Kapitel 63: Identitätsdiebstahl durch angebliche Steuerbehörden und Regierungsstellen – wenn der Staat zur Waffe des Betrügers wird

Während meiner langjährigen beruflichen Tätigkeit als Anwalt und Notar habe ich viele Menschen in ihren schwierigsten Momenten begleitet. Ich bin auf zahlreiche Fälle von Betrugsopfern gestoßen, die ihr Eigentum, ihr Vertrauen in ihre Mitmenschen und manchmal sogar den Willen verloren haben, weiterzukämpfen. Doch es gibt eine bestimmte Art von Betrug, die besondere Empörung auslöst – eine, die weit über das übliche Entsetzen über eine Straftat hinausgeht. Es handelt sich um Betrugsfälle, bei denen der Täter die Rolle des Souveräns – also des Staates – einnimmt.

Wenn ein Bürger eine Nachricht von der Bank erhält, wird er vielleicht misstrauisch. Wenn er ein 'vielversprechendes' Investitionsangebot bekommt, zögert er womöglich. Doch wenn er eine Aufforderung von der Steuerbehörde, der Sozialversicherung oder einem Ministerium erhält, wird sein natürlicher Abwehrmechanismus außer Kraft gesetzt. Es ist ein ungeschriebener 'Gesellschaftsvertrag': Wir haben Ehrfurcht vor dem Staat, respektieren seine Autorität und fürchten vor allem, uns mit ihm anzulegen. Der digitale Betrüger weiß das. Er stiehlt nicht nur Geld; er stiehlt die staatliche Autorität, um das Urteilsvermögen des Opfers zu lähmen.

In diesem Kapitel analysieren wir die Tiefen eines der verbreitetsten und grausamsten Betrugsmodelle des digitalen Zeitalters: Die Identitätstäuschung durch Regierungsbehörden. Wir werden verstehen, wie die Psychologie des Gehorsams zugunsten des Kriminellen wirkt, den rechtlichen Rahmen der Haftung von Banken und Kreditkartenherausgebern prüfen und lernen, wie man zwischen einer legitimen Zahlungsaufforderung und einer ausgeklügelten Honigfalle (oder Angstfalle) unterscheidet.

Der 'kleine Bürger' gegenüber dem bürokratischen Apparat

Warum ist der Identitätsdiebstahl durch die Steuerbehörde so erfolgreich? Die Antwort liegt in der komplexen Beziehung zwischen dem Bürger und dem Staat. Für die meisten von uns ist die Begegnung mit Steuerbehörden ein angstauslösendes Ereignis. Das Steuerrecht ist kompliziert, die Fachbegriffe fremd und die Strafen für die Nichtbefolgung wirken besonders abschreckend. Der Betrüger dringt genau in dieses Vakuum aus Unwissenheit und Angst ein.

Es gibt zwei Hauptwege, auf denen der falsche Regierungsvertreter operiert: die 'Peitsche' und das 'Zuckerbrot'. Die 'Peitsche' erscheint in Form einer Nachricht über dringende Schulden, eine bevorstehende Pfändung oder ein Bußgeld wegen fehlender Meldung. Hier ist der Motor der psychologische Druck. Das 'Zuckerbrot' ist subtiler – eine Nachricht über eine 'Steuerrückerstattung', die auf den Bürger wartet. Die Euphorie über einen kleinen 'Sieg' gegen das System führt oft zu unüberlegtem Handeln, und das Opfer eilt herbei, um persönliche Daten und Kreditkartendetails einzugeben, um 'das Geld zu erhalten'.

Gerade die Bemühungen des Staates, seine Dienste digital zugänglich zu machen – die Initiative 'Digitales Israel', die Webseite Gov.il und Zahlungs-Apps – haben den Betrügern die perfekte visuelle Infrastruktur geliefert. Sie kopieren das Logo, die Farben und die exakten Schriftarten und erzeugen eine Täuschung, die bei einem flüchtigen Blick auf den Telefonbildschirm nur schwer zu widerlegen ist.

Das folgende Szenario ist ein Lehrbeispiel, das auf gängigen Betrugsmustern basiert. Die Personen und Ereignisse dienen lediglich der Veranschaulichung.

