Brushing-Betrug: Warum Sie ein Paket erhalten haben, das Sie nie bestellt haben

Sie öffnen die Tür und finden ein Paket mit Ihrem Namen und Ihrer Adresse darauf — aber Sie haben nie etwas bestellt. Darin befindet sich etwas Billiges und Beliebiges: Samentütchen, ein Handyring, Modeschmuck, ein Beauty-Gadget. Keine Rechnung, keine Geschenknotiz und ein Absender, den Sie nicht kennen. Das ist fast immer ein Brushing-Betrug. Der Artikel selbst ist meist harmlos, aber er sagt Ihnen etwas, worauf Sie reagieren sollten: Ihr Name und Ihre Adresse kursieren in einem Datensatz, dem Sie nie zugestimmt haben.

Was ein Brushing-Betrug eigentlich ist

Brushing ist ein Trick mit gefälschten Bewertungen, der von unehrlichen Verkäufern auf großen Marktplätzen eingesetzt wird. Der Verkäufer verschickt einen billigen Artikel an eine echte Adresse — Ihre —, damit der Marktplatz eine echte, abgeschlossene Lieferung registriert. Das erlaubt dem Verkäufer (oder einem von ihm kontrollierten Konto), eine Bewertung als verifizierter Kauf unter einem Namen wie Ihrem zu veröffentlichen und so die Bewertung und den Verkaufsrang des Produkts künstlich zu erhöhen.

Sie sind in diesem Schema nicht der Kunde; Sie sind der Liefernachweis. Der Verkäufer bezahlt den Artikel und das Porto selbst, weshalb die Produkte fast immer die billigsten Dinge sind, die er verschicken kann.

Wie sie an Ihre Adresse gekommen sind

Die meisten Brushing-Ziele wurden durch ein gewöhnliches Datenleck oder einen ausgelesenen öffentlichen Eintrag offengelegt — eine gehackte Shop-Datenbank, ein Marktplatzverkäufer, der Kundenlisten weiterverkauft hat, oder öffentliche Verzeichnisdaten. In den meisten Fällen bedeutet es nicht, dass jemand Zugriff auf Ihre Konten oder Zahlungskarten hat.

Nehmen Sie es dennoch als Anlass zur Überprüfung. Wenn Ihre Adresse aus der Datenbank eines bestimmten Shops geleakt wurde, könnten Ihre E-Mail-Adresse und Telefonnummer mit geleakt worden sein, und diese werden später für Phishing verwendet.

Ist es gefährlich, und dürfen Sie den Artikel behalten?

In den USA gehört Ihnen unbestellte Ware, die Ihnen zugeschickt wird, rechtlich — die FTC stellt ausdrücklich klar, dass Sie sie weder bezahlen noch zurückschicken müssen. Ähnliche Regeln gelten im Vereinigten Königreich und in der EU. Also behalten Sie sie, spenden Sie sie oder werfen Sie sie weg.

Zwei Ausnahmen erfordern Vorsicht:

• Samen oder Pflanzenmaterial: Pflanzen Sie sie nicht ein. Melden Sie unaufgefordert zugesandte Samen Ihrer nationalen oder regionalen Landwirtschaftsbehörde (in den USA dem Landwirtschaftsministerium Ihres Bundesstaates oder dem USDA) und entsorgen Sie sie gemäß deren Anweisungen.
• Lebensmittel, Kosmetika oder Nahrungsergänzungsmittel: Werfen Sie sie weg. Sie haben keine Ahnung, was darin enthalten ist oder wie sie gelagert wurden.

Die QR-Code-Falle

Neuere Brushing-Pakete enthalten oft überhaupt keine Produktinformationen — nur eine Karte mit einem Text wie „Scannen Sie, um zu sehen, wer Ihnen Ihr Geschenk geschickt hat“ oder „Scannen Sie, um Ihre Belohnung einzulösen.“ Scannen Sie ihn nicht. Dieser QR-Code ist die eigentliche Schadfracht: Er kann zu einer Phishing-Seite führen, die Anmeldedaten oder Kartennummern abfragt, oder die Installation einer bösartigen App anstoßen.

