Kapitel 13: Einmalpasswort: Der Schlüssel zu Ihrem Konto

Würde ich Sie auf der Straße nach dem Schlüssel zu Ihrem Haus fragen, würden Sie wahrscheinlich die Polizei rufen oder sich zumindest schnell von mir entfernen. Würde ich Sie am Geldautomaten nach dem PIN-Code Ihrer Kreditkarte fragen, würden Sie mich für verrückt halten. Wir sind von klein auf dazu erzogen worden, unser physisches Eigentum, unsere Schlüssel und unsere Geldbörsen zu schützen. Aber in der digitalen Welt hat sich der Begriff „Schlüssel“ gewandelt. Er besteht nicht mehr aus Metall und befindet sich nicht in Ihrer Tasche. Er besteht aus sechs Ziffern, die Ihnen per SMS zugeschickt werden, und nennt sich OTP – One-Time Password (Einmalpasswort).

In diesem Kapitel beschäftigen wir uns mit dem kritischsten Schwachpunkt in der modernen Sicherheitskette. Das Einmalpasswort ist die letzte Verteidigungslinie. Es ist das Tor, das den Betrüger von Ihrem Geld trennt, das entscheidet, ob ein Bankkonto übernommen oder geschützt wird. Doch paradoxerweise ist es gerade deshalb, weil es der letzte „Wächter“ ist, zum Hauptziel digitaler Verbrecherorganisationen geworden. Im Laufe meiner beruflichen Tätigkeit begegnet mir immer wieder der Satz: „Aber ich habe ihm den Code gegeben. Ich bin schuld, oder? Ich habe keine Chance, mein Geld zurückzubekommen.“

Die Antwort auf diese Frage ist weitaus komplexer, als es auf den ersten Blick scheint. Sie liegt in den Tiefen der Betrugspsychologie und im israelischen Gesetz, das versucht, ein Gleichgewicht zwischen der Verantwortung des Kunden und der Sorgfaltspflicht des Finanzinstituts zu finden. Lassen Sie uns eintauchen.

Das folgende Szenario ist ein Lehrbeispiel, das auf verbreiteten Betrugsmustern basiert. Die Charaktere und Ereignisse dienen lediglich der Veranschaulichung.

Die Geschichte von Erez: Wenn Selbstvertrauen auf einen geschickten Betrüger trifft

Erez (Name geändert) ist nicht die Art von Person, von der man denken würde, dass sie darauf hereinfallen würde. 42 Jahre alt, von Beruf Softwareingenieur, ein Mensch, der Technologie lebt und atmet. Er ist sich des Phishings bewusst, weiß, was „Ende-zu-Ende-Verschlüsselung“ bedeutet, und war immer derjenige, der seine älteren Eltern davor warnte, auf verdächtige Links zu klicken. An einem Dienstag um 18:30 Uhr, während Erez versuchte, zwischen dem Abendessen für die Kinder und der Beantwortung dringender E-Mails zu jonglieren, klingelte sein Telefon.

Auf dem Display erschien der Name: „Bank Leumi – Sicherheitszentrum“. Die Nummer war identisch mit der Nummer auf der Rückseite seiner Kreditkarte (eine Technik, die wir im vorigen Kapitel über das Fälschen von Anrufer-IDs vertieft haben). Erez nahm ab.

„Guten Tag, hier spricht Daniel von der Sicherheitsabteilung der Bank“, sagte eine autoritäre, ruhige Stimme, und im Hintergrund waren die Geräusche eines aktiven Callcenters zu hören – andere klingelnde Telefone, das Murmeln von Mitarbeitern. „Erez, wir erkennen gerade einen ungewöhnlichen Abbuchungsversuch von Ihrem Konto in einer Filiale in Be’er Scheva. Haben Sie eine Überweisung von 8.500 Schekel an jemanden namens ‚Mohammed Ahmed‘ autorisiert?“

Erez' Puls beschleunigte sich. „Was? Auf keinen Fall! Ich bin zu Hause in Haifa, ich habe so etwas nicht autorisiert.“

„Ich verstehe“, antwortete Daniel in beruhigendem Ton. „Keine Sorge, unser System hat die Transaktion vorläufig blockiert, aber um sie endgültig zu stornieren und das Konto vor weiteren Versuchen zu schützen, muss ich eine Verifizierung mit Ihrer App durchführen. Ich sende Ihnen jetzt eine Nachricht von der Bank mit einem temporären Code. Lesen Sie ihn mir vor, damit ich ihn im System eingeben und den unbefugten Zugriff sperren kann.“

Innerhalb von Sekunden vibrierte Erez' Telefon. Eine SMS-Nachricht ging in den normalen Verlauf der Banknachrichten ein. Im Text stand: „Ihr Code für den Kontozugriff lautet 449281. Geben Sie diesen Code an niemanden weiter“. Erez sah die Warnung, aber Daniel war in der Leitung. Daniel war „von der Bank“. Daniel war da, um ihn vor dem Dieb aus Be’er Scheva zu retten.

