Betrugsversuch per Telefonanruf – so lief es bei mir ab (und was ich daraus gelernt habe)

[tomloddel]

Ich möchte euch einen Fall schildern, der mir jetzt am Samstag, dem 25. Juli , passiert ist – in der Hoffnung, dass es dem ein oder anderen von euch helfen kann.

Der Auslöser: Eine SMS von Visa

An besagtem Samstagmorgen, ich war im Homeoffice, bekam ich eine SMS mit dem Hinweis auf eine außergewöhnliche Bewegung auf meinem Kreditkartenkonto. Die Sicherheitsmechanismen von Visa hatten angeschlagen. Die Nachricht: „A" drücken, wenn ich die Transaktion selbst veranlasst habe, „B", wenn nicht.

Ich kannte das Verfahren schon von einem Vorfall im Vorjahr und wusste, dass es seine Richtigkeit hat. Da ich die Transaktion nicht veranlasst hatte, drückte ich „B" – woraufhin meine Kreditkarte sofort gesperrt und eine neue angekündigt wurde. Klar: Jemand hatte meine Daten. Beim ersten Eingang so einer SMS hatte ich damals bei der Hotline nachgefragt, ob das seriös ist – und die Bestätigung bekommen, dass man das unbedingt sofort machen solle, es wäre ein übliches Verfahren. Also: alles plausibel, korrekt reagiert, aber natürlich ein "ich bin gehackt worden" -Gefühl.

20 Minuten später: Der Anruf

Das Telefon klingelte – angeblich comdirect. Man habe ungewöhnliche Bewegungen auf meinem Konto festgestellt: drei Überweisungen in Höhe von insgesamt fast 6.000 Euro, die noch nicht ausgeführt seien. Sie wären sehr beunruhigt, da sie diese Vorgehensweise so noch nie gehabt haben und sich nicht erklären können, wie es passiert ist. Ob ich helfen könnte, die IP-Adresse zu ermitteln, um den Fall an die Staatsanwaltschaft weiterzuleiten.

Meine erste Frage: Woher weiß ich, dass Sie wirklich von comdirect sind? Kann ich auch auflegen und selbst die Hotline anrufen ? Die Antwort: „Natürlich, kein Problem – dann verlieren wir halt einen halben Tag." Und dann das entscheidende Detail: „Ich kann Ihnen auch kurz eine SMS schicken."

Und tatsächlich – im offiziellen comdirect-Kanal, über den man auch TANs bekommt, erschien eine Nachricht: Eine Mitarbeiterin (Frau X, Sicherheitsabteilung) bestätige sich und teilte mit, dass ein Sicherheitsfall eröffnet worden sei.

Für mich war das in diesem Moment eine Legitimation (Bevor jemand den Kopf schüttelt- immer an die verifizierte Visa-SMS 20 min vorher denken)

Die Eskalation

Ich ging ins Konto. Die Dame bat mich, testweise eine Überweisung freizugeben, um die „echten IPs" hinter den drei Verdachtstransaktionen zu ermitteln. Es handelte sich um einen „Guthabenübertrag" – ich gab ihn frei, er schlug angeblich fehl.

Dann sollte ich eine Inlandsüberweisung freigeben. An diesem Punkt hatte ich genug. "Jetzt rufe ich die Hotline an", sagte ich. "Kein Problem, Herr X, machen Sie das, ich bleibe in der Leitung.

Was dann folgte: Ich hatte zwei Telefone gleichzeitig am Ohr – links die vermeintliche Sicherheitsmitarbeiterin, rechts die echte Hotline. Die Hotline-Mitarbeiterin war sofort eindeutig: „Das sind Betrüger. So etwas machen wir nie." Die andere Dame: "Was kann ich tun- eine E-Mail schreiben?" "Sie soll einen Fall eröffnen". "Hat sie gemacht". "Sehe ich hier aber nicht"... Zum Glück bin ich Moderationen im emotionalen Spannungsfeld gewohnt und konnte das einigermaßen kopfgesteuert auf den einen  Punkt -mit Hilfe der comdirect-MA- zusteuern: Die Schlinge zog sich zu, der Betrug wurde als solcher identifiziert. Bei der Betrügerin aufgelegt, Konto wurde von cd sofort gesperrt

Warum bin ich fast reingefallen?

Ich bin sicher, isoliert wäre der Angriff verpufft. Aber oft sind es zwei parallele Ereignisse, welche die Tür zum kriminellen Erfolg weit öffnen können. Die Kreditkarte wurde tatsächlich gesperrt – das war real und verifiziert. Und genau 20 Minuten später kam der Anruf. In diesem emotionalen Zustand – leicht angespannt, im Kopf schon bei „irgendwer hat meine Daten" – ist man viel angreifbarer als wenn man entspannt und unvorbereitet einen Betrugsanruf bekommt.

