Betrugsversuch per Telefonanruf – so lief es bei mir ab (und was ich daraus gelernt habe)

[tomloddel]

Ich möchte euch einen Fall schildern, der mir jetzt am Samstag, dem 25. Juli , passiert ist – in der Hoffnung, dass es dem ein oder anderen von euch helfen kann.

Der Auslöser: Eine SMS von Visa

An besagtem Samstagmorgen, ich war im Homeoffice, bekam ich eine SMS mit dem Hinweis auf eine außergewöhnliche Bewegung auf meinem Kreditkartenkonto. Die Sicherheitsmechanismen von Visa hatten angeschlagen. Die Nachricht: „A" drücken, wenn ich die Transaktion selbst veranlasst habe, „B", wenn nicht.

Ich kannte das Verfahren schon von einem Vorfall im Vorjahr und wusste, dass es seine Richtigkeit hat. Da ich die Transaktion nicht veranlasst hatte, drückte ich „B" – woraufhin meine Kreditkarte sofort gesperrt und eine neue angekündigt wurde. Klar: Jemand hatte meine Daten. Beim ersten Eingang so einer SMS hatte ich damals bei der Hotline nachgefragt, ob das seriös ist – und die Bestätigung bekommen, dass man das unbedingt sofort machen solle, es wäre ein übliches Verfahren. Also: alles plausibel, korrekt reagiert, aber natürlich ein "ich bin gehackt worden" -Gefühl.

20 Minuten später: Der Anruf

Das Telefon klingelte – angeblich comdirect. Man habe ungewöhnliche Bewegungen auf meinem Konto festgestellt: drei Überweisungen in Höhe von insgesamt fast 6.000 Euro, die noch nicht ausgeführt seien. Sie wären sehr beunruhigt, da sie diese Vorgehensweise so noch nie gehabt haben und sich nicht erklären können, wie es passiert ist. Ob ich helfen könnte, die IP-Adresse zu ermitteln, um den Fall an die Staatsanwaltschaft weiterzuleiten.

Meine erste Frage: Woher weiß ich, dass Sie wirklich von comdirect sind? Kann ich auch auflegen und selbst die Hotline anrufen ? Die Antwort: „Natürlich, kein Problem – dann verlieren wir halt einen halben Tag." Und dann das entscheidende Detail: „Ich kann Ihnen auch kurz eine SMS schicken."

Und tatsächlich – im offiziellen comdirect-Kanal, über den man auch TANs bekommt, erschien eine Nachricht: Eine Mitarbeiterin (Frau X, Sicherheitsabteilung) bestätige sich und teilte mit, dass ein Sicherheitsfall eröffnet worden sei.

Für mich war das in diesem Moment eine Legitimation (Bevor jemand den Kopf schüttelt- immer an die verifizierte Visa-SMS 20 min vorher denken)

Die Eskalation

Ich ging ins Konto. Die Dame bat mich, testweise eine Überweisung freizugeben, um die „echten IPs" hinter den drei Verdachtstransaktionen zu ermitteln. Es handelte sich um einen „Guthabenübertrag" – ich gab ihn frei, er schlug angeblich fehl.

Dann sollte ich eine Inlandsüberweisung freigeben. An diesem Punkt hatte ich genug. "Jetzt rufe ich die Hotline an", sagte ich. "Kein Problem, Herr X, machen Sie das, ich bleibe in der Leitung.

Was dann folgte: Ich hatte zwei Telefone gleichzeitig am Ohr – links die vermeintliche Sicherheitsmitarbeiterin, rechts die echte Hotline. Die Hotline-Mitarbeiterin war sofort eindeutig: „Das sind Betrüger. So etwas machen wir nie." Die andere Dame: "Was kann ich tun- eine E-Mail schreiben?" "Sie soll einen Fall eröffnen". "Hat sie gemacht". "Sehe ich hier aber nicht"... Zum Glück bin ich Moderationen im emotionalen Spannungsfeld gewohnt und konnte das einigermaßen kopfgesteuert auf den einen  Punkt -mit Hilfe der comdirect-MA- zusteuern: Die Schlinge zog sich zu, der Betrug wurde als solcher identifiziert. Bei der Betrügerin aufgelegt, Konto wurde von cd sofort gesperrt

Warum bin ich fast reingefallen?

