Betrug mit täuschend echten Nachrichten der Polizei ?

In manchen E-Mails wird Ihnen sogar eine Straftat vorgeworfen, unterzeichnet von Eric Snoeck, dem Generalkommissar der Föderalen Polizei, Michel Goovaerts, dem Korpschef der Polizeizone Brüssel-HAUPTSTADT Ixelles, einem Staatsanwalt usw. Viele dieser E-Mails sind jedoch Phishing-E-Mails, die von Cyberkriminellen versendet wurden. 

Zum Abschluss unserer #SCAM-Kampagne sprechen wir mit Kommissar Christophe Van Bortel und Hauptinspektor Tijl De Groot noch einmal ausführlich über das Phänomen „Phishing“. Beide sind Cyber-Experten: Christophe Van Bortel bei der Regional Computer Crime Unit (RCCU) der Föderalen Kriminalpolizei (FKP) in Antwerpen, Tijl De Groot bei der Local Computer Crime Unit (LCCU) der Polizeizone Brüssel-HAUPTSTADT Ixelles (POLBRU). 

Kommissar Van Bortel wurde in solchen E-Mails bereits mehrfach erwähnt. „Als ich meinen Namen zum ersten Mal in einer E-Mail auftauchen sah, war meine erste Reaktion: ‚Mein Name wird missbraucht, das ist ein Fall von Identitätsbetrug. Ich möchte Anzeige bei der Staatsanwaltschaft erstatten.‘ Das war aber gar nicht so einfach. Deshalb wollte ich dieses Phänomen auf andere Weise publik machen und beschloss, mich auf Sensibilisierung und Prävention zu konzentrieren“, erklärt der Kommissar. „Zufällig hat mich die Redaktion der Sendung WinWin von VRT-Radio 2 kontaktiert. Sie fragten, ob es stimme, dass die Namen echter Polizeibeamter missbraucht würden. Für die Fernsehausgabe der Sendung suchten sie nach verschiedenen Betrugsmaschen, die sich den Namen der Polizei zunutze machen. Mit mir hatten sie sofort einen Polizeimitarbeiter, der über diese Art von Missbrauch berichten konnte, und ich durfte im Gegenzug meine Botschaft vermitteln. Es war also im wahrsten Sinne des Wortes eine Win-Win-Situation für beide Seiten.“ 

Trotz der zahlreichen Aufklärungs- und Präventionsinitiativen tappen nach wie vor viele Menschen in die Phishing-Falle. „Wir sehen nicht immer den finanziellen Schaden, den Phishing verursacht“, meint Hauptinspektor De Groot. „Die Ziele der Kriminellen können sehr unterschiedlich sein. Wollen sie nur an persönliche Daten gelangen, oder geht es ihnen doch hauptsächlich um Geld und sie fordern zu einer Zahlung auf? Regelmäßig melden uns Menschen, dass sie eine E-Mail erhalten haben, die angeblich von Catherine De Bolle, Eric Snoeck oder unserem Korpschef stammt. Glücklicherweise kontaktieren sie uns meist, bevor sie in die Falle tappen. Dann ist alles ganz einfach, und wir müssen nur die Anzeige aufnehmen.“ 

„Ich habe schon erlebt, dass jemand durch Phishing einen hohen Betrag verloren hat“, erzählt Christophe. „Die Tochter eines Opfers hat mich kontaktiert, weil ihr Vater eine Phishing-E-Mail erhalten hatte. Darin forderten die Kriminellen einen Betrag so zwischen 7.600 und 8.000 Euro, den er zahlen müsse, um einer Strafverfolgung zu entgehen, also ein Bußgeld. Kurz nachdem er bezahlt hatte, kam eine Nachricht: Es ist doch noch nicht erledigt, jetzt müssen Sie 16.000 Euro zahlen, um nicht verhaftet zu werden. Er ahnte, dass etwas faul war, und vertraute sich seiner Tochter an. So landeten sie schließlich bei mir.“ 

Man fragt sich, wie es den Cyberkriminellen gelingt, dennoch Opfer zu finden. „Sie versenden Hunderte von E-Mails. Darin wird einem eine Straftat zur Last gelegt, meist Sexualdelikte. In der E-Mail wird behauptet, man müsse einen Betrag zahlen, um eine Geldstrafe oder ein Gerichtsverfahren zu vermeiden“, so der Kommissar weiter. „In einer anderen Variante wird behauptet, dass Ihr Computer gehackt wurde, und wenn Sie bezahlen, wird der Computer wieder freigegeben. Eigentlich ist es immer dasselbe. Man erzählt Ihnen eine Geschichte und hofft, dass Sie darauf hereinfallen und bezahlen.“ 

„Für einen Cyberkriminellen ist es ziemlich einfach, solche E-Mails zu versenden“, ergänzt Hauptinspektor De Groot seinen föderalen Kollegen. „Es gibt dafür Pakete, die relativ günstig sind. Selbst wenn nur ein kleiner Prozentsatz der Empfänger reagiert und in die Falle tappt, hat sich die Investition schnell gelohnt. Meistens machen sie sogar noch Gewinn, ohne großen Aufwand.“ 

Wie erkennt man eine Phishing-E-Mail? 