„Ich habe ihn erhalten“, sagte Erez. „Der Code lautet 44-92-81.“

„Hervorragend, Erez. Ich sehe, dass die Aktion storniert wurde. Nun, um sicherzugehen, verlangt das System eine weitere Bestätigung für die erneute Synchronisierung Ihres Geräts. Ich sende einen weiteren Code.“

Der zweite Code traf ein. Diesmal las Erez die Warnung nicht einmal. Er las einfach die Zahlen vor: „992103“.

„Vielen Dank, Erez. Ihr Konto ist jetzt geschützt. Ein Vertreter der Filiale wird Sie morgen früh anrufen, um eine neue Karte auszustellen. Einen schönen Abend noch.“ Das Gespräch wurde beendet.

Erez ging wieder dazu über, Omeletts zuzubereiten. Er fühlte sich erleichtert. Ein Glück, dass die Bank aufmerksam ist, dachte er sich. Erst eine Stunde später, als er sich in die App einloggte, um zu prüfen, ob sein Kontostand aktualisiert wurde, entdeckte er die bittere Wahrheit. Das Konto war nicht geschützt. Im Gegenteil. Es war geleert. Zwei „Gold“-Überweisungen (RTGS) über jeweils 50.000 Schekel waren nur Minuten nach dem Anruf von seinem Konto getätigt worden. Zusätzlich wurde ein neuer Dauerauftrag eingerichtet und Einkäufe im Ausland wurden getätigt.

Was Erez nicht wusste, war, dass während er mit „Daniel“ sprach, der Betrüger vor dem Computer saß. Der erste Code, den Erez gab, war der Code, der es dem Betrüger ermöglichte, von einem neuen Gerät auf sein Konto zuzugreifen. Der zweite Code war die Bestätigung für die massiven Geldüberweisungen. „Daniel“ war nicht von der Bank; er war der Dieb höchstpersönlich.

Die Anatomie des Betrugs: Was passiert wirklich hinter den Kulissen?

Um zu verstehen, warum das Einmalpasswort ein so mächtiges Werkzeug für Betrüger ist, müssen wir das moderne Bankensystem verstehen. Die Banken sind auf eine „Zwei-Faktor-Authentifizierung“ (2FA) umgestiegen. Die Idee ist einfach: Um eine sensible Aktion durchzuführen, reicht es nicht aus, etwas zu wissen (Passwort), man muss auch etwas besitzen (Ihr Mobiltelefon).

Die Betrüger haben verstanden, dass sie nicht die Server der Bank hacken müssen – eine nahezu unmögliche Aufgabe. Sie müssen den schwächsten „Server“ im System hacken: das menschliche Gehirn. Das ist Social Engineering in seiner besten Form. Das Einmalpasswort ist die letzte Barriere, und sie erlangen es, indem sie ein Gefühl von Dringlichkeit und Angst erzeugen.

Als Erez den Code vorlas, führte er im Grunde einen rechtlichen und technischen Akt der „Bestätigung“ durch. Aus Sicht der Computersysteme der Bank wurde die Aktion vom Kunden selbst durchgeführt, da der Code an sein authentifiziertes Gerät gesendet und korrekt eingegeben wurde. Dies ist der Grund, warum Banken in solchen Fällen dazu neigen, die Verantwortung abzulehnen. Sie behaupten, es handele sich um Fahrlässigkeit des Kunden.

Aber ist es so einfach? Lässt die Tatsache, dass Erez den Code weitergegeben hat, seine Chance, sein Geld zurückzubekommen, endgültig verstreichen? Hier kommt die Komplexität der juristischen Analyse ins Spiel.

