Phishing-Attacken nehmen dramatisch zu: „Der Schaden geht oft in die Hunderttausende“
Jeden Tag erhält die Regensburger Kanzlei Dr. Greger & Collegen zwei bis drei Mails von Phishing-Opfern. Die Fachanwälte kommen kaum mehr nach mit der Bearbeitung. „Wir müssen die Leute unbedingt sensibilisieren“, sagt Stephan Greger
Herr Greger, Betrug mit Konten und Karten hat stark zugenommen. Die Täter werden immer dreister und die Maschen raffinierter. 2023 gab es laut Handelsblatt bundesweit 14 Prozent mehr Fälle als im Jahr davor: 90 000 insgesamt. Warum entwickelt sich das so dramatisch?
Stephan Greger: Es lohnt sich einfach. Wir haben Klienten, deren finanzieller Schaden in die Hunderttausende geht. Außerdem ist es eine relativ anonyme Art der Kriminalität – und ortsunabhängig. Früher hat man eine Phishing-Mail wegen der Rechtschreibfehler auf den ersten Blick erkannt. Heute nicht mehr, denn die Phishing-Mails werden mit Hilfe von künstlicher Intelligenz, etwa mit ChatGPT, erstellt. Mittlerweile müssen auch wir als Profis dreimal hinsehen, ob das von der Bank kommt. Es gibt Anhaltspunkte, woran man es erkennt, zum Beispiel die E-Mail-Adresse der Bank.
In einem Fall aus Ihrer Kanzlei hat ein vermeintlicher Bankmitarbeiter, angeblich aus der Sicherheitsabteilung der DKB, einen Kontobesitzer angerufen, es gebe den Verdacht auf eine unautorisierte Geldüberweisung. Er kennt viele Daten der Person, sogar ihre letzten Ausgaben. Der Kontoinhaber gibt ihm die Zugangsdaten. Viermal wurden 2500 Euro abgehoben. Was sollten Kontoinhaber unbedingt beachten?
Greger: Man sollte bei so einer Nachricht skeptisch sein und genau hinschauen. Beim geringsten Zweifel sollte man sofort den Kontakt abbrechen und auf keinen Fall Daten weitergeben. Die Zugangsdaten zum Online-Banking sollte man ändern, denn die Kriminellen müssen im Vorfeld schon einmal auf dem Konto gewesen sein. Im Zweifel sollten Kontoinhaber immer selbst bei der Bank anrufen, beim Berater oder bei der Service-Hotline.
Welche Maschen nutzen die Phishing-Betrüger am häufigsten?
Greger: Erstens: Anrufe, dass etwas passiert sei. Zweitens: Bei Käufen auf kleinanzeigen.de wird verlangt, dass der Käufer eine Sicheres-Bezahlen-Funktion aktiviert. Er solle dort seine Bankdaten eingeben und dann noch einen SMS-Code verraten. Drittens: Pushnachrichten aufs Handy, dass Bankdaten aktualisiert werden müssten.
Wie viele Phishing-Fälle bearbeitet Ihre Kanzlei?
Greger: Täglich kommen zwei bis drei rein. Wir können sie gar nicht alle abarbeiten (Stephan Greger wirft einen Blick in die E-Mails). Da, wieder ein Phishing-Opfer! Die Person wurde auf der Buchungsplattform booking.com zur Bestätigung der Kreditkartendaten aufgefordert. Kriminelle haben 540 Euro abgebucht. Wenn die einmal am Konto sind, ist das fatal. Die können dort schalten und walten, wie sie wollen (Stephan Greger zeigt eine Liste mit Abbuchungen im Minutentakt). Das ist wie mit dem Enkeltrick. Wir müssen die Leute unbedingt sensibilisieren.
Ist das Risiko, auf einen Betrug hereinzufallen, bei reinen Internetbanken und Fintechs wie Trade Republic höher als bei den Kreditinstituten vor Ort?
Greger: Nein, auf keinen Fall. Das trifft auch Kreditinstitute vor Ort.
Wie sicher ist Paypal?
Greger: Da haben wir keine Fälle.
Bei welchen Banken gibt es auffallend viele Phishing-Vorfälle?
Greger: Bei unseren Fällen sind die DKB Berlin (Deutsche Kreditbank) und die Postbank überproportional vertreten. Wir wissen nicht warum.
Wer sind die Betrugsopfer?
Greger: Das zieht sich durch viele Altersgruppen und alle Berufsgruppen, von der Theologin über den Professor bis zum Malermeister.
Die Opfer stehen nicht schutzlos da. Die Bank ist verpflichtet, den Schaden zu ersetzen – wenn der Kontoinhaber nicht grob fahrlässig gehandelt hat. Wann hat man eine Chance, das Geld zurückzubekommen?
Greger: Phishing-Opfer sollten den Betrug bei der Bank melden und alles sperren lassen. Eine Anzeige bei der Polizei führt selten dazu, dass man das Geld wiederbekommt, denn die Täter sitzen im Ausland und gehen sehr geschickt und schnell vor. Geschädigte Kontoinhaber haben die Möglichkeit, von der Bank Schadensersatz zu erhalten, wenn sie die Zahlung nicht selbst autorisiert haben – was bei fast allen Betrugsfällen zutrifft. Wir ziehen sehr häufig vor Gericht. Grobe Fahrlässigkeit ist eine individuelle Frage. Das untersuchen wir und setzen die Ansprüche vor Gericht oder außergerichtlich durch. Ein Phishing-Opfer hat zum Beispiel monatlich immer nur drei Überweisungen getätigt. Dann hat es plötzlich 98 Zahlungsvorgänge innerhalb weniger Stunden gegeben. Da hätte das Sicherheitssystem der Bank anspringen müssen. Übrigens war in dem Fall von der sonst üblichen SMS-Nummer der DKB eine Betrugs-Nachricht gekommen.
Rechtliche Fragen rund um Geld und Finanzierung
Spezialisten: Fachanwalt Marcus Oliver Rietner (50) leitet das Phishing-Team der Kanzlei. Er hat mit Stephan Greger die Fragen beantwortet. Die Kanzlei Dr. Greger & Collegen beschäftigt sich mit allen rechtlichen Themen rund um Geld: von der gescheiterten Immobilienfinanzierung bis zum Kryptobetrug.
Phishing: Angreifer nutzen betrügerische E-Mails oder SMS, um an sensible Daten zu kommen.
Das Interview führte Marion Koller
