Kapitel 10: Wie Opfer ausgewählt werden: Profiling und Zielvorgaben

Viele Menschen, die mit den Folgen eines Betrugs konfrontiert sind und schockiert feststellen, dass ihr Bankkonto geleert wurde, stellen sich immer wieder dieselbe Frage: „Warum ich? Warum haben sie ausgerechnet mich ausgewählt?“. Sie fühlen sich, als hätte sie ein Blitz aus heiterem Himmel getroffen, als wäre es Schicksal oder extremes Pech gewesen. Sie vergleichen den Betrüger mit einem Fischer, der ein weites Netz ins Meer auswirft und wartet, was ihm ins Netz geht. Tatsächlich ist dies in einigen Fällen – bei Massen-Phishing-Betrügereien – die Situation. Doch wenn es um ausgeklügelte Betrugsmaschen geht, bei denen erhebliche Geldbeträge gestohlen werden, zeigt die Realität, dass die Opfer in manchen Fällen nicht zufällig ausgewählt, sondern vorab markiert werden.

In den vorherigen Kapiteln haben wir die psychologischen Mechanismen und die komplexen Drehbücher analysiert, doch in diesem Kapitel gehen wir dem Kern der Sache auf den Grund – der Phase der „Informationsbeschaffung“. In der Geheimdienstwelt nennt man das OSINT (Open Source Intelligence). In der Welt der Cyberkriminalität ist dies die Vorbereitungsarbeit, die einen völlig Fremden zu einem Ziel macht. Um zu verstehen, wie man sich schützen kann, müssen wir zunächst verstehen, wie das Profil eines Opfers erstellt werden kann, wie das Zeitfenster für Gelegenheiten identifiziert wird und wie private Informationen zu einem Werkzeug in den Händen von Betrügern werden können.

Das folgende Szenario ist ein lehrreiches Beispiel, das auf verbreiteten Betrugsmustern basiert. Die Charaktere und Ereignisse dienen lediglich zur Veranschaulichung.

Gezieltes Engineering: Ein Lehrbeispiel - Die Geschichte von Amos und die Wohnung in Haifa

Amos (Name geändert), 67, entsprach keineswegs dem klassischen Bild eines „naiven Opfers“. Er war nach einer langen Karriere als operativer Geschäftsführer eines großen Logistikunternehmens in den Ruhestand gegangen. Er kannte sich mit Computersystemen aus, wusste, wie man verhandelt, und hielt sich immer für einen vorsichtigen Menschen, der jedes Dokument prüft. In diesem Szenario war der Fehler von Amos nicht Leichtsinn, sondern die Annahme, dass seine Aktivitäten im Netz anonym blieben.

Alles begann, als beschlossen wurde, eine Investitionswohnung zu verkaufen, um innerhalb der Familie zu helfen. Eine Anzeige wurde auf einer Verkaufsplattform geschaltet, Fotos hochgeladen und Kontaktdaten angegeben. Für kriminelle Akteure kann eine solche Anzeige ein Zielmarkierung darstellen.

Zwei Wochen lang wurden die Informationen gesammelt. Ein Betrüger kann den vollständigen Namen verwenden, um Profile in sozialen Netzwerken zu finden, Interessen, Zugehörigkeiten zu Gruppen oder den beruflichen Hintergrund zu identifizieren. Die Informationen summieren sich und werden zu einem regelrechten Dossier.

In einem möglichen Szenario klingelt das Telefon und auf dem Display erscheint eine Nummer, die offiziell aussieht. Die Stimme am anderen Ende stellt sich möglicherweise als Vertreter der Sicherheitsabteilung der Bank vor, mit einem autoritären und ruhigen Ton, und berichtet von einem „verdächtigen Überweisungsversuch“.

Wenn das Opfer unter Druck reagiert, kann der Betrüger die vorab gesammelten Informationen nutzen: „Haben Sie vor kurzem eine Immobilienanzeige geschaltet? Dies ist ein bekanntes Muster von Hackern, die solche Seiten scannen.“ Die präzisen Informationen erzeugen ein sehr hohes Vertrauensniveau. Innerhalb dieses „Drucktunnels“ könnte das Opfer den Anweisungen des Betrügers folgen, Geld auf ein vermeintliches „Schutzkonto“ überweisen und später feststellen, dass das Geld auf Strohmann-Konten überwiesen wurde und dass es erhebliche Komplexitäten bei dem Versuch gibt, es zurückzuholen.

Der Mythos des Zufalls: Wie Informationen durchsickern können

Das Szenario von Amos veranschaulicht einen entscheidenden Punkt: Die Auswahl des Opfers ist manchmal ein Prozess der Filterung. Betrüger suchen manchmal nach einer „reifen Frucht“ – Personen, die sich an einem Zeitpunkt befinden, an dem sie große Transaktionen durchführen oder Lebensveränderungen erleben.