Das juristische Schlachtfeld: Gesetz über Zahlungsdienste und die dünne Grenze zur „groben Fahrlässigkeit“

In Israel ist der primäre rechtliche Rahmen, der die Beziehungen zwischen Kunde und Bank in Betrugsfällen regelt, das Gesetz über Zahlungsdienste, 2019. Dieses Gesetz ersetzte das alte Kreditkartengesetz und weitete die Schutzmaßnahmen für Verbraucher im digitalen Zeitalter aus.

Artikel 14 des Gesetzes befasst sich mit „nicht autorisierten Zahlungsvorgängen“. Die Grundregel besagt, dass, wenn eine Aktion auf einem Konto ohne Zustimmung des Kunden durchgeführt wurde, die Bank (oder das Kreditkartenunternehmen) dazu verpflichtet sein kann, ihm sein Geld zurückzuerstatten. Es gibt jedoch eine bedeutende Ausnahme: Wenn der Kunde „grob fahrlässig“ (Gross Negligence) gehandelt hat, kann die Bank von der Rückerstattung befreit sein, oder zumindest von einem Teil davon.

Hier beginnt die rechtliche Prüfung. Vertreter von Finanzinstituten könnten argumentieren, dass die Weitergabe eines OTP-Codes per Definition „grobe Fahrlässigkeit“ darstellt, aufgrund der Warnung, die in der Nachricht erscheint.

Eine juristische Analyse der gängigen Trends zeigt jedoch, dass „grobe Fahrlässigkeit“ ein relativer Begriff ist. Es ist üblich, die Gesamtheit der Umstände zu prüfen:

• Die Raffinesse des Betrugs: Nutzte der Betrüger vorab erlangte persönliche Informationen über den Kunden, um dessen Vertrauen zu gewinnen?
• Fälschung der Telefonnummer: Wenn der Anruf als Anruf von einer offiziellen Quelle erscheint, kann sich der Kunde in einer Situation optischer Täuschung befinden, die die Identifizierung des Betrugs erschwert.
• Der Zustand des Kunden: Beeinflussten die Umstände während des Gesprächs die Urteilsfähigkeit des Kunden?
• Die Überwachungspflicht der Bank: Dies ist ein Schlüsselpunkt. Das Finanzinstitut ist verpflichtet, Systeme zur Überwachung ungewöhnlicher Aktivitäten zu betreiben. Eine rechtliche Prüfung wird untersuchen, ob die Warnsysteme ordnungsgemäß funktionierten und ob die Aktion hätte rechtzeitig gestoppt werden können.

In vielen Fällen kann man die Behauptung prüfen, dass selbst wenn der Kunde fahrlässig handelte, eine gewisse Verantwortung auch beim Finanzinstitut liegt, falls es ungewöhnliche Aktivitäten nicht erkannt hat. Die rechtliche Verantwortung kann je nach den Umständen des Falls zwischen den Parteien aufgeteilt werden.

Jenseits des Codes: Wie man eine psychologische und rechtliche Schutzmauer baut

Das Einmalpasswort ist nur das Symptom. Das Problem ist die Fähigkeit der Betrüger, eine „alternative Realität“ aufzubauen, in der die Weitergabe des Codes wie die einzig logische Handlung erscheint. Als Faustregel gilt: Denken Sie daran, dass ein Finanzinstitut niemals proaktiv in einem Telefonat einen per SMS gesandten Code zur Stornierung einer Transaktion oder zur Sicherung eines Kontos anfordern sollte.

Ein OTP-Code ist für die Durchführung von Aktionen gedacht. Die Weitergabe des Codes an Dritte kann es diesen ermöglichen, Aktionen in Ihrem Namen durchzuführen.

Was tun, wenn der Druck im Gespräch immens ist? Die empfohlene professionelle Antwort ist der Abbruch des Kontakts. Man kann das Gespräch beenden und sich proaktiv an die offizielle Nummer des Finanzinstituts wenden, um den Kontostatus zu klären.

Rechtlich gesehen ist die Dokumentation entscheidend. Bei Verdacht auf Betrug empfiehlt es sich, die Uhrzeit des Anrufs, die Telefonnummer, den Wortlaut der SMS-Nachricht und jedes andere Detail zu dokumentieren. Diese Details können als Werkzeuge bei der juristischen Prüfung des Falls und bei dem Versuch dienen, die Gelder zurückzuerhalten.

Der Torwächter, der zum Trojanischen Pferd wurde

Die Technologie, die uns schützen sollte, kann manchmal als Waffe in den Händen von Betrügern dienen, die einen „Soft Hack“ über den Benutzer durchführen. Es gibt komplexere Techniken der Übernahme von Kommunikationsmitteln, auf die wir später noch eingehen werden.