„Wenn ich das erkläre, sage ich immer: Achten Sie vor allem sehr genau auf den Inhalt der Nachricht. Wenn Ihnen der kalte Schweiß ausbricht, sollten Sie kurz darüber nachdenken, was in dieser Nachricht steht. Meistens heißt es dort auch, dass Sie ganz dringend reagieren müssen. Stellen Sie sich folgende Fragen: Stimmt das? Woher stammt diese E-Mail? Wie kann ich das über offizielle Stellen überprüfen?“, erklärt Christophe. „Es gibt einfache Möglichkeiten, die Echtheit zu überprüfen. Wenn die Nachricht von der Polizei stammt, rufen Sie bei der lokalen Polizeistation an. Ober bei Ihrer Bankfiliale, wenn die Nachricht angeblich von der Bank stammt. Dort wird man Ihnen die Informationen sofort bestätigen oder dementieren.“ 

„An der E-Mail-Adresse des Absenders können Sie ebenfalls erkennen, dass etwas nicht stimmt“, fügt Tijl hinzu. „Auch wenn sich leider nicht mehr auf den ersten Blick erkennen lässt, ob die E-Mail-Adresse echt ist oder nicht. Unser Rat von früher, nämlich in der sichtbaren Kopfzeile die E-Mail-Adresse genau zu prüfen, ist inzwischen überholt. Die Technik ist mittlerweile so weit fortgeschritten, dass es sowohl für die Bürgerinnen und Bürger als auch für uns immer schwieriger wird, falsche E-Mail-Adressen zu erkennen. Ein Opfer hatte E-Mails erhalten, die scheinbar von seiner eigenen E-Mail-Adresse stammten. Diese Person war davon überzeugt, dass der Cyberkriminelle ihr E-Mail-Postfach gehackt hatte. Ich würde auch in Panik geraten, wenn ich plötzlich eine E-Mail erhalte, die so aussieht, als käme sie von meiner eigenen E-Mail-Adresse. In Wirklichkeit haben die Cyberkriminellen keinen Zugriff auf Ihr E-Mail-Konto. Das ist einfach nur Spoofing, d. h. Betrüger verwenden eine gefälschte Absenderadresse, damit man glaubt, dass die E-Mail von der eigenen E-Mail-Adresse oder einer anderen vertrauenswürdigen Quelle stammt. Spoofing-Profile lassen sich ziemlich einfach und günstig erstellen.“ 

TIPP: Überprüfen Sie die tatsächliche E-Mail-Adresse des Absenders, indem Sie mit der Maus über den Namen fahren. Dann wird die eigentliche Adresse angezeigt. Dennoch ist weiterhin besondere Wachsamkeit geboten: Betrügern gelingt es auch, echte E-Mail-Adressen täuschend ähnlich nachzubilden, manchmal mit nur minimalen Unterschieden. 

Ein Beispiel: Die offizielle E-Mail-Adresse der Polizei endet auf @police.belgium.eu, aber wir haben bereits Phishing-E-Mails von der Domäne @poli.ce.belgium.eu gesehen. 

Oft enthält die Nachricht noch Links, auf die Sie klicken müssen, um Ihre Daten zu bestätigen. Grundsätzlich beginnt eine vertrauenswürdige Webadresse (URL) mit „https“, eine etwas weniger vertrauenswürdige mit „http“. Leider trifft das nicht mehr immer zu. Wenn Sie jedoch mit der Maus über die Adresse fahren, sehen Sie, dass die URL überhaupt nicht auf die Website der Einrichtung verweist, die in der Nachricht angegeben ist. Eigentlich gibt es nur eine goldene Regel: Klicken Sie NIE auf den Link in der Nachricht, sondern gehen Sie direkt auf die offizielle Website der Organisation. 

„Heutzutage kann es schon gefährlich sein, eine E-Mail zu öffnen. Früher lautete der Rat: Es schadet nicht, die E-Mail zu öffnen, solange man nicht auf den Link klickt. Jetzt kann es vorkommen, dass eine E-Mail mit Malware infiziert ist“, warnt Tijl. „Möglicherweise steckt diese in einer PDF-Datei, in einem Anhang oder Ähnlichem. Deshalb ist es ratsam, ein gutes Antivirenprogramm auf dem Computer zu installieren. Seien Sie einfach vorsichtig, denn auch hier gilt: Vorbeugen ist besser als heilen.“ 

Ein weiteres, noch recht junges Phishing-Phänomen ist der Recovery-Scam. Kurz gesagt erhalten Sie von Cyberkriminellen, die Sie bereits um Geld betrogen haben, erneut eine Phishing-E-Mail. Darin behaupten die Betrüger, sie hätten mitbekommen, dass Sie Opfer eines Phishing-Angriffs geworden sind – und bieten Ihnen Hilfe an, um Ihr Geld zurückzuerhalten. In Wirklichkeit ziehen Sie Ihnen noch mehr Geld aus der Tasche. 

