Kapitel 20: Gefälschte SMS: Die Nachricht, die die Tür öffnet

Wir tragen unser Leben in einem kleinen Stück Glas und Metall, das nicht mehr als zweihundert Gramm wiegt. Unser Smartphone ist unser Safe, unser Fotoalbum, unser Terminkalender und unser Portemonnaie. Und wie jeder Safe hat es einen Schwachpunkt. Er liegt nicht in der Verschlüsselung von Apple oder auf den Servern von Google; er liegt in unserer Handfläche. In der Welt der Informationssicherheit gilt die SMS (oder Smishing – eine Kombination aus SMS und Phishing) als eines der effektivsten trojanischen Pferde, die je erschaffen wurden. Es ist einfach, es ist billig und es nutzt den grundlegendsten menschlichen Instinkt aus: die unmittelbare Reaktion auf das "Ding"-Geräusch, das eine neue Nachricht ankündigt.

Während E-Mail von den meisten von uns als lauter Raum wahrgenommen wird, voller Werbung und Spam, der einen strengen Filter erfordert, genießt die SMS immer noch eine Aura von Dringlichkeit und Vertrauenswürdigkeit. Wenn wir eine Textnachricht erhalten, neigen wir dazu anzunehmen, dass sie persönlich an uns gerichtet ist. Es könnte sich um einen Verifizierungscode der Bank handeln, eine Aktualisierung des Lieferdienstes oder eine Nachricht aus dem Kindergarten der Kinder. Dieses Vertrauen ist genau die Tür, die die Betrüger öffnen wollen. In diesem Kapitel analysieren wir, wie eine kurze Textnachricht, manchmal weniger als zehn Wörter lang, alle Abwehrmechanismen eines vernünftigen Menschen umgehen und zu einer finanziellen und psychischen Schädigung führen kann.

Die Anatomie des Betrugs: Die Geschichte von Erez

Das folgende Szenario ist ein lehrreiches Beispiel, das auf gängigen Betrugsmustern basiert. Die Charaktere und Ereignisse dienen nur der Veranschaulichung.

Erez, ein 45-jähriger Buchhalter aus Raanana, gilt als vorsichtiger Mensch. Er hat nie seine Kreditkartendaten am Telefon preisgegeben, er wechselt alle sechs Monate seine Passwörter und er ist derjenige, der für die ganze Familie die Antivirensoftware installiert. Doch an einem Dienstag um sieben Uhr abends, als er gleichzeitig versuchte, für drei hungrige Kinder das Abendessen zuzubereiten und E-Mails aus dem Büro zu beantworten, vibrierte sein Telefon auf der Arbeitsplatte.

Der Absender erschien oben auf dem Display als "Bank_Security". Keine Telefonnummer, sondern ein offizieller Name. Die Nachricht war kurz und prägnant: "Ein verdächtiger Zugriff auf Ihr Konto von einem unbekannten Gerät in der Region Georgien wurde festgestellt. Wenn Sie dies nicht waren, müssen Sie sofort auf den folgenden Link klicken, um das Konto zu sichern und eine Sperrung zu verhindern." Unter dem Text erschien ein verkürzter Link: https://bit.ly/bank-protect-il.

"Verdammt", murmelte Erez. Sein Puls stieg sofort an. Sein logisches Gehirn, das Bilanzen von Unternehmen analysiert, wurde zugunsten des Überlebensgehirns beiseitegeschoben. Er dachte nicht daran, dass die Bank niemals verkürzte Links versendet. Er hielt nicht inne, um zu fragen, warum eine Nachricht von seiner Bank von einem Absender kommt, dessen Name auf Englisch ist. Er sah nur die Wörter "verdächtiger Zugriff" und "Sperrung".

Erez klickte auf den Link. Der Browser im Telefon öffnete sich und zeigte eine Seite, die genau – aber wirklich genau – wie die Anmeldeseite seiner Bank aussah. Dieselben Farben, dasselbe Logo, dieselben beruhigenden Worte über "sicheres Surfen". Er gab seinen Benutzernamen und sein Passwort ein. Sofort danach erschien eine Nachricht auf dem Bildschirm: "Zur endgültigen Verifizierung wird Ihnen jetzt ein Code per SMS gesendet. Bitte geben Sie ihn hier ein."

Sekunden später kam eine weitere Nachricht. "Ihr Code zur Durchführung des Vorgangs lautet 882931. Geben Sie diesen Code an niemanden weiter." Erez, der sicher war, dass er sich in einem Sicherheitsprozess befand, gab den Code auf der Website ein. Der Bildschirm lud einige Sekunden lang und zeigte dann eine beruhigende Nachricht: "Ihr Konto wurde erfolgreich gesichert. Vielen Dank, dass Sie unsere Dienste nutzen."

Erez atmete erleichtert auf und schnitt weiter Salat. Erst eine halbe Stunde später, als er sich in die App der Bank einloggte (diesmal über die offizielle App und nicht über den Link), entdeckte er die bittere Wahrheit. Sein Konto war nicht gesichert. Während er den Code eingab, benutzten die Betrüger ihn, um einen "neuen Begünstigten" für Geldüberweisungen festzulegen. Ein erheblicher Geldbetrag war vom Konto verschwunden. Das Geld wurde auf ein anderes Konto überwiesen und von dort innerhalb von Minuten abgehoben.

