Kapitel 24: Behörden und Steuerrückerstattungen: Identitätsdiebstahl bei staatlichen Institutionen

In der komplexen Beziehung zwischen dem Bürger und dem Staat gibt es zwei extreme Gefühle, die dominieren: Angst und Hoffnung. Angst entsteht, wenn ein Brief mit dem Staatswappen im Briefkasten landet und von einer Forderung, einem Bußgeld oder einer Prüfung kündet; Hoffnung entflammt, wenn derselbe Umschlag – oder im 21. Jahrhundert dieselbe Textnachricht – eine Steuerrückerstattung, einen Zuschuss oder ein Guthaben ankündigt, das auf uns wartet. Diese Emotionen sind der Treibstoff, der eine der am besten geschmierten und effizientesten Betrugsindustrien antreibt, die heute in Israel operieren.

Haben wir uns in den vorangegangenen Kapiteln mit Betrugsmaschen befasst, die unsere Konsumgewohnheiten oder die Erwartung eines Pakets aus dem Ausland ausnutzen, betreten wir hier ein ganz anderes Terrain. Hier geben sich die Betrüger nicht als Kurier eines Versanddienstes oder als Kundendienstmitarbeiter einer Kreditkartengesellschaft aus. Sie geben sich als die staatliche Gewalt aus. Sie legen sich den Mantel der Autorität des Finanzamts, der Sozialversicherungsanstalt oder des Justizministeriums um. Sie verwenden eine juristische Sprache, nationale Symbole und bekannte Logos, um unsere kritischen Mechanismen auszuschalten. Denn wer von uns möchte schon mit einer Nachricht streiten, die behauptet: „Ihre Steuerschuld erfordert sofortiges Handeln“, und wer von uns würde sich nicht darüber freuen, auf einen Link zu klicken, der „eine Steuerrückerstattung in Höhe von 4.200 NIS, die auf Ihrem Konto wartet“ verspricht?

Die Psychologie der Autorität: Warum fallen wir genau hier darauf herein?

Betrügereien, die sich als staatliche Behörden ausgeben, finden nicht im luftleeren Raum statt. Sie stützen sich auf den „Autoritäts-Bias“ (Authority Bias) – eine tief verwurzelte menschliche Neigung, Akteuren zu gehorchen, die als Träger rechtmäßiger Macht wahrgenommen werden. Wenn wir eine Nachricht vom „Finanzamt“ erhalten, schaltet unser Gehirn in Alarmbereitschaft. Für die meisten gesetzestreuen Bürger ist die Begegnung mit Steuerbehörden ein stressauslösendes Ereignis. Die Betrüger wissen das und nutzen diesen Druck aus, um uns dazu zu bringen, schnell zu handeln, ohne nachzudenken und ohne die Echtheit der Absenderadresse der Nachricht zu überprüfen.

Jenseits der Angst gibt es das Element des „kostenlosen Geldes“. Steuerrückerstattungen werden in der israelischen Öffentlichkeit als eine Art kleiner Lottogewinn wahrgenommen – Geld, das uns gehörte, uns abgenommen wurde und nun auf wundersame Weise zurückkehrt. Diese kurzzeitige Euphorie trübt die natürliche Vorsicht. In einem solchen Zustand löst sich die kritische Barriere, die uns normalerweise davon abhält, Kreditkartendaten oder Zugangscodes für das Bankkonto preiszugeben, einfach auf.

Das folgende Szenario ist ein lehrreiches Beispiel, das auf verbreiteten Betrugsmustern basiert. Die Charaktere und Ereignisse dienen lediglich der Veranschaulichung.

Yair, ein 42-jähriger freiberuflicher Architekt aus Raanana, saß spät abends in seinem Büro und kämpfte mit Einreichungsplänen für die Stadtverwaltung. Sein Telefon, das auf dem Tisch lag, vibrierte. Eine neue SMS-Nachricht. Der Absender erschien als „IL-TAX“.

„Wichtige Mitteilung vom Finanzamt: Basierend auf den Berechnungen für das letzte Steuerjahr wurde festgestellt, dass Sie Anspruch auf eine Rückerstattung in Höhe von 4.380 NIS haben. Um die Rückerstattung direkt auf Ihr Bankkonto zu erhalten, vervollständigen Sie bitte Ihre Kontaktdaten über den sicheren Link: https://mof-gov-il.online/refund“

„Endlich läuft mal etwas einfach“, murmelte Yair vor sich hin. Als Selbstständiger wusste er, dass der Umgang mit dem Finanzamt normalerweise eine bürokratische Leidensgeschichte ist. Die Tatsache, dass die Nachricht ausgerechnet in einer Zeit kam, in der er den wirtschaftlichen Druck der Vorauszahlungen spürte, erschien ihm wie eine Fügung des Schicksals.

