Ein Anruf von einer unterdrückten Nummer, die Ankündigung eines verdächtigen Vorgangs und anschließend QR-Codes, die in der App bestätigt werden sollten: In dem von RTL geschilderten Fall wurde jeder Schritt als Schutzmaßnahme dargestellt. Dennoch trug er dazu bei, dass 10 000 Euro veruntreut wurden. Der Fall zeigt, wie ein Telefonbetrug legitime digitale Werkzeuge nutzen kann; in den konsultierten Quellen wird kein LuxTrust-Hack erwähnt.
Durch den Zeitdruck wird das Opfer zur Ausführenden
RTL berichtet, dass Marc – ein von der Redaktion geänderter Vorname – gerade Auto fuhr, als sich ein Anrufer als LuxTrust-Mitarbeiter ausgab. Er erzählte ihm von einer verdächtigen Überweisung über 750 Euro nach Rumänien und bot an, sie zu stoppen. Der Kontakt zog sich über zwei Tage hin: Der falsche Berater erklärte, Marc müsse ein Verfahren befolgen, um den Vorgang zu stornieren und die Bankkarten zu sperren.
Der Bericht schildert mehrere Handlungen, die jeweils als Sicherheitsschritt dargestellt wurden. Marc gab Passwörter und persönliche Daten weiter, scannte anschließend per E-Mail erhaltene QR-Codes und bestätigte Vorgänge in seiner LuxTrust-App. Außerdem füllte er ein Formular aus und übergab seine Karten einem Mann, der sie abholte. Am nächsten Tag teilte ihm seine Bank mit, dass von jeder seiner beiden Karten 5 000 Euro abgebucht worden waren, insgesamt also 10 000 Euro. Er kontaktierte seine Bank und erstattete Anzeige; zum Zeitpunkt der Reportage war eine Rückerstattung nicht sicher.
Der Mechanismus beruht weniger auf einer technischen Meisterleistung als auf einer schlüssigen Inszenierung. Der Gesprächspartner kündigt eine Bedrohung an, gibt sich als jemand aus, der sie abwenden kann, und erklärt selbst, was zu tun ist. Der Druck lässt weniger Zeit zur Überprüfung; die wiederholten Anrufe erwecken den Eindruck, dass ein Fall bearbeitet wird. Ein vertrauter QR-Code oder eine bekannte App machen eine Aufforderung für sich genommen nicht legitim: Entscheidend ist, welche Handlung man bestätigen soll.
Wenn persönliche Daten den falschen Anruf glaubwürdig machen
LuxTrust beschreibt Vishing als eine Form des Phishings per Telefon: Der Betrüger gibt sich als vertrauenswürdige Organisation aus, um an sensible Informationen zu gelangen oder die betroffene Person zu einer Handlung zu bewegen. Als häufige Mittel nennt das Unternehmen Zeitdruck, Angst und erfundene Sicherheitswarnungen. Es warnt außerdem vor Phishing per E-Mail oder SMS sowie vor Quishing, bei dem ein QR-Code zu einer gefälschten Website führt oder eine schädliche Handlung auslöst.
Diese Techniken können aufeinander folgen. Wer bereits auf eine Nachricht geantwortet oder Daten auf einer betrügerischen Website eingegeben hat, kann anschließend einen Anruf erhalten, der mit dem Vorfall in Verbindung zu stehen scheint. RTL erklärt, dass durch Phishing erlangte persönliche Informationen die Aussagen glaubwürdiger wirken lassen können. Diese scheinbare Stimmigkeit bestätigt jedoch nicht die Identität des Anrufers: Genaue Angaben zu einer Person beweisen nicht, dass ihr Gesprächspartner die von ihm genannte Organisation vertritt.
Im von RTL geschilderten Fall ist die Abholung der Karten zu Hause ein weiteres Warnsignal. LuxTrust erklärt, niemals jemanden zu schicken, um Bankkarten oder Authentifizierungsgeräte abzuholen. Das Unternehmen weist außerdem darauf hin, dass es weder telefonisch noch per E-Mail oder SMS nach Passwörtern, Einmalcodes oder PIN-Codes fragt. Diese Grundsätze bieten eine konkrete Möglichkeit, einen Anruf zu überprüfen, der sich als Sicherheitsmaßnahme ausgibt.
Das Verfahren abbrechen und wieder selbst die Initiative ergreifen
Die erste Vorsichtsmaßnahme besteht darin, ein während eines unerwarteten Anrufs vorgegebenes Verfahren nicht fortzusetzen. Geben Sie weder ein Passwort noch eine PIN oder einen Sicherheitscode weiter und bestätigen Sie keinen Vorgang in einer App, nur weil der Anrufer ihn als notwendig bezeichnet, um einen Betrug zu stoppen. Scannen Sie in diesem Zusammenhang auch keinen QR-Code, ohne zuvor seine Herkunft und das Ziel zu überprüfen, zu dem er führt.
Wenn Sie weiterhin Zweifel haben, beenden Sie das Gespräch und kontaktieren Sie die betreffende Organisation selbst über Kontaktdaten, die Sie auf ihrer Website oder in ihren offiziellen Unterlagen finden. So müssen Sie sich nicht auf die Nummer, den Link oder die E-Mail-Adresse verlassen, die Ihnen die Person genannt hat, die Sie kontaktiert hat. Die von RTL wiedergegebene Empfehlung von AXA geht in dieselbe Richtung: Wenn Zweifel an einer Nachricht bestehen, sollte man das Unternehmen direkt kontaktieren, statt einem verdächtigen Link zu folgen.
Wenn Sie bereits Informationen eingegeben oder weitergegeben haben, kontaktieren Sie umgehend Ihre Bank, um den Vorfall zu melden und Transaktionen oder Zugriffsversuche überprüfen zu lassen. Wurde Geld abgebucht, kann die Bank prüfen, ob ein Vorgang noch gestoppt oder eine Rückbuchung erreicht werden kann, ohne dass damit eine Rückerstattung garantiert ist. Eine Anzeige bei der Polizei ermöglicht es ebenfalls, den Vorfall zu melden und Ermittlungen zu unterstützen.
RTL berichtet, dass der Polizei im Oktober 66 Betrugsfälle gemeldet wurden, darunter falsche Anrufe, E-Mails und SMS. Diese Zahl bezieht sich auf die in dem Artikel erwähnten Meldungen; sie gibt weder sämtliche Betrugsversuche noch deren Entwicklung über einen längeren Zeitraum wieder. Für Leserinnen und Leser gilt als unmittelbare Faustregel: Wer vorgibt, ein Konto zu schützen, darf Sie nicht auffordern, Ihre Zugangsdaten preiszugeben, einen Vorgang blind zu bestätigen oder Ihre Karten einer anderen Person anzuvertrauen.
Quellen
- RTL Lëtzebuerg: Falscher LuxTrust-Anruf und Verlust von 10 000 Euro
- LuxTrust: Betrug erkennen und vermeiden
Ein eingehender Anruf auf einem Telefon. Symbolbild.