In diesem Moment fühlte sich Erez' Küche an, als würde sie sich drehen. Das Gefühl des Selbstverrats war schwerer als der Verlust des Geldes. "Wie konnte ich nur so dumm sein?", fragte er sich immer wieder. Die Antwort ist, dass Erez einfach unter Druck handelte und Opfer einer präzisen Social-Engineering-Attacke wurde.

Die Psychologie hinter dem "Klick": Warum funktioniert das?

Um zu verstehen, warum die gefälschte SMS ein solch tödliches Werkzeug ist, müssen wir die Technologie und die Psychologie verstehen, die darin ineinandergreifen. Im Gegensatz zu komplexen Cyberangriffen, die Server hacken, findet der "Einbruch" hier im Bewusstsein des Benutzers statt.

1. Fälschung der Identität des Absenders (Sender ID Spoofing)

Einer der Gründe, warum man auf den Betrug hereinfallen kann, ist die Tatsache, dass der Absender mit einem offiziellen Namen erscheint. Die SMS-Technologie ermöglicht es Absendern, eine "alphanumerische Kennung" festzulegen. Dies ist ein legitimes Werkzeug, das von Unternehmen verwendet wird, aber Betrüger nutzen diese Dienste, um sich als Banken, offizielle Stellen oder Regierungsbehörden auszugeben. Wenn die Nachricht in einen bestehenden, echten Nachrichtenverlauf eingebettet wird, steigt der Grad der Glaubwürdigkeit.

2. Dringlichkeit und Angst als Manipulation

Phishing-Nachrichten zielen darauf ab, durch Wörter, die einen unmittelbaren Drang auslösen, wie "Konto gesperrt" oder "dringende Schuld", zu schnellem Handeln zu bewegen. Wenn Druck ausgeübt wird, kann der Teil des Gehirns, der für kritisches Denken verantwortlich ist, geschwächt werden, und der Drang, sofort zu handeln, nimmt zu.

3. Der kleine Bildschirm als Verbündeter des Betrügers

Auf einem Telefonbildschirm ist es viel schwieriger, Fälschungen zu erkennen. Die Links sind klein, die Adresszeile im Browser ist oft versteckt oder verkürzt, und das minimalistische Interface des Smartphones dient manchmal den Zwecken der Betrüger.

Zwischen menschlicher Schwäche und institutioneller Verantwortung: Rechtliche Aspekte

Wenn sich ein Kunde mit der Bitte an die Bank wendet, die Rückerstattung seines Geldes zu prüfen, kann er auf das Argument stoßen, dass die Weitergabe des Codes eine grobe Fahrlässigkeit darstellt, die die Bank von der Verantwortung befreit. Die rechtliche Analyse dieser Fälle ist jedoch komplexer.

Der rechtliche Ausgangspunkt in Israel ist das Zahlungsdienstleistungsgesetz, 2019. Dieses Gesetz soll die Haftung bei der Verwendung von Zahlungsmitteln regeln. Artikel 26 des Gesetzes legt die Haftung des Kunden und des Zahlungsdienstleisters im Falle einer "unautorisierten Transaktion" fest.

Ist dies eine "unautorisierte Transaktion" oder "Betrug"?

Dies ist ein zentrales rechtliches Thema. Es lässt sich untersuchen, ob bei Fällen von gefälschten SMS der Grad der Raffinesse des Betrugs so hoch ist, dass der freie Wille des Kunden aufgehoben wird, und somit die Definition der Handlung als "missbräuchliche Verwendung" beeinflusst wird.

In einer rechtlichen Analyse solcher Fälle werden mehrere Schlüsselfragen geprüft:

• Test des vernünftigen Menschen: War die SMS überzeugend genug, um eine Durchschnittsperson in die Irre zu führen? Wenn die Nachricht über einen Kommunikationskanal kam, der als offiziell erscheint, kann der Grad der Verantwortung des Finanzinstituts beim Schutz seiner Kanäle geprüft werden.
• Betrugserkennungssysteme: Hat das System ein ungewöhnliches Verhalten erkannt? Es kann geprüft werden, ob ein Vorgang, der sich wesentlich von den üblichen Verhaltensmustern des Kunden unterscheidet, ein "rotes Licht" in den Systemen der Bank hätte auslösen müssen.
• Sorgfaltspflicht: Die Bank hat eine Treuepflicht gegenüber ihren Kunden. In einer sich verändernden technologischen Realität kann geprüft werden, ob die Finanzinstitute einen Teil der Risiken tragen sollten, die mit der Nutzung digitaler Mittel verbunden sind.

Die Frage der groben Fahrlässigkeit

Das Gesetz legt fest, dass sich die Haftung des Kunden ändern kann, wenn er unter Umständen "grober Fahrlässigkeit" gehandelt hat. Es ist wichtig anzumerken, dass gewöhnliche Fahrlässigkeit nicht unbedingt ausreicht, um das Finanzinstitut von der Verantwortung zu befreien. Die rechtliche Analyse prüft, ob das Verhalten extrem war oder ob es sich um einen menschlichen Fehler unter täuschenden Umständen handelt.

