Bochum. Im Ruhrgebiet gibt es immer mehr Fake-Anrufe nach denen das Bank-Konto leer ist. Ein Psychologe weiß, warum jeder zum Opfer werden kann.
Der Anruf kommt meistens am späten Nachmittag oder am Wochenende. Jedenfalls außerhalb der Geschäftszeiten. Rückruf unmöglich. Über das Ruhrgebiet rollt eine Welle von Betrugsfällen mit manipulierten Rufnummern. Meist ist es angeblich das eigene Geldinstitut, das sich da meldet und sensible Daten erfragt. Wenig später ist das Konto des Angerufenen leer. Spoofing (Vortäuschen) nennt sich das.
Mal trifft es Menschen in Dortmund, mal in Essen. Genaue Zahlen gibt es nicht. „Wir erfahren längst nicht von jedem Fall“, bestätigt Frank Lemanis, Sprecher der Polizei in Bochum. „Vielen Opfern ist die Sache peinlich.“ Allein in Bochum aber soll es nach Informationen der WAZ am letzten Januarwochenende bei Kunden nur eines Geldinstitutes knapp zwei Dutzend dieser Anrufe gegeben haben.
Gefährlicher Anruf am Wochenende
In einem Fall klingelt es am Samstagmorgen bei einem Ingenieur. Einer, der sich nach eigener Aussage „auskennt im Internet“. Einer, der „mit beiden Beinen im Leben steht“. Der Mann nimmt ab, er kennt die Telefonnummer seiner Bank. Aber die ruft gar nicht an. Es sind Cyberkriminelle, die – vereinfacht gesagt – einen speziellen Dienst nutzen, um die Nummer, die auf dem Display des angerufenen Handys erscheint, frei zu wählen.
Auch interessant
Zwar müssen Netzbetreiber seit Dezember 2022 technisch sicherstellen, dass Anrufe abgebrochen werden, bei denen Rufnummern der Notrufe 110 und 112 sowie kostenpflichtige Rufnummern (0)900, (0)137 und Nummern für Auskunfts- und Kurzwahldienste fälschlicherweise angezeigt werden – die Nummern von Geldinstituten oder Behörden aber lassen sich weiterhin vortäuschen.
Warnung an Opfer: „Es geht um Minuten“
Der Anrufer in Bochum kommt gleich zur Sache. Das Geldinstitut werde von Hackern angegriffen, das Geld auf den Konten sei nicht mehr sicher, teilt er mit. In anderen Fällen ist von „auffallenden Kontobewegungen“ oder einer sofortigen Sperre der EC-Karte die Rede. Jedenfalls müsse man sofort handeln.
Mal kann nur der Klick auf einen bestimmten Link helfen, mal soll ein Auftrag in der pushTAN-App freigegeben werden. Stets gilt: „Es geht um Minuten.“ Das Opfer kommt der Aufforderung nach, gibt einen Auftrag frei. Als sich sein Puls wieder beruhigt hat, kommen erste Zweifel, die sich bei einem Blick auf das Konto bestätigen. Ein fünfstelliger Betrag ist verschwunden. „Ich hätte nie gedacht, dass ich auf so etwas hereinfalle“, sagt der Ingenieur.
Trojaner schlummern viele Wochen
Polizeisprecher Lemanis kennt solche Reaktionen. „Das sagen die meisten.“ Und die meisten wundern sich auch, wenn sich bei näherer Untersuchung ihres Rechners plötzlich ein Trojaner findet – eine Software, die etwa Tastenschläge aufzeichnet und übermittelt oder grundsätzlich eine Tür auf die Festplatte des Angegriffenen öffnet.
Niklas Hellemann, Diplom-Psychologe und Geschäftsführer der SoSafe GmbH, die sich unter anderem darauf spezialisiert hat, Mitarbeitende von Organisationen für solche Cybergefahren zu sensibilisieren, kennt solche und ähnliche Fälle nur zu gut. Firmen lassen SoSafe simulierte Phishing-Angriffe auf ihre Mitarbeitenden durchführen, um ihnen zu helfen, solche Angriffe zukünftig zu erkennen und entsprechend zu reagieren.
