Wie konnte er über unsere Nummer anrufen??
Ihr habt ein DSL-Modem, welches fuer Telefon (wegen Internet-Telefonie) und Internet zustaendig ist, korrekt?
Wenn nicht, dann reicht es den letzten Satz zu lesen, denn ich gehe hier nun davon aus, dass Ihr ein derartiges Modem habt und die Fernwartung missbraucht wurde. 
Solche Geraete haben meist eine Fernwartungs Funktion (die meines Wissens nach eigentlich standardmaessig aus gestellt sein sollte) und da sie auch fuer das Telefon zustaendig sind erlaubt es einen Angriff. Ein Angreifer koennte sich Zugriff auf die Fernwartung verschaffen und die Rufnummern-Umleitung auf eine kostenpflichtige Rufnummer aendern, welche dem Angreifer spaeter Zugriff auf das Geld gibt (sei es ein vom Angreifer angemeldeter Service der dann meist im Ausland sitzt und nach kurzer Zeit wieder abgemeldet wird, oder ein fremder Service, der den Zugriff auf das Geld/eine Leistung erlaubt, wie der von dir angesprochene Service).
Zumindest die Angreifer-Rufnummer sollte noch auf dem modem gespeichert sein (die Nummer hat angerufen und wurde nicht angerufen!).
Einfach mal die Logs durchforsten fuer die betroffene Zeit, vielleicht findet man einige Fehlgeschlagene Login-Versuche (Stunden manchmal sogar Tage) vor dem eigentlichen Angriff. Unter den (erfolgreichen) eingehenden Anrufen sollte man die Rufnummer des Angreifers auffinden (setzt voraus, dass ein derartiger Angriff statt gefunden hat). Sofern der Angreifer nicht mit einer Auslandsrufnummer angerufen hat, sondern mit einer inner-deutschen, so hat man sicherlich gute Chancen das Geld von demjenigen einzuklagen, wenn man daran gedacht hat genuegend Beweise zu sichern (wie die Logs vom Modem, die im besten fall die korrekte IP des Angreifers unter fehlgeschlagenen Logins zeigt, die Rufnummer zu der Zeit des Angriffs und, dass die Rufnummern umleitung auf die kostenpflichtige Rufnummer aktiviert wurde).
Wenn es sich tatsaechlich herausstellen sollte, dass es ein derartiger Angriff war, so sollte man sich mit der Polizei (diese koennen vielleicht die Angreifer rufnummer zum Angreifer zurueckverfolgen) und mit einem Anwalt in Verbindung setzen, um sich professionell beraten zu lassen. Ausserdem sollte man sich, wenn man Beweise dafuer hat, dass ein Angriff stattfand, mit dem Anbieter in Verbindung setzen und auf deren Kulanz hoffen. (Mit ein paar Logs aus dem Modem, die die Aussage, dass ein Angriff statt fand, unterstuetzen, lassen die sich vielleicht eher Umstimmen die Kosten zu teilen, oder sogar zu erlassen.)
Am wichtigsten sollte nach einem derartigen Angriff, jedoch das Ausstellen der Fernwartungs-option sein.
Es besteht natuerlich auch noch die Moeglichkeit, dass es eigentlich gar kein Angriff war. 
