Sie abschließend ein Datenleck-Überwachungstool oder führen Sie einen Dark-Web-Scan durch, um festzustellen, ob außer Ihrem Namen und Ihrer Adresse noch weitere vertrauliche Informationen dort kursieren. Ist das der Fall, müssen Sie möglicherweise Ihre Passwörter ändern, die Zwei-Faktor-Authentifizierung aktivieren oder sogar Ihre Kreditakte sperren, um sich vor Kontoübernahmen oder Betrug zu schützen.

Behalten Sie Kreditauskünfte und Kontoauszüge im Blick, um nicht autorisierte "Test"-Abbuchungen zu erkennen, die nach einer Datenpanne auftreten können und auf bevorstehende größere Belastungen hinweisen könnten.

Muss ich unbestellte Pakete zurücksenden?

Nein. Der US-amerikanische Postal Inspection Service versichert Verbrauchern, dass unbestellte Pakete laut Gesetz in ihrem Besitz verbleiben dürfen. Auch die FTC-Richtlinien geben an, dass Sie erhaltene Waren behalten dürfen.

So melden Sie einen Brushing-Betrug

Das Melden von Brushing-Betrug kann Online-Marktplätzen und Aufsichtsbehörden dabei helfen, gegen Scams vorzugehen. So melden Sie einen Brushing-Betrug:

1. Melden Sie den Betrug möglichst dem Marktplatz, auf dem der Verkäufer seine Bewertungen fälscht, z. B. Amazon, eBay oder Temu. Diese Informationen lassen sich möglicherweise dem erhaltenen Paket entnehmen – schauen Sie dort nach bekannten Logos.

2. Melden Sie den Betrug der Federal Trade Commission (FTC).

3. Wenn das Paket per Post versandt wurde und Sie vermuten, dass es gefährlich sein könnte, können Sie den Vorfall beim United States Postal Inspection Service melden.

Schützen Sie jetzt Ihre persönlichen Daten

Der beste Schutz für Ihre Daten ist ein mehrschichtiger Ansatz. Avast hilft Ihnen dabei: Es prüft auf geleakte Daten, warnt Sie beim Surfen vor Betrugs-Websites und blockiert bekannte schädliche Links und Anhänge, bevor sie Schaden anrichten können.