Ein Vergleich: Stellt euch vor, ihr seid im Urlaub. Euer Einbruchalarm geht los, jemand hat versucht, die Terrassentür aufzuhebeln – eure Sicherheitssysteme haben es verhindert. 20 Minuten später ruft die "Polizei" an: Eure Adresse stehe auf einer Liste einer aktiven Einbruchsbande. Das ist etwas völlig anderes, als wenn euch aus heiterem Himmel jemand anruft und sagt, ihr werdet gleich überfallen, bringt die Wertgegenstände in Sicherheit.

Kontext macht den Unterschied – und genau das nutzen diese Betrüger anscheinend  aus. Entweder durch Schrotflintenprinzip- oder hier vielleicht mit voller Absicht. Diejenigen, die es erst bei der Kreditkarte probiert haben, starten sofort Plan B, nachdem Plan A aufgeflogen war. 

Bleibt die Frage, wie die an meine Daten gekommen sind. Zum zweiten Mal bei der Kreditkarte- die ja auch nach dem ersten Fall schon austauscht wurde. Erfahren, routiniert, Risikovermeidend, Systemaktualität, Schutzsoftware, regelmäßige Scans- mache ich überall sofort einen Haken hinter. 

Was ich mir bei comdirect wünsche

Ich mache mir keine großen Illusionen über meine Mitschuld – die ist vorhanden und das beschäftigt mich schon sehr.  Aber drei Punkte möchte ich dennoch ansprechen:

1. Der SMS-Kanal ist kein sicherer Vertrauensanker. Wenn Betrüger in der Lage sind, Nachrichten in denselben Thread einzuschleusen, in dem comdirect offizielle TANs verschickt, dann ist das ein ernsthaftes Sicherheitsproblem. Dieser Kanal sollte technisch so abgesichert sein, dass ausschließlich comdirect selbst dort schreiben kann – vergleichbar mit einem kryptografischen Schlüssel.
2. Das Standardschreiben nach der Kontosperrung ist widersprüchlich. Ich wurde angewiesen, Umsätze sofort zu prüfen – hatte aber keinen Zugang mehr, weil das Konto gesperrt war. Als ich die Hotline anrief, konnte man mich nicht legitimieren und mir keine Auskunft geben. Das ist verständlich und regelkonform – aber aus Kundensicht fühlt man sich in diesem Moment schlicht allein gelassen. Die comdirect fordert etwas, was sie selbst nicht zulässt. 
3. Alle drei zum reaktivierten Zugang notwendigen Schreiben waren am selben Tag im Briefkasten. Angekündigt wurde ein stufenweiser Versand aus Sicherheitsgründen 

Was von comdirect gut war:

Der Hinweis bei Freigabe über die photoTAN. Ich wollte was freigeben- da stand aber "comdirect wird Sie NIEMALS telefonisch…. "Das hat mir in dem Moment wirklich geholfen, nochmal innezuhalten und die Zweifel zu verstärken

Mein persönliches Fazit

• Niemals werde ich zukünftig telefonisch irgendetwas freigeben oder bestätigen, solange ich nicht zu 100 % sicher bin. Im Zweifel: auflegen, selbst anrufen. Allerdings- das hätte ich vor diesem Samstag schon behauptet, dass ich das immer so machen werde....
• Man ist nicht automatisch gefeit, nur weil man „weiß, wie Betrug funktioniert". Die eigene Anspannung und ein echter Vorfall davor können das Urteilsvermögen erheblich trüben. Auch da: immer im Zweifel sich für die für mich sichere Variante entscheiden. Und mehr auf mein Bauchgefühl hören

Ich hoffe, das hilft dem ein oder anderen. 

[KarlMünchen]

---

@CurtisNewton  schrieb

So etwas wie SMS Kanäle oder Threads gibt es nicht. Eine SMS ist einfach ein freier Text der dir zugeschickt wird, wie eine Postkarte. Dein Smartphone sortiert dann die SMS anhand des eingetragenen Absenders ein. Das ist ebenfalls eine freier Text, da muss noch nicht mal eine Telefonnummer drin stehen. 

