Kapitel 12: Caller ID Spoofing: Die Nummer, die echt aussieht

Wir leben in einem Zeitalter, in dem unsere Augen die Hauptpforte für Vertrauen sind. Wenn wir das Logo der Bank in der App sehen, vertrauen wir ihr. Wenn wir eine SMS erhalten, die im offiziellen Nachrichtenverlauf des Kreditkartenherausgebers erscheint, gehen wir davon aus, dass sie authentisch ist. Aber die raffinierteste Falle, die selbst die Skeptischsten unter uns zum Stolpern bringt, befindet sich auf unserem Telefondisplay, in dem Moment, in dem das Gerät zu vibrieren beginnt. Auf dem Display erscheint eine bekannte Nummer. Manchmal ist es die genaue Nummer unserer Bankfiliale, manchmal die nationale Zentrale des Kundendienstes. Der Name „Bank Leumi“, „Bank Hapoalim“ oder „Mizrachi Tefahot“ leuchtet in großen Buchstaben auf.

In diesem Stadium macht unser Gehirn eine gefährliche kognitive Abkürzung. Es sagt uns: „Wenn die Nummer stimmt, dann ist die Person am anderen Ende auch die, die sie vorgibt zu sein.“ Dies ist die Essenz der Spoofing-Technologie (Fälschung der Anrufer-ID), und dies ist das mächtigste Werkzeug im Arsenal des modernen Betrügers. In diesem Kapitel werden wir analysieren, wie diese Technologie den Verbrauchern den Boden unter den Füßen wegzieht und wie das Rechts- und Bankensystem mit der Realität umgeht, in der die digitale Realität eine völlige Lüge ist.

Das folgende Szenario ist ein lehrreiches Beispiel, das auf verbreiteten Betrugsmustern basiert. Die Figuren und Ereignisse dienen lediglich der Veranschaulichung.

Miriam (Pseudonym), eine Lehrerin im Ruhestand aus Haifa, betrachtete sich nie als „leichtes Opfer“. Sie benutzt Apps, führt Online-Käufe auf gesicherten Websites durch, und sogar ihre Enkel konsultieren sie manchmal in grundlegenden Technikfragen. An jenem Dienstag, um 16:00 Uhr, saß Miriam auf der Veranda mit einer Tasse Tee, als ihr Mobiltelefon klingelte. Auf dem Display erschien eine Nummer, die dem Sicherheitszentrum der Bank zugeordnet war.

„Hallo, Miriam am Apparat“, antwortete sie höflich.

„Guten Tag Miriam, hier spricht Daniel von der Sicherheits- und Betrugsabteilung der Bank“, antwortete eine männliche, autoritäre und erstaunlich ruhige Stimme. „Es tut mir leid, Sie zu stören, aber unser System hat gerade einen ungewöhnlichen Auszahlungsversuch von Ihrem Konto in der Filiale in Haifa erkannt. Haben Sie in den letzten Minuten eine Überweisung über 12.000 NIS getätigt?“

Miriams Herz setzte einen Schlag aus. „Was? Absolut nicht! Ich bin zu Hause, ich habe mein Konto nicht angerührt.“

„Das hatte ich befürchtet“, antwortete Daniel mit einem professionellen Seufzer. „Es scheint, als gäbe es gerade einen aktiven Hackerangriff auf Ihr Konto über eine App, die auf einem anderen Gerät installiert wurde. Keine Sorge, Miriam, ich bin bei Ihnen. Wir werden den Zugriff blockieren und das Geld auf ein vorübergehendes Sicherheitskonto überweisen, bis wir Ihnen neue Codes ausstellen. Sie sehen die Nummer, von der ich anrufe, richtig? Identifizieren Sie sie als das Servicecenter der Bank?“

Miriam blickte erneut auf das Display. Die Nummer sah völlig korrekt aus. „Ja, ich sehe sie. Das ist Ihre Nummer.“

In diesem Moment brachen Miriams letzte Verteidigungslinien zusammen. Sie wusste nicht, dass Daniel nicht in einem klimatisierten Büro saß, sondern Technologie verwendete, die es ihm ermöglichte, jede beliebige Nummer als „Anrufer-ID“ einzugeben. Für Miriam war die Nummer auf dem Display ein ausreichender Beweis. Während der nächsten halben Stunde wies Daniel sie an, ihr Geld zu „sichern“. Er bat sie, ihm Codes vorzulesen, die sie per SMS erhalten hatte – Codes, die eigentlich die Schlüssel zur Bestätigung von Banküberweisungen in Echtzeit waren. Miriam, im Glauben, ihre Ersparnisse zu retten, las die Zahlen nacheinander vor.

