Falsche Bank-Nachrichten
per SMS und WhatsApp

Weil das Handy SMS nach dem Absendernamen gruppiert und dieser Name nicht überprüft wird. Wenn Ihnen eine Bank schreibt, sehen Sie auf dem Display keine Telefonnummer, sondern einen Text: den Namen der Bank. Diesen Text legt der Absender selbst fest, und das SMS-System prüft nicht, ob er ihn verwenden darf. Wer sich als Ihre Bank ausgibt, trägt also genau denselben Namen ein, und Ihr Telefon, das beide nicht unterscheiden kann, sortiert die Nachricht in denselben Verlauf wie die echten Codes, die Sie seit Jahren erhalten. Genau das entwaffnet fast jeden: Der Verlauf ist echt, die Historie ist echt, und die letzte Nachricht wirkt wie eine von vielen. Wo eine SMS erscheint, beweist deshalb gar nichts. Entscheidend ist, was sie von Ihnen verlangt: Schickt sie Sie auf einen Link, zu einer Telefonnummer oder drängt sie zur Eile, dann ist es nicht die Bank.

Nein. Auch die Nummer, die beim Anruf angezeigt wird, lässt sich fälschen, und zwar mit Werkzeugen, die keinerlei Fachwissen erfordern. Dass die Servicenummer Ihrer Bank erscheint, sogar mit dem Namen, den Sie im Adressbuch gespeichert haben, heißt nur, dass jemand diese Nummer anzeigen lässt, nicht, dass der Anruf von der Bank kommt. Das ist der zweite Baustein desselben Betrugs: zuerst die SMS im gewohnten Verlauf, dann ein Anruf von der gewohnten Nummer, und beides zusammen wirkt wie eine gegenseitige Bestätigung. Ist es aber nicht, denn beides wird auf dieselbe Weise gefälscht. Auch die Frage „Woher weiß ich, dass Sie von der Bank sind?“ hilft nicht, denn darauf haben die Täter eine Antwort parat, manchmal mit Ihren echten Daten. Das Einzige, was funktioniert, ist, diesen Kanal zu verlassen: Legen Sie auf und rufen Sie selbst die Nummer auf der Rückseite Ihrer Karte oder die in der App Ihrer Bank an. War der Anruf echt, wird man es Ihnen dort bestätigen.

Es ist der letzte Teil des Drehbuchs und der, der den Betrug zu echtem Geldverlust macht. Man erzählt Ihnen, Ihr Konto sei kompromittiert, jemand versuche es leerzuräumen, und um es zu schützen, müsse das Guthaben auf ein „sicheres“, „Zwischen-“ oder „Verwahrkonto“ verschoben werden, bis alles geklärt ist. Mal bekommen Sie eine IBAN, mal werden Sie Schritt für Schritt durch eine Bizum-Zahlung oder Überweisung in Ihrer eigenen App geführt, mal sollen Sie Bargeld abheben. Dieses Konto gehört dem Anrufer. Keine Bank schützt Ihr Geld, indem sie Sie bittet, es selbst von Ihrem Konto abzuziehen: Erkennt sie wirklich ein Problem, sperrt sie Vorgänge oder Karten intern, ohne dass Sie etwas bewegen müssen. Die Überweisung machen Sie selbst, mit Ihren Zugangsdaten, von Ihrem Handy, und genau darum geht es den Tätern, denn so gilt der Vorgang als vom Kontoinhaber autorisiert. Die Regel gilt ausnahmslos: Wenn jemand Sie bittet, Geld zu verschieben, um es zu schützen, ist es Betrug.

Dieser Code ist Ihre Unterschrift. Die Bank schickt ihn, damit Sie einen bestimmten Vorgang bestätigen: eine Zahlung, eine Überweisung, eine Datenänderung oder die Registrierung Ihrer Karte auf einem anderen Handy, um damit zu bezahlen. Der Anrufer hat diesen Vorgang auf seiner Seite bereits gestartet, mit Daten, die er Ihnen vorher entlockt oder über eine gefälschte Website erbeutet hat, und es fehlt ihm nur noch der Code, der gerade bei Ihnen angekommen ist. Deshalb verlangt er ihn unter einem Vorwand: „um die verdächtige Abbuchung zu stornieren“, „um zu prüfen, dass Sie es sind“, „um die Überweisung abzubrechen“. Lesen Sie zuerst die ganze SMS: Oft steht dort genau, was Sie gerade autorisieren, und dass Sie den Code niemandem weitergeben sollen, auch nicht der Bank. Kein Mitarbeiter Ihrer Bank braucht einen diktierten Code, um etwas zu stornieren. Verlangt jemand ihn am Telefon, per WhatsApp oder auf anderem Weg, legen Sie auf. Ihn vorzulesen heißt, den Vorgang zu unterschreiben.