Ich bin sicher, isoliert wäre der Angriff verpufft. Aber oft sind es zwei parallele Ereignisse, welche die Tür zum kriminellen Erfolg weit öffnen können. Die Kreditkarte wurde tatsächlich gesperrt – das war real und verifiziert. Und genau 20 Minuten später kam der Anruf. In diesem emotionalen Zustand – leicht angespannt, im Kopf schon bei „irgendwer hat meine Daten" – ist man viel angreifbarer als wenn man entspannt und unvorbereitet einen Betrugsanruf bekommt.

Ein Vergleich: Stellt euch vor, ihr seid im Urlaub. Euer Einbruchalarm geht los, jemand hat versucht, die Terrassentür aufzuhebeln – eure Sicherheitssysteme haben es verhindert. 20 Minuten später ruft die "Polizei" an: Eure Adresse stehe auf einer Liste einer aktiven Einbruchsbande. Das ist etwas völlig anderes, als wenn euch aus heiterem Himmel jemand anruft und sagt, ihr werdet gleich überfallen, bringt die Wertgegenstände in Sicherheit.

Kontext macht den Unterschied – und genau das nutzen diese Betrüger anscheinend  aus. Entweder durch Schrotflintenprinzip- oder hier vielleicht mit voller Absicht. Diejenigen, die es erst bei der Kreditkarte probiert haben, starten sofort Plan B, nachdem Plan A aufgeflogen war. 

Bleibt die Frage, wie die an meine Daten gekommen sind. Zum zweiten Mal bei der Kreditkarte- die ja auch nach dem ersten Fall schon austauscht wurde. Erfahren, routiniert, Risikovermeidend, Systemaktualität, Schutzsoftware, regelmäßige Scans- mache ich überall sofort einen Haken hinter. 

Was ich mir bei comdirect wünsche

Ich mache mir keine großen Illusionen über meine Mitschuld – die ist vorhanden und das beschäftigt mich schon sehr.  Aber drei Punkte möchte ich dennoch ansprechen:

1. Der SMS-Kanal ist kein sicherer Vertrauensanker. Wenn Betrüger in der Lage sind, Nachrichten in denselben Thread einzuschleusen, in dem comdirect offizielle TANs verschickt, dann ist das ein ernsthaftes Sicherheitsproblem. Dieser Kanal sollte technisch so abgesichert sein, dass ausschließlich comdirect selbst dort schreiben kann – vergleichbar mit einem kryptografischen Schlüssel.
2. Das Standardschreiben nach der Kontosperrung ist widersprüchlich. Ich wurde angewiesen, Umsätze sofort zu prüfen – hatte aber keinen Zugang mehr, weil das Konto gesperrt war. Als ich die Hotline anrief, konnte man mich nicht legitimieren und mir keine Auskunft geben. Das ist verständlich und regelkonform – aber aus Kundensicht fühlt man sich in diesem Moment schlicht allein gelassen. Die comdirect fordert etwas, was sie selbst nicht zulässt. 
3. Alle drei zum reaktivierten Zugang notwendigen Schreiben waren am selben Tag im Briefkasten. Angekündigt wurde ein stufenweiser Versand aus Sicherheitsgründen 

Was von comdirect gut war:

Der Hinweis bei Freigabe über die photoTAN. Ich wollte was freigeben- da stand aber "comdirect wird Sie NIEMALS telefonisch…. "Das hat mir in dem Moment wirklich geholfen, nochmal innezuhalten und die Zweifel zu verstärken

Mein persönliches Fazit

• Niemals werde ich zukünftig telefonisch irgendetwas freigeben oder bestätigen, solange ich nicht zu 100 % sicher bin. Im Zweifel: auflegen, selbst anrufen. Allerdings- das hätte ich vor diesem Samstag schon behauptet, dass ich das immer so machen werde....
• Man ist nicht automatisch gefeit, nur weil man „weiß, wie Betrug funktioniert". Die eigene Anspannung und ein echter Vorfall davor können das Urteilsvermögen erheblich trüben. Auch da: immer im Zweifel sich für die für mich sichere Variante entscheiden. Und mehr auf mein Bauchgefühl hören

Ich hoffe, das hilft dem ein oder anderen. 

