Neue Betrugsmasche –

Er fiel auf gekaperte Mail rein und bezahlte 23’000 Euro an Gauner-Konto

Thomas Baumann* überwies eine Provision an einen Immobilien-Makler in Italien – dachte er zumindest. Das Geld war weg. Der Fall zeigt: Online-Betrüger gehen immer raffinierter vor.

Bernhard Kislig

Publiziert: 07.12.2024, 08:25

50

Einen Moment lang zögert Thomas Baumann (Name geändert), als er im Mail die neue Zahlungsanweisung sieht: Eben erst hat er vom Immobilienmakler aus Italien die Kontoangaben für die Überweisung der Vermittlungsprovision erhalten – nur wenig später schickt der gleiche Absender folgenden Hinweis: «Siehe geänderte Rechnung. Bitte überweisen Sie stattdessen an die ING Bank.» Dies verknüpft mit der Bitte, die Zahlungsbestätigung per Mail zu übermitteln.

Baumann stutzt, da die Zahlung anstatt nach Italien auf einmal an eine holländische Bank gehen soll. Doch eine Tätigkeit des Immobilienmaklers in verschiedenen Ländern ist nicht abwegig. Dies nicht zuletzt, da der Makler aus Nordeuropa und nicht aus Italien stammt. So überweist Baumann in zwei Tranchen rund 23’000 Euro.

Das Geld kommt nicht an

Weil das Geld nicht eintrifft, kommt es nach einigen Tagen zu Rückfragen per Whatsapp. Der Makler kontrolliert die Zahlungsbestätigung und stellt fest, dass die Kontoangaben korrekt sind.

Als weitere Zeit verstreicht, bittet der Makler Thomas Baumann, direkt mit dem Kundenberater bei seiner Bank in Italien Kontakt aufzunehmen. In diesem Moment wird Baumann auf einen Schlag klar, dass etwas schiefgelaufen ist: «Das fühlte sich an wie ein lauter Gong oder die Erschütterung bei einem Autounfall.»

Da die Büros bereits geschlossen sind, ruft Baumann sofort die Notfallnummern seiner Hausbank und der Bank ING in Holland an. Die Auskünfte sind ernüchternd: Die Banken können nichts machen.

Die Staatsanwaltschaft wird fündig

Am nächsten Tag geht Baumann zur Polizei, die in einem ersten Schritt versucht, das Geld in Holland zu blockieren. Als das nicht klappt, reicht Baumann Strafanzeige ein. Die Staatsanwaltschaft findet daraufhin Name, Geburtsdatum und Adresse des Empfängers heraus. Die Wohnadresse befindet sich in Den Haag, der Name klingt ausländisch.

Es stellt sich heraus, dass jemand das E-Mail-Konto des Maklers gekapert hat. Gemäss Internetprotokoll wurden die gefälschten Mails von Dänemark aus verschickt. Der oder die Betrüger haben über das Geschäftsmail nicht nur falsche Kontoangaben eingefügt, sondern auch die von Baumann retournierten Zahlungsbestätigungen manipuliert: Auf den Dokumenten zuhanden des Maklers steht die korrekte Kontoverbindung, weshalb er zuerst keinen Verdacht geschöpft hat.

Für Opfer schwierig, einen Betrug durch Cyberkriminelle zu erkennen

Für Betroffene ist es schwierig, einen Betrug zu erkennen, wenn die Informationen von einer vertrauten Quelle kommen. Im vorliegenden Fall hat der Makler bereits erfolgreich eine Wohnung vermittelt. Da die Geschäfte bisher problemlos abgewickelt wurden, gab es für Baumann kaum Anlass, an der Mailkorrespondenz zu zweifeln.

Dass Cyberkriminelle versuchen, sich in vertrauenswürdige Kanäle einzuschleusen, ist kein Einzelfall: Im Frühling wurde etwa bekannt, dass Betrüger die Rechner von Hotels infiltrierten und über die Buchungsplattform Booking.com von der Kundschaft Vorauszahlungen verlangten. Da es um tatsächliche Buchungen ging, wirkte auch das überzeugend.

