WhatsApp-Betrug: „Bin gerade beim Zahnarzt“ – Geldforderung

Eine Nachricht von einem fremden Absender würde wahrscheinlich sofort misstrauisch machen. Schwieriger wird es, wenn sie von einer Freundin, einem Freund oder einem Familienmitglied kommt – aus dem bekannten WhatsApp-Chat, über die bekannte Nummer.

Eine derzeit kursierende Variante klingt sinngemäß so:

„Ich bin gerade beim Zahnarzt. Meine Karte funktioniert nicht und ich muss noch eine Rechnung bezahlen. Kannst du mir kurz aushelfen?“

oder

„Du, ich bin gerade beim Zahnarzt und habe ein riesiges Problem. Ich brauche dringend eine Zahnbehandlung, aber meine EC-Karte/Online-Banking funktioniert hier gerade nicht.“

Das klingt zunächst ziemlich alltäglich. Kein angeblicher Millionengewinn, kein Paket, das irgendwo festhängt. Jemand, den man kennt, hat gerade ein Problem und braucht kurzfristig Geld. Genau darin liegt die Gefahr.

Die Nachricht kann tatsächlich vom WhatsApp-Konto eines bestehenden Kontaktes kommen

Bei dieser Betrugsmasche müssen Kriminelle keine neue Nummer verwenden und sich auch nicht mühsam als Sohn, Tochter oder Freundin ausgeben. Sie können zuvor Zugriff auf ein echtes WhatsApp-Konto beziehungsweise eine damit verknüpfte Sitzung erhalten haben. Danach schreiben sie Kontakte des Betroffenen direkt über dessen Account an.

Für den Empfänger sieht zunächst alles normal aus: derselbe Name, dasselbe Profilbild und vor allem derselbe bereits bestehende Chatverlauf. Die bekannte Nummer ist deshalb in solchen Fällen kein ausreichender Beweis dafür, dass tatsächlich die bekannte Person schreibt.

Aber wie kommen Betrüger überhaupt in den echten WhatsApp-Account?

An dieser Stelle führt die Spur zu einer weiteren Betrugsmasche, vor der wir bereits gewarnt haben.

Kriminelle verschicken über bereits kompromittierte WhatsApp-Konten beispielsweise Einladungen zu angeblichen Online-Abstimmungen. Nutzer sollen für ein Kind, einen Wettbewerb oder eine andere harmlose Sache abstimmen.

Am Ende dieser vermeintlichen Abstimmung wird eine WhatsApp-Autorisierung verlangt. Dabei kann ein QR-Code oder ein Geräte-Verknüpfungscode eingesetzt werden.

Unsere Analyse des verwendeten QR-Codes zeigt, was technisch dahintersteckt: Der Code führt zur WhatsApp-Funktion „Verknüpfte Geräte“. Wer den Vorgang unter dem Vorwand einer Abstimmung bestätigt, kann damit ein zusätzliches Gerät mit seinem WhatsApp-Konto verbinden.

Dafür braucht es keine Malware und keinen technischen Exploit. Die Täter missbrauchen eine legitime WhatsApp-Funktion und bringen das Opfer durch Social Engineering dazu, die Verbindung selbst zu autorisieren. Gerade deshalb kann der Vorgang zunächst unauffällig wirken: Der entscheidende Link führt tatsächlich zu WhatsApp.

Wir haben auch die Rohdaten des QR-Codes untersucht. Neben diesem WhatsApp-Link ist darin kein weiterer versteckter Payload erkennbar. Die wiederkehrenden Bytes EC 11 EC 11 ... am Ende sind lediglich die standardisierten Füllbytes des QR-Codes.

Meta warnt ausdrücklich vor dem Missbrauch der WhatsApp-Geräteverknüpfung. Betrüger versuchen dabei, Nutzer unter einem falschen Vorwand zum Scannen eines QR-Codes oder zur Eingabe eines Verknüpfungscodes zu bewegen. Gelingt das, wird das Gerät des Täters mit dem WhatsApp-Konto verbunden.

Der Betrug beginnt für das nächste Opfer also möglicherweise erst mit dem Satz:

„Ich bin gerade beim Zahnarzt.“

Was davor passiert ist, hat ein anderer Mensch erlebt.

Wenn das eigene WhatsApp-Konto betroffen ist

Wer selbst auf eine verdächtige Abstimmung reagiert, einen QR-Code gescannt oder eine Geräteverknüpfung bestätigt hat, sollte in WhatsApp den Bereich „Verknüpfte Geräte“ kontrollieren.

Unbekannte Sitzungen sollten dort sofort entfernt werden. Anschließend sollte geprüft werden, ob bereits Nachrichten an eigene Kontakte verschickt wurden. Falls ja, sollten diese möglichst rasch gewarnt werden.

WhatsApp bietet außerdem eine zweistufige Verifizierung für das Konto an.

Fazit

Eine Nachricht wie „Ich bin beim Zahnarzt und meine Karte funktioniert nicht“ ist für sich genommen natürlich kein Beweis für Betrug.

Ungewöhnlich wird sie, wenn ein bekannter Kontakt plötzlich dringend Geld verlangt und eine direkte telefonische Überprüfung vermieden wird.

Der derzeit dokumentierte Betrugsablauf zeigt, warum man dabei auch einem bestehenden WhatsApp-Chat nicht blind vertrauen sollte: Kriminelle können zuvor Zugriff auf das Konto beziehungsweise eine verknüpfte WhatsApp-Sitzung erlangt haben und anschließend genau dieses Vertrauen ausnutzen.

Darum gilt bei unerwarteten Geldforderungen von Freunden oder Angehörigen: Erst direkt überprüfen, wer tatsächlich schreibt – dann überweisen.