Von Florian Kolf

Die Mail sieht genauso aus, wie es die Kunden der Onlineplattform Temu gewohnt sind: Man sei der Gewinner des Monats, heißt es dort, als Belohnung gebe es einen Gutschein für ein Gratisprodukt. Den bekomme man aber nur, wenn man ganz schnell einen Link anklicke und dort seine Anmeldedaten für Temu eingebe.

Wer das tut, hat schon verloren. Denn diese Mail kommt nicht von Temu, sondern von Betrügern, die nur ein Ziel haben: persönliche Daten von arglosen Onlineshoppern zu stehlen. Diese Betrugsmethode nennt sich Phishing.

Und gefälschte Mails sind nicht die einzige Gefahr, die Temu-Kunden droht. „Betrüger nutzen ganz geschickt den Hype um Temu“, beobachtet Jeremy Fuchs, Betrugsexperte des Sicherheitsunternehmens Check Point. „Die Bedrohung für Shopper ist groß“, warnt er. Auch Christian Lueg vom IT-Sicherheitsunternehmen Eset sieht die Gefahr, dass die Plattform Betrüger anziehe.

Seit Monaten führt die Shopping-App von Temu die Download-Ranglisten an, jeder vierte Deutsche hat dort in den vergangenen sechs Monaten gekauft. In 48 Ländern weltweit ist sie schon vertreten. Die chinesische Einkaufsplattform ist in aller Munde – und das lockt Kriminelle an.

„Betrüger setzen sich immer auf populäre Anbieter, die viele Nutzer haben und gerade stark in der Öffentlichkeit sind“, weiß Sicherheitsexperte Fuchs. Doch gerade Temu macht es ihnen besonders leicht.

Betrug auf Temu: Plattform will Kunden zu

Denn es gehört zum Geschäftsmodell der Plattform, durch Gewinnspiele, Rabatte, Gutscheine und vermeintliche Dringlichkeit die Verbraucher zu unüberlegten Klicks zu veranlassen. Fachleute nennen diese Art der manipulativen Gestaltung der Benutzeroberfläche mittels psychologischer Tricks „Dark Patterns“.

Genau das sind auch die Methoden der Betrüger. Sie setzen darauf, dass sich die Adressaten ihrer Mails gedrängt fühlen zu handeln, bevor sie sorgfältig geprüft haben, von wem die Mail tatsächlich stammt – und wohin der Link führt, den sie anklicken sollen. Es reicht meist, dass die Mails nicht auf den ersten Blick als Fälschung zu erkennen sind. „Verbraucher, die regelmäßig Mails von Temu bekommen, werden dann nicht so schnell misstrauisch“, erklärt Fuchs.

Auch das Landeskriminalamt Niedersachsen hat bereits solche Betrugsversuche beobachtet. Temu-Kunden hätten gefälschte Lieferbenachrichtigungen erhalten, die sie durch einen Link auf offensichtlich gefährliche Webseiten locken sollen, teilte die Behörde mit.

Die gefälschten Mails sind auch deshalb oft erfolgreich, weil die Temu-Kunden nach Daten des Marktforschungsunternehmens Attain am häufigsten aus der Altersgruppe der über 59-Jährigen kommen. Für diese ist Mail ein wichtiges Kommunikationsmittel. „Gerade dass Temu nicht nur von jungen Kunden genutzt wird, macht den Anbieter für die Betrüger so attraktiv“, sagt Sicherheitsexperte Fuchs. Sie erreichten so eine sehr breite Bevölkerungsgruppe.

Für die Betrüger sind dabei die erbeuteten Temu-Log-in-Daten besonders wertvoll, denn: Häufig verwenden Nutzer für unterschiedliche Dienste die gleichen Passwörter. Dann bekommen die Kriminellen auch Zugang beispielsweise zu E-Mail-Konten, Firmen-Accounts oder Onlinebanking.

Shoppen auf Temu: Rund 800 verdächtige Websites registriert

Und es sind nicht nur Mails, die Kunden zur Preisgabe ihrer persönlichen Daten verleiten sollen. So hat Check Point immer mehr gefälschte Websites entdeckt, die vorgeben, von Temu zu sein. In den vergangenen drei Monaten seien 800 neue Domains mit dem Namen „Temu“ registriert worden. Manche davon seien „unglaublich gut gemacht und kaum vom Original zu unterscheiden“, so Central-Point-Experte Fuchs.