---

Bei comdirect steht auch keine Telefonnummer drin, sondern "comdirect" (und nein, das wurde nicht aus meinem Adressbuch aufgehübscht, das kommt schon so). Allerdings würde man sicher auch ein SMS-Gateway finden, das +4941067082500 als Absender akzeptiert, ohne dass man dazu irgendwas nachweisen muss. Das würde also auch keinen Sicherheitsgewinn bringen. In einer idealen Welt würde eine Telco nur SMS versenden mit einer Senderkennung, von der der Einliefernde bewiesen hat, dass er es ist.

Es gibt wohl nationale Bestrebungen, das robuster zu machen, z.B. in Finnland: https://quriiri.fi/en/tekstiviestihuijauksia-torjutaan-jatkossa-uusilla-keinoilla-mita-traficomin-uu... aber bei uns muss darüber wohl erstmal 10 Jahre lang eine Kommission brüten.

Also müssen wir bei SMS wohl mit jeder Sauerei rechnen und dürfen uns auf nix verlassen.

Ich habe großen Respekt davor, dass @tomloddel seinen Fall hier so ausführlich geschildert hat und die Information möglicher Opfer über eigene Peinlichkeit gestellt hat. Vielen Dank dafür! Die Professionalität der Betrüger ist erschreckend.

[Joerg78]

---

@KarlMünchen  schrieb:

---

---

Bei comdirect steht auch keine Telefonnummer drin, sondern "comdirect" (und nein, das wurde nicht aus meinem Adressbuch aufgehübscht, das kommt schon so).

---

Wenn sie von der comdirect kommt. Wenn etwas die Visa-Karte betrifft, kommt die SMS oft von irgendwelchen Rufnummern.

Beispiel: 0177 1789748 => SMS für 3-Raten-Service, Stand 12. April 2026.

Aus meiner Sicht wäre es gut, wenn zumindest zusätzlich eine Push-Nachricht über die comdirect-App reinkommen würde (z.B. für Bestätigung/Ablehnung einer Kartentransaktion).

Viele Grüße,

Jörg

[KarlMünchen]

---

@Joerg78  schrieb:

---

Aus meiner Sicht wäre es gut, wenn zumindest zusätzlich eine Push-Nachricht über die comdirect-App reinkommen würde (z.B. für Bestätigung/Ablehnung einer Kartentransaktion).

---

Für Kunden, die die App nutzen. Ich habe mir gerade ein Lesegerät bestellt, weil mir die alte (offline) photoTAN-App gesperrt wurde, und ich keine Lust habe, mich mit "gerootet" Erkennung und Maskierung und sonstwas rumzuschlagen, aber auch kein Google auf meinem Smartphone haben will, was ja die Voraussetzung wäre, dass es als "sauber" und "gut" angesehen wird - allen Überlegungen zur digitalen Souveränität zum Trotz.

Bei der photoTAN-Aktivierung kam SMS und Email parallel, das fand ich gut. Bei Email kann man zumindest prinzipiell - wenn auch mit technischem Sachverstand - eine legitime Nachricht erkennen. Natürlich wäre es Stand der Technik, dass comdirect seine Mails generell mit einer S/MIME Signatur versehen würde. Das würde die Überprüfung auch für Laien ermöglichen/erleichtern, ich denke die meisten Mailoberflächen sollten das mittlerweile unterstützen, und es würde Phishing erschweren.

[tomloddel]

„comdirect“ stand als Absender beim Fake-Anruf im Display – und, @Joerg78 , völlig korrekt, die Visa-Nachricht kam komplett ohne Absenderkennung.

Weitere Sicherheitsmaßnahmen wären sicherlich begrüßenswert, wobei das natürlich immer eine Abwägung zwischen Nutzerfreundlichkeit und Absicherung ist. Wie bereits beschrieben, habe ich mich da mittlerweile auch völlig anders positioniert: Aus dem anfänglichen „Genervt über die zusätzliche Legitimation in der Kontoumgebung“ wurde bei mir aktuell ein „Finde ich super, gerne mehr davon!“.

Gegebenenfalls könnten weitere Sicherungsinstrumente optional angeboten werden. Ein Beispiel wäre ein persönlich hinterlegtes Codewort für Anrufe (die Comdirect-Hotline konnte nämlich nicht ausschließen, dass in absoluten Ausnahmefällen doch mal telefonisch Kontakt aufgenommen wird) oder die Kommunikation über einen abgesicherten Kanal (ich weiß nicht, ob das z. B. über Messenger wie Signal machbar wäre).

[Joerg78]

---

@KarlMünchen  schrieb:

---

---

Für Kunden, die die App nutzen. Ich habe mir gerade ein Lesegerät bestellt, weil mir die alte (offline) photoTAN-App gesperrt wurde, und ich keine Lust habe, mich mit "gerootet" Erkennung und Maskierung und sonstwas rumzuschlagen, aber auch kein Google auf meinem Smartphone haben will, was ja die Voraussetzung wäre, dass es als "sauber" und "gut" angesehen wird - allen Überlegungen zur digitalen Souveränität zum Trotz.

