Kapitel 32: Die durchbrochene Festung: Übernahme von Bankkonten und Kreditkarten

In der alten Welt führte der Weg zum Geld eines Menschen durch Stahltüren, schwere Tresore und bewaffnete Wachen. Der Bankräuber von früher benötigte einen physischen Aktionsplan, eine Waffe und eine gehörige Portion Adrenalin und Risiko. Heute hat sich diese Festung verändert. Die Stahltüren wurden durch Codezeilen ersetzt, und die Wachen durch Verschlüsselungsalgorithmen. Doch die wesentlichste Änderung ist nicht technologischer Natur – sie ist psychologisch. Der moderne Räuber bricht nicht in die Bank ein; er überzeugt Sie, ihm die Tür zu öffnen, ihn einzuladen und ihm die Tresorschlüssel auf einem silbernen Tablett zu servieren.

Das Bankkonto und die Kreditkarte sind das „Allerheiligste“ unserer wirtschaftlichen Identität. Sie repräsentieren Jahre harter Arbeit, die Ersparnisse für die Wohnung, das Geld für die Ausbildung der Kinder und die laufende Sicherheit, um Brot und Milch zu kaufen. Wenn diese Festung durchbrochen wird, ist das Gefühl nicht nur der eines finanziellen Verlusts. Es ist ein tödlicher Schlag gegen das Sicherheitsgefühl, ein brutaler Eingriff in die Privatsphäre und eine Erschütterung des grundlegenden Vertrauens in Systeme, die uns eigentlich schützen sollten. In diesem Kapitel werden wir die Mechanismen analysieren, die eine Übernahme von Finanzkonten ermöglichen, die komplexe rechtliche Arena verstehen, die daraus resultiert, und die rechtlichen Möglichkeiten prüfen, die den Betroffenen zur Verfügung stehen.

Das folgende Szenario ist ein lehrreiches Beispiel, das auf gängigen Betrugsmustern basiert. Die Charaktere und Ereignisse dienen lediglich der Veranschaulichung.

Lehrszenario: Die telefonische Falle

Rami (fiktiver Name), ein selbstständiger Landschaftsgestalter, hat sich nie für einen „Technophoben“ gehalten, aber auch nicht für einen großen Computerexperten. Er wusste, wie man die Bank-App bedient, um Guthaben zu prüfen und Lieferanten zu bezahlen. Eines Tages, am Nachmittag, klingelte sein Telefon. Auf dem Display erschien eine Nummer, die wie die bekannte Nummer des Kundendienstzentrums seiner Bank aussah.

„Hallo, spreche ich mit Rami?“, fragte eine weibliche, professionelle und autoritäre Stimme am anderen Ende. „Hier spricht Dana von der Sicherheitsabteilung der Bank. Wir haben in der letzten Stunde ungewöhnliche Abbuchungsversuche von Ihrem Konto aus einem fremden Land festgestellt. Haben Sie in letzter Zeit eine solche Aktion durchgeführt?“

Rami geriet unter Druck. Der Gedanke an das Geld, das von seinem Konto verschwand, beeinflusste seine Analysefähigkeit. „Was denn? Ich bin zu Hause, ich habe gerade mit der Arbeit aufgehört“, antwortete er mit zitternder Stimme.

„Das dachte ich mir“, antwortete Dana ruhig. „Machen Sie sich keine Sorgen, wir sind hier, um das zu stoppen. Damit wir die Transaktion blockieren und das Konto in den Schutzmodus versetzen können, muss ich Ihre Identität verifizieren. Ich habe Ihnen gerade einen Bestätigungscode per SMS geschickt. Bitte lesen Sie mir diesen vor, damit wir mit der Blockierung fortfahren können.“

Rami sah, wie die Nachricht eintraf. Der Absender schien die Bank zu sein. In der Nachricht befand sich ein sechsstelliger Code. Unter dem Druck des Augenblicks achtete er nicht auf den Warnhinweis, dass der Code nicht weitergegeben werden darf. Er las die Ziffern vor. Dana fuhr fort und wies ihn an, auf den gesendeten Link zu klicken, um eine „erneute Synchronisierung“ durchzuführen. Die Website sah exakt aus wie die bekannte Bank-Website. Er gab Benutzernamen und Passwort wie gefordert ein und übermittelte einen weiteren Bestätigungscode, der ihm zugeschickt wurde.

Am Ende des Gesprächs verspürte Rami Erleichterung. Er wusste nicht, dass in jenen Minuten feindliche Akteure, die Technologie zur Rufnummernmanipulation (Spoofing) einsetzten, auf seinem Konto agierten. Die Codes, die er weitergab, dienten nicht der Sicherheit, sondern der Bestätigung von Geldüberweisungen und dem Hinzufügen neuer Begünstigter in Echtzeit.