Der Fall Dalia: Ein Traum von einer Rückerstattung, der zum finanziellen Albtraum wurde

Dalia (Name geändert), Inhaberin eines kleinen Blumenstudios, war mitten in einem geschäftigen Arbeitstag. Ihr Telefon vibrierte auf dem Schreibtisch, und auf dem Bildschirm erschien eine SMS, deren Absender als 'IL-TAX' identifiziert wurde.

'Guten Tag Dalia, es wurde festgestellt, dass Sie Anspruch auf eine Steuerrückerstattung in Höhe von 2.450 NIS für das vergangene Steuerjahr haben. Um die Erstattung direkt auf Ihr Konto zu erhalten, aktualisieren Sie bitte die Zahlungsdaten über den beigefügten Link: https://gov-il-tax-refund.top/login'

'Endlich läuft mal etwas zu meinen Gunsten', dachte Dalia. Sie erinnerte sich, früher von Erstattungsansprüchen gehört zu haben, und die Summe erschien ihr plausibel. Sie klickte auf den Link. Die Seite, die sich öffnete, sah exakt aus wie die staatliche Website. Dort waren das Staatswappen, Links zu 'Kontakt' und 'Bürgerinformation' sowie eine Aura vollkommener Glaubwürdigkeit.

Dalia wurde aufgefordert, ihre Personalausweisnummer, ihr Geburtsdatum und anschließend ihre Kreditkartendaten, einschließlich der CVV-Nummer auf der Rückseite, 'zur Überprüfung und Überweisung der Gutschrift' einzugeben. Sie tippte die Daten schnell ein, bestätigte und erhielt die Meldung: 'Ihr Antrag wurde entgegengenommen und wird innerhalb von 3 Werktagen bearbeitet. Vielen Dank.'

Dalias Lächeln verschwand zwei Stunden später. Während sie arbeitete, begannen SMS-Nachrichten von ihrem Kreditkartenherausgeber über signifikante Einkäufe und Bargeldabhebungen einzutreffen, die auf ihrem Konto getätigt wurden. Dalias Herz sank. Sie versuchte, den Kreditkartenherausgeber anzurufen, doch mit jeder Minute, die verging, wurden weitere Transaktionen auf dem Konto getätigt. Bis die Karte gesperrt wurde, war ein schwerer finanzieller Schaden von zehntausenden Schekeln entstanden – Gelder, die für den laufenden Geschäftsbetrieb bestimmt waren.

In einem solchen Szenario mag ein Mensch große Schuldgefühle empfinden und sich fragen, wie er auf eine solch offensichtliche Falle hereinfallen konnte. Es ist jedoch wichtig zu verstehen, dass dies kein einfacher Fehler ist, sondern das Ergebnis von Social Engineering in Bestform. Die Betrüger nutzten die tägliche Überlastung, das Vertrauen in staatliche Institutionen und den grundlegenden menschlichen Wunsch, das zu erhalten, was einem zusteht.

Die rechtliche Analyse: Können Möglichkeiten zur Geldrückgewinnung geprüft werden?

In solchen Fällen kann der Rechtsstreit an zwei Fronten geführt werden: gegen die Kriminellen (die normalerweise schwer zu finden sind) und gegen das Finanzinstitut – die Bank oder den Kreditkartenherausgeber. Hier kommt das Zahlungsdienstleistungsgesetz von 2019 ins Spiel.

Die zentrale Frage ist, ob das Ereignis als 'missbräuchliche Verwendung' eines Zahlungsmittels gilt. Das Gesetz legt fest, dass der Kunde bei einer unautorisierten Verwendung eines Zahlungsmittels durch eine nicht befugte Person einen erheblichen Schutz genießen kann. Es gibt jedoch einen Vorbehalt: Wenn festgestellt wird, dass der Kunde seine Daten 'grob fahrlässig' preisgegeben hat, kann die Haftung bei ihm liegen.

In ähnlichen Szenarien können Kreditkartenherausgeber argumentieren, dass die Preisgabe von Details auf einer gefälschten Website grobe Fahrlässigkeit darstellt. Dagegen kann geprüft werden, ob das Finanzinstitut seiner erhöhten Sorgfaltspflicht nachgekommen ist. Haben die Systeme ein ungewöhnliches Kaufmuster erkannt? Wurde vor signifikanten Käufen eine doppelte Authentifizierung (Strong Customer Authentication) durchgeführt? Das rechtliche Ergebnis hängt von den spezifischen Umständen jedes Einzelfalls ab.

