Betrugsversuch per Telefonanruf – so lief es bei mir ab (und was ich daraus gelernt habe)

[tomloddel]

Ich möchte euch einen Fall schildern, der mir jetzt am Samstag, dem 25. Juli , passiert ist – in der Hoffnung, dass es dem ein oder anderen von euch helfen kann.

Der Auslöser: Eine SMS von Visa

An besagtem Samstagmorgen, ich war im Homeoffice, bekam ich eine SMS mit dem Hinweis auf eine außergewöhnliche Bewegung auf meinem Kreditkartenkonto. Die Sicherheitsmechanismen von Visa hatten angeschlagen. Die Nachricht: „A" drücken, wenn ich die Transaktion selbst veranlasst habe, „B", wenn nicht.

Ich kannte das Verfahren schon von einem Vorfall im Vorjahr und wusste, dass es seine Richtigkeit hat. Da ich die Transaktion nicht veranlasst hatte, drückte ich „B" – woraufhin meine Kreditkarte sofort gesperrt und eine neue angekündigt wurde. Klar: Jemand hatte meine Daten. Beim ersten Eingang so einer SMS hatte ich damals bei der Hotline nachgefragt, ob das seriös ist – und die Bestätigung bekommen, dass man das unbedingt sofort machen solle, es wäre ein übliches Verfahren. Also: alles plausibel, korrekt reagiert, aber natürlich ein "ich bin gehackt worden" -Gefühl.

20 Minuten später: Der Anruf

Das Telefon klingelte – angeblich comdirect. Man habe ungewöhnliche Bewegungen auf meinem Konto festgestellt: drei Überweisungen in Höhe von insgesamt fast 6.000 Euro, die noch nicht ausgeführt seien. Sie wären sehr beunruhigt, da sie diese Vorgehensweise so noch nie gehabt haben und sich nicht erklären können, wie es passiert ist. Ob ich helfen könnte, die IP-Adresse zu ermitteln, um den Fall an die Staatsanwaltschaft weiterzuleiten.

Meine erste Frage: Woher weiß ich, dass Sie wirklich von comdirect sind? Kann ich auch auflegen und selbst die Hotline anrufen ? Die Antwort: „Natürlich, kein Problem – dann verlieren wir halt einen halben Tag." Und dann das entscheidende Detail: „Ich kann Ihnen auch kurz eine SMS schicken."

Und tatsächlich – im offiziellen comdirect-Kanal, über den man auch TANs bekommt, erschien eine Nachricht: Eine Mitarbeiterin (Frau X, Sicherheitsabteilung) bestätige sich und teilte mit, dass ein Sicherheitsfall eröffnet worden sei.

Für mich war das in diesem Moment eine Legitimation (Bevor jemand den Kopf schüttelt- immer an die verifizierte Visa-SMS 20 min vorher denken)

Die Eskalation

Ich ging ins Konto. Die Dame bat mich, testweise eine Überweisung freizugeben, um die „echten IPs" hinter den drei Verdachtstransaktionen zu ermitteln. Es handelte sich um einen „Guthabenübertrag" – ich gab ihn frei, er schlug angeblich fehl.

Dann sollte ich eine Inlandsüberweisung freigeben. An diesem Punkt hatte ich genug. "Jetzt rufe ich die Hotline an", sagte ich. "Kein Problem, Herr X, machen Sie das, ich bleibe in der Leitung.

Was dann folgte: Ich hatte zwei Telefone gleichzeitig am Ohr – links die vermeintliche Sicherheitsmitarbeiterin, rechts die echte Hotline. Die Hotline-Mitarbeiterin war sofort eindeutig: „Das sind Betrüger. So etwas machen wir nie." Die andere Dame: "Was kann ich tun- eine E-Mail schreiben?" "Sie soll einen Fall eröffnen". "Hat sie gemacht". "Sehe ich hier aber nicht"... Zum Glück bin ich Moderationen im emotionalen Spannungsfeld gewohnt und konnte das einigermaßen kopfgesteuert auf den einen  Punkt -mit Hilfe der comdirect-MA- zusteuern: Die Schlinge zog sich zu, der Betrug wurde als solcher identifiziert. Bei der Betrügerin aufgelegt, Konto wurde von cd sofort gesperrt

Warum bin ich fast reingefallen?

