Übernahme von WhatsApp: Wenn Ihre Nummer nicht mehr Ihnen gehört

Stellen Sie sich vor, jemand tauscht das Schloss zu Ihrem Haus aus, während Sie sich noch darin befinden, und beginnt dann in Ihrem Namen Gäste einzuladen, sich Geld von den Nachbarn zu leihen und Ihren besten Freunden persönliche Geheimnisse zuzuflüstern – und das alles, während diese felsenfest davon überzeugt sind, dass Sie es sind. Im digitalen Raum des 21. Jahrhunderts ist unser WhatsApp-Konto weit mehr als nur eine Nachrichten-App; es ist der Hauptzugang zu unserem sozialen, beruflichen und persönlichen Leben. Wenn es uns entwendet wird, verlieren wir nicht nur ein Kommunikationsmittel, wir verlieren unsere Identität in den Augen unseres Umfelds.

Dieses Kapitel behandelt einen der häufigsten und schmerzhaftesten Betrugsfälle: das „Entführen“ eines WhatsApp-Kontos. Im Gegensatz zu komplexen Angriffen auf Bankserver ist die Hauptwaffe hier kein ausgeklügelter Software-Code, sondern ein tiefes Verständnis der menschlichen Psychologie. Es ist eine Geschichte über ausgenutztes Vertrauen, über einen einzigen Moment der Unachtsamkeit und über den rechtlichen und technischen Kampf, das Rad zurückzudrehen.

Das folgende Szenario ist ein lehrreiches Beispiel, das auf verbreiteten Betrugsmustern basiert. Die Personen und Ereignisse dienen lediglich der Veranschaulichung.

Eials Geschichte: Ein Code zu viel

Eial, ein geschätzter Bauunternehmer, saß eines Abends in seinem Wohnzimmer. Sein Telefon vibrierte. Eine Nachricht von Jossi, einem engen Freund aus der Armeezeit: „Eial, Bruder, mir wurde versehentlich ein WhatsApp-Bestätigungscode zugeschickt, der eigentlich für mich gedacht war. Kannst du ihn mir schnell weiterleiten? Ich stecke draußen fest und habe keinen Zugriff auf meine E-Mails.“ Eial dachte keine Sekunde darüber nach, als er im selben Moment eine SMS mit einem sechsstelligen Code erhielt. „Sicher Jossi, hier ist der Code: 482-193“, tippte er und schickte ihn ab.

Sekunden später wurde Eials WhatsApp-Bildschirm dunkel. Eine weiße Nachricht erschien in der Mitte: „Deine Telefonnummer ist auf diesem Gerät nicht mehr registriert.“ Eial versuchte, sich erneut anzumelden, aber die App verlangte einen Bestätigungscode. Er wartete auf die SMS, doch sie kam nicht. Er versuchte, Jossi anzurufen, aber die Leitung war besetzt. Er ahnte nicht, dass in diesem Moment der „Jossi“, der ihm die Nachricht geschickt hatte, in Wirklichkeit ein Hacker war, der kurz zuvor die Kontrolle über Jossis Konto mit exakt derselben Methode übernommen hatte.

In den folgenden Stunden begann Eials Welt auseinanderzubrechen. Seine Kunden erhielten dringende Nachrichten: „Hallo, ich stecke ohne Bargeld in einem Baumarkt fest, kannst du mir 2.000 NIS via Bit überweisen? Ich zahle es dir morgen früh zurück, wenn ich auf der Baustelle bin.“ Einige Kunden, die Eial als zuverlässigen und ehrlichen Menschen kannten, eilten sofort zur Hilfe. Eine von ihnen, eine ältere Frau, deren Haus er kürzlich renoviert hatte, überwies das Geld ohne Zögern. Als Eial endlich begriff, was geschah, war der Schaden bereits angerichtet. Nicht nur das Geld seiner Kunden war verloren, sondern auch der Ruf, den er sich über viele Jahre mühsam aufgebaut hatte. Er fühlte sich erniedrigt, bloßgestellt und vor allem – hilflos gegenüber dem digitalen System, das ihm die Türen verschlossen hatte.