Er klickte auf den Link. Die Seite, die sich öffnete, sah perfekt aus. Das Logo des Staates Israel in der rechten Ecke, die vertrauten blau-weißen Farben der Regierungs-Websites und sogar ein aktuelles Foto des Finanzministers in der unteren Ecke. Die Überschrift lautete „Staatliches Zahlungsportal – Formular für den Erhalt der Steuerrückerstattung“. Yair wurde aufgefordert, seine Personalausweisnummer, sein Geburtsdatum und seine Telefonnummer einzugeben. Danach erschien der folgende Bildschirm: „Zur Identitätsprüfung und Überweisung der Zahlung geben Sie bitte die Daten der Kreditkarte ein, auf die die Gutschrift erfolgen soll“.

Für einen kurzen Moment ging Yair ein Gedanke durch den Kopf: Warum brauchen sie eine Kreditkarte, um Geld zurückzuerstatten? Sollten sie nicht das Bankkonto nutzen? Aber dann sah er einen kleinen Hinweis am unteren Bildschirmrand: „Gemäß den Vorschriften der Bank von Israel werden Rückerstattungen bis zu einer Höhe von 5.000 NIS durch sofortige Gutschrift auf die Kreditkarte zugunsten des Kunden abgewickelt“. Das klang logisch, professionell und vor allem – lukrativ.

Er gab die Daten ein. Kartennummer, Gültigkeitsdatum und die dreistellige Prüfnummer auf der Rückseite (CVV). Nach dem Klicken auf „Bestätigen“ erschien ein Ladebildschirm: „Datenverarbeitung... Bitte warten“. Nach wenigen Sekunden kam eine weitere SMS, diesmal von seiner Bank: „Ihr Verifizierungscode für den Vorgang lautet 8842“. Auf der gefälschten Website erschien ein Feld: „Geben Sie den Code ein, der Ihnen auf Ihr Handy geschickt wurde, um die Überweisung der Gelder auf Ihr Konto zu bestätigen“.

Yair gab den Code ein. Die Website bedankte sich bei ihm und teilte mit, dass das Geld innerhalb von 3 Werktagen auf seinem Konto erscheinen werde. Er schloss den Tab und kehrte zu seinen Architekturplänen zurück, wobei er sich ein wenig erleichterter fühlte. Er ahnte nicht, dass in genau diesen Sekunden, an einem abgelegenen Ort, eine automatische Software seine Daten und den Code, den er bereitgestellt hatte, nutzte, um seine Kreditkarte in einer fremden digitalen Geldbörse zu hinterlegen und einen Kauf von Luxusuhren auf einer ausländischen Website im Wert von 12.000 NIS zu tätigen.

Die Entdeckung kam erst am nächsten Morgen. Yair erhielt eine Benachrichtigung seiner Kreditkartengesellschaft über eine „ungewöhnliche Aktivität“. Als er in der Service-Zentrale anrief, fragte ihn die Sachbearbeiterin, ob er sich gerade in Dubai aufhalte und Elektronikprodukte kaufe. „Auf keinen Fall“, rief Yair aus, „ich bin in Raanana! Und außerdem sollte ich eine Steuerrückerstattung erhalten, nicht bezahlen!“

Das Schweigen der Sachbearbeiterin am anderen Ende der Leitung war die härteste Antwort von allen. „Mein Herr“, sagte sie leise, „das Finanzamt verlangt niemals per SMS Kreditkartendaten, um Rückerstattungen auszuzahlen. Es scheint, als seien Sie Opfer eines Phishing-Betrugs geworden.“

Anatomie eines Betrugs: Vom harmlosen Link bis zur Kontoleerung

Yairs Geschichte ist ein Klassiker des modernen Behördenbetrugs. Um zu verstehen, wie man sich schützen kann, müssen wir diesen Mechanismus in seine Bestandteile zerlegen. Der Betrug besteht aus drei kritischen Stufen:

1. Die Köder-Stufe: Die Täuschung der Autorität

Die Betrüger nutzen SMS-Versanddienste, die es ihnen ermöglichen, den Namen des Absenders (Sender ID) zu ändern. Statt einer Telefonnummer erscheint ein Name wie „Gov-IL“, „Tax-Authority“ oder „Israel-Post“. Dies ist der erste Schritt beim Aufbau von Vertrauen. Die Sprache ist immer formell, dringlich und manchmal mit verdeckten Drohungen gespickt (zum Beispiel: „Die Nichtregelung der Schuld führt zur Pfändung“).

