Kapitel 11: Der Anruf von der Bank: Wenn der Anrufer alles über Sie weiß

Willkommen zum zweiten Teil des Buches. Während wir uns im ersten Teil mit den Grundlagen befasst haben – der Psychologie des Betrügers, seinen Jagdmethoden und der Art und Weise, wie er seine digitalen Spinnennetze spinnt –, tauchen wir hier in die Abgründe ein. Wir begeben uns in das Allerheiligste, dorthin, wo wir uns am sichersten fühlen, aber tatsächlich am stärksten exponiert sind: unsere Beziehung zur Bank und zu Kreditkartenherausgebern.

Für den durchschnittlichen Bürger ist die Bank nicht nur ein Finanzinstitut. Sie ist die Festung, die den Lohn eines ganzen Lebens schützt. Es ist der Ort, an dem das Gehalt eingeht, an dem für die Wohnung der Kinder gespart wird und an dem die Rente verwaltet wird, die uns ein würdevolles Altern ermöglichen soll. Der Ruf der Banken ist auf Vertrauen, auf Bankgeheimnis und auf ein Gefühl absoluter Sicherheit gebaut. Genau auf dieses Vertrauen setzen die raffiniertesten Betrüger. In diesem Teil werden wir analysieren, wie die Identitätsfälschung einer autoritativen Stelle zum tödlichsten Werkzeug im Arsenal des Finanz-Cyberbetrugs wird.

Das Szenario: Die Festung, die von innen einstürzte

Das folgende Szenario ist ein Lehrbeispiel, das auf gängigen Betrugsmustern basiert. Die Figuren und Ereignisse dienen lediglich der Veranschaulichung.

Es war ein Dienstagnachmittag, einer jener Tage, an denen die Routine das Denken übernimmt. Mordechai, ein Buchhalter im Ruhestand, ein Mann, der sich sein ganzes Leben lang mit Zahlen und Präzision beschäftigt hat, saß auf seiner Veranda. Sein Mobiltelefon vibrierte. Auf dem Display erschien eine ihm wohlbekannte Nummer – eine Nummer, die mit den vertrauten Ziffern des Kundendienstes seiner Bank endete.

"Guten Tag, hier spricht Liron aus der Sicherheitsabteilung der Bank", sagte eine weibliche, professionelle, sachliche, fast kühle Stimme. Da war kein Hauch übermäßiger Dringlichkeit, der Verdacht erregt hätte, nur der Ton einer Sachbearbeiterin, die ihre Arbeit verrichtet. "Spreche ich mit Mordechai?"

"Ja, der bin ich", antwortete Mordechai, während er einen leichten Stich der Sorge in seinem Bauch spürte. "Stimmt etwas nicht?"

"Wir erkennen gerade einen verdächtigen Überweisungsversuch von Ihrem Konto in Höhe von 12.000 NIS zugunsten eines Begünstigten im Ausland. Haben Sie in den letzten Minuten einen solchen Vorgang veranlasst?"

"Auf gar keinen Fall!", rief Mordechai erschrocken. "Ich bin zu Hause, ich habe den Computer nicht berührt."

"Das habe ich befürchtet", antwortete Liron mit einer nervenaufreibenden Ruhe. "Keine Sorge, unser System hat den Vorgang vorläufig blockiert, aber es scheint, als hätte es einen unautorisierten Zugriff auf Ihr Kundenkonto gegeben. Ich muss einige Details abgleichen, um das Konto neu abzusichern. Nur um zu verifizieren, dass ich mit der richtigen Person spreche: Die letzten vier Ziffern Ihrer Kreditkarte lauten 4482, richtig?"

Mordechai war verblüfft. "Ja, genau."

"Und unsere hinterlegte Wohnadresse ist die Herzl-Straße 14, korrekt? Und Sie haben auch ein kleines Sparkonto, das vor zwei Monaten eröffnet wurde?"

In diesem Moment brachen alle Schutzwälle von Mordechai zusammen. Die Anruferin bat ihn zu diesem Zeitpunkt um nichts, sie präsentierte ihm lediglich Informationen. Sie wusste alles. Sie kannte seine Adresse, die Art seiner Kreditkarte und sogar Details über aktuelle Transaktionen. In Mordechais Bewusstsein gab es keinen Zweifel: Er spricht mit der Bank. Der Gedanke, dass es sich um einen Betrüger handeln könnte, der mit Listen aus dem Darknet in einer konspirativen Wohnung sitzt, kam ihm nicht einmal in den Sinn.

