Teile niemals deine Passwörter im Internet! Diese Sicherheitsregel wird schon Kindern eingebläut. Fragt jemand per Mail nach den Passwörtern, handelt es sich fast immer um Phishing: um Versuche Krimineller, an persönliche Daten zu gelangen. Umso irritierender, wenn der grösste Schweizer Elektronikhändler genau das tut. 

Doch zurück zum Anfang. Am Black Friday bestellt Maria Fröhlich* (Name geändert) beim Online-Händler Digitec ein neues iPhone. Bald stellt sie ernüchtert fest: Etwas stimmt mit dem Akku nicht. Nach längerem Hin und Her mit dem Kundenservice schickt Digitec ein Ersatzgerät. Doch das aufbereitete iPhone funktioniert noch schlechter. Sie reklamiert und erhält ein neues iPhone. Das Ersatzgerät solle sie zurückgeben, so die Anweisung. Zurücksetzen müsse sie es nicht. 

Kurz darauf eine Mail von Digitec im Posteingang: «Um Ihre Retoure bearbeiten zu können, wären wir Ihnen dankbar, wenn Sie uns noch folgende Informationen zukommen lassen könnten: PIN, iCloud-Passwort.» Fröhlich zögert und erinnert sich an die Nummer-eins-Regel im digitalen Raum. 

Erneuter Anruf beim Kundendienst: Ob es sich bei der Mail um Phishing handle? Danach töne es durchaus, fand auch der Mitarbeiter. Nach kurzer Abklärung bestätigt er jedoch: Die Mail sei von Digitec. Man brauche die Passwörter, um das Handy zurückzusetzen. «Ich teile Ihnen ungern meine Passwörter mit, schon gar nicht per Mail», antwortet Maria Fröhlich. «Ich bin ganz ehrlich», sagte der Mitarbeiter, «das würde ich auch nicht!» Sie könne ihm aber die Passwörter gern am Telefon durchgeben. Auch das ein datenschutztechnisch fragwürdiger Vorschlag.

Digitec sieht kein Problem

Irritiert wendet sich die Journalistin Maria Fröhlich an die Digitec-Medienabteilung. Ob es Usus sei, Kundinnen und Kunden nach den Passwörtern zu fragen? Dies wurde verneint. Es könne jedoch vorkommen, dass der Kunde den Retourenprozess beschleunigen wolle und man ihm deshalb anbiete, das Entsperren des Handys für ihn zu übernehmen. Denn viele schickten ihr Gerät nicht zurückgesetzt ein. Da es beim Kunden liege, die Log-in-Daten mitzuteilen, sehe man kein Problem bezüglich Datenschutz. 

Es ist wohl unwahrscheinlich, dass sich Mitarbeiter eine Gaudi aus Whatsapp-Nachrichten oder Selfies von Kunden machen, zu denen sie mit den Passwörtern Zugriff haben. Ausgeschlossen ist es aber nicht.