[GetBetter]

---

@CurtisNewton  schrieb:
Es ist allerdings ein Unterschied ob man so etwas als Aussenstehender objektiv und mit zeitlichen Abstand oder "live am Telefon" bewertet,

Dem will ich auch gar nicht widersprechen und hatte das ja sogar in meinem einleitenden Satz gewürdigt. Insofern will ich das In-den-Strudel-hineingeraten auch gar nicht verurteilen. Dass man dann aber inmitten des Flows zunächst wieder alle Sinne beisammen hat, die Gefahr erkennt und die Remoteverbindung strikt verweigert, nur um dann unmittelbar doch wieder abzuschalten und den fast noch größeren Bock schießt, indem man die Zugangsdaten rausgibt, ist mal mindestens bemerkenswert. 

Und das meine ich ausdrücklich ohne Wertung, schließlich macht @tomloddel ja keinen naiven Eindruck.

[tomloddel]

Ihr habt ein gutes Gespür für Widersprüchlichkeiten. Hier spiegelt sich in meinen Beschreibungen wohl auch die innere Zerrissenheit wider, die ich die ganze Zeit gespürt habe. Einerseits diese starken Zweifel – wirklich eine Millisekunde vorm Auflegen – und dann wieder der Impuls, einer engagierten, professionell auftretenden Comdirect-Mitarbeiterin bei der Abwehr eines Angriffs auf das eigene Konto zu helfen. Solche Handlungsweisen sind eben nicht immer rational erklärbar.

Zeitlichen Druck habe ich übrigens nie gespürt – eher einen massiven Entscheidungsdruck (Auflegen oder Helfen). Und dabei sucht man verzweifelt nach irgendeinem handfesten Indiz, das die eine oder andere Entscheidung unterstützt. Fakten, Logik, Bauchgefühl, Erfahrung, Hilfsbereitschaft – das alles unter einen Hut zu bringen, war nicht so einfach. Die Aussage, dass sie einen halben Tag verliert, wenn ich stattdessen selbst über die offizielle Hotline gehe, wurde übrigens eher bedauernd rübergebracht. So nach dem Motto: „Das steht Ihnen natürlich frei, aber die dadurch verlorene Zeit würde uns schon weh tun.“

Die Masche hier war einfach anders, als man sie kennt oder erwartet. Ein realer Hackversuch, ein Anruf, bei dem ich mit vollem Namen angesprochen wurde, die Kreditkartennummer wurde fließend runtergerattert, meine E-Mail-Adresse war bekannt – und alles zielte auf meine Hilfsbereitschaft ab. Dazu kam noch, dass sie geradezu eine persönliche Verbindung aufgebaut hat, und das ist ihr extrem gut gelungen. Das wirkte weder wie das sture Abarbeiten einer Checkliste (bei allen Opfern gleich), noch war es ein billiges Einschleimen. Es war einfach professionell – ich muss das leider so sagen und anerkennen.

Die hatten mich am Haken, und das beschäftigt mich immer noch. Ob die Betrüger gar ein ganzes Repertoire an psychologischen Werkzeugen haben und bei mir genau das eingesetzt haben, was am effizientesten war (während sie beim Nächsten vielleicht eher auf Autorität setzen) – ich will es eigentlich gar nicht wissen. Ich will sie aber auch nicht zu sehr überhöhen. Vielleicht hat diese spezielle Vorgehensweise einfach nur zufällig bei mir gepasst, und sie gehen ansonsten stur und ohne besondere Intelligenz immer gleich vor.