Als das Gespräch endete, versicherte er ihr, dass „alles unter Kontrolle“ sei und dass ein Vertreter sie morgen früh zurückrufen würde. Miriam atmete erleichtert auf. Erst eine Stunde später, als sie versuchte, sich in das Konto einzuloggen, um sicherzustellen, dass alles in Ordnung war, und feststellte, dass sie gesperrt war, begann sie zu begreifen, dass etwas nicht stimmte. Sie rief die Nummer an, die auf dem Display erschien – die echte Nummer der Bank – und dort teilte ihr die echte Vertreterin die bittere Nachricht mit: „Frau Miriam, wir haben Sie heute nicht angerufen. Ihr Konto wurde geleert.“

Die Anatomie der Illusion: Wie funktioniert Spoofing?

Um die Komplexität des Themas zu verstehen, müssen wir zunächst die Technologie verstehen. Früher waren Telefonnetze geschlossen und sicher. Wenn eine Telefonnummer von Vermittlungsstelle zu Vermittlungsstelle übertragen wurde, unterlag sie der Kontrolle der großen Kommunikationsanbieter. Heute, mit dem Übergang zur VoIP-Technologie (Voice over IP) – Anrufe, die über das Internet übertragen werden – haben sich die Regeln geändert. Das Kommunikationsprotokoll ermöglicht es dem Anrufer, die „ID“ des Anrufers manuell festzulegen. Dies ist ein Datenfeld, das einfach bearbeitet werden kann.

Das Hauptproblem ist, dass unsere Smartphones so programmiert sind, dass sie diesem Datenfeld vertrauen. Wenn der Datensatz, der aus dem Netzwerk kommt, eine Telefonnummer ist, die sich in unserer Kontaktliste befindet oder die in der Datenbank einem bekannten Unternehmen zugeordnet ist, zeigt das Telefon den expliziten Namen des Unternehmens an. Der Betrüger muss nicht in die Vermittlungsstelle der Bank einbrechen; er sendet einfach einen falschen Datensatz an das Netzwerk.

Rechtlich gesehen beginnt hier das große Drama. Banken könnten argumentieren, dass sie nicht dafür verantwortlich sind, dass ein Dritter ihre Nummer gefälscht hat, da es sich um eine Lücke in der Telefonietechnologie handelt. Demgegenüber steht der Kunde hilflos den Informationen gegenüber, die ihm auf dem Gerät angezeigt wurden. Die Frage der Haftung im Falle einer Nummern-Fälschung ist eines der komplexesten beruflichen Themen im heutigen Bankrecht.

Der Rechtsstreit: Die Verantwortung zwischen Kunde und Bank

Wenn ein solcher Fall rechtlich geprüft wird, ist die erste Frage, die sich stellt, ob es sich um eine „nicht autorisierte Zahlungstransaktion“ im Sinne des Zahlungsdienstleistungsgesetzes (2019) handelt. Laut Gesetz kann bei einer Transaktion auf dem Konto ohne Zustimmung des Kunden die Pflicht der Bank geprüft werden, ihm das Geld zu erstatten, es sei denn, es wurde „grobe Fahrlässigkeit“ nachgewiesen.

Finanzinstitute könnten argumentieren, dass die Weitergabe eines Einmalpassworts (OTP) an einen Fremden grobe Fahrlässigkeit darstellt. Der Fall des Spoofings ändert jedoch die Gleichung der Fahrlässigkeit. Kann die Tatsache, dass eine Person der offiziellen Telefonnummer ihrer Bank vertraut hat, als „grobe Fahrlässigkeit“ definiert werden? In einer professionellen rechtlichen Analyse besteht das Verständnis, dass eine ausgeklügelte technologische Täuschung das Verschuldensniveau des Kunden verringern kann.