«Das Beispiel zeigt, wie wichtig der Schutz eines Mailkontos ist», sagt Oliver Hirschi, Experte für Sicherheit im E-Banking und Dozent an der Hochschule Luzern. Die Bedeutung des elektronischen Postfachs sei vielen Angestellten leider nicht bewusst, weshalb ein sicherer Umgang damit immer wieder vernachlässigt werde.

Hirschi nennt als Beispiel firmeninterne Vorfälle, bei denen Betrüger über das Mailkonto einer Führungsperson Zahlungsanweisungen geben. Dazu reicht in der Regel ein Passwort. Typisches Beispiel ist, wenn jemand sich als Firmenchef ausgibt und von dessen Postfach aus die Finanzbuchhaltung zu einer Zahlung auffordert. Das Zugangspasswort gerät oft durch einen nachlässigen Umgang in falsche Hände. So etwa durch unüberlegte Angaben bei Phishing-Aktionen.

Sicherheitscheck über einen separaten Kanal

Als wichtigste Vorsichtsmassnahme nennt Oliver Hirschi den Sicherheitscheck auf einem anderen Kanal. Beim geringsten Verdacht oder auch schon bei einem unguten Bauchgefühl ist es ratsam, bei der Gegenpartei zum Beispiel telefonisch oder via Kurznachrichtendienst nachzuhaken. Der Aufwand ist gering, erhöht die Sicherheit aber deutlich. Hätte etwa Thomas Baumann vor der Zahlung bei seinem Makler per Whatsapp kurz nachgefragt, ob das Geld tatsächlich auf ein holländisches Konto soll, wären die Betrüger mit ihrem Unterfangen gescheitert.

Hirschi vergleicht es mit der eigenen Wohnung, die man in der Regel auch nicht unverschlossen verlässt. Für das Mailkonto empfiehlt er sichere Passwörter mit mindestens zwölf Zeichen – darunter Ziffern, Sonderzeichen, Gross- und Kleinbuchstaben. Für jedes Konto sollte ein anderes Passwort verwendet werden. Am einfachsten geht das mit einem Passwortmanager, der verschiedene Passwörter automatisiert verwaltet. Über Internetdienste wie Haveibeenpwned.com kann man zudem prüfen, ob eigene Kontoinformationen als Folge eines Datenlecks im Internet kursieren. Wenn das der Fall ist, sollte man das Passwort ändern. Zusätzliche Sicherheit bietet schliesslich eine Zwei-Faktor-Authentifizierung, bei der das Log-in zum Beispiel mit einem per SMS erhaltenen Code bestätigt werden muss.

Hätte die Bank das Geld blockieren sollen?

Schliesslich stellt sich die Frage, ob das Sicherheitssystem einer Bank die verdächtigen Transaktionen im Fall von Thomas Baumann hätte erkennen sollen. Wenn das bankinterne System Alarm schlägt, wird das Geld auf dem Konto vorübergehend blockiert, um eine genauere Prüfung durchzuführen. Dazu gehört etwa eine Rückfrage beim Absender oder bei dessen Bank. Das hätte im vorliegenden Fall passieren sollen, findet Thomas Weber, Co-Autor des Buchs «Digitale und mobile Zahlungssysteme».

Es gibt verschiedene Kriterien für Warnsignale. «Treten mehrere solche Warnsignale gleichzeitig auf, darf man von einer Bank erwarten, dass sie genauer hinschaut», sagt Weber. Im vorliegenden Beispiel ging es bei der Bank ING um folgende kritische Punkte, die laut Weber üblicherweise zu Warnungen führen: grenzüberschreitende Transaktionen von grösseren Summen, falscher Name, falsche Adresse und umgehende Weiterleitung des Geldes.

Die ING bedauert in einer Stellungnahme den Vorfall, geht aber nicht auf das interne Kontrollsystem oder die falschen Adressangaben ein. Es gebe keine generelle Überwachungspflicht, da dies die Datenverarbeitung und das öffentliche Interesse beeinträchtigen könnte, teilt die Bank mit. Ein Bankkunde müsse davon ausgehen können, «dass ein korrekt erteilter Zahlungsauftrag ausgeführt wird».

Fehler gefunden?Jetzt melden.