Betrugsversuch per Telefonanruf – so lief es bei mir ab (und was ich daraus gelernt habe)

[KarlMünchen]

---

@CurtisNewton  schrieb

So etwas wie SMS Kanäle oder Threads gibt es nicht. Eine SMS ist einfach ein freier Text der dir zugeschickt wird, wie eine Postkarte. Dein Smartphone sortiert dann die SMS anhand des eingetragenen Absenders ein. Das ist ebenfalls eine freier Text, da muss noch nicht mal eine Telefonnummer drin stehen. 

---

Bei comdirect steht auch keine Telefonnummer drin, sondern "comdirect" (und nein, das wurde nicht aus meinem Adressbuch aufgehübscht, das kommt schon so). Allerdings würde man sicher auch ein SMS-Gateway finden, das +4941067082500 als Absender akzeptiert, ohne dass man dazu irgendwas nachweisen muss. Das würde also auch keinen Sicherheitsgewinn bringen. In einer idealen Welt würde eine Telco nur SMS versenden mit einer Senderkennung, von der der Einliefernde bewiesen hat, dass er es ist.

Es gibt wohl nationale Bestrebungen, das robuster zu machen, z.B. in Finnland: https://quriiri.fi/en/tekstiviestihuijauksia-torjutaan-jatkossa-uusilla-keinoilla-mita-traficomin-uu... aber bei uns muss darüber wohl erstmal 10 Jahre lang eine Kommission brüten.

Also müssen wir bei SMS wohl mit jeder Sauerei rechnen und dürfen uns auf nix verlassen.

Ich habe großen Respekt davor, dass @tomloddel seinen Fall hier so ausführlich geschildert hat und die Information möglicher Opfer über eigene Peinlichkeit gestellt hat. Vielen Dank dafür! Die Professionalität der Betrüger ist erschreckend.

[Joerg78]

---

@KarlMünchen  schrieb:

---

---

Bei comdirect steht auch keine Telefonnummer drin, sondern "comdirect" (und nein, das wurde nicht aus meinem Adressbuch aufgehübscht, das kommt schon so).

---

Wenn sie von der comdirect kommt. Wenn etwas die Visa-Karte betrifft, kommt die SMS oft von irgendwelchen Rufnummern.

Beispiel: 0177 1789748 => SMS für 3-Raten-Service, Stand 12. April 2026.

Aus meiner Sicht wäre es gut, wenn zumindest zusätzlich eine Push-Nachricht über die comdirect-App reinkommen würde (z.B. für Bestätigung/Ablehnung einer Kartentransaktion).

Viele Grüße,

Jörg

[KarlMünchen]

---

@Joerg78  schrieb:

---

Aus meiner Sicht wäre es gut, wenn zumindest zusätzlich eine Push-Nachricht über die comdirect-App reinkommen würde (z.B. für Bestätigung/Ablehnung einer Kartentransaktion).

---

Für Kunden, die die App nutzen. Ich habe mir gerade ein Lesegerät bestellt, weil mir die alte (offline) photoTAN-App gesperrt wurde, und ich keine Lust habe, mich mit "gerootet" Erkennung und Maskierung und sonstwas rumzuschlagen, aber auch kein Google auf meinem Smartphone haben will, was ja die Voraussetzung wäre, dass es als "sauber" und "gut" angesehen wird - allen Überlegungen zur digitalen Souveränität zum Trotz.

Bei der photoTAN-Aktivierung kam SMS und Email parallel, das fand ich gut. Bei Email kann man zumindest prinzipiell - wenn auch mit technischem Sachverstand - eine legitime Nachricht erkennen. Natürlich wäre es Stand der Technik, dass comdirect seine Mails generell mit einer S/MIME Signatur versehen würde. Das würde die Überprüfung auch für Laien ermöglichen/erleichtern, ich denke die meisten Mailoberflächen sollten das mittlerweile unterstützen, und es würde Phishing erschweren.

[tomloddel]

„comdirect“ stand als Absender beim Fake-Anruf im Display – und, @Joerg78 , völlig korrekt, die Visa-Nachricht kam komplett ohne Absenderkennung.

Weitere Sicherheitsmaßnahmen wären sicherlich begrüßenswert, wobei das natürlich immer eine Abwägung zwischen Nutzerfreundlichkeit und Absicherung ist. Wie bereits beschrieben, habe ich mich da mittlerweile auch völlig anders positioniert: Aus dem anfänglichen „Genervt über die zusätzliche Legitimation in der Kontoumgebung“ wurde bei mir aktuell ein „Finde ich super, gerne mehr davon!“.

Gegebenenfalls könnten weitere Sicherungsinstrumente optional angeboten werden. Ein Beispiel wäre ein persönlich hinterlegtes Codewort für Anrufe (die Comdirect-Hotline konnte nämlich nicht ausschließen, dass in absoluten Ausnahmefällen doch mal telefonisch Kontakt aufgenommen wird) oder die Kommunikation über einen abgesicherten Kanal (ich weiß nicht, ob das z. B. über Messenger wie Signal machbar wäre).