Ich bin sicher, isoliert wäre der Angriff verpufft. Aber oft sind es zwei parallele Ereignisse, welche die Tür zum kriminellen Erfolg weit öffnen können. Die Kreditkarte wurde tatsächlich gesperrt – das war real und verifiziert. Und genau 20 Minuten später kam der Anruf. In diesem emotionalen Zustand – leicht angespannt, im Kopf schon bei „irgendwer hat meine Daten" – ist man viel angreifbarer als wenn man entspannt und unvorbereitet einen Betrugsanruf bekommt.

Ein Vergleich: Stellt euch vor, ihr seid im Urlaub. Euer Einbruchalarm geht los, jemand hat versucht, die Terrassentür aufzuhebeln – eure Sicherheitssysteme haben es verhindert. 20 Minuten später ruft die "Polizei" an: Eure Adresse stehe auf einer Liste einer aktiven Einbruchsbande. Das ist etwas völlig anderes, als wenn euch aus heiterem Himmel jemand anruft und sagt, ihr werdet gleich überfallen, bringt die Wertgegenstände in Sicherheit.

Kontext macht den Unterschied – und genau das nutzen diese Betrüger anscheinend  aus. Entweder durch Schrotflintenprinzip- oder hier vielleicht mit voller Absicht. Diejenigen, die es erst bei der Kreditkarte probiert haben, starten sofort Plan B, nachdem Plan A aufgeflogen war. 

Bleibt die Frage, wie die an meine Daten gekommen sind. Zum zweiten Mal bei der Kreditkarte- die ja auch nach dem ersten Fall schon austauscht wurde. Erfahren, routiniert, Risikovermeidend, Systemaktualität, Schutzsoftware, regelmäßige Scans- mache ich überall sofort einen Haken hinter. 

Was ich mir bei comdirect wünsche

Ich mache mir keine großen Illusionen über meine Mitschuld – die ist vorhanden und das beschäftigt mich schon sehr.  Aber drei Punkte möchte ich dennoch ansprechen:

1. Der SMS-Kanal ist kein sicherer Vertrauensanker. Wenn Betrüger in der Lage sind, Nachrichten in denselben Thread einzuschleusen, in dem comdirect offizielle TANs verschickt, dann ist das ein ernsthaftes Sicherheitsproblem. Dieser Kanal sollte technisch so abgesichert sein, dass ausschließlich comdirect selbst dort schreiben kann – vergleichbar mit einem kryptografischen Schlüssel.
2. Das Standardschreiben nach der Kontosperrung ist widersprüchlich. Ich wurde angewiesen, Umsätze sofort zu prüfen – hatte aber keinen Zugang mehr, weil das Konto gesperrt war. Als ich die Hotline anrief, konnte man mich nicht legitimieren und mir keine Auskunft geben. Das ist verständlich und regelkonform – aber aus Kundensicht fühlt man sich in diesem Moment schlicht allein gelassen. Die comdirect fordert etwas, was sie selbst nicht zulässt. 
3. Alle drei zum reaktivierten Zugang notwendigen Schreiben waren am selben Tag im Briefkasten. Angekündigt wurde ein stufenweiser Versand aus Sicherheitsgründen 

Was von comdirect gut war:

Der Hinweis bei Freigabe über die photoTAN. Ich wollte was freigeben- da stand aber "comdirect wird Sie NIEMALS telefonisch…. "Das hat mir in dem Moment wirklich geholfen, nochmal innezuhalten und die Zweifel zu verstärken

Mein persönliches Fazit

• Niemals werde ich zukünftig telefonisch irgendetwas freigeben oder bestätigen, solange ich nicht zu 100 % sicher bin. Im Zweifel: auflegen, selbst anrufen. Allerdings- das hätte ich vor diesem Samstag schon behauptet, dass ich das immer so machen werde....
• Man ist nicht automatisch gefeit, nur weil man „weiß, wie Betrug funktioniert". Die eigene Anspannung und ein echter Vorfall davor können das Urteilsvermögen erheblich trüben. Auch da: immer im Zweifel sich für die für mich sichere Variante entscheiden. Und mehr auf mein Bauchgefühl hören

Ich hoffe, das hilft dem ein oder anderen. 