Und wenn Sie zum Opfer werden? 

Jeden Tag tappen Menschen in die Falle. Oft trauen sie sich nicht, Anzeige bei der Lokalen Polizei zu erstatten, weil sie sich schämen, dass sie darauf hereingefallen sind. 

„Cyberkriminelle missbrauchen Ihr Vertrauen. Wer ihnen auf den Leim geht, ist deshalb nicht dumm“, heißt es einstimmig. „Nicht einmal naiv. Die Opfer trifft keine Schuld. Verantwortlich ist der Kriminelle.“ 

„Wir finden es bedauerlich, dass sich die Menschen nicht trauen, Anzeige zu erstatten. Dadurch entsteht eine Dunkelziffer, die wir nicht kennen. Ein zweiter Grund, den wir oft hören: ‚Wir erstatten keine Anzeige, weil es nichts bringt. Unser Geld sehen wir eh nie wieder.‘ Aber das stimmt nicht. Übrigens widmet die Politik auch dieser Problematik immer mehr Aufmerksamkeit. So sind Banken seit Kurzem verpflichtet, den entstandenen Schaden zu erstatten“, erklärt Kommissar Van Bortel. „Die Bedeutung der Anzeige liegt darin, dass sie genau das entscheidende Puzzleteil sein kann, mit dem es uns gelingt, eine kriminelle Organisation zu zerschlagen.“ 

„Ich verstehe, dass man Angst oder Scham empfindet, wenn man zur Polizei geht, weil man befürchtet, dort schief angeschaut zu werden“, meint Hauptinspektor De Groot. „Deshalb können Bürgerinnen und Bürger jederzeit über ‚Police on Web‘ Anzeige erstatten. Das kann ein erster Schritt sein. Ich persönlich rate davon ab. Daran ist nichts falsch, aber diese Meldungen werden meist nur während der Bürozeiten bearbeitet und die Informationen darin reichen oft nicht aus. Das Opfer muss sowieso noch persönlich vorbeikommen. In solchen Fällen ist Schnelligkeit das A und O. Je früher wir davon erfahren, desto schneller können wir handeln. Insbesondere in Gemeinden oder Städten, in denen es – wie in meiner Polizeizone POLBRU – eine LCCU gibt, stehen Fachleute zur Verfügung, die den Fall direkt in Angriff nehmen können. Unser Personal am Empfang weiß, dass es uns gibt. Außerdem geben wir ihnen Tipps und erklären den Polizeibeamten unter anderem, wie sie eine Anzeige ordnungsgemäß aufnehmen. Die kleineren Polizeizonen, in denen es keine LCCU gibt, leiten ihre Informationen an eine RCCU wie die von Christophe weiter, die sich dann darum kümmert.“ 

„Ich möchte noch hinzufügen, dass man seine Bank sofort benachrichtigen muss, wenn man Geld überwiesen hat“, erklärt Christophe. „Die meisten Banken verfügen über eine Betrugs-Hotline, die rund um die Uhr, sieben Tage die Woche erreichbar ist. Eine Übersicht über die verschiedenen Nummern finden Sie im Flyer von Febelfin. Die Banken können bereits erste Schritte unternehmen, um die Überweisung zu stoppen oder andere Banken zu benachrichtigen und die Weiterleitung zu verhindern. Dann haben Sie mehr Zeit, um einen Termin bei der Polizei zu vereinbaren und Anzeige zu erstatten. Seit Montag, dem 22. Juni geht das sogar noch einfacher und schneller. Die Nummer von Card Stop ist nun FraudStop. Sie können Ihre Bank jetzt auch unter der Nummer 078 170 170 erreichen, wenn Sie glauben, dass Sie Opfer eines Phishing-Angriffs geworden sind.“ 

Sowohl Christophe als auch Tijl legen großen Wert auf Prävention und Sensibilisierung. „Prävention spielt ebenfalls eine Rolle. Man erklärt es dem Opfer, und das erzählt es der Tante, die es wiederum in ihrer Nachbarschaft weitergibt. Im Rahmen von Seniorflik bieten wir außerdem Kurse für Senioren an. Seit letztem Jahr informiere ich in Seniorenheimen über Cybersicherheit. Das macht großen Spaß. Es entsteht sehr viel Interaktion“, erzählt Tijl. 

„Ich halte oft Vorträge in Schulen und Vereinen“, ergänzt Christophe. „Ich habe intensiv an der #SCAM-Kampagne mitgewirkt und werde sehr oft von der Presse gebeten, über dieses und andere Themen im Bereich der Cyberkriminalität zu berichten.“