Kapitel 26: Der doppelte Spiegel — Gefälschte Webseiten und betrügerische Apps

In der physischen Welt bräuchte jemand, der versucht, eine gefälschte Bankfiliale mitten in Tel Aviv zu eröffnen, enorme Ressourcen: einen Mietvertrag, massive Renovierungsarbeiten, Büromöbel, schwere Tresore und ein ganzes Team von Schauspielern, die sich als Bankangestellte ausgeben. Dies ist ein fast unmögliches logistisches Unterfangen, das innerhalb von Minuten aufgedeckt würde. Doch im digitalen Raum ist die Errichtung einer solchen „Filiale“ eine Frage weniger Minuten und kostet fast nichts. Alles, was erforderlich ist, ist den Quellcode einer bestehenden Webseite zu kopieren, eine Domain (Webadresse) zu erwerben, die fast identisch mit dem Original aussieht, und darauf zu warten, dass das Opfer aus freien Stücken hineinspaziert.

Wir leben durch Bildschirme. Unser Vertrauen in die digitale Realität stützt sich auf visuelles Gedächtnis und Gewohnheiten. Wir erkennen das blaue Logo der Bank, das vertraute Eingabefeld, die Farben der Versicherungsgesellschaft. Unser Gehirn nutzt Abkürzungen; es prüft nicht jedes Mal die Adresszeile im Browser oder die Sicherheitssignatur der App neu. Auf dieser kleinen Lücke — zwischen dem, was wir zu sehen erwarten, und dem, was uns tatsächlich präsentiert wird — ist eine der raffiniertesten kriminellen Industrien des 21. Jahrhunderts aufgebaut.

In diesem Kapitel tauchen wir hinter den Spiegel. Wir werden verstehen, wie gefälschte Webseiten es schaffen, selbst die Erfahrensten unter uns zu täuschen, wie bösartige Apps unser Smartphone zu einem „Trojanischen Pferd“ in der Tasche machen und was die rechtlichen Konsequenzen sind, wenn Geld nach einer Handlung verschwindet, die wir scheinbar selbst durchgeführt haben.

Das folgende Szenario ist ein lehrreiches Beispiel, das auf gängigen Betrugsmustern basiert. Die Charaktere und Ereignisse dienen lediglich der Veranschaulichung.

Die Geschichte von Yair: Die Falle an der Fingerspitze

Yair (42), ein selbstständiger Grafikdesigner und Technikmensch durch und durch, hielt sich immer für „betrugsresistent“. Er verwendet eine Zwei-Faktor-Authentifizierung für jedes erdenkliche Konto, ändert regelmäßig seine Passwörter und tadelt seine Eltern, wenn sie auf verdächtige Links in WhatsApp klicken. „Mir wird das nicht passieren“, pflegte er mit einem Lächeln voller Selbstvertrauen zu sagen.

Es geschah an einem regnerischen Dienstag um 22:30 Uhr. Yair war nach einem anstrengenden Arbeitstag vor den Bildschirmen müde. Sein Telefon vibrierte. Eine SMS von „der Bank“: „Sehr geehrter Kunde, es wurde ein ungewöhnlicher Zugriff auf Ihr Konto von einem unbekannten Gerät im Ausland festgestellt. Um Ihr Geld zu schützen, müssen Sie Ihre Identität dringend über den folgenden Link bestätigen, andernfalls wird das Konto vorübergehend gesperrt.“

Unter Zeitdruck und Müdigkeit hielt Yair nicht inne, um nachzudenken. Er klickte auf den Link. Der Browser öffnete sich und zeigte die vertraute Login-Seite seiner Bank. Alles war da: das exakte Logo, das saisonale Hintergrundbild, sogar der Hinweis auf die Geschäftszeiten des Kundendienstes. Yair gab seinen Benutzernamen und sein Passwort ein. Der nächste Bildschirm forderte ihn zu einem „Sicherheitsupdate“ auf: „Um den Schutz des Kontos zu gewährleisten, müssen Sie die offizielle ‚SafeGuard-Bank‘-App aus dem App Store oder über einen Direktlink herunterladen, falls der Store nicht verfügbar ist.“