---

Ziemlich schwach von der comdirect. Gerade GrapheneOS ohne Google Dienste dürfte erheblich sicherer (insb. hinsichtlich Datenschutz) sein als jeder Standard-Androide... wobei ich nicht weiß, ob alle Custom ROMs betroffen sind.

[CurtisNewton]

Gibt es überhaupt eine Banking App die Graphene OS offiziell unterstützt? Der Testaufwand für eine App die komplett ohne Google Dienste validiert wurde etc. dürfte sich doch kaum lohnen. Vermutlich fehlt da der Business Case. Die Website der comdirect unterstützt ja nicht mal Safari als Browser fehlerfrei.

[Joerg78]

Offiziell wohl kaum, manche Apps laufen aber trotzdem. Eine aktuelle Liste scheint es nicht zu geben, man kann sich aber hier durchklicken.

Mit gewissen Einstellungen (in GrapheneOS) sollen die comdirect-Apps wohl laufen - kann aber mit dem nächsten App-Update dann schon wieder vorbei sein.

Edit: So wie aktuell bei Revolut - hat bislang funktioniert, jetzt nicht mehr.

Viele Grüße,

Jörg

[tomloddel]

Ich bin maximal verwirrt.

Ich hatte in den letzten Tagen zwei Anrufe mit der Ansage: „Comdirect Sicherheitsabteilung. Mein Name ist...“

Wie würdet ihr in so einer Situation nach den Vorfällen reagieren? So wie ich und direkt auflegen? Vor ein paar Tagen war das bei mir wohl die richtige Entscheidung. Beim heutigen Anruf denke ich mir im Nachhinein: Vielleicht hätte ich nicht ganz so kommentarlos auflegen sollen.

Kurz darauf kam folgende Nachricht:

Guten Tag [Vorname] [Zweiter Vorname] [Nachname],

leider konnten wir Sie telefonisch nicht erreichen, um Ihr Anliegen zu klären. Rufen Sie uns gerne unter unserer Servicehotline 04106 - 708 25 00 an.

Wie soll man da als Kunde im ersten Moment bei einem Anruf überhaupt noch zwischen Fake und Authentizität unterscheiden?

[GetBetter]

---

@tomloddel  schrieb:

Wie soll man da als Kunde im ersten Moment bei einem Anruf überhaupt noch zwischen Fake und Authentizität unterscheiden?

---

Ich habe mir das von Hotlines zur Authentifizierung praktizierte Vorgehen abgeschaut und stelle in solchen Fällen meinerseits Fragen, die der Gesprächspartner beantworten können sollte. Abhängig vom Kontext (wer ruft an um über was zu sprechen?) kann das einfach gehalten werden (Kundenummer, Adresse, Geburtsdatum o.ä.). Bei Themen mit der Bank lasse ich mir üblicherweise den aktuellen Kontostand centgenau nennen (den ich selbstverständlich parallel prüfe).

[tomloddel]

Ja, das ist eine sehr gute Vorgehensweise.

Die Mitarbeiterin der Hotline hatte mit mir ein Codewort vereinbart, welches beim Rückruf der Sicherheitsabteilung von mir abgefragt werden konnte. Das habe ich gemacht und es hat auch funktioniert. Leider – so erklärte es mir die Dame aus dem Bereich „Support & Sicherheit“ auf Nachfrage – galt dieses Codewort aber nur für diesen einen, aktuellen Rückruf.

Dennoch: Deine Idee mit der Abfrage von eigenen Authentifizierungsdaten ist ein richtig guter Ansatz. Wichtig ist dabei nur, das „Wenn-dann-Prinzip“ auch wirklich konsequent durchzuziehen. Also: Wenn du mir den Kontostand nicht exakt nennen kannst, lege ich konsequent auf.

Man darf sich dann auch nicht von Ausreden einlullen lassen – etwa der Erklärung, dass diese speziellen Mitarbeiter angeblich keinen Zugriff auf den Kontostand haben (dürfen), da sie ja „nur für die Sicherheit zuständig sind“ und das „wegen Datenschutz nicht geht“ usw.

Ich will damit sagen: Letztendlich schützt einen wirklich nur absolut konsequentes Handeln. Ein Mangel daran ist genau dieses sprichwörtliche Lindenblatt, das uns verwundbar macht. (Bei mir gibt es das jedoch nicht mehr🤞😊.)