Googles E-Mail-Anbieter Gmail hat eine sehr hilfreiche Funktion: Punkte und Großbuchstaben im Nutzernamen werden ignoriert. Wenn also Klaus Mustermann die E-Mail-adresse KlausiM@gmail.com registriert, kommen auch E-Mails an klausi.m@gmail.com oder sogar an kl.au.si.m@gmail.com bei ihm an.
Genauso super ist es, wie einfach man sich bei Netflix registrieren kann. E-Mail-Adresse eingeben, Passwort festlegen und los geht es. Man muss die E-Mail-Adresse nicht einmal verifizieren. Aber beides in Kombination kann dazu führen, dass Betrüger auf eure Kosten Netflix schauen.
Das Problem
Während Gmail keine Unterschiede bei Punkten in der E-Mail-Adresse macht, macht Netflix diese schon und erkennt jede Variante als eigene Adresse an. Wenn in unserem Beispiel Klaus Mustermann einen Netflix-Account mit KlausiM@gmail.com hat, kann sich trotzdem ein zweiter Nutzer mit zum Beispiel der Adresse klausi.m@gmail.com registrieren – und Klaus Mustermann bekommt davon rein gar nichts mit.
Und nun kommt die Möglichkeit zum Betrug ins Spiel. Der neue Nutzer kann in seinem Account zum Beispiel eine Prepaid-Kreditkarte hinterlegen. Sobald diese nicht mehr belastet werden kann, schickt Netflix eine E-Mail, dass der Account kurzzeitig deaktiviert wurde – bis zur Aktualisierung der Zahlungsdaten. Diese E-Mail landet aber nicht bei dem Betrüger, sondern bei Klaus Mustermann.
Und nun kommt das größte Problem: Klickt unser Klaus den Link in der echten Netflix-Mail - es ist ja gerade kein Scam, keine Phishing-Mail - landet er direkt im Bereich für die Zahlungsdaten im Account des Betrügers. Er muss sich nicht mehr manuell einloggen. Gibt er dort leichtfertig seine echten Kreditkartendaten ein, zahlt er von nun an dessen Netflix-Account. Noch viel schlimmer: Sobald der Betrüger dies sieht, kann er die E-Mail-Adresse ändern und Klaus so für immer aussperren.
Die Lösung
Solange Netflix nicht eine Verifizierung der E-Mail-Adresse verlangt oder die Passworteingabe nach dem Klicken auf den Link in der E-Mail nötig ist, empfehlen wir euch, dass ihr Netflix nicht mit einer Gmail-Adresse nutzt. Mit E-Mail-Adressen anderer Anbieter besteht das Problem nicht, denn KlausiM@web.de und klausi.m@web.de sind verschiedene Adressen, die auch unterschiedlichen Leuten gehören können, so dass die Mail nicht bei der falschen Person landen kann.
Daneben sollte man ohnehin vorsichtig sein und immer sicherstellen, dass man auch im richtigen Account ist, wenn man seine Zahlungsdaten eingibt. Im konkreten Beispiel, in dem man direkt auf der Seite mit den Zahlungsinformationen landet, kann man dies unter anderem dadurch erkennen, dass die aktuell vorhandenen Zahlungsdaten nicht bekannt sind.
Ans Licht gebracht wurde das Problem übrigens nun durch James Fisher, der in seinem Blog beschreibt, wie er eine solche E-Mail von Netflix erhielt und dann erkennen musste, dass jemand einen Account mit einer Gmail-Adresse eröffnet hat, die sich nur um einen Punkt von seiner unterscheidet. Er bemerkte den Fehler noch rechtzeitig und stöberte anschließend noch ein wenig herum, um zu sehen, was der andere Nutzer sich so angeschaut hat.
Streamingdienst Netflix bestätigte den Kollegen von TrustedReviews inzwischen, dass man das Problem auf dem Schirm habe und an einer Lösung arbeite, um seine Nutzer mit GMail-Konto gegen solche Betrügereien zu schützen. Solange diese Lösung aber nicht da ist, schützt nur die Nutzung einer anderen E-Mail-Adresse vollständig.