Es gibt verschiedene Wege, wie Informationen in die falschen Hände gelangen können:

1. Datenlecks (Data Breaches)

Jedes Mal, wenn eine Website, bei der eine Registrierung erforderlich ist, gehackt wird, können persönliche Informationen in kriminelle Hände gelangen. Diese Listen sind manchmal nach Alter, Art der Kreditkarte oder anderen Merkmalen segmentiert, was die Erstellung einer Liste potenzieller Ziele ermöglicht.

2. Soziale Netzwerke

Oversharing in sozialen Netzwerken kann eine Einladung für feindliche Akteure sein. Ein Beitrag über den Verkauf einer Immobilie, ein Foto eines Flugtickets oder eine Aktualisierung über einen Umzug liefern Informationen über finanzielle Liquidität oder Abwesenheit aus dem Land, was die Person anfälliger für gezielten Betrug macht.

3. Datenbanken

Im Laufe der Jahre wurde über Lecks in offiziellen und öffentlichen Datenbanken berichtet. Informationen, die Personalausweisnummern, Adressen und familiäre Verbindungen enthalten, ermöglichen es Betrügern, eine sehr glaubwürdige Darstellung in einem Telefongespräch zu erstellen, was das Vertrauen erhöht, das ihnen zu Beginn der Interaktion entgegengebracht wird.

Das Profil des Opfers: Wer könnte ins Visier geraten?

Im Laufe der langjährigen beruflichen Arbeit und der Untersuchung vieler Fälle zeigt sich, dass die Opfer nicht nur einer einzigen Gruppe angehören. Unter ihnen finden sich Freiberufler, Technologen und Menschen mit reichlich Lebenserfahrung. Dennoch gibt es Merkmale, die eine Person zu einem bevorzugten Ziel machen können:

• Personen mit temporärer finanzieller Liquidität: Menschen nach dem Verkauf einer Immobilie, dem Erhalt einer Erbschaft oder der Auflösung eines Sparfonds.
• Personen an Entscheidungsschnittstellen oder unter Stress: Diejenigen, die sich in komplexen persönlichen Verfahren wie Scheidung oder Umzug befinden, Situationen, in denen die kognitive Aufmerksamkeit möglicherweise geteilt ist.
• Selbstständige und kleine Geschäftsinhaber: Die daran gewöhnt sind, zahlreiche Überweisungen zu tätigen und Gespräche von unbekannten Nummern entgegenzunehmen.
• Senioren: Menschen, die die Technologie beherrschen, aber möglicherweise großen Respekt vor Autoritäten (wie Bank oder Polizei) haben und dazu neigen, einer autoritären Stimme am Telefon zu glauben.

Der Rechtsbereich: Überprüfung der Haftung des Finanzinstituts

An diesem Punkt wird die komplexe rechtliche Frage untersucht. Die zentrale Frage in diesen Fällen ist nicht nur, wie der Betrug begangen wurde, sondern wie hoch das Maß der Sorgfalt war, das von den „Wächtern“ ausgeübt wurde. In Israel basiert die Beziehung zwischen Bank und Kunde auf einer Treue- und Sorgfaltspflicht.

Das Zahlungsdienstleistungsgesetz regelt die Haftungsfrage. Grundsätzlich besteht bei einer nicht autorisierten Transaktion ein Erstattungsanspruch. Die Komplexität steigt bei Fällen von „Social Engineering“, bei denen der Kunde die Transaktion aufgrund einer falschen Darstellung selbst autorisiert hat. Hier wird das Gleichgewicht zwischen „mitwirkendem Verschulden“ und der Sorgfaltspflicht der Bank geprüft.

Im Rahmen der Analyse rechtlicher Möglichkeiten stellt sich die Frage, ob die Bank ungewöhnliche Betrugsmuster erkennen muss. Wenn ein Kunde eine Transaktion durchführt, die radikal von seinen normalen Verwaltungsgewohnheiten abweicht, ist es möglich, dass von den Überwachungssystemen der Bank erwartet wird, die Transaktion zu stoppen oder eine zusätzliche Verifizierung durchzuführen.

Die berufliche Erfahrung zeigt, dass Finanzinstitute versuchen könnten, die Verantwortung abzulehnen, indem sie argumentieren, dass der Kunde aus eigenem Willen gehandelt habe. Dennoch kann geprüft werden, ob die Bank unter den gegebenen Umständen „rote Flaggen“ hätte erkennen müssen. In einigen Fällen kann ein Klagegrund wegen Fahrlässigkeit bei der Risikoverwaltung bestehen.