Behandeln Sie es als Fälschung. Das Logo einer Bank als WhatsApp-Profilbild und ihren Namen im Profil kann jeder einrichten: Dafür genügt eine neue Handynummer. Die Nachricht folgt meist demselben Drehbuch wie die SMS, mit einer verdächtigen Transaktion, einer drohenden Sperre oder einer ausstehenden Verifizierung, und schlägt vor, das Gespräch dort fortzusetzen, ein Foto der Karte oder des Ausweises zu schicken, auf einen Link zu tippen oder einen Anruf entgegenzunehmen. Dass das Profil offiziell aussieht, sagt nichts aus. Viel sagt dagegen aus, dass Ihre Bank Ihnen von einer unbekannten Nummer schreibt und unter Zeitdruck Daten verlangt. Falls Ihre Bank einen Messenger-Kanal nutzt, ist das in ihrer App oder auf ihrer offiziellen Website erklärt, deren Adresse Sie selbst eintippen. Im Zweifel antworten Sie nicht in diesem Chat: Öffnen Sie die App der Bank oder rufen Sie die Nummer auf der Kartenrückseite an und fragen Sie, ob es diesen Vorfall gibt.

Rufen Sie sofort Ihre Bank an, unter der Nummer auf der Kartenrückseite oder in der App, niemals unter der, die man Ihnen am Telefon genannt hat. Erklären Sie, dass Sie Opfer eines Betrugs geworden sind, welchen Vorgang Sie wann autorisiert haben, und bitten Sie darum, Karten und Zugänge zu sperren und die Überweisung zu stoppen oder zurückzuholen. Eine Garantie gibt es nicht, aber je früher Sie anrufen, desto besser stehen die Chancen. Ändern Sie danach von einem vertrauenswürdigen Gerät aus das Passwort fürs Onlinebanking und das Ihres E-Mail-Kontos, falls Sie es ebenfalls weitergegeben oder auf einer gefälschten Seite eingegeben haben. Bewahren Sie SMS, WhatsApp-Nachrichten und die Anrufliste auf: Löschen Sie nichts, das sind Ihre Beweise. Damit erstatten Sie Anzeige bei der Policía Nacional, der Guardia Civil oder den Mossos d'Esquadra. Die Hotline 017 von INCIBE berät kostenlos zu den nächsten Schritten. Haben Sie außerdem eine App installiert, um die man Sie gebeten hat, muss dieses Handy überprüft werden, bevor Sie es wieder fürs Banking nutzen.

Teilweise schon. Es gibt Vorschriften, die die Anbieter verpflichten, einen Teil der Anrufe und SMS mit gefälschten Nummern oder Absendern herauszufiltern, und die Banken selbst warnen immer häufiger vor diesen Maschen. Verlassen Sie sich aber nicht darauf, dass der Filter alles abfängt: Die Täter wechseln die Methode, sobald eine nicht mehr funktioniert, nutzen echte inländische Nummern, weichen auf WhatsApp aus oder kombinieren Kanäle. Ein Filter verringert, wie viele Nachrichten ankommen, ändert aber nichts daran, was Sie mit derjenigen tun müssen, die doch durchkommt. Außerdem hängt der Betrug nicht an der Technik, sondern am Gespräch: Den entscheidenden Schritt machen immer Sie, indem Sie einen Code vorlesen, auf einen Link tippen oder Geld überweisen. Deshalb sind die Regeln dieselben wie vor Jahren und funktionieren weiterhin: Die Bank fragt nicht nach Codes oder Passwörtern und lässt Sie kein Geld verschieben; Sie legen auf und rufen die Nummer an, die Sie schon hatten; Links in SMS werden nicht angetippt.

Mit drei kurzen Sätzen auf einem Zettel neben dem Telefon oder am Kühlschrank, denn im Moment des Anrufs erinnert sich niemand an einen langen Vortrag. Erstens: „Die Bank fragt nie nach Codes oder Passwörtern und lässt mich nie Geld verschieben.“ Zweitens: „Ruft die Bank an, lege ich auf und rufe selbst die Nummer auf der Karte an.“ Drittens: „Links in SMS tippe ich nicht an.“ Erklären Sie auch, warum die Nachricht im gewohnten Verlauf steht und der Anruf von der gewohnten Nummer kommt, denn genau das verunsichert vorsichtige Menschen. Und nehmen Sie die Scham aus der Sache: Sagen Sie, dass Ihnen zehn Rückfragen, ob etwas normal ist, lieber sind als eine Überweisung auf ein unbekanntes Konto. Im Unternehmen gilt dasselbe für alle, die Zahlungen abwickeln oder ein Firmenhandy haben: Niemand autorisiert Vorgänge aufgrund eines eingehenden Anrufs, und im Zweifel wird erst nachgefragt, bevor etwas passiert.