„Das ist neu“, dachte Yair, aber das Gefühl der Dringlichkeit siegte über die Zweifel. Er klickte auf den Download der Datei. Das Telefon zeigte eine Warnung an, dass die Datei schädlich sein könnte, aber die Webseite (die genau wie die Bank aussah) beruhigte ihn: „Klicken Sie auf ‚Trotzdem zulassen‘, um den Schutzprozess abzuschließen.“ Er installierte die App.

Sobald die App geöffnet wurde, verlangte sie Zugriffsberechtigungen für SMS und Kontakte. „Logisch“, murmelte Yair, „schließlich schickt die Bank Codes per SMS.“ Er genehmigte alles. Der Bildschirm zeigte ein sich drehendes Rad: „Sicherheits-Synchronisierung läuft... bitte warten.“

Was Yair nicht wusste, war, dass in genau diesen Momenten die gefälschte App — die in Wahrheit eine Fernsteuerungs- und Nachrichten-„Entführer“-Software war — seine Zugangsdaten an einen Hacker übermittelte, der tausende Kilometer entfernt saß. Der Hacker loggte sich in Yairs echtes Konto ein. Als die Bank einen Bestätigungscode per SMS für eine Banküberweisung in Höhe von 45.000 NIS sendete, fing die gefälschte App die Nachricht ab, versteckte sie vor Yair und leitete sie automatisch an den Hacker weiter. Yair sah nur einen „Ladebildschirm“.

Nach zwei Minuten schloss sich die App von selbst. Yair versuchte sich erneut einzuloggen, aber die Seite war nicht mehr verfügbar. „Serverfehler“, dachte er und ging schlafen. Am Morgen, als er die echte App der Bank öffnete, entdeckte er einen Kontostand von nur 12 NIS. All seine Ersparnisse, das Geld für die Anzahlung für die Wohnung, war spurlos verschwunden.

Als er sich an die Bank wandte, lautete die Antwort, dass es sich um grobe Fahrlässigkeit handele, da der Kunde seine Daten auf einer externen Webseite eingegeben, eine nicht offizielle App heruntergeladen und die Überweisungen autorisiert habe, was die Bank von jeglicher Haftung befreie. In einem solchen Szenario kann sich das Opfer nicht nur ohne sein Geld wiederfinden, sondern auch in einem Kampf gegen das System, das seine persönliche Verantwortung für den Vorfall behauptet.

Anatomie eines Betrugs: Wie funktioniert das?

Um die rechtliche und technologische Komplexität zu verstehen, müssen wir die Arbeitsweise der Betrüger zerlegen. Phishing-Webseiten sind nicht nur statische Seiten. Es handelt sich um dynamische Systeme, die die Lücke zwischen dem Benutzer und dem echten Finanzinstitut überbrücken sollen.

1. Die URL-Methode: Die Adresse an der Wand

Die Betrüger verwenden eine Methode namens Typosquatting. Sie erwerben Domains, die dem Original sehr ähnlich sind. Zum Beispiel würden sie statt bankleumi.co.il bankleumi-security.com oder bankleumi-login.net verwenden. Ein unbewaffnetes Auge, besonders auf dem kleinen Bildschirm eines Mobiltelefons, wird Schwierigkeiten haben, den Unterschied zu bemerken. In ausgeklügelteren Fällen werden „Unicode-Zeichen“ verwendet — Buchstaben aus anderen Sprachen, die genau wie lateinische Buchstaben aussehen (z. B. das ‚a‘ in Kyrillisch, das identisch mit dem ‚a‘ im Englischen aussieht), wodurch eine Adresse entsteht, die in der Adresszeile absolut identisch mit dem Original wirkt.