2. Die Fälschungs-Stufe: Die doppelte Website

Der Link führt zu einer Website, die eine fast perfekte Kopie der offiziellen Regierungs-Websites ist. Die Betrüger verwenden URLs (Domains), die dem Original sehr ähnlich sehen. Statt gov.il verwenden sie gov-il.org, il-tax.online oder israel-refund.com. Das menschliche Auge neigt dazu, diese kleinen Änderungen zu übersehen, besonders wenn die Seite selbst glaubwürdig aussieht.

3. Die Umgehungs-Stufe: Das OTP (One Time Password)

Dies ist der raffinierteste Teil. Die Banken und Kreditkartengesellschaften haben Sicherheitsmechanismen implementiert, bei denen jeder ungewöhnliche Vorgang einen Code erfordert, der an das Handy gesendet wird. Die Betrüger haben gelernt, diese Lücke zu „überbrücken“. Während das Opfer seine Daten auf der gefälschten Website eingibt, gibt der Betrüger sie auf einer echten Website ein (wie beim Kauf eines Produkts oder beim Einrichten einer digitalen Geldbörse). Wenn die Bank dem Opfer den Code schickt, glaubt das Opfer, den *Erhalt* des Geldes zu bestätigen, während es in Wirklichkeit die *Ausgabe* bestätigt. Dies ist der Moment, in dem der Betrug von einem Einbruchversuch zu einem Akt wird, bei dem der Kunde, ohne es zu wissen, den Diebstahl „bestätigt“.

Die rechtliche Verantwortung: Wo verläuft die Grenze zwischen Fahrlässigkeit und Betrug?

In Fällen, in denen eine Person entdeckt, dass sie Opfer eines solchen Diebstahls geworden ist, und ihre Handlungsmöglichkeiten prüfen möchte, stellt sich die erste Frage: „Wer gibt mir das Geld zurück?“. Die Antwort ist nicht einfach und hängt von der rechtlichen Interpretation der Umstände ab. Der zentrale normative Rahmen in Israel ist das Gesetz über Zahlungsdienste von 2019.

Das Gesetz soll den Verbraucher in Fällen von Missbrauch von Zahlungsmitteln schützen. Artikel 20 des Gesetzes legt fest, dass der Kunde für den Schaden nicht haftet, wenn ein Zahlungsmittel (wie eine Kreditkarte) missbraucht wurde, sofern keine bestimmten Bedingungen vorliegen. Hier beginnt der Rechtsstreit.

Ist das „grobe Fahrlässigkeit“?

Kreditkartengesellschaften neigen manchmal dazu zu behaupten, dass die Weitergabe des Verifizierungscodes (des OTP) durch den Kunden eine „grobe Fahrlässigkeit“ darstellt. Das Argument ist, dass auf der Nachricht der Bank ausdrücklich steht: „Dieser Code darf niemandem mitgeteilt werden“. Wenn der Kunde den Code auf der Website eingegeben hat, könnte das Unternehmen argumentieren, dass er den Schutz des Gesetzes verwirkt hat.

Die Sorgfaltspflicht der Bank

Im israelischen Rechtssystem gibt es eine Anerkennung einer erhöhten Sorgfaltspflicht von Banken gegenüber ihren Kunden. Dies ist eine berufliche und gesellschaftliche Pflicht. Die Prüfung der Haftung hängt von Fragen ab wie: Gab es „rote Warnleuchten“ in den Systemen der Bank? Wurde eine Überweisung an einen Begünstigten in einem Hochrisikoland getätigt? War das Muster extrem ungewöhnlich für das Verhalten des Kunden? In einigen Fällen kann eine Haftung des Zahlungsdienstleisters entstehen, wenn er nicht gehandelt hat, um eine offensichtlich verdächtige Transaktion zu stoppen, auch wenn der Kunde den Code bereitgestellt hat.

Kampf gegen mächtige Institutionen: Der prozessuale Aspekt

Es ist wichtig zu verstehen – Kreditkartengesellschaften und Banken geben ihre Verantwortung nicht ohne Weiteres zu. Ihre Politik kann die Ablehnung der ersten Anfrage mit der Behauptung beinhalten, dass der Kunde die Daten aus eigenem Antrieb weitergegeben habe. Hier kommt die rechtliche Begleitung ins Spiel. Ziel ist es zu prüfen, ob nachgewiesen werden kann, dass es sich nicht um „grobe Fahrlässigkeit“ handelt, sondern um das Hineintappen in eine professionelle Falle, die darauf ausgelegt war, selbst den vorsichtigsten Menschen zu täuschen.