Etwa eine Stunde später, als Rami versuchte, sich in die App einzuloggen, stellte er fest, dass der Zugang gesperrt war. Bei einer offiziellen Anfrage an die Bank stellte sich heraus, dass beträchtliche Beträge vom Konto überwiesen worden waren. Seine Festung wurde nicht gewaltsam aufgebrochen; die Schlüssel wurden aufgrund einer raffinierten Manipulation ausgehändigt.

Die Anatomie der Übernahme: Analyse der Mechanismen

Die Übernahme eines Bankkontos oder einer Kreditkarte ist oft ein mehrstufiges Ereignis. Die Angreifer sammeln im Voraus Informationen, manchmal durch frühere Datenlecks, und konstruieren eine Legende, die den Zwei-Faktor-Authentifizierungsmechanismus (2FA) umgehen soll.

1. Social Engineering

Dies ist ein Instrument, das darauf abzielt, ein Gefühl von Dringlichkeit und Panik zu erzeugen. Unter Druck neigen Kunden dazu, Prüfschritte zu überspringen. Die Nutzung von Spoofing-Technologie lässt das Gespräch so erscheinen, als käme es von einer vertrauenswürdigen Quelle.

2. Spear-Phishing

Das Versenden einer persönlichen Nachricht, die einen Link zu einer „Spiegel-Seite“ (Mirror Site) enthält – eine exakte Kopie der Bank-Website. Sobald der Kunde Zugangsdaten eingibt, werden diese Informationen direkt an den Angreifer weitergeleitet, der sie auf der echten Website verwendet.

3. Erlangung eines Einmal-Authentifizierungscodes (OTP)

Die Angreifer versuchen, den per SMS gesendeten Code auf verschiedene Weise zu erlangen:

• Überredung: Täuschung des Kunden, damit er den Code im Gespräch freiwillig weitergibt.
• SIM-Swapping: Identitätsdiebstahl gegenüber dem Mobilfunkanbieter, um die Nummer auf eine SIM-Karte zu übertragen, die sich im Besitz des Angreifers befindet.
• Schadsoftware (Malware): Einschleusen einer Software, die das Lesen von Nachrichten aus der Ferne ermöglicht.

4. Übernahme der Kreditkarte

Der Prozess kann mit kleinen Abbuchungen zur Überprüfung der Gültigkeit der Karte beginnen, gefolgt von erheblichen Einkäufen. In manchen Fällen erfolgt eine Änderung der Kontaktdaten in den Systemen des Kreditkartenherausgebers, um den Erhalt von Warnmeldungen zu verhindern.

Die rechtliche Arena: Analyse von Haftung und Pflichten

Die zentrale Frage in diesen Fällen ist die Frage der Haftung für die abgebuchten Gelder. Die Antwort hängt von den Umständen des Falls, dem Verhalten des Kunden und der Einhaltung der beruflichen Pflichten durch das Finanzinstitut ab.

Gesetz über Zahlungsdienste

Dieses Gesetz regelt die Beziehungen zwischen dem Kunden und dem Zahlungsdienstleister (Bank, Kreditkartenunternehmen oder Zahlungs-App). Der entscheidende Begriff im Gesetz ist die „nicht autorisierte Zahlungstransaktion“.

Gemäß dem Gesetz muss der Zahlungsdienstleister dem Kunden bei einer nicht autorisierten Transaktion den Betrag innerhalb einer festgelegten Zeit erstatten, es sei denn, es besteht ein begründeter Verdacht auf Betrug durch den Kunden. Das Gesetz unterscheidet zwischen verschiedenen Haftungsniveaus:

1. Begrenzte Haftung des Kunden

Bei Diebstahl oder Verlust eines Zahlungsmittels, sofern der Kunde dies sofort nach Entdeckung gemeldet hat, kann seine Haftung auf die gesetzlich festgelegten Beträge begrenzt sein. Der restliche Schaden kann zu Lasten des Finanzinstituts gehen.

2. Einwand grober Fahrlässigkeit

Finanzinstitute versuchen möglicherweise zu beweisen, dass der Kunde „grob fahrlässig“ gehandelt hat (z. B. durch freiwillige Weitergabe eines Geheimcodes), um sich von der Erstattungspflicht zu befreien. Bei einer professionellen juristischen Analyse wird jedoch berücksichtigt, dass Betrüger raffinierte Manipulationen anwenden, und was im Nachhinein als Fehler erscheint, kann zu dem Zeitpunkt unter Druck als angemessene Reaktion gelten. Die Prüfung von Social Engineering kann die Zuweisung der Verantwortung an den Kunden beeinflussen.