"Herr Mordechai, um den unautorisierten Zugriff zu stoppen und die Rechte wiederherzustellen, sende ich Ihnen jetzt einen Verifizierungscode von der Bank auf Ihr Telefon. Bitte lesen Sie ihn mir vor, damit ich auf die Sicherheitseinstellungen Ihres Kontos zugreifen und den Eindringling blockieren kann."

Der Code kam an. In der SMS stand deutlich: "Ihr Code für den Vorgang lautet...". Mordechai, der unter starkem psychologischem Druck stand und im festen Glauben war, mit den Behörden zusammenzuarbeiten, las den Code vor. Er wusste nicht, dass die "Sachbearbeiterin" in genau diesen Momenten diesen Code benutzte, um eine echte Banküberweisung auf das Konto eines Strohmanns zu bestätigen oder um die mit dem Konto verknüpfte Telefonnummer zu ändern, wodurch sie die vollständige Kontrolle übernahm.

Als das Gespräch endete, versicherte ihm Liron, dass alles unter Kontrolle sei und er innerhalb einer Stunde einen Zusammenfassungsanruf erhalten werde. Der Anruf kam nie. Zwei Stunden später, als Mordechai versuchte, sich zur Beruhigung in die App einzuloggen, stellte er fest, dass sein Zugang gesperrt war. Als er am nächsten Morgen in der Filiale vorstellig wurde, erfuhr er die bittere Wahrheit: Zehntausende Schekel – sein gesamtes Guthaben – waren durch drei schnelle Überweisungen verschwunden, die unmittelbar nach jenem Gespräch getätigt worden waren.

Die Illusion des Alleswissers: Woher wissen sie das wirklich?

Der entscheidende Faktor, der gebildete, kalkulierende und vorsichtige Menschen in diese Falle tappen lässt, ist der "Effekt der Informationsautorität". Wenn ein Fremder Sie anruft und persönliche Details kennt, die nur eine autorisierte Stelle kennen sollte, macht Ihr Gehirn eine kognitive Abkürzung. Es schließt daraus, dass er, wenn er meine Geheimnisse kennt, derjenige sein muss, der er vorgibt zu sein.

Doch die Realität im digitalen Zeitalter ist weit düsterer. Unsere Informationen sind nicht in Stahl-Tresoren gespeichert. Im Laufe der Jahre kam es zu zahlreichen Sicherheitsverletzungen bei Datenbanken von Versicherungsgesellschaften, Einkaufsseiten, Regierungsbehörden und Telekommunikationsunternehmen. Ihre Daten – vollständiger Name, Personalausweisnummer, Adresse, Telefonnummer und manchmal auch die letzten vier Ziffern der Kreditkarte – werden in Paketen mit vielen Datensätzen in Hacker-Foren für hohe Summen oder Pfennigbeträge verkauft, abhängig von der Aktualität der Informationen.

Der Betrüger benötigt keinen direkten Einbruch in Ihre Bank. Er braucht nur das erste Informationsteil, das ihm Ihr Vertrauen sichert. Sobald er Ihnen Ihre Personalausweisnummer nennt, hat er bereits den größten Teil des Weges in Ihre Tasche zurückgelegt. Der Einsatz von "Spoofing"-Technologie (Fälschung der Anrufernummer) vervollständigt das Bild: Nicht nur, dass der Anrufer alles über Sie weiß, auch Ihr Telefon bezeugt zugunsten des Betrügers und zeigt den Namen eines bekannten Bankinstituts an.

Es ist wichtig, diese Dynamik zu verstehen: Die Vorabinformation ist der Köder. Das Gespräch ist die Falle. Der Code, den Sie preisgeben, ist der Schlüssel. Ohne Ihren Code fehlt den meisten Betrügern noch das letzte Glied in der Kette – die endgültige Bestätigung für die Durchführung der Transaktion oder die Änderung der Kontoeinstellungen. Deshalb investieren sie so viel Mühe in den Aufbau einer glaubwürdigen und professionellen Identität.

Das juristische Dreieck: Der Kunde, die Bank und das Gesetz

Wenn ein Fall einer Person, die Opfer eines solchen Szenarios wurde, zur Diskussion steht, lautet die erste Frage: "Wie konnte die Bank das zulassen? Wo liegt deren Verantwortung?". Die rechtliche Antwort ist komplex und stützt sich in hohem Maße auf das Zahlungsdienstegesetz von 2019.