Bei der Prüfung der Haftung der Bank müssen wir mehrere Parameter untersuchen:

• Sorgfalts- und Überwachungspflicht: Hat das System ein ungewöhnliches Handlungsmuster erkannt? Wenn ein Kunde, der normalerweise keine hohen Überweisungen tätigt, plötzlich eine Reihe von Überweisungen an neue Konten vornimmt, kann geprüft werden, ob das Bankensystem die Aktivität hätte stoppen müssen.
• Gefahrenbewusstsein: War sich die Bank bewusst, dass Spoofing-Betrügereien unter Verwendung ihrer Telefonnummer stattfinden, und hat sie keine ausreichenden Vorsichts- oder Warnmaßnahmen ergriffen?
• Darstellung der Informationen in der SMS: Das Zahlungsdienstleistungsgesetz legt Anforderungen an die Klarheit von Bestätigungsnachrichten fest. Wenn die Nachricht vage ist und nicht verdeutlicht, dass es sich um eine Bestätigung einer Geldüberweisung handelt, kann argumentiert werden, dass der Kunde zu der Annahme verleitet wurde, es handele sich um eine Sicherheitsmaßnahme.

Risse in der Schutzmauer der Bank

Im Laufe der Jahre wurden während der beruflichen Tätigkeit von Rechtsanwalt Zion Behalul Fälle beobachtet, in denen eine Lücke zwischen der technologischen Kapazität des Finanzinstituts und dem tatsächlichen Schutz des „menschlichen Faktors“ besteht. Die Betrüger investieren in hohem Maße in „Social Engineering“, indem sie den Ruf der Institution ausnutzen.

Rechtlich gesehen kann das Argument geprüft werden, dass Banken eine erhöhte Pflicht haben, ihre Kunden vor dem Identitätsdiebstahl ihrer offiziellen Nummern zu schützen, beispielsweise durch die Nutzung fortschrittlicher Anrufer-Verifizierungstechnologien. Die Treuepflicht der Bank gegenüber dem Kunden ist ein Grundprinzip, und es kann analysiert werden, ob eine Bank, die es einer dritten Partei erlaubt, ihre digitale Identität zu nutzen, für die entstandenen Schäden haftet.

Der Knackpunkt: Der persönliche Aspekt der Geschädigten

Viele Geschädigte beschreiben, dass der schmerzhafteste Teil nicht nur der Verlust des Geldes ist, sondern das Gefühl des Vertrauensverlusts. Wenn eine Person die Banknummer auf dem Display sieht, geht sie davon aus, dass die für ihr Geld verantwortliche Institution sie zu ihrem eigenen Schutz kontaktiert. Dieser Vertrauensverlust ist ein bedeutender Schaden, der die Betroffenen lange begleitet.

Bei der Prüfung ähnlicher Fälle stellt sich manchmal heraus, dass die Betrüger über zusätzliche persönliche Informationen über das Opfer verfügen, was die Glaubwürdigkeit der falschen Darstellung stärkt. Wenn man Spoofing mit echten persönlichen Informationen kombiniert, entsteht eine äußerst komplexe Falle, die ohne vorheriges Bewusstsein schwer zu erkennen ist.

Rechtliche Analyse: Gibt es einen Anspruch auf Klage?

Wenn man die Möglichkeit zur Einleitung rechtlicher Schritte im Falle einer gefälschten Anrufernummer prüft, muss das vollständige sachliche Bild untersucht werden. Die rechtlichen Erfolgsaussichten hängen von den Umständen ab, aber dies sind die Meilensteine für die Analyse des Falls:

1. Test des „vernünftigen Menschen“ unter den gegebenen Umständen: Wäre von einer vernünftigen Person zu erwarten gewesen, dass sie bei einem Anruf von der offiziellen Nummer ihrer Bank misstrauisch wird? In vielen Fällen tiefgreifender Täuschung funktionieren die normalen Kontrollmechanismen möglicherweise nicht.

2. Verletzung der Offenlegungs- und Warnpflicht: Hat das Finanzinstitut aktive und klare Schritte unternommen, um vor dieser spezifischen Spoofing-Methode zu warnen?