Prüfung der Möglichkeiten zur Rückerstattung von Geldern

In einem Szenario, in dem ein Kunde feststellt, dass er Opfer eines Betrugs geworden ist, ist die Rückerstattung des Geldes nicht garantiert und kein automatischer Prozess. Sie erfordert eine sorgfältige Prüfung der Umstände des Falls. Finanzinstitute könnten Schwierigkeiten bereiten, aber es gibt rechtliche und regulatorische Instrumente, deren Anwendung geprüft werden kann.

Im Falle einer gefälschten SMS ist die Zeitspanne ein wesentlicher Faktor. Wenn der Kunde den Betrug entdeckte und schnell meldete, kann geprüft werden, ob das Finanzinstitut mit angemessener Sorgfalt handelte, um das Geld zu stoppen, bevor es weitergeleitet wurde.

Zudem müssen die Verfahren zur Zwei-Faktor-Authentifizierung geprüft werden. Es lässt sich argumentieren, dass eine lakonische Code-Nachricht, die nicht die Art der Transaktion oder deren Betrag angibt, einen Kunden dazu verleiten kann, zu glauben, er führe einen routinemäßigen Sicherheitsvorgang durch.

Warnsignale: Wie erkennt man die SMS-Falle?

Prävention ist das effektivste Werkzeug. Hier sind einige Anzeichen, die eine gründliche Überprüfung erfordern:

• Erzeugung von Dringlichkeit: Nachrichten, die ein Ultimatum für dringendes Handeln stellen, sind oft ein Zeichen für Betrug.
• Verdächtige Links: Kleine Änderungen in der Webadresse oder die Verwendung von Link-Verkürzern sind in offiziellen Nachrichten nicht üblich.
• Ungeschickte Formulierung: Mangelhafte Sprache, Rechtschreibfehler oder Maschinenübersetzungen können auf eine gefälschte Nachricht hindeuten.
• Anfrage nach sensiblen Daten: Offizielle Finanzinstitute verlangen normalerweise nicht die Eingabe vollständiger Passwörter oder geheimer Codes über einen Link in einer SMS.
• Unerwartete Nachricht: Der Erhalt einer Nachricht über einen Dienst, der nicht genutzt wurde, sollte Verdacht erregen.

Erste Schritte bei Verdacht auf Betrug

Bei Verdacht, dass auf einer gefälschten Website Daten preisgegeben wurden, ist Schnelligkeit entscheidend:

1. Sofortige Kontaktaufnahme mit dem Finanzinstitut: Kontaktierung der Notfallzentralen, die rund um die Uhr arbeiten, mit der Bitte, die Zahlungsmittel zu sperren.
2. Dokumentation: Speicherung von Screenshots der Nachricht und der verdächtigen Website.
3. Passwortänderung: Durchführung eines Passwortwechsels für wichtige Dienste von einem anderen Gerät aus.
4. Meldung an die Behörden: Einreichung einer Anzeige bei der Polizei als Teil des Klärungsprozesses.
5. Überprüfung der Kontobewegungen: Prüfung der Liste der Begünstigten und der ausgeführten Überweisungen.

Rechtliche und professionelle Analyse

Im Laufe der beruflichen Arbeit eines Anwalts, der diese Fälle begleitet, wird jeder Fall einzeln geprüft. Die zentrale Frage ist, ob das Finanzinstitut seine Pflicht erfüllt hat, den durch den Betrug entstandenen Schaden zu begrenzen.

Mögliche Punkte für eine rechtliche Prüfung:

• Allgemeine Warnungen: Hat das Finanzinstitut spezifische Warnungen vor bekannten Betrugswellen veröffentlicht?
• Überwachung der Aktivität: Hat das System ungewöhnliche Transaktionen in hohen Beträgen erkannt und gemeldet?
• Erkennung ungewöhnlicher Umstände: Wurde der Vorgang unter verdächtigen Bedingungen ausgeführt, wie z. B. ein fremder geografischer Standort?
• Formulierung der Verifizierungsnachrichten: Es kann geprüft werden, ob eine rechtliche Grundlage für das Argument der Irreführung des Kunden besteht, falls die Code-Nachricht nicht klar genug war.

Es ist wichtig, daran zu denken, dass der Rechtsstreit Ressourcen und eine sorgfältige Dokumentation erfordert. Unter bestimmten Umständen kann geprüft werden, ob Aussicht auf Erfolg bei einer Klage auf Rückerstattung von Geldern besteht, was von den spezifischen Umständen des Einzelfalls und der Prüfung der Beweise abhängt. Das Gesetz soll Schutz in Umständen bieten, in denen der Kunde geschädigt wurde, und professionelle rechtliche Beratung kann dabei helfen, Rechte durchzusetzen.

Im nächsten Kapitel werden wir die Betrugsmuster per gefälschter E-Mail weiter untersuchen und die Wege, mit Internetfallen umzugehen.