3. Die erhöhte Sorgfaltspflicht der Bank

Für Banken und Kreditkartenunternehmen gilt eine erhöhte Sorgfaltspflicht gegenüber ihren Kunden. Im Falle eines Einbruchs oder einer Übernahme werden mehrere Aspekte geprüft:

• Erkennen von Warnsignalen: Hätten die Überwachungssysteme Aktivitäten erkennen müssen, die extrem von den normalen Nutzungsmustern des Kunden abweichen?
• Echtzeit-Reaktion: Hat das Finanzinstitut ab dem Moment der Meldung mit der gebotenen Schnelligkeit zur Kontosperrung gehandelt?
• Qualität der Schutzmechanismen: Hat das Institut angemessene und fortschrittliche Sicherheitsmaßnahmen gemäß den gängigen Standards eingesetzt?

Im Laufe meiner beruflichen Tätigkeit bin ich auf Fälle gestoßen, in denen trotz eines Fehlers des Kunden Mängel im Überwachungssystem der Bank festgestellt wurden. In solchen Situationen kann der Einwand einer Haftung des Finanzinstituts für den Schaden oder einen Teil davon im Rahmen der Prüfung eines „mitwirkenden Verschuldens“ erhoben werden.

Umgang mit Kreditkartenunternehmen

Bei nicht autorisierten Belastungen auf einer Kreditkarte gibt es ein Verfahren der „Transaktionsbestreitung“. Das Gesetz über Zahlungsdienste legt fest, dass das Unternehmen den Kunden bis zur Klärung der Angelegenheit vorläufig gutschreiben muss. In Situationen der vollständigen Übernahme, bei denen Kontaktdaten geändert wurden, ist eine eingehende juristische Prüfung erforderlich, um zu beweisen, dass die Transaktionen nicht vom Kunden durchgeführt wurden.

Warnsignale und Präventionsmaßnahmen

Wachsamkeit kann viele Betrugsfälle verhindern. Nachfolgend sind verdächtige Zeichen aufgeführt:

• Anfragen nach Codes in einem initiierten Gespräch: Offizielle Bankmitarbeiter bitten Kunden nicht, einen per SMS gesendeten Bestätigungscode vorzulesen.
• Links in Nachrichten: Es wird empfohlen, den Zugriff auf Bank-Websites über Links in Nachrichten zu vermeiden und stattdessen offizielle Apps zu verwenden oder die Adresse direkt einzugeben.
• Veränderungen beim Mobilfunkempfang: Ein plötzlicher Empfangsverlust kann auf einen Versuch des SIM-Swappings hindeuten.
• Anfrage zur Fernsteuerung: Die Forderung zur Installation von Software, die einem Dritten, der vorgibt, ein Servicemitarbeiter zu sein, Zugriff auf den Computer ermöglicht, ist ein Warnsignal.

Sofortmaßnahmen bei Verdacht

Die Geschwindigkeit der Reaktion ist ein entscheidender Faktor bei der Schadensbegrenzung:

1. Gesprächsabbruch: Bei geringstem Verdacht ist der Kontakt sofort zu beenden.
2. Initiative Kontaktaufnahme zum Finanzinstitut: Anruf bei der offiziellen Stelle zur Sperrung von Konten und Zahlungsmitteln.
3. Änderung von Passwörtern: Aktualisierung der Zugangsdaten für Finanzdienste und E-Mail.
4. Dokumentation: Speichern von Screenshots der Nachrichten, Notieren von Telefonnummern und Gesprächszeiten.
5. Meldung an die Behörden: Erstattung einer Strafanzeige bei der Polizei, um die für die weitere Klärung gegenüber der Bank erforderliche Bescheinigung zu erhalten.

Rechtlicher Aspekt und Handlungsmöglichkeiten

In Fällen, in denen ein Finanzinstitut die Erstattung von Geldern verweigert, können die dem Geschädigten zur Verfügung stehenden Rechtsmittel geprüft werden. Im Laufe der Jahre zeigt sich, dass eine professionelle Analyse, die das Sicherheitsversagen oder die verletzten Sorgfaltspflichten detailliert darlegt, unter bestimmten Umständen zu einer Prüfung von Vergleichsvereinbarungen oder Möglichkeiten der Rückerstattung führen kann, je nach den Umständen des Einzelfalls.

Im Rahmen eines Gerichtsverfahrens prüfen die Gerichte den gesamten Sachverhalt, einschließlich der Maßnahmen, die dem Finanzinstitut zur Schadensvermeidung zur Verfügung standen. Je raffinierter der Betrug ist, desto eher kann die Haftung, ob ganz oder teilweise, dem Finanzinstitut zugerechnet werden, unter Berücksichtigung der Tatsache, dass der Kunde als die Seite angesehen wird, die bei der Transaktion Schutz benötigt. Das Gesetz über Zahlungsdienste stellt ein zentrales Fundament zum Schutz der Nutzer dar, und es ist wichtig, auf den daraus resultierenden Rechten zu bestehen.

Im nächsten Kapitel werden wir ein Szenario der Identitätstäuschung gegenüber einem Mitarbeiter oder Geschäftsinhaber durch Lieferanten untersuchen – eine weitere Betrugsart, die den Geschäftssektor betrifft.