Anatomie eines Betrugs: Wie geschieht das in der Praxis?

Eine Übernahme von WhatsApp ist meist das Ergebnis von „Social Engineering“. Der Angreifer bricht nicht in die Systeme von Meta (der Muttergesellschaft von WhatsApp) ein, sondern überzeugt das Opfer oder einen Dritten, ihm den „Eintrittsschlüssel“ auszuhändigen. Dieser Schlüssel ist der sechsstellige Bestätigungscode, den WhatsApp per SMS versendet, wenn versucht wird, das Konto auf einem neuen Gerät einzurichten.

Eine weitere verbreitete Methode ist die Übernahme über die Mailbox. Viele Angreifer agieren in den späten Nachtstunden. Sie geben die Telefonnummer des Opfers in ihrem eigenen Gerät ein und fordern den Erhalt des Bestätigungscodes per „Sprachanruf“ an. Da das Opfer schläft oder nicht antwortet, wird der Anruf auf die Mailbox weitergeleitet. Der Angreifer, der einfache Hacking-Dienste für Mailboxen nutzt (die oft durch Standard-Passwörter geschützt sind), hört die aufgezeichnete Nachricht ab, fischt den Code heraus und übernimmt das Konto.

Sobald der Angreifer Zugriff auf das Konto hat, ist sein erster Schritt die Einrichtung einer „Zwei-Faktor-Authentifizierung“ (Two-Step Verification). Er legt einen persönlichen PIN-Code und eine Wiederherstellungs-E-Mail-Adresse fest, die ihm gehört. Von diesem Moment an wird das System selbst dann, wenn das Opfer versucht, sich erneut mit seiner SMS anzumelden, den vom Angreifer festgelegten PIN-Code verlangen. Das Opfer bleibt für mindestens sieben Tage vom eigenen Konto ausgesperrt – eine Ewigkeit im Kontext digitaler Betrugsfälle.

Der rechtliche Aspekt: Haftung, Fahrlässigkeit und Datenschutz

Wenn ein solcher Fall rechtlich geprüft wird, lautet die erste Frage immer: „Wer könnte die Verantwortung für den Schaden tragen?“. Die Antwort ist komplex und verwoben mit dem Datenschutzgesetz (Gesetz zum Schutz der Privatsphäre) und dem Computergesetz. In Israel wird die rechtliche Haftung im Falle eines digitalen Betrugs anhand mehrerer Parameter geprüft, wobei die Frage der Fahrlässigkeit zentral ist.

Das Datenschutzgesetz legt fest, dass eine Verletzung der Privatsphäre unter anderem die Verwendung des Namens, des Bildes oder der Stimme einer Person zu Profitzwecken darstellt. Im Falle einer WhatsApp-Übernahme begeht der Angreifer sowohl eine schwere Straftat als auch eine zivilrechtliche unerlaubte Handlung. Doch da der Angreifer meist anonym ist oder aus einem fremden Land agiert, wird bisweilen die Haftung institutioneller Stellen geprüft: das Telekommunikationsunternehmen, das Kreditkarteninstitut oder die Apps, über die das Geld transferiert wurde.

Hier kommt die Frage des „Mitverschuldens“ ins Spiel. In einer allgemeinen rechtlichen Analyse der rechtlichen Möglichkeiten kann geprüft werden, ob der Kontoinhaber angemessen gehandelt hat. Könnte die Weitergabe eines Bestätigungscodes an eine unbekannte Person (oder sogar an einen Freund, ohne dessen Identität zu verifizieren) als Fahrlässigkeit gewertet werden? Das Gesetz für Zahlungsdienste regelt einen Großteil dieser Fälle. Es legt fest, dass die Haftung des Kunden im Falle einer „missbräuchlichen Nutzung“ von Zahlungsmitteln begrenzt sein kann, es sei denn, es wird nachgewiesen, dass der Kunde in betrügerischer Absicht gehandelt oder die Bestätigungsdetails unter Umständen weitergegeben hat, in denen er misstrauisch hätte sein müssen.

