Betrugsversuch per Telefonanruf – so lief es bei mir ab (und was ich daraus gelernt habe)

[tomloddel]

Ich möchte euch einen Fall schildern, der mir jetzt am Samstag, dem 25. Juli , passiert ist – in der Hoffnung, dass es dem ein oder anderen von euch helfen kann.

Der Auslöser: Eine SMS von Visa

An besagtem Samstagmorgen, ich war im Homeoffice, bekam ich eine SMS mit dem Hinweis auf eine außergewöhnliche Bewegung auf meinem Kreditkartenkonto. Die Sicherheitsmechanismen von Visa hatten angeschlagen. Die Nachricht: „A" drücken, wenn ich die Transaktion selbst veranlasst habe, „B", wenn nicht.

Ich kannte das Verfahren schon von einem Vorfall im Vorjahr und wusste, dass es seine Richtigkeit hat. Da ich die Transaktion nicht veranlasst hatte, drückte ich „B" – woraufhin meine Kreditkarte sofort gesperrt und eine neue angekündigt wurde. Klar: Jemand hatte meine Daten. Beim ersten Eingang so einer SMS hatte ich damals bei der Hotline nachgefragt, ob das seriös ist – und die Bestätigung bekommen, dass man das unbedingt sofort machen solle, es wäre ein übliches Verfahren. Also: alles plausibel, korrekt reagiert, aber natürlich ein "ich bin gehackt worden" -Gefühl.

20 Minuten später: Der Anruf

Das Telefon klingelte – angeblich comdirect. Man habe ungewöhnliche Bewegungen auf meinem Konto festgestellt: drei Überweisungen in Höhe von insgesamt fast 6.000 Euro, die noch nicht ausgeführt seien. Sie wären sehr beunruhigt, da sie diese Vorgehensweise so noch nie gehabt haben und sich nicht erklären können, wie es passiert ist. Ob ich helfen könnte, die IP-Adresse zu ermitteln, um den Fall an die Staatsanwaltschaft weiterzuleiten.

Meine erste Frage: Woher weiß ich, dass Sie wirklich von comdirect sind? Kann ich auch auflegen und selbst die Hotline anrufen ? Die Antwort: „Natürlich, kein Problem – dann verlieren wir halt einen halben Tag." Und dann das entscheidende Detail: „Ich kann Ihnen auch kurz eine SMS schicken."

Und tatsächlich – im offiziellen comdirect-Kanal, über den man auch TANs bekommt, erschien eine Nachricht: Eine Mitarbeiterin (Frau X, Sicherheitsabteilung) bestätige sich und teilte mit, dass ein Sicherheitsfall eröffnet worden sei.

Für mich war das in diesem Moment eine Legitimation (Bevor jemand den Kopf schüttelt- immer an die verifizierte Visa-SMS 20 min vorher denken)

Die Eskalation

Ich ging ins Konto. Die Dame bat mich, testweise eine Überweisung freizugeben, um die „echten IPs" hinter den drei Verdachtstransaktionen zu ermitteln. Es handelte sich um einen „Guthabenübertrag" – ich gab ihn frei, er schlug angeblich fehl.

Dann sollte ich eine Inlandsüberweisung freigeben. An diesem Punkt hatte ich genug. "Jetzt rufe ich die Hotline an", sagte ich. "Kein Problem, Herr X, machen Sie das, ich bleibe in der Leitung.

Was dann folgte: Ich hatte zwei Telefone gleichzeitig am Ohr – links die vermeintliche Sicherheitsmitarbeiterin, rechts die echte Hotline. Die Hotline-Mitarbeiterin war sofort eindeutig: „Das sind Betrüger. So etwas machen wir nie." Die andere Dame: "Was kann ich tun- eine E-Mail schreiben?" "Sie soll einen Fall eröffnen". "Hat sie gemacht". "Sehe ich hier aber nicht"... Zum Glück bin ich Moderationen im emotionalen Spannungsfeld gewohnt und konnte das einigermaßen kopfgesteuert auf den einen  Punkt -mit Hilfe der comdirect-MA- zusteuern: Die Schlinge zog sich zu, der Betrug wurde als solcher identifiziert. Bei der Betrügerin aufgelegt, Konto wurde von cd sofort gesperrt

Warum bin ich fast reingefallen?