Die Anatomie des staatlichen Betrugs

Um sich zu verteidigen, müssen wir die Technik verstehen. Identitätstäuschungsbetrug bei Regierungsstellen ist meist in klar definierten Schritten aufgebaut:

1. Wahl der staatlichen 'Marke'

Die Betrüger wählen Institutionen aus, die einen direkten finanziellen Bezug zum Bürger haben:

• Steuerbehörde: Steuerrückerstattungen, Bußgelder oder Schulden.
• Sozialversicherung: Renten oder Aktualisierung von Daten für Zahlungen.
• Post Israel: Nachrichten über Pakete, die beim Zoll liegen und eine Zollgebühr erfordern.
• Verkehrsministerium: Nachrichten über dringende Verkehrsbußen.

2. Erzeugung von Dringlichkeit

Das kritischste psychologische Element ist die Zeit. Eine Nachricht mit einer sehr kurzen Frist, wie 'Das Konto wird morgen gepfändet', veranlasst das Opfer, unter Druck und in einem Notfallgefühl zu handeln, was das kritische Urteilsvermögen ausschaltet.

3. Die technologische Fälschung – Phishing

Die Betrüger verwenden die Phishing-Technik. Sie erstellen eine Website, die Gov.il imitiert. Manchmal wird eine Domainadresse verwendet, die dem Original sehr ähnlich ist, aber eine kleine Änderung enthält, die bei einem flüchtigen Blick auf den Telefonbildschirm schwer zu erkennen ist.

4. Datenerfassung (Harvesting)

Das Ziel ist eine umfangreiche Datensammlung: Kreditkartennummer, Personalausweis und weitere Details. Diese Informationen können es später ermöglichen, weitere Aktionen im Namen des Opfers durchzuführen.

Die rechtliche Verantwortung: Zwischen Kundenfahrlässigkeit und der Sorgfaltspflicht der Bank

In Fällen, in denen Betrugsopfer ihre Optionen prüfen möchten, wird die rechtliche Struktur zum Schutz des Verbrauchers in Israel diskutiert.

Zahlungsdienstleistungsgesetz und die Definition von 'missbräuchlicher Verwendung'

Das Gesetz begrenzt in gewissem Maße die Haftung des Kunden für eine Verwendung seines Zahlungsmittels ohne seine Autorisierung. Der Emittent kann jedoch versuchen zu beweisen, dass seitens des Kunden Fahrlässigkeit vorlag, um die Haftung für die Rückerstattung der Gelder von sich zu weisen.

In diesen Rechtsstreitigkeiten kann argumentiert werden, dass in einer Welt des ausgeklügelten Social Engineering nicht immer erwartet werden kann, dass der Bürger jeden Betrugsversuch erkennt. Die Rechtsprechung prüft die 'erhöhte Sorgfaltspflicht' von Finanzinstituten – hätten sie ein ungewöhnliches Verhalten erkennen und in Echtzeit stoppen müssen? Wenn das Finanzinstitut bei der Erkennung verdächtiger Muster versagt hat, könnte ein Grund für eine Haftungsauferlegung gefunden werden.

Besteht eine Verantwortung der staatlichen Behörde?

Diese Frage taucht oft auf. Grundsätzlich haftet der Staat nicht für die Taten von Betrügern, die seinen Namen fälschen. Dennoch kann geprüft werden, ob die Behörde ihrer Pflicht nachgekommen ist, die Öffentlichkeit angemessen vor bekannten Betrugswellen zu warnen. Es handelt sich hierbei um eine komplexe rechtliche Analyse der Sorgfaltspflichten staatlicher Behörden.

Wie agiert der Staat wirklich? Der Unterschied zwischen Wahrheit und Fälschung

Das Verständnis der Arbeitsabläufe von Regierungsstellen ist ein zentrales Schutzinstrument:

1. Die Domain-Endung

Eine offizielle staatliche Website in Israel endet immer auf .gov.il. Adressen, die auf andere Endungen enden, sollten sofort Misstrauen erregen.