Es ist wichtig zu verstehen: Im Gegensatz zu Kreditkarten, bei denen eine „missbräuchliche Nutzung“ leichter zu definieren ist, ist der Schaden bei WhatsApp meist indirekt – Geld, das Freunde oder Kunden an den Angreifer überwiesen haben, in dem Glauben, Ihnen zu helfen. In solchen Fällen kann die Verantwortung der Bank geprüft werden, falls diese ein ungewöhnliches Überweisungsmuster nicht erkannt hat, doch die Beweislast ist erheblich. Die spezifischen Umstände jedes Falles, die Geschwindigkeit der Meldung und die Schritte, die der Kontoinhaber zu seinem Schutz unternommen hat, müssen untersucht werden.

Die Krise: Jenseits des finanziellen Verlusts

Der rechtliche Aspekt ist nur ein Teil des Bildes. Der psychologische und soziale Schaden ist oft bedeutender. In einem lehrreichen Szenario, das auf bekannten Fällen basiert, könnte ein Angreifer ein Konto übernehmen und beginnen, persönliche und sensible Informationen an Kontakte zu senden, während er Lösegeld fordert. Dies ist Erpressung in jeder Hinsicht und veranschaulicht, wie Informationen, die in unseren Chats vermeintlich verschlüsselt sind, zur Waffe werden können, sobald das Konto gehackt ist.

In solchen Fällen kommt die Polizei (Cyber-Einheit) ins Spiel. Die Einreichung einer Anzeige ist entscheidend, nicht nur zur Einleitung einer Ermittlung, sondern sie kann auch als Grundlage dienen, um gegenüber verschiedenen Stellen zu belegen, dass sich das Konto tatsächlich nicht in Ihrem Besitz befand. Ohne eine Bestätigung über die Anzeigenerstattung wird es schwieriger, gegen Kreditkartenabbuchungen oder Geldtransfers zu argumentieren, die in Ihrem Namen getätigt wurden.

Vorgehensweise: Was tun, wenn das Konto entführt wurde?

Wenn Sie feststellen, dass Ihr Konto nicht verfügbar ist, wird empfohlen, schnell zu handeln. Jede Minute, die der Angreifer im Konto ist, ist eine Minute, in der er weitere Personen betrügen oder sensible Informationen abziehen könnte.

1. Versuch der erneuten Registrierung

Sie können versuchen, WhatsApp aufzurufen und sich erneut mit Ihrer Telefonnummer anzumelden. Wenn der Angreifer noch keine Zwei-Faktor-Authentifizierung eingerichtet hat, könnte der SMS-Code, den Sie erhalten, ihn von seinem Gerät trennen. Wenn der Angreifer bereits einen PIN-Code eingerichtet hat, könnte das System eine Wartezeit von einigen Tagen verlangen.

2. Benachrichtigung der Kontakte (Social Vaccination)

Dies ist ein wichtiger Schritt, um Schaden von anderen abzuwenden. Veröffentlichen Sie auf jeder erreichbaren Plattform – sozialen Netzwerken, normalen SMS oder Telefonanrufen – dass Ihr WhatsApp gehackt wurde. Bitten Sie die Leute, nicht auf Nachrichten in Ihrem Namen zu antworten und unter keinen Umständen Geld zu überweisen.

3. Kontaktaufnahme mit dem WhatsApp-Support

Sie können eine E-Mail an support@whatsapp.com senden. Es wird empfohlen, dass der Betreff der E-Mail lautet: „Lost/Stolen: Please deactivate my account“. Im Text der E-Mail sollte die Telefonnummer im vollständigen internationalen Format angegeben werden. Die Deaktivierung des Kontos könnte verhindern, dass der Angreifer es weiterhin nutzen kann.

4. Trennung von WhatsApp Web

Wenn Sie noch teilweisen Zugriff haben, wird empfohlen, zu den Einstellungen -> Verknüpfte Geräte zu gehen und alle Geräte zu entfernen, die Sie nicht identifizieren können.