Größte Schwachstelle ist der Mensch
Auch interessant
Denn die größte Schwachstelle in der Informationssicherheit, weiß Hellemann, „ist der Mensch“. Immer noch lädt er gedankenlos einen E-Mail-Anhang herunter oder folgt dem Link zu einer verseuchten Webseite. „Treffen kann es jeden“, sagt Hellemann. Beruflich wie privat. Denn auch der Anruf unter falscher Nummer erfolgt in vielen Fällen nur noch, um den letzten Baustein – etwa die TAN – zu erhalten. Andere Daten wurden oft vorab schon durch andere Cyberangriffe oder im den Tiefen des Dark Webs erworben. Hebt man ab, ist die Gefahr groß, auf die falschen Anrufer hereinzufallen. „Die Angreifer werden immer professioneller.“ Sie wissen Namen von Kundenberatern, kennen Kontostände.
Er stoße bei seiner Arbeit immer öfter auf „firmenähnliche Konstrukte“, sagt Hellemann. Einer liefere Vorabinfos aus dem Internet über die Zielperson, ein anderer betreibe das Call-Center, aus dem die Anrufe erfolgen. „Es wird viel Zeit investiert, um das Ganze immer glaubhafter zu machen. Die Angreifer sind sehr innovativ.“
Kritisches Denken wird ausgeschaltet
Sie tun alles, ihre Opfer unter Druck zu setzen, jeden Zweifel im Keim zu ersticken. „Kritisches Denken setzt voraus, dass ich Kapazitäten dafür habe“, sagt Hellemann. „Aber die habe ich nicht, wenn ich unter Stress stehe.“ Genau den machen die Anrufer, indem sie „mit etwas ganz Schlimmem drohen“ und Zeitdruck erzeugen. „Dann schaltet das Opfer ab, weil es emotional so belastet ist.“ Gleichzeitig bemühen sich die Cyberbanden – unter anderem durch die falsch angezeigte Telefonnummer – die Wahrscheinlichkeit zu erhöhen, dass der Anruf als echt empfunden wird.
Je länger so ein Telefonat dauert, desto größer ist die Gefahr, vertrauliche Infos zu verraten oder einer falschen Anweisung zu folgen. Polizei und viele Banken haben dann auch alle denselben Rat: „So schnell wie möglich auflegen.“ Auch wenn angeblich Hacker die Konten plündern. „Am Ende“, sagt eine Sprecherin, die ungenannt bleiben möchte, „ist das ein Problem der Bank, nicht der Kunden.“
Ratgeber
Vertrauen Sie nicht der Nummer, die auf ihrem Display erscheint. Tätigen Sie keine Zahlungen: Behörden, Banken und Verbraucherzentralen fordern nie telefonisch dazu auf. Geldinstitute fragen nicht nach Bankdaten, PIN/TAN oder Zugangsdaten.
Installieren Sie keine Fernwartungssoftware: Oft geben sich Betrüger als Techniker aus und fordern Sie dazu auf, Fernwartungssoftware zu installieren, um ein Problem an Ihrem PC beheben zu können. Tun Sie dies nie!
Wer Opfer einer Spoofing-Attacke geworden ist, sollte schnell seine Bank informieren. Der Onlinezugang und das Konto sollten sofort gesperrt werden. Kredit- und EC-Karten sowie Online-Zugänge lassen sich rund um die Uhr unter der bundesweit einheitlichen Telefonnummer 116 116 sperren.
Schwierig zu beantworten ist die Frage, ob ein Spoofing-Opfer das verlorene Geld von seiner Bank zurückfordern kann. In den ganz ähnlich gelagerten Fällen von Phishing-Attacken (Datendiebstahl per Mail) haben Gerichte darauf abgestellt, ob sich das Opfer bei der Preisgabe seiner Daten „grob fahrlässig“ verhalten habe. In den meisten Fällen verneinten die Richter das.