2. Abfrage von Kreditkartendaten

Behörden wie die Steuerbehörde oder die Sozialversicherung fragen meist nicht per SMS nach Kreditkartendaten zwecks 'Erhalt einer Rückerstattung'. Gutschriften erfolgen meist direkt auf das im System bekannte Bankkonto. Die Aktualisierung sensibler Daten erfolgt in der Regel über den gesicherten persönlichen Bereich, der eine offizielle staatliche Identifizierung erfordert.

3. Persönliche Ansprache

Offizielle Nachrichten neigen dazu, eine Anrede mit vollem Namen zu enthalten, wobei zu beachten ist, dass Betrüger in manchen Fällen auch an diese Informationen gelangen können.

4. Der persönliche staatliche Bereich

In jedem Zweifelsfall wird empfohlen, nicht auf Links in Nachrichten zu klicken, sondern eigenständig auf www.gov.il zuzugreifen und die Details im gesicherten persönlichen Bereich zu prüfen. Dort werden tatsächliche Zahlungsaufforderungen oder Ansprüche angezeigt.

Was tun, wenn ein Betrugsverdacht aufkommt?

Im Falle einer Falle ist die Geschwindigkeit der Reaktion von entscheidender Bedeutung:

1. Sofortige Stornierung: Dringende Kontaktaufnahme mit dem Callcenter des Kreditkartenherausgebers oder der Bank zur Sperrung des Zahlungsmittels.
2. Dokumentation: Speichern von Screenshots der Nachricht, der Website und der verdächtigen Bewegungen auf dem Konto zu Beweiszwecken.
3. Polizeianzeige: Einreichen einer Anzeige (auch online möglich), die ein wesentlicher Schritt bei der Klärung gegenüber den Finanzinstituten ist.
4. Datensicherheit: Änderung von Passwörtern auf sensiblen Websites, falls identifizierende Informationen preisgegeben wurden.
5. Prüfung rechtlicher Möglichkeiten: Sollte ein signifikanter Schaden entstanden sein und das Finanzinstitut die Geldrückerstattung verweigern, wird empfohlen, die vorhandenen rechtlichen Werkzeuge je nach Umständen zu prüfen.

Fazit: Wachsamkeit gegenüber Identitätstäuschung

Identitätstäuschungsbetrug bei Behörden ist eine zynische Ausnutzung des Vertrauens in das Regierungssystem. Je digitaler die öffentlichen Dienstleistungen werden, desto mehr Wachsamkeit ist erforderlich. Es ist wichtig daran zu denken, dass der Staat meist auf geregelten Wegen agiert, eine angemessene Reaktionszeit ermöglicht und keine sensiblen Daten auf nicht gesicherten Wegen verlangt.

Die beste Waffe ist Wissen und das Verzögern der sofortigen Reaktion auf den Druck, den die Betrüger erzeugen. Im nächsten Kapitel analysieren wir weitere Verhaltensmuster, die auf der Erzeugung eines künstlichen Dringlichkeitsgefühls basieren.

Warnsignale (Red Flags)

• Nachricht von einer Regierungsstelle, die einen direkten Link zur Eingabe von Zahlungsdaten enthält.
• Website-Adresse, die nicht auf .gov.il endet.
• Verwendung einer drohenden Sprache oder das Versprechen einer schnellen finanziellen Rückerstattung im Austausch gegen die Preisgabe von Daten.
• Aufforderung nach einem Sicherheitscode (CVV) für den Erhalt einer finanziellen Gutschrift.
• Formulierungen, die nicht offiziell sind, oder sprachliche Fehler.

Was ist sofort zu tun?

• Vermeidung des Klickens auf den Link oder der Eingabe von Daten.
• Eigenständige Prüfung im persönlichen Bereich auf der offiziellen Regierungswebsite.
• Im Falle der Offenlegung von Daten: Sperrung des Zahlungsmittels und Meldung an das Sicherheitszentrum der Bank.
• Einreichen einer offiziellen Anzeige bei der Polizei.

Rechtlicher Aspekt

• Zahlungsdienstleistungsgesetz: Bildet den Rahmen für den Kundenschutz bei Fällen missbräuchlicher Verwendung.
• Sorgfaltspflicht: Prüfung der Fähigkeit des Finanzinstituts, den Schaden durch Überwachungsmittel zu verhindern.
• Haftungsbegrenzung: Prüfung des Anspruchs des Kunden auf Geldrückerstattung gemäß den Umständen des Falles und der Einhaltung der Meldepflicht.