Es ist wichtig zu betonen: Es gibt keine pauschale Garantie für die Rückerstattung von Geldern. Jeder Fall wird individuell nach seinen einzigartigen Umständen geprüft. Die Gerichte untersuchen, ob das Verhalten des Kunden einem „groben Verschulden“ gleichkam. Das Herausgeben eines persönlichen Codes entgegen ausdrücklicher Warnungen erschwert die rechtliche Situation, blockiert jedoch nicht notwendigerweise die Möglichkeit, die Versäumnisse der Bank bei der Bereitstellung eines umfassenden Schutzes zu prüfen.

Fallanalyse: Warum wurde das Ziel ausgewählt?

Zurück zum Lehrszenario kann man sehen, dass die Nachrichtendienstarbeit auf zugänglichen Werkzeugen basierte:

1. Informationssammlung: Eine Auktionsanzeige, die Namen, Telefonnummer und Standort liefert.
2. Datenabgleich: Verwendung von Suchmaschinen und sozialen Netzwerken zur Identifizierung von beruflichem Hintergrund und Alter.
3. Identitätsprüfung: Verwendung von Anruferkennungs-Apps zur Bestätigung der Identität des Ziels.
4. Timing: Auswahl eines Zeitpunkts, zu dem das Opfer beschäftigt, aber erreichbar ist.
5. Erzeugung von Autorität: Verwendung professioneller Terminologie, die an den Hintergrund des Opfers angepasst ist.

Warnsignale: Wann besteht der Verdacht, ein „Ziel“ zu sein?

Die frühzeitige Erkennung von Warnsignalen kann finanzielle Schäden verhindern:

• Initiierte Anrufe der Bank bezüglich einer Transaktion, die Sie nicht kennen: Es ist wichtig, sich daran zu erinnern, dass Banken nicht verlangen, Geld auf „Schutzkonten“ zu überweisen.
• Vorwissen über persönliche Details: Wenn der Anrufer Details über Vermögenswerte, Familienmitglieder oder kürzlich durchgeführte Transaktionen kennt, ist dies nicht unbedingt ein Zeichen für seine Seriosität, sondern ein Beweis für eine vorab durchgeführte Informationssammlung.
• Erzeugung von Dringlichkeit: Der Einsatz von Zeitdruck („Wir müssen jetzt handeln“) dient dazu, rationales Denken oder Beratung zu verhindern.
• Aufforderung zur Vertraulichkeit: Die Anweisung, das Gespräch nicht zu beenden oder niemandem von den Vorgängen zu erzählen.

Sofortmaßnahmen bei Verdacht

1. Gespräch beenden: Im Zweifelsfall ist das Gespräch sofort zu beenden.
2. Unabhängige Kontaktaufnahme: Wählen Sie die offizielle Nummer des Callcenters der Bank oder des Kreditkartenherausgebers und rufen Sie nicht die Nummer zurück, von der der Anruf einging.
3. Unabhängige Kontoprüfung: Greifen Sie von einem sicheren Gerät aus auf das Konto zu und prüfen Sie die Transaktionen.
4. Dokumentation: Speichern von Telefonnummern, Nachrichten und Gesprächszeiten als potenzielles Beweismaterial.
5. Meldung an die Behörden: Erstattung einer Anzeige bei der Polizei.

Rechtlicher Aspekt: Zusammenfassung der Haftung

In Fällen von „Social Engineering“ ist die rechtliche Lage komplex und entwickelt sich weiter. Das Zahlungsdienstleistungsgesetz legt eine Haftung des Kunden fest, wenn dieser mit betrügerischer Absicht oder bei „grobem Verschulden“ gehandelt hat.

Die juristische Auslegung des Begriffs „grobes Verschulden“ wird unter Berücksichtigung der Tatsache geprüft, dass Betrüger fortschrittliche Techniken einsetzen. Es gibt einen Trend, anzuerkennen, dass der durchschnittliche Kunde gegenüber ausgeklügelten Betrugssystemen in einer unterlegenen Position sein kann.

Gleichzeitig haben Banken die Pflicht, Betrug zu verhindern. Unter bestimmten Umständen, wenn nachgewiesen werden kann, dass das Finanzinstitut versäumt hat, ein bekanntes Betrugsmuster zu erkennen, oder eine radikal ungewöhnliche Transaktion ohne Erklärung nicht verhindert hat, kann eine rechtliche Haftung entstehen.

Zusammenfassend lässt sich sagen, dass der Schutz persönlicher Daten und die Minimierung digitaler Spuren die erste Verteidigungslinie bilden. Im Schadensfall gibt es rechtliche Möglichkeiten, die geprüft werden können, mit dem Verständnis, dass das Ergebnis von den spezifischen Umständen jedes einzelnen Falls abhängt.