Falls Sie bereits einen gescannt haben, schließen Sie die Seite, ohne etwas einzugeben, und fügen Sie den Link oder jede Folgenachricht in den HasTrust-Scam-Checker ein, um zu sehen, worauf er verweist. Wenn Sie irgendwo ein Passwort eingegeben haben, ändern Sie dieses Passwort jetzt.

Was zu tun ist, Schritt für Schritt

1. Zahlen Sie nichts und scannen Sie nichts. Kein seriöser Absender verlangt Geld für ein Paket, das Sie nicht bestellt haben.
2. Überprüfen Sie Ihre Marktplatzkonten. Öffnen Sie Ihre Bestellhistorie bei Amazon und allen anderen Marktplätzen, die Sie nutzen. Wenn das Paket nicht in Ihren Bestellungen erscheint, hat niemand Ihr Konto benutzt — das ist das gute Ergebnis. Wenn es doch als eine Bestellung erscheint, die Sie nicht aufgegeben haben, behandeln Sie es als Kontoübernahme: Ändern Sie sofort Ihr Passwort und kontaktieren Sie die Plattform.
3. Überprüfen Sie Ihre Bank- und Kartenabrechnungen der letzten Wochen. Brushing selbst kostet Sie nichts, aber vergewissern Sie sich, dass sonst nichts vor sich geht.
4. Melden Sie das Paket. Suchen Sie bei Amazon in der Hilfe nach „Report unwanted package“ — es gibt ein eigenes Formular; halten Sie das Versandetikett bereit (Sendungsnummer, Absenderangaben). Andere Marktplätze nehmen Meldungen über ihren üblichen Kundenservice-Chat entgegen. Meldungen sind wichtig: Plattformen sperren Verkäufer, die beim Brushing erwischt werden.
5. Melden Sie den Betrug auf Wunsch auch an weitere Stellen. In den USA: ReportFraud.ftc.gov, und USPS, wenn es per Post kam. Im Vereinigten Königreich: Action Fraud. In Kanada: das Canadian Anti-Fraud Centre.
6. Härten Sie Ihre Konten ab. Aktivieren Sie die Zwei-Faktor-Authentifizierung für Ihre E-Mail- und Marktplatz-Logins und ändern Sie jedes Passwort, das Sie in mehreren Shops wiederverwendet haben. Ihr E-Mail-Konto ist das wichtigste — darüber lässt sich alles andere zurücksetzen.

Wann Sie sich mehr Sorgen machen sollten

Ein einzelnes mysteriöses Paket ist ein Ärgernis. Verschärfen Sie Ihre Reaktion, wenn Sie zusätzlich eines der Folgenden bemerken:

• Bestellbestätigungen oder Versand-E-Mails für Dinge, die Sie nicht gekauft haben — das könnte ein Phishing-Köder oder ein kompromittiertes Konto sein. Prüfen Sie die Absenderadresse sorgfältig, bevor Sie irgendetwas anklicken.
• E-Mails zum Zurücksetzen des Passworts, die Sie nicht angefordert haben.
• Pakete, die wiederholt eintreffen, oder hochwertige Artikel, gefolgt von einem „Kurier“, der ein angeblich falsch zugestelltes Paket abholen will — das ist ein anderer Betrug (Abfangbetrug), und Sie sollten ablehnen und ihn melden.

Prüfen Sie, bevor Sie bei unbekannten Shops kaufen

Brushing existiert, weil gefälschte Bewertungen funktionieren — sie lassen schlechte Verkäufer vertrauenswürdig aussehen. Begegnen Sie glänzenden Bewertungen bei unbekannten Shops und Marktplatzangeboten also mit gesunder Skepsis, besonders bei Ultra-Billigwaren von Marktplätzen im Stil von AliExpress oder unbekannten eigenständigen Webshops.

Bevor Sie bei einem Shop bestellen, den Sie noch nie genutzt haben, schlagen Sie ihn auf HasTrust nach, um seinen Trust-Score, echte Kundenerfahrungen und Registrierungsdaten einzusehen. Eine Minute Prüfung ist billiger als eine Streitigkeit — und sie hält Ihre Adresse aus der nächsten geleakten Kundenliste heraus.