Jeder Fall muss individuell geprüft werden. Enthielt die Nachricht Drohungen? War sie mit Zeitdruck verbunden? Verwendete die gefälschte Website gefälschte Sicherheitszertifikate? Jedes dieser Details könnte bei der Erstellung des rechtlichen Arguments zur Prüfung der Möglichkeit einer Rückerstattung der Gelder von Bedeutung sein. Dennoch muss man ehrlich sagen: Eine Rückerstattung von Geldern bei Betrügereien dieser Art ist nicht garantiert. Sie erfordert eine tiefgreifende Prüfung der Umstände, ein Verständnis des Zahlungsdienstleistungsgesetzes und manchmal die Bereitschaft, juristische Schritte einzuleiten.

Warnsignale: So erkennen Sie, dass der Staat nicht wirklich mit Ihnen spricht

Um den wirtschaftlichen Schaden und den Ärger in solchen Fällen zu vermeiden, sind hier Warnsignale, die auf einen Behördenbetrug hindeuten könnten:

• Aufforderung zur Kreditkartennummer zwecks Rückerstattung: Das Finanzamt, die Sozialversicherungsanstalt und andere Regierungsstellen werden niemals Ihre Kreditkartennummer verlangen, um Ihnen Geld zu überweisen. Staatliche Rückerstattungen erfolgen normalerweise auf das in ihren Systemen hinterlegte Bankkonto.
• Verdächtige Domain (Website-Adresse): Regierungs-Websites in Israel enden immer auf .gov.il. Jede andere Endung (wie .com, .org, .net, .online), die mit dem Wort „gov“ verbunden ist, ist ein höchst verdächtiges Zeichen.
• Sprache und Druck: Offizielle Mitteilungen sind in der Regel sachlich. Wenn die Nachricht eine dramatische Sprache verwendet („Letzte Chance!“, „Sofortiges Handeln erforderlich!“) oder eine Sprache mit grammatikalischen Fehlern, ist äußerste Vorsicht geboten.
• Verifizierungscode (OTP): Wenn Sie während Ihres Aufenthalts auf einer Website, die sich als „staatlich“ ausgibt, einen Code per SMS von der Bank erhalten, erfordert dies einen sofortigen Abbruch der Aktivität. Die Bank schickt normalerweise keinen Code zwecks Erhalt von Geldern.

Was tun, wenn Sie zum Opfer geworden sind?

Wenn der Verdacht besteht, dass Daten auf einer gefälschten Website eingegeben wurden, empfiehlt es sich, schnell zu handeln:

1. Sofortige Sperrung: Kontaktieren Sie schnellstmöglich die Service-Zentrale der Kreditkartengesellschaft oder Bank, um die Karte zu sperren oder das Konto einzufrieren.
2. Dokumentation: Es ist ratsam, Screenshots der SMS-Nachricht, der Website und der ungewöhnlichen Abbuchungen zu speichern.
3. Erstattung einer Anzeige bei der Polizei: Sie können eine Online-Anzeige auf der Website der Israelischen Polizei erstatten. Dieser Schritt könnte später bei den Finanzinstituten erforderlich sein.
4. Offizielle Anfrage an die Kreditkartengesellschaft: Es empfiehlt sich, eine Anfrage einzureichen, die den Vorfall detailliert beschreibt und die Möglichkeit einer Rückerstattung gemäß dem Zahlungsdienstleistungsgesetz prüft.
5. Passwortänderung: Es wird empfohlen, Passwörter für relevante Konten zu ändern, falls Identifikationsdaten eingegeben wurden.

Rechtlicher Aspekt zusammenfassend

Der Umgang mit der Rückerstattung von Geldern bei Betrugsfällen hängt in hohem Maße von der rechtlichen Interpretation des Verhaltens der Parteien ab. Während Kreditkartengesellschaften Argumente bezüglich der Fahrlässigkeit des Kunden vorbringen mögen, zeigt die Realität, dass es sich manchmal um äußerst raffinierte Methoden des Social Engineering handelt. Das Recht in Israel gewährt dem Verbraucher bestimmte Schutzmechanismen, im Verständnis der Machtgefälle gegenüber den Bank- und Technologie-Systemen, doch dieser Schutz ist nicht absolut und hängt von den Umständen jedes Einzelfalls ab.

Wachsamkeit ist das zentrale Instrument zur Prävention. Der Staat mag manchmal bürokratisch handeln, aber Verfahren zur Rückerstattung von Geldern werden normalerweise nicht durch die Abfrage von Kreditkartendaten über einen in einer SMS versandten Link durchgeführt. In der digitalen Welt ist es wichtig, Wachsamkeit und eine gesunde Skepsis gegenüber Angeboten für schnellen und unerwarteten Geldempfang zu bewahren.