[CurtisNewton]

---

@tomloddel  schrieb:

1. Der SMS-Kanal ist kein sicherer Vertrauensanker. Wenn Betrüger in der Lage sind, Nachrichten in denselben Thread einzuschleusen, in dem comdirect offizielle TANs verschickt, dann ist das ein ernsthaftes Sicherheitsproblem. Dieser Kanal sollte technisch so abgesichert sein, dass ausschließlich comdirect selbst dort schreiben kann – vergleichbar mit einem kryptografischen Schlüssel.

---

So etwas wie SMS Kanäle oder Threads gibt es nicht. Eine SMS ist einfach ein freier Text der dir zugeschickt wird, wie eine Postkarte. Dein Smartphone sortiert dann die SMS anhand des eingetragenen Absenders ein. Das ist ebenfalls eine freier Text, da muss noch nicht mal eine Telefonnummer drin stehen. HaenselUndGretel wäre ebenfalls ein erlaubter Absender. Das Problem ist, das solche Protokolle überhaupt für irgendwas wichtiges außer Geburtstagsgrüßen eingesetzt wird 

[Joerg78]

Danke für diesen Beitrag, @tomloddel ! Wie du schon geschrieben hast - in einer "normalen" Situation hätte man den Betrugsversuch ziemlich schnell erkannt. In einer normalen Situation denkt man aber normalerweise auch rational. Nicht jedoch in einer Situation, in der man sowieso schon emotional etwas "aufgeheizt" ist - dort zeigt sich dann, dass wir eben keine "rationalen Maschinen" sind und nicht immer klar denken können.

Die Masche ist schon perfide: Man triggert eine Buchung mit den gestohlenen Daten einer comdirect-Karte, ruft dann kurz danach an und schickt - mit der gleichen Absendernummer der comdirect-Visa-SMS - eine "Legitimations-SMS".

Heißt: Irgendwo (Webshop) wurden deine Daten (Telefonnummer) samt Kreditkartendaten entwendet.

Wunsch 2 und 3 kann ich nachvollziehen - Wunsch 1 theoretisch auch, aber wie schon @CurtisNewton geschrieben hat - die Absendernummer kann man fälschen (wie übrigens auch bei Anrufen).

Aber danke für deinen wertvollen Erfahrungsbericht!

Viele Grüße,

Jörg

[Silver_Wolf]

Ehrlich gesagt verstehe ich nicht welche Art von Betrug da angestrebt wurde.  😞

Natürlich gibt man niemanden der einen anruft eine Freigabe für irgend etwas.

Und Kreditkarten-Umsätze kann man stornieren, ebenso wie unberechtigte Lastschriften.

Sollen die doch buchen was sie wollen.

Deshalb muss man doch die Karte nicht gleich sperren.

[Klever]

---

@Silver_Wolf  schrieb:

Und Kreditkarten-Umsätze kann man stornieren, ebenso wie unberechtigte Lastschriften.

Sollen die doch buchen was sie wollen.

Deshalb muss man doch die Karte nicht gleich sperren.

---

Wenn @tomloddel die Transaktion mit "A" freigegeben hätte, wäre Storno des Umsatzes vermutlich schwierig geworden, vermutlich wäre das Geld dann weg gewesen. 

Eine Karte zu sperren, deren Daten in falsche Hände geraten sind, macht natürlich Sinn. Ansonsten erfolgen doch nur weitere Betrugsversuche. 

@tomloddel auch ich danke für die interessante und ausführliche Schilderung. 

Grüße

Klever

[dg2210]

---

@tomloddel  schrieb:

Die Eskalation

Ich ging ins Konto. Die Dame bat mich, testweise eine Überweisung freizugeben, um die „echten IPs" hinter den drei Verdachtstransaktionen zu ermitteln. Es handelte sich um einen „Guthabenübertrag" – ich gab ihn frei, er schlug angeblich fehl.

Diesen Teil verstehe ich nicht. Was meinst du konkret mit 'ins Konto gehen' ?

Was genau hast du gemacht?

Wobei handelte es sich um einen Guthabenübertrag? 

