Mitte November wurde auf Ricardo ein Mac Mini von Apple mit 256 Gigabyte Festplatte für ein Startgebot von 350 Franken angeboten. Neu kostet der Computer 650 Franken. Laut Beschreibung handelte es sich um ein aktuelles Modell mit «Restgarantie». Wer zuschlagen wollte, konnte auf «sofort kaufen» klicken und sich den Computer für 380 Franken sichern.

Verkäufer war ­ein Benutzer, der laut ­seinem Profil bislang 30 Produkte verkaufte und 20 Artikel kaufte. Ricardo-Benutzer bewerteten ihn zu 100 Prozent positiv. Kurz: Der Anbieter schien vertrauenswürdig. Was aber nicht ersichtlich war: Hacker hatten die Kontrolle über das Benutzerkonto übernommen.

Die kleine Differenz von nur 30 Franken zwischen Start- und Sofort-Kaufen-­Preis ist Absicht, damit Interessierte sofort zuschlagen. Als Zahlungsmittel geben die Betrüger Twint an.

Bei dieser Zahl­art erhalten sie das Geld sofort. Für die Käufer ist das Geld unwiderruflich weg. Ware erhalten sie keine. Ricardo schreibt auf Anfrage, man erhalte pro Tag fünf Meldungen von Käufern, die auf die Masche hereingefallen sind. Zu befürchten haben Hacker wenig: Ricardo erstattet «nur in höchst seltenen Fällen» Anzeige. Die Firma sagt, sie seien nur eine «vermittelnde Plattform».

Tiefer Preis, Twint, ­keine Abholung

Gemäss Insidern bringen Hacker auf Ricardo täglich rund 25 Konten unter ihre Kontrolle – es ist also von Hunderten gehackten Profilen auszugehen. Verdächtig sind: tiefer Preis, keine Abho­lung, Zahlung nur mit Twint. Oft sind die Produktefotos aus dem ­Internet kopiert. Das kann man via Google-Bildersuche überprüfen.

Auch ­Erich Portmann, ein K-Tipp-Leser aus Zug, stiess immer wieder auf verdächtige Profile. Ricardo blockierte die Konten zwar auf seinen Hinweis hin, für Portmann ist das aber zu wenig. «Für Hacker ist die Plattform ein Paradies», sagt der Computerspezialist. Ricardo habe zwar in den letzten Jahren munter die Gebühren erhöht, aber kaum etwas in die ­Sicherheit investiert.

So gebe es noch immer keine Zwei-Faktor-Authentifizierung. Das funktioniert so: Wer sich in ein Konto einloggen will, muss nicht nur sein Passwort eingeben, sondern auch einen Code. Dieser wird dem Konto­inhaber via Smartphone geschickt. Das macht das Knacken eines Kontos fast unmöglich.

Ricardo schreibt dem K-Tipp, im Vergleich zu den über 250'000 aktiven Benutzer­konten würde sich die Anzahl gehackter Konten «in einem verschwindend tiefen Promille-Bereich» bewegen. Die Einführung der Zwei-­Faktor-Authentifizierung sei «in Planung».