Das moderne israelische Gesetz hat eine bedeutende Veränderung im Bereich des Finanzverbraucherschutzes bewirkt. Heutzutage ist der Ausgangspunkt, dass bei einer "nicht autorisierten Zahlungstransaktion" (d. h. der Kunde hat nicht seine bewusste und freie Zustimmung zur Durchführung des Vorgangs zugunsten des spezifischen Begünstigten gegeben), die Pflicht der Bank zur Rückerstattung des Geldes geprüft werden kann.

Hier kommen jedoch die kleingedruckten Bestimmungen und die juristischen Schlachten ins Spiel. Die Banken könnten Argumente wie "Betrug" oder "grobe Fahrlässigkeit" anführen. Das Argument der Bank in ähnlichen Fällen lautet in der Regel: "Wir haben zusammen mit dem Code eine ausdrückliche Warnmeldung gesendet. Der Kunde hat den Code aus freiem Willen an einen Fremden weitergegeben. Dies stellt eine grobe Fahrlässigkeit dar, die unsere Haftung ausschließt."

Im Laufe der beruflichen Tätigkeit wird immer wieder das Argument vorgebracht, dass die Preisgabe eines Codes unter psychologischer Manipulation nicht als "grobe Fahrlässigkeit" zu werten ist. Wenn ein Betrüger Insiderwissen (oder Informationen, die als solche erscheinen) nutzt, eine Telefonnummer fälscht und eine Atmosphäre der Dringlichkeit schafft, begeht er ein "Social Engineering", das das Urteilsvermögen einer vernünftigen Person außer Kraft setzt. Es kann analysiert werden, ob es zumutbar ist, von einer Durchschnittsperson zu erwarten, einem solch geschulten psychologischen Angriff standzuhalten.

In der juristischen Herangehensweise ist eine zunehmende Berücksichtigung des Machtgefälles zu beobachten. Die Bank verfügt als "kostengünstigster Schadensverhinderer" über hochentwickelte Überwachungssysteme. Wenn ein Kunde noch nie eine Überweisung ins Ausland getätigt hat oder wenn plötzlich die Telefonnummer im Konto geändert wird und unmittelbar danach Überweisungen in außergewöhnlicher Höhe erfolgen, hätte die Bank dies möglicherweise erkennen müssen. Es lässt sich argumentieren, dass die Sorgfaltspflicht der Bank nicht beim Versand einer SMS endet, sondern auch die Erkennung ungewöhnlicher Muster (Anomaly Detection) und den Stopp von Transaktionen in "Echtzeit" bis zum Erhalt einer sicheren Bestätigung umfasst.

Es muss jedoch betont werden: Das Gesetz bietet keinen Freibrief. Wenn sich herausstellt, dass der Kunde in böser Absicht gehandelt hat oder wenn die Warnungen der Bank unter den gegebenen Umständen klar und eindeutig waren, kann die Verantwortung bei ihm verbleiben. Jeder Fall wird einzeln geprüft: Was wurde im Gespräch gesagt? Welche Nachrichten wurden gesendet? Wie war das bisherige Aktivitätsmuster im Konto?

Der Moment der Wahrheit: Die Entdeckung und der Schock

Die schwierigste Phase in diesen Fällen ist nicht nur der Geldverlust. Es ist der Verlust des Selbstvertrauens. Im Laufe der Jahre ist der Anwalt auf verschiedenste Fälle gestoßen, in denen sich die Opfer emotional am Boden zerstört fühlen und sich fragen, wie sie in diese Falle tappen konnten. Die professionelle Begleitung soll den Opfern, noch bevor die rechtlichen Aspekte geprüft werden, klarmachen, dass sie Opfer eines hochentwickelten Verbrechens geworden sind.

Der erste Schock tritt oft ein, wenn die Bank die Rückerstattung der Gelder verweigert. Dies ist ein entscheidender Moment, in dem der Kunde das Gefühl hat, dass das System ihm den Rücken kehrt. Das Argument, dass der Kunde seine Authentifizierungsdaten an Dritte weitergegeben hat, ist oft der Grund, der Menschen dazu bringt, aufzugeben, aus dem Gefühl heraus, dass das System übermächtig ist.