3. Versagen der Überwachungssysteme (Anti-Fraud): Prüfung, ob die Systeme ungewöhnliche Aktivitäten ohne zusätzliche Verifizierung zugelassen haben, was einen Grund für den Vorwurf der Fahrlässigkeit darstellen könnte.

4. Zahlungsdienstleistungsgesetz - Haftungsverteilung: Das Gesetz legt die Haftungsverteilung zwischen Kunde und Bank fest. Die Rechtsprechung könnte die Herausgabe eines Codes unter den Umständen einer raffinierten Identitätstäuschung als eine Fahrlässigkeit auslegen, die nicht „grob“ ist, was einen erheblichen Teil der Verantwortung auf die Bank übertragen könnte.

Warnsignale: Wie erkennt man, dass es sich um Spoofing handelt?

Obwohl die Nummer echt aussieht, wurden im Laufe der Jahre Muster identifiziert, die auf Betrug hindeuten können:

• Dringlichkeit und Druck: Erzeugung eines Notfallgefühls, das zu schnellem Handeln ohne Nachdenken anregt.
• Bitte um den Geheimcode: Finanzinstitute bitten Kunden normalerweise nicht darum, einen per SMS erhaltenen Code vorzulesen. Der Code ist nur zur persönlichen Eingabe bestimmt.
• Überweisung auf ein „sicheres Konto“: Der Vorschlag, Gelder zum „Schutz“ auf ein anderes Konto zu überweisen, ist ein eindeutiges Warnsignal.
• Verwendung ungewöhnlicher Terminologie: Verwendung von Sprache oder Ausdrücken, die in der Welt des Bankwesens nicht üblich sind.

Was ist sofort zu tun, wenn der Verdacht besteht, ein Opfer geworden zu sein?

Zeit ist ein kritischer Faktor. Die folgenden Möglichkeiten für schnelles Handeln können geprüft werden:

1. Auflegen und Verifizieren: Bei Verdacht sollte das Gespräch beendet und ein unabhängiger Kontakt zur Bank über offizielle und bekannte Kanäle initiiert werden.
2. Sofortige Meldung: Kontaktaufnahme mit den Betrugsstellen der Bank und des Kreditkartenherausgebers, um die Möglichkeit einer Sperrung von Transaktionen zu prüfen.
3. Dokumentation: Führen eines Protokolls der Anrufe, SMS-Nachrichten und aller anderen relevanten Informationen.
4. Meldung an die Behörden: Erstattung einer Anzeige bei der Polizei als Teil der Dokumentation des Ereignisses.
5. Prüfung rechtlicher Möglichkeiten: Es wird empfohlen, die Umstände des Falls anhand der gesetzlichen Bestimmungen und der aktuellen Rechtsprechung zu prüfen.

Rechtlicher Aspekt: Zusammenfassung der Bankhaftung

Das Rechtssystem prüft jeden Fall individuell, mit einem Trend zum Schutz des Verbrauchers als schwächerer Partei in der Transaktion. In Fällen von Spoofing kann analysiert werden, ob das Finanzinstitut ausreichende Werkzeuge zum Schutz vor der Vortäuschung seiner eigenen Identität bereitgestellt hat.

Während der Jahre seiner beruflichen Tätigkeit von Rechtsanwalt Zion Behalul wurden Fälle beobachtet, in denen eine sorgfältige Prüfung der Überwachungssysteme und des Aktivitätsprofils des Kunden zu dem Schluss führte, dass der Schaden hätte verhindert werden können. In einem möglichen Szenario, nach Prüfung der Beweise und Durchführung eines Gerichtsverfahrens, könnten die Parteien zu einem Vergleich kommen, der einen Teil der Gelder erstattet, je nach den Umständen des Falls.

Denken Sie daran: Die Nummer auf dem Display ist ein digitaler Datensatz, der manipuliert werden kann. In der heutigen Zeit empfiehlt es sich, nur Anrufen zu vertrauen, die Sie selbst über gesicherte Kanäle initiiert haben. Das Bewusstsein für die Handlungsmuster ist das zentrale Werkzeug, um nicht in diese Fallen zu tappen.