Ich bin sicher, isoliert wäre der Angriff verpufft. Aber oft sind es zwei parallele Ereignisse, welche die Tür zum kriminellen Erfolg weit öffnen können. Die Kreditkarte wurde tatsächlich gesperrt – das war real und verifiziert. Und genau 20 Minuten später kam der Anruf. In diesem emotionalen Zustand – leicht angespannt, im Kopf schon bei „irgendwer hat meine Daten" – ist man viel angreifbarer als wenn man entspannt und unvorbereitet einen Betrugsanruf bekommt.

Ein Vergleich: Stellt euch vor, ihr seid im Urlaub. Euer Einbruchalarm geht los, jemand hat versucht, die Terrassentür aufzuhebeln – eure Sicherheitssysteme haben es verhindert. 20 Minuten später ruft die "Polizei" an: Eure Adresse stehe auf einer Liste einer aktiven Einbruchsbande. Das ist etwas völlig anderes, als wenn euch aus heiterem Himmel jemand anruft und sagt, ihr werdet gleich überfallen, bringt die Wertgegenstände in Sicherheit.

Kontext macht den Unterschied – und genau das nutzen diese Betrüger anscheinend  aus. Entweder durch Schrotflintenprinzip- oder hier vielleicht mit voller Absicht. Diejenigen, die es erst bei der Kreditkarte probiert haben, starten sofort Plan B, nachdem Plan A aufgeflogen war. 

Bleibt die Frage, wie die an meine Daten gekommen sind. Zum zweiten Mal bei der Kreditkarte- die ja auch nach dem ersten Fall schon austauscht wurde. Erfahren, routiniert, Risikovermeidend, Systemaktualität, Schutzsoftware, regelmäßige Scans- mache ich überall sofort einen Haken hinter. 

Was ich mir bei comdirect wünsche

Ich mache mir keine großen Illusionen über meine Mitschuld – die ist vorhanden und das beschäftigt mich schon sehr.  Aber drei Punkte möchte ich dennoch ansprechen:

1. Der SMS-Kanal ist kein sicherer Vertrauensanker. Wenn Betrüger in der Lage sind, Nachrichten in denselben Thread einzuschleusen, in dem comdirect offizielle TANs verschickt, dann ist das ein ernsthaftes Sicherheitsproblem. Dieser Kanal sollte technisch so abgesichert sein, dass ausschließlich comdirect selbst dort schreiben kann – vergleichbar mit einem kryptografischen Schlüssel.
2. Das Standardschreiben nach der Kontosperrung ist widersprüchlich. Ich wurde angewiesen, Umsätze sofort zu prüfen – hatte aber keinen Zugang mehr, weil das Konto gesperrt war. Als ich die Hotline anrief, konnte man mich nicht legitimieren und mir keine Auskunft geben. Das ist verständlich und regelkonform – aber aus Kundensicht fühlt man sich in diesem Moment schlicht allein gelassen. Die comdirect fordert etwas, was sie selbst nicht zulässt. 
3. Alle drei zum reaktivierten Zugang notwendigen Schreiben waren am selben Tag im Briefkasten. Angekündigt wurde ein stufenweiser Versand aus Sicherheitsgründen 

Was von comdirect gut war:

Der Hinweis bei Freigabe über die photoTAN. Ich wollte was freigeben- da stand aber "comdirect wird Sie NIEMALS telefonisch…. "Das hat mir in dem Moment wirklich geholfen, nochmal innezuhalten und die Zweifel zu verstärken

Mein persönliches Fazit

• Niemals werde ich zukünftig telefonisch irgendetwas freigeben oder bestätigen, solange ich nicht zu 100 % sicher bin. Im Zweifel: auflegen, selbst anrufen. Allerdings- das hätte ich vor diesem Samstag schon behauptet, dass ich das immer so machen werde....
• Man ist nicht automatisch gefeit, nur weil man „weiß, wie Betrug funktioniert". Die eigene Anspannung und ein echter Vorfall davor können das Urteilsvermögen erheblich trüben. Auch da: immer im Zweifel sich für die für mich sichere Variante entscheiden. Und mehr auf mein Bauchgefühl hören

Ich hoffe, das hilft dem ein oder anderen. 