In den USA hat Temu schon Klage eingereicht gegen zahlreiche Websites wie „temu-app.net“, „temudeals.store“ oder „temucouponcodes.com“, die vorgeben, von Temu zu sein, Nutzer dann aber auf andere Seiten umleiten. Das müssen nicht alles Betrüger sein, aber auf jeden Fall täuschen sie arglose Kunden.

„Betrüger geben sich auf gefälschten Apps und Websites als Temu aus, um Verbraucher zu täuschen“, sagt ein Temu-Sprecher. Dies schade nicht nur dem Ruf des Unternehmens, sondern auch den Kunden, denen vorgetäuscht wurde, sie würden mit echten Temu-Plattformen interagieren. „Wir werden schnell rechtliche Schritte einleiten, um unsere Rechte zu verteidigen und uns davon abzugrenzen“, versichert er.

Betrüger fluten Tiktok mit Videos, die Gutscheine versprechen

Ein weiterer Angriffspunkt von Betrügern ist das soziale Netzwerk Tiktok. Dort schaltet Temu intensiv Werbung und lockt in kurzen Werbevideos mit Rabatten und Gutscheincodes Kunden an. Außerdem werden Temu-Kunden belohnt, wenn sie auf Tiktok unter ihren Kontakten Temu-Gutscheincodes verteilen.

Gerade dieses Belohnungssystem von Temu nutzen Betrüger gezielt aus. Sie fluten Tiktok mit Videos, die Gutscheine und Gratisprodukte versprechen, wenn die Nutzer über einen angegebenen Link die Temu-App herunterladen und einen bestimmten Code eingeben.

Im harmlosesten Fall erschleichen sich die Betrüger dabei nur Punkte im Belohnungssystem von Temu. Im schlimmsten Fall fangen sich die Nutzer so Computerviren und Spionageprogramme ein.

Doch es besteht nicht nur die Gefahr des Betrugs. Auch die Temu-App selbst wird von Sicherheitsexperten kritisch gesehen. „Auch wenn viele Schnäppchen auf den ersten Blick verführerisch aussehen: Nutzer sollten wachsam sein, wenn ein Angebot zu gut klingt, um wahr zu sein“, sagt Eset-Experte Lueg. Er hält die App insbesondere beim Datenschutz für problematisch.

Temu will auf viele persönliche Daten zugreifen

„Temu macht keinen Hehl daraus, an personenbezogenen Daten interessiert zu sein und diese auch für kommerzielle Zwecke zu nutzen“, warnt die Verbraucherzentrale. Die Sicherheitsanalysefirma Joe Sandbox beurteilt die Temu-App als „malicious“, also bösartig. Das Fachportal „c’t Magazin“ bezeichnet die App als „potenzielle Wanze“.

Temu versichert in einer Kundeninformation in der App: „Die Sicherheit deiner personenbezogenen Daten ist uns wichtig.“ Außerdem betont das Unternehmen, die Daten europäischer Kunden würden „standardmäßig in der Infrastruktur von Cloud-Service-Anbietern im Europäischen Wirtschaftsraum gespeichert“.

Eset-Experte Lueg beruhigt das nicht wirklich. „Temu ist ein wahrer Datenkrake und fordert Berechtigungen ein, die die App gar nicht benötigt“, kritisiert er. Kamera, Mikrofon, Shopping-Verlauf, Fotos und Adressbuch, auf all diese sensiblen Informationen will die App nach der Installation zugreifen.

Er empfiehlt deshalb, über die Temu-Website einzukaufen und nicht über die App und grundsätzlich ein eigenes Temu-Konto einzurichten und sich nicht über einen Social-Media-Account mit Temu zu verbinden. Außerdem rät er, Prepaid-Kreditkarten oder Zahlungsdienste wie Paypal zu verwenden, um Schäden durch gestohlene Kreditkartendaten zu vermeiden.

• Dieser Artikel erschien zuerst im Handelsblatt.