2. Social Engineering und das Gefühl der Dringlichkeit

Die gefälschte Webseite ist nur der zweite Schritt. Der erste Schritt ist immer das Erzeugen eines „Notfalls“. Angst ist der größte Feind des Urteilsvermögens. Nachrichten über eine „Kontosperrung“, eine „drohende Pfändung“ oder eine „Steuerrückerstattung, die nur auf Sie wartet“, bringen Menschen dazu, aus dem Bauch heraus statt mit dem Kopf zu handeln. Wenn wir unter Stress stehen, konzentriert sich unser kognitives System auf die Lösung des unmittelbaren Problems (Klicken auf den Link) und ignoriert periphere Warnsignale.

3. Die gefälschte App: Das moderne Trojanische Pferd

Dies ist der gefährlichste Schritt. Während eine gefälschte Webseite „nur“ Passwörter stehlen kann, erhält eine bösartige App (Malicious App) die Kontrolle über das Gerät. Bei Android-Systemen öffnet die Installation von APK-Dateien außerhalb des offiziellen Stores ein Tor für den sogenannten „Overlay-Angriff“. Die bösartige App erkennt, wann der Benutzer die echte Bank-App öffnet, und legt eine transparente „Schicht“ darüber, die seine Eingaben abfängt. Darüber hinaus erhält sie Zugriff auf SMS, was es ihr ermöglicht, den OTP-Mechanismus (One Time Password) zu umgehen — das Einmalpasswort, das Banken zur Bestätigung von Transaktionen senden.

Der rechtliche Aspekt: Haftung und Beweislast

Wenn ein Kunde feststellt, dass sein Konto in einem Szenario ähnlich wie dem von Yair geleert wurde, lautet die zentrale Rechtsfrage: Wer trägt die Verantwortung? Die Antwort erfordert eine gründliche rechtliche Analyse der Umstände.

Zahlungsdienstegesetz, 2019

Dieses Gesetz ist das „Grundgesetz“ der digitalen Zahlungsbranche in Israel. Es ersetzte das alte Kreditkartengesetz und erweiterte den Verbraucherschutz. Artikel 20 des Gesetzes besagt, dass im Falle einer „missbräuchlichen Nutzung“ eines Zahlungsmittels (wie dem Zugriff auf ein digitales Bankkonto) der Dienstleister (die Bank) dem Kunden den abgebuchten Geldbetrag erstatten muss.

Allerdings sieht Artikel 24 des Gesetzes eine bedeutende Ausnahme vor: Der Kunde haftet für den gesamten Schaden, wenn er das Zahlungsmittel oder die Zugangsdaten an eine andere Person unter Umständen weitergegeben hat, unter denen er die missbräuchliche Verwendung hätte vorhersehen können, oder wenn der Schaden durch „grobe Fahrlässigkeit“ des Kunden verursacht wurde.

Was ist „grobe Fahrlässigkeit“?

Dies ist der Schwerpunkt des Rechtsstreits. Gelegentlich wird argumentiert, dass die Eingabe von Daten auf einer Phishing-Webseite oder die Installation einer externen App eine „grobe Fahrlässigkeit“ darstellt. Bei einer allgemeinen Analyse der rechtlichen Möglichkeiten wird grobe Fahrlässigkeit jedoch als ein Verhalten angesehen, das extrem vom Standard der vernünftigen Sorgfalt abweicht. Es kann geprüft werden, ob ein vernünftiger Kunde, der eine Nachricht erhält, die wie eine offizielle Mitteilung aussieht, auf eine Webseite geleitet wird, die wie das Original aussieht, und aufgefordert wird, unter Druck zu handeln, tatsächlich als grob fahrlässig eingestuft werden kann oder ob es sich vielmehr um ein Opfer eines ausgeklügelten Betrugs handelt.