Prävention: Die digitale Schutzmauer

Im Laufe meiner beruflichen Tätigkeit habe ich feststellen müssen, dass die Nichtaktivierung der Zwei-Faktor-Authentifizierung eine erhebliche Sicherheitslücke darstellt. Dies ist ein einfacher Schritt, der die allermeisten Fälle von Übernahmen verhindern kann.

Wenn man eine Zwei-Faktor-Authentifizierung (Two-Step Verification) einrichtet, erstellt man einen persönlichen PIN-Code. Selbst wenn der Angreifer den SMS-Code erlangt hat (durch Betrug oder auf anderem Wege), wird er ohne den persönlichen PIN-Code nicht auf das Konto zugreifen können. Zudem ist es wichtig, eine Wiederherstellungs-E-Mail-Adresse zu hinterlegen und sicherzustellen, dass auch die E-Mail selbst gut geschützt ist.

Warnsignale – Wann sollte man misstrauisch werden?

• Code-Anfrage von einem Freund: Ein Freund oder Familienmitglied bittet Sie, einen Code weiterzuleiten, der Sie „versehentlich“ per SMS erreicht hat. Denken Sie daran: Ein Bestätigungscode ist persönlich und sollte an niemanden weitergegeben werden.
• Seltsame Nachrichten: Erhalt einer Nachricht von einer bekannten Person, aber in einem Schreibstil, der für sie untypisch ist.
• Dringende Geldforderung: Bitte um dringende Geldüberweisungen mit der Begründung eines Notfalls.
• Telefonanrufe zu ungewöhnlichen Zeiten: Anrufe von unbekannten Nummern aus dem Ausland, die sofort auflegen – manchmal ist dies ein Versuch, die Verfügbarkeit der Leitung für einen Sprachcode-Anruf zu prüfen.

Was ist sofort nach Entdeckung des Hacks zu tun?

• Polizei informieren: Eine Anzeige kann online auf der Website der israelischen Polizei erstattet werden. Dies ist ein wichtiges Werkzeug zur Dokumentation des Ereignisses.
• Bank und Kreditkartenunternehmen informieren: Falls die Befürchtung besteht, dass Zahlungsdaten offengelegt wurden, empfiehlt es sich, die Notwendigkeit einer Sperrung zu prüfen.
• E-Mail an den Support: Senden einer E-Mail zur Deaktivierung des Kontos wie oben erläutert.
• Überprüfung weiterer Konten: Es empfiehlt sich, die Konten sozialer Netzwerke und die E-Mail-Konten zu überprüfen und sicherzustellen, dass auch diese nicht gehackt wurden.

Rechtlicher Aspekt und Zusammenfassung

Der rechtliche Raum im Bereich Cyber in Israel befindet sich in ständiger Entwicklung. Heute lässt sich ein Trend erkennen, den wirtschaftlichen und emotionalen Wert „digitaler Vermögenswerte“ anzuerkennen. Die Übernahme eines WhatsApp-Kontos kann als Verletzung des Eigentums und der Privatsphäre angesehen werden. In einigen Fällen könnte möglicherweise ein Grund für eine Klage gegen Dienstanbieter geprüft werden, falls nachgewiesen werden kann, dass diese bei der Datensicherheit fahrlässig gehandelt haben.

Dennoch müssen wir uns daran erinnern, dass der beste Schutz Bewusstsein und vorsorgliche Achtsamkeit sind. Bei einer Verletzung können verschiedene rechtliche Optionen geprüft werden, wobei die Erfolgsaussichten auf das bestmögliche Ergebnis von den spezifischen Umständen des Falles abhängen. Die Dokumentation, die schnelle Meldung und professionelle Beratung sind bedeutende Werkzeuge im Umgang mit Ereignissen dieser Art.

Im nächsten Kapitel werden wir die Methode des „SIM-Swapping“ (SIM-Tausch) untersuchen – ein Betrugsszenario, bei dem die Kontrolle über den Telefonanschluss selbst seinem Besitzer entzogen wird.