[CurtisNewton]

---

@tomloddel  schrieb:

1. Der SMS-Kanal ist kein sicherer Vertrauensanker. Wenn Betrüger in der Lage sind, Nachrichten in denselben Thread einzuschleusen, in dem comdirect offizielle TANs verschickt, dann ist das ein ernsthaftes Sicherheitsproblem. Dieser Kanal sollte technisch so abgesichert sein, dass ausschließlich comdirect selbst dort schreiben kann – vergleichbar mit einem kryptografischen Schlüssel.

---

So etwas wie SMS Kanäle oder Threads gibt es nicht. Eine SMS ist einfach ein freier Text der dir zugeschickt wird, wie eine Postkarte. Dein Smartphone sortiert dann die SMS anhand des eingetragenen Absenders ein. Das ist ebenfalls eine freier Text, da muss noch nicht mal eine Telefonnummer drin stehen. HaenselUndGretel wäre ebenfalls ein erlaubter Absender. Das Problem ist, das solche Protokolle überhaupt für irgendwas wichtiges außer Geburtstagsgrüßen eingesetzt wird 

[Joerg78]

Danke für diesen Beitrag, @tomloddel ! Wie du schon geschrieben hast - in einer "normalen" Situation hätte man den Betrugsversuch ziemlich schnell erkannt. In einer normalen Situation denkt man aber normalerweise auch rational. Nicht jedoch in einer Situation, in der man sowieso schon emotional etwas "aufgeheizt" ist - dort zeigt sich dann, dass wir eben keine "rationalen Maschinen" sind und nicht immer klar denken können.

Die Masche ist schon perfide: Man triggert eine Buchung mit den gestohlenen Daten einer comdirect-Karte, ruft dann kurz danach an und schickt - mit der gleichen Absendernummer der comdirect-Visa-SMS - eine "Legitimations-SMS".

Heißt: Irgendwo (Webshop) wurden deine Daten (Telefonnummer) samt Kreditkartendaten entwendet.

Wunsch 2 und 3 kann ich nachvollziehen - Wunsch 1 theoretisch auch, aber wie schon @CurtisNewton geschrieben hat - die Absendernummer kann man fälschen (wie übrigens auch bei Anrufen).

Aber danke für deinen wertvollen Erfahrungsbericht!

Viele Grüße,

Jörg

[Silver_Wolf]

Ehrlich gesagt verstehe ich nicht welche Art von Betrug da angestrebt wurde.  😞

Natürlich gibt man niemanden der einen anruft eine Freigabe für irgend etwas.

Und Kreditkarten-Umsätze kann man stornieren, ebenso wie unberechtigte Lastschriften.

Sollen die doch buchen was sie wollen.

Deshalb muss man doch die Karte nicht gleich sperren.

[Klever]

---

@Silver_Wolf  schrieb:

Und Kreditkarten-Umsätze kann man stornieren, ebenso wie unberechtigte Lastschriften.

Sollen die doch buchen was sie wollen.

Deshalb muss man doch die Karte nicht gleich sperren.

---

Wenn @tomloddel die Transaktion mit "A" freigegeben hätte, wäre Storno des Umsatzes vermutlich schwierig geworden, vermutlich wäre das Geld dann weg gewesen. 

Eine Karte zu sperren, deren Daten in falsche Hände geraten sind, macht natürlich Sinn. Ansonsten erfolgen doch nur weitere Betrugsversuche. 

@tomloddel auch ich danke für die interessante und ausführliche Schilderung. 

Grüße

Klever

[dg2210]

---

@tomloddel  schrieb:

Die Eskalation

Ich ging ins Konto. Die Dame bat mich, testweise eine Überweisung freizugeben, um die „echten IPs" hinter den drei Verdachtstransaktionen zu ermitteln. Es handelte sich um einen „Guthabenübertrag" – ich gab ihn frei, er schlug angeblich fehl.

Diesen Teil verstehe ich nicht. Was meinst du konkret mit 'ins Konto gehen' ?

Was genau hast du gemacht?

Wobei handelte es sich um einen Guthabenübertrag?