Es gibt Situationen – die wird jeder kennen –, da weiß man hinterher nicht genau, was einen in dem Moment geritten hat. Meist sucht man dann nach äußeren Umständen als Erklärung: gestresst, genervt, unkonzentriert, müde, sich zu sicher gefühlt, beeinflusst von jemandem oder was auch immer. Nichts davon kann ich für mich gelten lassen. Ich war ausgeschlafen, habe konzentriert im Homeoffice gearbeitet, bin IT-affin und sehr selbstständig – und zappelte trotzdem am Haken.

Die angesprochene Professionalität bedeutet leider auch, dass sich diese Kriminellen ständig weiterentwickeln. Was ist zum Beispiel mit KI-gestützten Angriffen in der Zukunft? Ein lernendes System, das aus jeder Antwort blitzschnell ein Profil erstellt und Schwachstellen in Sekundenschnelle identifiziert (wie das Lindenblatt bei Siegfried, das zielgenau die einzige Verwundbarkeit aufdeckt). Aber nein, ich will kein Weltuntergangsszenario an die Wand malen. Ich bleibe bei meiner Direktbank – auch die wird sich weiterentwickeln und entsprechende Resilienz aufbauen.

Eine Meinung muss ich in diesem Zusammenhang allerdings revidieren: Mich hat es bisher immer genervt, dass ich für so viele Bereiche im Konto erneut die PhotoTAN nutzen muss, obwohl ich mich beim Login ja schon legitimiert hatte. Jetzt bin ich heilfroh darum und fühle mich deutlich sicherer. Hätte während des Angriffs jemand im Hintergrund bestimmte Kontobereiche aufgerufen, wäre sofort eine Freigabeaufforderung auf meinem Handy erschienen. Das wäre genau das oben erwähnte Indiz gewesen und hätte sofort die einzig richtige Entscheidung (Auflegen!) zur Konsequenz gehabt. Also, Comdirect: Weiter so! Mein vorheriges Genervtsein darüber nehme ich hiermit offiziell zurück.

[Antonia]

Wow @tomloddel , du hast echt "nen Arsch" in der Hose, dass du diese Situation so ausführlich und vor allem reflektiert ausführst!

Recht herzlichen Dank für deinen wirklich wertvollen Erfahrungsbericht!

"Sowas könnte mir gar nicht passieren!" 

Klar! Bis es dann doch mal soweit ist!

Danke!

[Morgenmond]

@tomloddel Auch von mir ein Danke für die ausführliche Schilderung. Es ist schon der Hammer mit welch immer raffinierteren Methoden die Betrüger zu Werke gehen.

Ich bin glücklicherweise bisher nicht betroffen gewesen, aber durch deinen Bericht jetzt noch mehr sensibilisiert.

Gruss Morgenmond

[Silver_Wolf]

---

@Morgenmond  schrieb:

@tomloddel Auch von mir ein Danke für die ausführliche Schilderung. Es ist schon der Hammer mit welch immer raffinierteren Methoden die Betrüger zu Werke gehen.

---

Na ja, wer auf so etwas herein fällt muss wohl etwas ***** sein.

Das Nächste ist dann wohl ein Enkeltrick.   🙂

[Antonia]

---

@Silver_Wolf  schrieb:

---

@Morgenmond  schrieb:

@tomloddel Auch von mir ein Danke für die ausführliche Schilderung. Es ist schon der Hammer mit welch immer raffinierteren Methoden die Betrüger zu Werke gehen.

---

Na ja, wer auf so etwas herein fällt muss wohl etwas ***** sein.

Das Nächste ist dann wohl ein Enkeltrick.   🙂

---

Ich hoffe wirklich sehr, dass du und die Daumen-hoch-Geber niemals auf den allerneusten Trickbetrug reinfallen!

Wir alle sind doch nur durch die Erfahrungen der Geschädigten, die den Mut haben das öffentlich zu machen, sensibilisiert.

Da brauchst du nicht mit dem Finger auf andere zeigen und spotten @Silver_Wolf !

Das ist ein ganz mieser Charakterzug!

[Silver_Wolf]

---

Da brauchst du nicht mit dem Finger auf andere zeigen und spotten @Silver_Wolf !