In einigen Fällen kann die Haftung der Bank geprüft werden, wenn nachgewiesen wird, dass die Überwachungssysteme versagt haben. Es gibt eine Rechtsauffassung, dass Banken dazu verpflichtet sind, ungewöhnliche Aktivitäten zu identifizieren. Wenn auf einem Konto, das auf eine bestimmte Weise geführt wird, plötzlich eine Transaktion von ungewöhnlichem Umfang an ein neues Ziel erfolgt, ohne dass die Bank eine zusätzliche Prüfung durchführt, kann die Haftungsfrage des Finanzinstituts geprüft werden.

Aufklärungs- und Warnpflicht

Eine rechtliche Analyse kann auch untersuchen, ob das Finanzinstitut ausreichende Warnungen vor der spezifischen Art des Betrugs bereitgestellt hat. Wenn die Bank sich einer bestimmten Welle von Angriffen bewusst war und nicht handelte, um ihre Kunden zu informieren, oder wenn die Benutzeroberfläche keine ausreichenden Authentifizierungsmittel (wie biometrische Überprüfung) enthält, könnten Argumente hinsichtlich der Schadensverteilung aufkommen.

Der Wendepunkt: Die rechtliche Auseinandersetzung

Kommen wir zum lehrreichen Szenario von Yair zurück. In ähnlichen Fällen, die rechtlich geprüft werden, legen die Opfer häufig die SMS-Nachricht vor, die sie erhalten haben, welche absolut identisch mit früheren legitimen Nachrichten aussieht und sogar im gleichen Nachrichtenverlauf erscheint.

Der Punkt, der in solchen Fällen aufkommt, ist kritisch. Technologie, die das Fälschen des Absendernamens ermöglicht, führt dazu, dass das Smartphone die gefälschte Nachricht in einen echten Verlauf einfügt. Für viele Benutzer kann dies als äußerst irreführender Beweis für die Echtheit angesehen werden.

Im Rahmen einer rechtlichen Analyse solcher Fälle wird die Möglichkeit geprüft, zu argumentieren, dass die Bank in mehreren Verteidigungskreisen versagt hat:

1. Risikoüberwachungssystem: Hätte das System eine in ihrer Art ungewöhnliche Kontobewegung stoppen müssen?
2. Authentifizierungsmechanismus: Ist ein Verlass auf einen SMS-Code allein ausreichend, angesichts der bekannten Fähigkeit bösartiger Software, diese Codes abzufangen?
3. Sorgfalts- und Treuepflicht: Hat das Finanzinstitut gegenüber bekannten Täuschungsversuchen als vernünftiger Türwächter gehandelt?

Andererseits können die Finanzinstitute argumentieren, dass die Handlungen durch die richtigen Codes und vom Gerät des Kunden aus bestätigt wurden. In einem möglichen Szenario könnten die Parteien nach Prüfung der Beweise einen Kompromiss erzielen, der die verschiedenen Argumente ausgleicht. Es ist wichtig zu betonen, dass jeder Fall individuell nach seinen einzigartigen Umständen bewertet wird und die Chance auf Rückerstattung der Gelder von der Beweisgrundlage abhängt, die vorgelegt wird.

Warnsignale: Wie erkennt man den „Doppelgänger“, bevor er zuschlägt?

Trotz der Raffinesse gibt es Risse im Spiegelbild. Die frühzeitige Erkennung von Warnsignalen kann helfen, Schäden zu verhindern:

• Aufforderung zur Installation einer App außerhalb des Stores: Eine offizielle Bank fordert normalerweise nicht dazu auf, Dateien (wie eine Datei mit der Endung APK) direkt von der Webseite herunterzuladen. Offizielle Apps werden über die bekannten App Stores installiert.
• Geringfügige Änderungen an der Webadresse: Suchen Sie nach überflüssigen Zeichen, Bindestrichen oder ungewöhnlichen Endungen. Es wird empfohlen, sicherzustellen, dass die Adresse der Webseite exakt mit der bekannten Adresse des Instituts übereinstimmt.
• Aufforderung zur Eingabe vollständiger Identifikationsdaten: Wenn Sie aufgefordert werden, vollständige Kreditkartendaten (einschließlich CVV) zur „Sicherung“ Ihres Girokontos einzugeben, ist das ein Warnsignal.
• Sprache und Formulierung: Sprachliche Fehler, unnatürliche Formulierungen oder die Verwendung von Schriftarten, die nicht dem normalen Branding entsprechen, können auf eine Fälschung hindeuten.
• Erzeugung von Panik: Die Forderung nach sofortigem Handeln unter Drohung einer Sperrung oder ein Ultimatum mit kurzer Zeitfrist ist ein gängiges Verhaltensmuster bei Betrügereien.

Was ist sofort zu tun, wenn ein Betrugsverdacht entsteht?

Wenn der Verdacht aufkommt, dass Daten auf einer Phishing-Seite eingegeben oder eine verdächtige App installiert wurde, ist die Geschwindigkeit der Reaktion von großer Bedeutung:

1. Trennung und Isolierung

Es wird empfohlen, die Internetverbindung des Geräts sofort zu trennen. Im Falle der Installation einer verdächtigen App kann eine Beratung durch einen technischen Experten über die Notwendigkeit eines Zurücksetzens des Geräts nach Datensicherung in Erwägung gezogen werden.

2. Dringende Kontaktaufnahme mit dem Finanzinstitut

Sie sollten sofort die Notfallzentralen der Banken und Kreditkartenunternehmen kontaktieren, die Sperrung von Aktivitäten und die Aufhebung des digitalen Zugangs beantragen. In einigen Fällen können Möglichkeiten zur Stornierung von Überweisungen geprüft werden, bevor sie abgeschlossen wurden, obwohl dies von technischen Umständen abhängt.

3. Passwortänderung

Es ist wichtig, die Passwörter für alle sensiblen Konten (E-Mail, soziale Netzwerke usw.) von einem anderen, nicht infizierten Gerät aus zu ändern.

4. Dokumentation

Es wird empfohlen, die SMS-Nachrichten, Links und den Browserverlauf zu speichern und zu dokumentieren (Screenshots). Diese Dokumentation kann bei einer zukünftigen rechtlichen Prüfung des Falls entscheidend sein.

5. Erstattung einer Anzeige bei der Polizei

Sie müssen Anzeige bei der Polizei erstatten und eine Bestätigung darüber erhalten. Dies ist meist ein notwendiger Schritt für die weitere Klärung mit Finanzinstitutionen und Versicherern.

Rechtlicher Aspekt und Fazit

Das Thema gefälschte Webseiten und betrügerische Apps ist eines der komplexesten im modernen Bankrecht. Der Rechtsstreit prüft oft die Balance zwischen den Sicherheitsverpflichtungen des Instituts und der Verantwortung des Benutzers.

Wichtig zu wissen: Es können rechtliche Möglichkeiten zur Rückerstattung von Geldern geprüft werden, wobei die Chance hierfür stark von den spezifischen Umständen des jeweiligen Falles abhängt. Die zentrale Frage wird meist sein, ob das System angesichts der Raffinesse der Betrüger ausreichenden Schutz geboten hat.

Während seiner langjährigen beruflichen Tätigkeit stieß Rechtsanwalt Zion Behlul auf verschiedenste Fälle, in denen der Geldverlust von schwerem emotionalem Leid begleitet wurde. Das Ziel ist es, Hilflosigkeit in rechtliches Wissen und Bewusstsein umzuwandeln. Digitaler Schutz kombiniert Wachsamkeit gegenüber Warnsignalen mit dem Einstehen für die Ihnen zur Verfügung stehenden rechtlichen Rechte.

Im nächsten Kapitel untersuchen wir die Welt des Deepfake — wenn Betrüger nicht mehr nur Webseiten fälschen, sondern die Stimme und das Gesicht der Menschen, denen Sie am meisten vertrauen.