Wichtig zu merken: Der juristische Kampf in solchen Fällen erfordert ein tiefes Verständnis. Finanzinstitute sind durch umfangreiche Rechtsberatung abgesichert und neigen dazu, die Verantwortung beim Kunden zu suchen. Eine professionelle Prüfung wird versuchen, die Komplexität der Darstellung, die dem Opfer präsentiert wurde, und das Niveau der Raffinesse des feindlichen Akteurs aufzuzeigen.

Die moderne juristische Analyse erkennt an, dass Phänomene des Telefonbetrugs verbreitet sind, und es muss geprüft werden, ob man von einem Bürger erwarten kann, jeden versuchten raffinierten Betrug in jedem gegebenen Moment zu erkennen. Manchmal wird die institutionelle Verantwortung neben der persönlichen Verantwortung geprüft.

Warnsignale (Red Flags)

• Übermäßige Dringlichkeit: Erzeugung von Druck zu sofortigem Handeln mit dem Argument, das Geld sei in Gefahr.
• Anforderung eines Codes zur Stornierung einer Aktion: Bitte um Erhalt eines OTP-Codes zwecks Stornierung einer Transaktion oder Sicherung eines Kontos.
• Proaktives Gespräch zu ungewöhnlichen Zeiten: Versuche zur Bestätigung von Aktionen am Telefon zu Zeiten, in denen die normalen Callcenter nicht vollständig aktiv sind.
• Unfähigkeit des Vertreters, Identifizierungsdaten anzugeben: Schwierigkeit des Anrufers, Informationen bereitzustellen, die nur die Bank wissen sollte.
• Sprache und Syntax: Rechtschreibfehler oder ungewöhnliche Wortwahl in den SMS-Nachrichten des Finanzinstituts.

Was ist sofort zu tun (Action Plan)

1. Auflegen und Verifizieren: Beenden des Gesprächs und proaktive Kontaktaufnahme mit dem offiziellen Kundendienst der Bank.
2. Dokumentation: Screenshot von Nachrichten, Notieren von Telefonnummern und Namen, wie sie präsentiert wurden.
3. Sperren: Falls ein Code mitgeteilt wurde, wird empfohlen, Passwörter zu ändern oder Karten sofort einzufrieren.
4. Meldung an die Bank: Meldung an die Sicherheitszentrale des Finanzinstituts und Dokumentation der Fallnummer.
5. Erstattung einer Polizeianzeige: Ein notwendiger Schritt zur Klärung der Fakten und Forderung einer möglichen Rückerstattung.
6. Rechtsberatung: Es können Möglichkeiten zur Rückgewinnung von Geldern durch Beratung mit einem Fachmann auf diesem Gebiet geprüft werden, um festzustellen, ob die erforderliche Sorgfaltspflicht seitens der Bank erfüllt wurde.

Rechtlicher Aspekt: Zusammenfassung der Verantwortung

Bei der Prüfung eines Falls von Einmalpasswort-Betrug wird sich die juristische Analyse auf die Untersuchung der Verantwortung jeder Partei konzentrieren. Gemäß dem Gesetz über Zahlungsdienste liegt die Beweislast für grobe Fahrlässigkeit beim Finanzinstitut. Dies ist eine erhebliche rechtliche Belastung.

Im Laufe meiner beruflichen Tätigkeit ist es üblich, jeden Fall einzeln zu analysieren: Waren die Warnungen klar? Haben die technologischen Systeme die Aktivität als ungewöhnlich identifiziert? Gibt es Indikatoren für Fehler im Schutzsystem des Finanzinstituts?

Denken Sie daran: Die Weitergabe eines Codes ist zwar ein Fehler, aber unter bestimmten Umständen kann geprüft werden, ob dies einer „großen Fahrlässigkeit“ gleichkommt, die Ihre Rechte ausschließt. Das Finanzsystem basiert auf Vertrauen, und unter möglichen Umständen, nach Prüfung der Beweise, können die Parteien zu Vereinbarungen oder Arrangements bezüglich der Rückerstattung von Geldern gelangen. Die Chance hängt von den spezifischen Umständen jedes Falls ab.

Im nächsten Kapitel werden wir uns mit einem der komplexesten Werkzeuge im Arsenal des digitalen Betrügers befassen: der Fernübernahme von Endgeräten.