Das ist ein ganz mieser Charakterzug!

---

Ich spotte doch nicht  😞

Vermutlich wäre ich in ein paar Jahren auch hereit für einen Enkeltrick.

Ist halt etwas schwierig da ich keine Enkel habe.  🙂

[Antonia]

Doch @Silver_Wolf , hast du, leider.

Vielleicht fällt es dir ja tatsächlich schwer, diese Dinge zu erkennen?

Dann wäre es wirklich toll, wenn du lieber komplett ausschließlich bei Finanzthemen bleiben würdest.

Das hast du jedenfalls ziemlich gut drauf! 

[GetBetter]

---

@Silver_Wolf  schrieb:

Ist halt etwas schwierig da ich keine Enkel habe.  🙂

---

Es gibt Berichte über Fälle, in denen selbst das kein Hindernis war ☝️

[Klever]

Vor zwei Jahren wurde ich Opfer eines "Schockanrufs". Ein junger Mann sagte weinerlich am Telefon "Papa, ich hab ne Frau totgefahren!" 

Ich machte eine spöttische Bemerkung (nicht zitierfähig, aber @Silver_Wolf wäre stolz auf mich) und es wurde aufgelegt. 

Allerdings hätte ich vielleicht mitspielen sollen. 

Ich hätte den Erfindungsreichtum des Anrufers/Betrügers auf die Probe stellen können mit z.B. "das ist ja schrecklich! Wie konnte das denn passieren? Du bist doch gerade erst wegen Bilddarmentzündung ins Krankenhaus eingeliefert worden." oder 

"ich bin so aufgeregt, jetzt fällt mir doch glatt Dein Name nicht mehr ein. Wie heißt Du nochmal?" 

Mein Fall ist aber nicht vergleichbar mit dem in diesem Faden. @tomloddel hat Betrugsversuch 2.0 erlebt. Erst Kreditkarte und dann Anruf. 

Hier die Sicherheitsseite von Comdirect https://www.comdirect.de/cms/hilfe-service-sicherheit.html 

So kannst du den Betrug erkennen:

- Du wirst aufgefordert, Zugangsdaten für das Online-Banking herauszugeben
- Überweisungen bzw. Stornierungen auszuführen, zum Beispiel über die App
- Fernwartungssoftware auf deinem PC zu installieren
- Bargeld, Schmuck oder andere Wertgegenstände einem Boten auszuhändigen

So solltest du reagieren:

- Lass dich nicht unter Druck setzen: Gib keine persönlichen Daten weiter und nimm keine Überweisung vor
- Erlaube auf keinen Fall einen Zugriff auf deinen PC oder dein Telefon 

- Bleibe auch dann misstrauisch, wenn die Anrufenden sensible Daten von dir kennen, zum Beispiel deine Adresse oder dein Geburtsdatum. Diese Daten können sie bei einem anderen Datendiebstahl erbeutet haben.
- Dir kommt etwas seltsam vor? Dann beende sofort das Gespräch.

[...]

- Händige niemals Fremden Geld oder Wertgegenstände aus

Das solltest du wissen:

- comdirect wird dich niemals anrufen, um vertrauliche Daten wie deine PIN abzufragen. Anders ist es, wenn du bei comdirect anrufst: Dann wirst du aufgefordert, im Sprachdialogsystem einige Daten anzugeben.
- Wenn du bei comdirect anrufst, kann es in Einzelfällen notwendig sein, dass wir dich zur Identifikation nach Daten wie deiner Kartennummer fragen. Hierbei handelt es sich aber immer um Daten, mit denen kein Missbrauch möglich ist.
- Wir bitten dich niemals, vertrauliche Daten zu verschicken oder auf einer Website hochzuladen
- Wir werden dich niemals anrufen und im Gespräch auffordern, Transaktionen am Telefon freizugeben
- Du erhältst von uns während eines Telefonates keine SMS mit angeblichen Sicherheitscodes.
- Wir senden dir während eines Telefonates keine E-Mails mit Links zu Apps oder Websites

Grüße

Klever