[tomloddel]

Zu deinen Fragen, was genau passiert ist: Nachdem die Betrügerin mich davon überzeugt hatte, dass sie wirklich eine Comdirect-Mitarbeiterin ist, waren wir sozusagen gemeinsam in meinem Konto. Sie wollte zunächst über eine Remote-Software (ich glaube, es war AnyDesk) auf meinen Rechner zugreifen. Das habe ich strikt abgelehnt. Daraufhin schlug sie vor, dass ich ihr stattdessen meine Zugangsdaten gebe, damit ich an meinem Bildschirm „live“ mitverfolgen könne, was sie macht. Dummerweise habe ich genau das getan – wie gesagt, in dem festen Glauben, es ginge um die Klärung des anfänglichen Visa-Betrugs.

Sie wollte dann, dass ich eine TAN freigebe. Das habe ich ebenfalls verweigert. Sie lenkte scheinbar ein und meinte: „Okay, dann lassen wir das und machen stattdessen einen Guthabenübertrag.“ Auf meine Frage, was das bedeute, hieß es nur: „Sie bekommen Geld auf Ihr Konto.“ Es kam in der Tat eine TAN-Anforderung auf dem Smartphone als Guthabenübertrag, die aber nicht funktioniert hat – vermutlich war das nur ein Fake-Schritt, um mich in Sicherheit zu wiegen.

Als das fehlschlug, meinte sie: „Gut, wenn das nicht geht, machen wir eine Inlandsüberweisung.“ Das war der Punkt, an dem bei mir endgültig alle Alarmglocken geklingelt haben. Sie hatte offenbar eine Überweisung an irgendeine deutsche Bank angelegt und wollte dafür eine TAN von mir haben. Das habe ich natürlich sofort abgebrochen und verweigert. Das war mit „ins Konto gehen“ und dem „Guthabenübertrag“ gemeint.

Noch kurz zu dem anderen Punkt, der hier im Thread aufkam: Was da geschrieben wurde, ist natürlich Blödsinn. Wenn ich bei einer unbekannten Abbuchung die Wahl habe, klicke ich logischerweise an, dass ich die Transaktion nicht getätigt habe (Option A). Ich kann ja nicht eine fremde Transaktion bestätigen („War ich“) und hinterher versuchen, das Geld zurückzufordern, weil ich es dann doch nicht war.

Dass bei der Meldung eines Betrugs die Visa-Karte gesperrt wird, ist ein völlig normaler, automatischer Vorgang und ließ sich gar nicht beeinflussen. Es ist das logische Resultat, wenn eine Kreditkarte kompromittiert wurde. Außerdem würde ich mich extrem unwohl fühlen, wenn ich wüsste, dass Kriminelle mit meinen Daten hantieren- und dabei im wahrsten Sinne des Wortes ans Limit gehen.

À propos Limit: Das habe ich von einem bereits vorher niedrigen Wert jetzt nochmals reduziert. Zusätzlich werde ich noch ein weiteres Bankkonto (Giro + Kreditkarte) eröffnen – sinnigerweise bei einer anderen Bank. Vor einigen Jahren hatte ich zwar alles bei der Comdirect zusammengeführt, um einen besseren Überblick zu haben. Jetzt ist mir aber klar geworden, dass eine Redundanz im Fall der Fälle sicherlich hilfreich sein kann. Auch die Idee, eine Art abgesicherte Kreditkarte zu nutzen, gefällt mir sehr gut.

[GetBetter]

Ich war zugegebenermaßen noch nie in einer solchen Situation und möchte von daher auch nicht so tun, als wüsste ich genau, wie genau ich mich darin verhalte. Folgender Punkt macht aber dann doch stutzig:

---

@tomloddel  schrieb:

Sie wollte zunächst über eine Remote-Software (ich glaube, es war AnyDesk) auf meinen Rechner zugreifen. Das habe ich strikt abgelehnt. Daraufhin schlug sie vor, dass ich ihr stattdessen meine Zugangsdaten gebe, damit ich an meinem Bildschirm „live“ mitverfolgen könne, was sie macht. Dummerweise habe ich genau das getan – wie gesagt, in dem festen Glauben, es ginge um die Klärung des anfänglichen Visa-Betrugs.

---

Spätestens beim Versuch eines Remote-Zugriffs ist doch wirklich vollkommen offensichtlich, dass die Sache nicht koscher ist.

Hier hast Du offenbar Lunte gerochen und dies folgerichtig verweigert, nur um dann im nächsten Schritt die Zugangsdaten rauszugeben???

Stress-Situation hin oder her. Aber das ist mit "Lunte riechen" eigentlich nicht mehr angemessen umschrieben, da steht die Hütte nämlich schon in Vollbrand.