Doch genau hier beginnt die juristische Prüfung. Es ist möglich, Transkripte der Gespräche zu untersuchen (falls aufgezeichnet) und von der Bank die Protokolle ihrer Sicherheitssysteme anzufordern – was war bekannt und zu welcher Uhrzeit? Haben die Bankensysteme alarmiert, als das Geld abfloss? Warum wurde kein proaktiver Anruf beim Kunden getätigt, als eine ungewöhnliche Transaktion erkannt wurde? In vielen Fällen lassen sich "Warnsignale" identifizieren, die zu einer Haftung des Bankinstituts hätten führen können.

Es ist zu bedenken, dass die Bank dem Kunden gegenüber zur Treue verpflichtet ist. Diese Pflicht wird als wesentliche Verpflichtung angesehen. In einer Welt, in der digitaler Betrug weit verbreitet ist, kann von Banken erwartet werden, dass sie das Schutzniveau an den Grad der Raffinesse der Betrüger anpassen. Die Identifizierung des Kunden (Know Your Customer) sollte nicht nur Regulierungszwecken dienen, sondern auch als Schutzmittel vor Betrug.

Warnsignale: Wann sollte man sofort auflegen?

• Initiative des Anrufs: Banken rufen in der Regel nicht an, um einen per SMS erhaltenen Code zu erfragen. Der Code ist für eine Transaktion des Kunden gedacht, nicht für den Sachbearbeiter.
• Gefühl künstlicher Dringlichkeit: Die Erzeugung von Zeitdruck ist ein gängiges Mittel, um das logische Urteilsvermögen zu umgehen.
• Abfrage sensibler Daten: Im Allgemeinen ist es nicht erforderlich, bei einem eingehenden Anruf Details wie die vollständige Kreditkartennummer oder einen Geheimcode an die Bank weiterzugeben, da diese Informationen bereits in deren Systemen vorhanden sind.
• Diskrepanz in der SMS: Es ist wichtig, den Inhalt der SMS sorgfältig zu lesen. Wenn der in der Nachricht angegebene Zweck des Codes vom Gesagten im Gespräch abweicht – ist das ein bedeutendes Warnsignal.
• Sprache und Ausdruck: Achten Sie auf sprachliche Fehler, mangelnde Kenntnis fachlicher Begriffe oder ungewöhnliche Hintergrundgeräusche.

Was ist sofort zu tun, wenn Sie Opfer geworden sind?

1. Kontakt abbrechen und Bank anrufen: Sobald ein Verdacht aufkommt, empfiehlt es sich, das Gespräch zu beenden und sich proaktiv an das offizielle Service-Center der Bank zu wenden.
2. Konto und Karten einfrieren: Es ist ratsam, eine sofortige Sperrung der Überweisungsmöglichkeiten sowie die Stornierung der Kreditkarten zu beantragen.
3. Dokumentation: Es wird empfohlen, den Zeitpunkt des Gesprächs, die Nummer, den Inhalt des Gesprächs und Screenshots der SMS-Nachrichten zu dokumentieren.
4. Anzeige bei der Polizei erstatten: Die Erstattung einer Anzeige ist ein wichtiger Schritt im Klärungsprozess gegenüber der Bank.
5. Passwörter ändern: Es wird empfohlen, Passwörter für Finanzdienstleistungen von einem sicheren Gerät aus zu ändern.

Rechtlicher Aspekt: Ihre Arbeitsgrundlage

In Betrugsfällen können rechtliche Möglichkeiten zur Rückgewinnung der Gelder geprüft werden, was jedoch manchmal Beharrlichkeit erfordert. Bei der Prüfung der Umstände muss geklärt werden, ob die Bank die einschlägigen regulatorischen Vorschriften eingehalten hat, wie z. B. Anweisungen zur ordnungsgemäßen Bankführung, und ob ihre Überwachungssysteme angemessen waren. Je außergewöhnlicher die durchgeführte Transaktion im Vergleich zum normalen Aktivitätsprofil war, desto höher sind die Chancen für eine Prüfung der Haftung der Bank.

Denken Sie daran: Das Recht bietet Instrumente für den Umgang mit diesen Situationen. Im Falle eines Betrugs kann geprüft werden, ob bankrechtliche Pflichten verletzt wurden. Wenn die Bank es versäumt hat, Warnsignale zu erkennen, die sie hätte erkennen müssen, kann eine rechtliche Haftung für den entstandenen Schaden begründet sein.