Alles begann mit einem Besuch bei seiner Bankfiliale

Im Fall unseres 42-Jährigen aus dem Landkreis Altötting begann die Geschichte mit einem Termin bei seiner Bank. Weil für mehrere Transaktionen Absprachen anstanden, und diese manchmal auch per E-Mail vereinbart wurden, wunderte sich der Ingenieur nicht, als eine E-Mail seiner Hausbank eintraf. Er sollte sich über einen Link in der Mail bei seinem Konto anmelden um ein neues Sicherheits-Update zu installieren. Martin H. (Name von der Redaktion geändert), tut wie ihm geheißen und gibt seinen Benutzernamen und sein Passwort ein. Kriminalhauptkommissar Kevin Büchele von der Kriminalpolizeiinspektion Traunstein weiß: Das war der erste Schritt in die Falle der Betrüger: „Zunächst werden die Opfer vor allem per Phishing-Email auf gefälschte Bankseiten gelockt, wo die Zugangsdaten der Kunden ausgespäht werden“, so Büchele. „Ein weiteres Einfallstor könnte aber auch eine SMS sein, die einen Link enthält.“

Dann kamen Anrufe von der Bankfiliale

Kurz nach der erfolgten Online-Anmeldung klingelt Martin H.s Telefon: Die Nummer seiner Bankfiliale wird angezeigt. Eine nette bayerisch-sprechende Dame meldet sich mit dem Namen seiner Bank und erklärt dem 42-Jährigen, dass es auffällige Transaktionen auf seinem Konto gegeben habe. Sie verbindet ihn mit einem Sachbearbeiter, der ihm Näheres erklären kann. Der Anruf ist so authentisch und glaubwürdig, dass der Ingenieur keinerlei Zweifel an der Echtheit hegt – ganz im Gegenteil: Er freut sich sogar über die professionelle Früherkennung auffälliger Transaktionen. So glaubt er auch dem Sachbearbeiter, der ihm helfen will, diese fehlerhaften Überweisungen zu stornieren, um sein Geld zurückzubekommen. Er bräuchte dafür bloß die TAN, die in diesem Moment per SMS an H.s Mobiltelefon gesendet würde, so der Sachbearbeiter. Hier sind die Gauner bereits kurz vor ihrem Ziel, so Büchele. „Mit der Durchgabe der TAN können die Betrüger dann jeden beliebigen Betrag abheben oder sogar Limits erhöhen.“

Auch die Banken warnen ihre Kunden niemals eine TAN weiterzugeben. „Wer am Telefon eine Trans­aktions­nummer (Tan) für das Online­banking weitergibt und dadurch Opfer eines Betrugs wird, handelt grob fahr­lässig. Er hat damit keinen Anspruch auf Schaden­ersatz“, entschied das Amts­gericht München. TANs müssen also in jedem Fall geheimgehalten werden. Komme was da wolle. Doch wie konnten die Betrüger von der Telefonnummer der Bankfiliale aus anrufen? Mit dem sogenannten Call-ID-Spoofing. Anhand dieser Methode kann die wahre Telefonnummer mit Hilfe einer gefälschten verschleiert werden.

Am Ende fehlten knappe 40.000 Euro

Für Martin H. war es ein Schock, festzustellen, dass plötzlich knappe 40.000 Euro von seinem Konto abgebucht waren. Ein Besuch bei der Bank bestätigt, was er bereits befürchtete: Er war Opfer eines Betruges geworden. Ob H. das Geld zurückbekommt bleibt abzuwarten. „Zuerst sollte man mit seiner Bank Kontakt aufnehmen“, sagt auch Kriminalhauptkommissar Büchele. „Das geht auch am Wochenende über die Notfallrufnummern. Oft können die Banken das Geld unkompliziert zurückholen. Erst wenn das nicht funktioniert sollte man sich an die Polizei wenden.“ Auch bei der Verbraucherzentrale kann man sich über aktuelle Phishing-Tricks informieren.