[Joerg78]

---

@KarlMünchen  schrieb:

---

---

Für Kunden, die die App nutzen. Ich habe mir gerade ein Lesegerät bestellt, weil mir die alte (offline) photoTAN-App gesperrt wurde, und ich keine Lust habe, mich mit "gerootet" Erkennung und Maskierung und sonstwas rumzuschlagen, aber auch kein Google auf meinem Smartphone haben will, was ja die Voraussetzung wäre, dass es als "sauber" und "gut" angesehen wird - allen Überlegungen zur digitalen Souveränität zum Trotz.

---

Ziemlich schwach von der comdirect. Gerade GrapheneOS ohne Google Dienste dürfte erheblich sicherer (insb. hinsichtlich Datenschutz) sein als jeder Standard-Androide... wobei ich nicht weiß, ob alle Custom ROMs betroffen sind.

[CurtisNewton]

Gibt es überhaupt eine Banking App die Graphene OS offiziell unterstützt? Der Testaufwand für eine App die komplett ohne Google Dienste validiert wurde etc. dürfte sich doch kaum lohnen. Vermutlich fehlt da der Business Case. Die Website der comdirect unterstützt ja nicht mal Safari als Browser fehlerfrei.

[Joerg78]

Offiziell wohl kaum, manche Apps laufen aber trotzdem. Eine aktuelle Liste scheint es nicht zu geben, man kann sich aber hier durchklicken.

Mit gewissen Einstellungen (in GrapheneOS) sollen die comdirect-Apps wohl laufen - kann aber mit dem nächsten App-Update dann schon wieder vorbei sein.

Edit: So wie aktuell bei Revolut - hat bislang funktioniert, jetzt nicht mehr.

Viele Grüße,

Jörg

[tomloddel]

Ich bin maximal verwirrt.

Ich hatte in den letzten Tagen zwei Anrufe mit der Ansage: „Comdirect Sicherheitsabteilung. Mein Name ist...“

Wie würdet ihr in so einer Situation nach den Vorfällen reagieren? So wie ich und direkt auflegen? Vor ein paar Tagen war das bei mir wohl die richtige Entscheidung. Beim heutigen Anruf denke ich mir im Nachhinein: Vielleicht hätte ich nicht ganz so kommentarlos auflegen sollen.

Kurz darauf kam folgende Nachricht:

Guten Tag [Vorname] [Zweiter Vorname] [Nachname],

leider konnten wir Sie telefonisch nicht erreichen, um Ihr Anliegen zu klären. Rufen Sie uns gerne unter unserer Servicehotline 04106 - 708 25 00 an.

Wie soll man da als Kunde im ersten Moment bei einem Anruf überhaupt noch zwischen Fake und Authentizität unterscheiden?

[GetBetter]

---

@tomloddel  schrieb:

Wie soll man da als Kunde im ersten Moment bei einem Anruf überhaupt noch zwischen Fake und Authentizität unterscheiden?

---

Ich habe mir das von Hotlines zur Authentifizierung praktizierte Vorgehen abgeschaut und stelle in solchen Fällen meinerseits Fragen, die der Gesprächspartner beantworten können sollte. Abhängig vom Kontext (wer ruft an um über was zu sprechen?) kann das einfach gehalten werden (Kundenummer, Adresse, Geburtsdatum o.ä.). Bei Themen mit der Bank lasse ich mir üblicherweise den aktuellen Kontostand centgenau nennen (den ich selbstverständlich parallel prüfe).

[tomloddel]

Ja, das ist eine sehr gute Vorgehensweise.

Die Mitarbeiterin der Hotline hatte mit mir ein Codewort vereinbart, welches beim Rückruf der Sicherheitsabteilung von mir abgefragt werden konnte. Das habe ich gemacht und es hat auch funktioniert. Leider – so erklärte es mir die Dame aus dem Bereich „Support & Sicherheit“ auf Nachfrage – galt dieses Codewort aber nur für diesen einen, aktuellen Rückruf.

Dennoch: Deine Idee mit der Abfrage von eigenen Authentifizierungsdaten ist ein richtig guter Ansatz. Wichtig ist dabei nur, das „Wenn-dann-Prinzip“ auch wirklich konsequent durchzuziehen. Also: Wenn du mir den Kontostand nicht exakt nennen kannst, lege ich konsequent auf.

Man darf sich dann auch nicht von Ausreden einlullen lassen – etwa der Erklärung, dass diese speziellen Mitarbeiter angeblich keinen Zugriff auf den Kontostand haben (dürfen), da sie ja „nur für die Sicherheit zuständig sind“ und das „wegen Datenschutz nicht geht“ usw.

Ich will damit sagen: Letztendlich schützt einen wirklich nur absolut konsequentes Handeln. Ein Mangel daran ist genau dieses sprichwörtliche Lindenblatt, das uns verwundbar macht. (Bei mir gibt es das jedoch nicht mehr🤞😊.)