Ist ja nochmal gut gegangen.

[CurtisNewton]

---

@GetBetter  schrieb:

Spätestens beim Versuch eines Remote-Zugriffs ist doch wirklich vollkommen offensichtlich, dass die Sache nicht koscher ist.

Hier hast Du offenbar Lunte gerochen und dies folgerichtig verweigert, nur um dann im nächsten Schritt die Zugangsdaten rauszugeben???

Stress-Situation hin oder her. Aber das ist mit "Lunte riechen" eigentlich nicht mehr angemessen umschrieben, da steht die Hütte nämlich schon in Vollbrand.

Ist ja nochmal gut gegangen.

---

Ja, das ist sicher richtig, an dem Punkt bin ich auch stutzig geworden. Es ist allerdings ein Unterschied ob man so etwas als Aussenstehender objektiv und mit zeitlichen Abstand oder "live am Telefon" bewertet, Wenn man die Beschreibung des Vorfalls liest und reflektiert ist offenkundig dass da was schief läuft, und zwar schon viel früher. "Können sie machen, dann dauert es aber einen halben Tag länger" oder "Die Überweisungen sind noch nicht ausgeführt" sind der Klassiker, das Opfer zeitlich unter Druck zu setzten. Ganz egal ob Schockanruf ("... sie wollen doch nicht dass ihre Tochter ins Gefängnis geht") oder Phishing ("...sie wollen doch nicht ihr Geld verlieren / die Staatsanwaltschaft behindern"), die zeitliche Komponente spielt einen enormen Faktor: Wer unter Stress gesetzt wird und unvorbereitet in Sekunden entscheiden muss macht zwangsweise Fehler die er normalerweise nicht macht.

Objektiv, so wie @tomloddel  es hier nieder geschrieben hat

- Klassischer Versuch, das Opfer unter zeitlichen Druck zu setzten

- Vorstellung, Ermittlungen würden von einer Bank geführt und nicht von der Staatsanwaltschaft

- Technisch vollkommen hanebüchene Erklärung, man könne eine IP Adresse aus der Vergangenheit mit einer Transaktion in der Zukunft ermitteln (selbst die Strafverfolgungsbehörden kommen nicht ohne weiteres an IP Adressen)

- Klassischer Versuch, den Rechner des Opfer zu übernehmen oder die Zugangsdaten zu erfragen

Alles Dinge, die man logisch betrachtet dazu verwenden kann, das Gespräch sofort zu beenden, nur, wenn man eben unter Stress steht, handelt man vielleicht nicht logisch.

Gut, das nichts schlimmes passiert ist.

@tomloddel Bitte unbedingt auch Deine Zugangspin fürs Online Banking ändern wenn Du die rausgegeben hast. Eventuell gibt Dir die Bank auch eine neue Zugangsnummer  

Ich hatte in den letzten 8 Wochen übrigens vier Anrufe von der Sparkasse - unter der Service Rufnummer der Sparkasse - nur wusste diese von nix. Inzwischen ist eine Warnung vor Telefon Spoofing auf der Website. Ich gehe bei solchen Anrufen gar nicht mehr ans Telefon. Wenn es etwas wichtiges ist, ist der Anrufer in der Lage eine Nachricht auf der MailBox zu hinterlassen. Ruft der gleiche Anrufer mehrfach an ohne eine Nachricht, ist es entweder Werbung oder Scam.

[dg2210]

---

@tomloddel  schrieb:

Zu deinen Fragen, was genau passiert ist: Nachdem die Betrügerin mich davon überzeugt hatte, dass sie wirklich eine Comdirect-Mitarbeiterin ist, waren wir sozusagen gemeinsam in meinem Konto. Sie wollte zunächst über eine Remote-Software (ich glaube, es war AnyDesk) auf meinen Rechner zugreifen. Das habe ich strikt abgelehnt. Daraufhin schlug sie vor, dass ich ihr stattdessen meine Zugangsdaten gebe, damit ich an meinem Bildschirm „live“ mitverfolgen könne, was sie macht. Dummerweise habe ich genau das getan – wie gesagt, in dem festen Glauben, es ginge um die Klärung des anfänglichen Visa-Betrugs.(...)

Danke. Das wirft ein ganz anderes Licht auf die Sache