Der Brief sieht aus wie Post von der Bank. Logo, Anrede, ein QR-Code zur „Verifizierung“ des Kontos. Wer ihn scannt, landet auf einer Anmeldeseite, die ebenfalls aussieht wie die der Bank. Bis hierher ist die Masche bekannt, Mimikama hat über gefälschte Bankbriefe mit QR-Code mehrfach berichtet. Neu ist, was danach kommt: ein Anruf. Und auf dem Display steht dabei unter Umständen die echte Telefonnummer der Bank.
Kurz gesagt
Das Wichtigste in drei Punkten
- Der gefälschte Bankbrief mit QR-Code ist inzwischen nur noch der erste Schritt. Danach folgt ein Anruf angeblicher Bankmitarbeiter, teils unter der echten Rufnummer der Bank.
- Am Telefon sollen Betroffene angebliche Fehlüberweisungen „stornieren“ – durch Freigaben in der TAN- oder Banking-App. Genau diese Freigaben lösen die Überweisungen erst aus.
- Dokumentiert ist die Kette derzeit aus mehreren deutschen Bundesländern. Für Österreich haben wir eine vergleichbare Häufung bislang nicht gefunden – die Technik funktioniert aber überall gleich.
Ein Brief, ein Scan, ein Anruf am nächsten Tag
Am 31. August meldete das Polizeipräsidium Konstanz einen Fall, der die neue Abfolge in Reinform zeigt. Ein 44-Jähriger hatte am Freitag davor einen Brief erhalten, der angeblich von seiner Bank stammte und einen QR-Code zur „Verifizierung“ seines Kontos enthielt. Er scannte den Code und gab die Anmeldung über seine TAN-App frei. Damit hatte er den Tätern aus Sicht der Polizei bereits den Zugang geöffnet, aber noch kein Geld verloren.
Das erledigte der zweite Schritt. Am folgenden Tag rief ein Mann an, der sich als Mitarbeiter der „Betrugsabteilung“ der Bank ausgab. Die Rufnummer war laut Polizei gefälscht, sogenanntes Spoofing. Der Anrufer berichtete von angeblich unautorisierten Echtzeitüberweisungen und erklärte, zur Stornierung dieser Transaktionen müssten mehrere Aufträge in der TAN-App freigegeben werden. Der 44-Jährige tat das. Mit jeder Freigabe autorisierte er eine echte Echtzeitüberweisung auf Konten verschiedener Banken. Eine Schadenssumme nennt die Polizei nicht.
Die Kette in vier Schritten
So beschreibt die Polizei die dokumentierten Fälle. Der Schaden entsteht erst ganz am Ende.
Der Brief
Angeblich von der Bank, mit Logo und QR-Code zur „Verifizierung“ des Online-Bankings.
Die Fake-Seite
Der Code führt auf eine nachgebaute Anmeldemaske. Zugangsdaten und erste App-Freigabe landen bei den Tätern.
Der Anruf
Eine Stunde bis wenige Tage später. Angeblich die Bank, teils mit der echten Nummer im Display. Es gebe verdächtige Überweisungen.
Die „Stornierung“
Zum Rückgängigmachen soll man Vorgänge in der App freigeben. Jede Freigabe ist eine echte Überweisung.
Eine Bank storniert keine Überweisung, indem sie Sie am Telefon neue Aufträge freigeben lässt.
Warum das kein Konstanzer Einzelfall ist
Fast zeitgleich meldete die Polizei Steinfurt aus Nordrhein-Westfalen einen Fall aus Neuenkirchen, der am 27. August begann. Auch hier ein Brief, angeblich von der Hausbank, mit QR-Code zur Verifizierung der Daten. Die Frau scannte, gab private Daten ein und landete auf einer Seite, die wie die ihrer Bank aussah. Etwa eine Stunde später klingelte das Telefon. Die angezeigte Nummer war laut Polizei identisch mit der ihrer Bank. Der Anrufer fragte, ob sie tagsüber mehrere Überweisungen getätigt habe, was sie verneinte, und forderte sie dann mehrfach auf, Vorgänge auf ihrem Handy zu verifizieren. Erst als sie danach selbst bei ihrer Bank anrief, flog der Betrug auf. Vier Überweisungen waren da schon durch, der Schaden liegt im hohen vierstelligen Bereich.
Dass die Kombination aus Brief und Anruf nicht erst Ende August aufgetaucht ist, zeigt eine Warnung des Polizeipräsidiums Südosthessen vom 11. August. Dort hatten sich in den Wochen davor mehrere Kundinnen und Kunden einer Bank in Dreieich-Offenbach gemeldet, weil sie entsprechende Schreiben erhalten hatten. In einigen Fällen folgten danach Anrufe angeblicher Sicherheitsmitarbeiter, die unter dem Vorwand einer Sicherheitsüberprüfung weitere Daten oder die Freigabe von Transaktionen verlangten. In Einzelfällen wurden laut Polizei tatsächlich Zahlungen autorisiert.
Am 1. September kam eine Meldung aus Brandenburg dazu, in der die Polizei selbst von einem „neuen Vorgehen“ der Täter spricht. Eine Frau hatte in Luckenwalde Anzeige erstattet: Zuerst ein scheinbares Schreiben ihrer Bank mit QR-Code, den sie scannte. Wenige Tage später rief ein vermeintlicher Bankangestellter an und erklärte, jemand habe versucht, einen fünfstelligen Betrag ins Ausland zu überweisen. Man könne das stornieren, wenn sie eine „Vorgangsstornierung“ in ihrer Banking-App bestätige. Sie tat es. Als sie später selbst bei der Bank nachfragte, war Geld abgebucht – laut Polizei derselbe Betrag wie die angebliche Auslandsüberweisung; in der Überschrift spricht die Polizei von mehreren tausend Euro Schaden.
Alle Angaben laut den jeweiligen Polizeimeldungen. Ob hinter den Fällen dieselbe Tätergruppe steht, geht aus den Meldungen nicht hervor.
Die richtige Nummer beweist nichts
Der stärkste Hebel dieser Masche ist die Telefonnummer. Wer nach dem Scan eines Bankbriefs einen Anruf bekommt und im Display die Nummer sieht, die auch auf der Bankkarte steht, hat wenig Grund zum Zweifel. Genau darauf setzen die Täter. Die angezeigte Rufnummer lässt sich technisch fälschen, das nennt sich Call-ID-Spoofing, und die Polizei Steinfurt weist ausdrücklich darauf hin, dass auch bekannte Nummern so manipuliert werden können. Die Nummer im Display sagt also nur, welche Nummer der Anrufer anzeigen lassen wollte. Nicht, wer anruft.
Dazu kommt, dass der Anruf glaubwürdig anknüpft. Wer gerade erst einen QR-Code gescannt und sich irgendwo angemeldet hat, findet es plausibel, dass die Bank Auffälligkeiten bemerkt hat. Der Anrufer bestätigt genau diese Sorge – und bietet gleich die Lösung an. Dass diese Lösung aus weiteren App-Freigaben besteht, fällt in dem Moment kaum auf.
Was die App wirklich tut, wenn Sie „stornieren“
Hier liegt der Punkt, an dem die Warnung „keine unbekannten QR-Codes scannen“ nicht mehr reicht. Eine TAN-App oder die Freigabefunktion einer Banking-App kennt kein „Stornieren“. Sie kennt nur: Diesen Auftrag freigeben oder nicht. Wenn die App einen Betrag, einen Empfänger, eine Überweisung oder die Aktivierung eines neuen Geräts anzeigt, dann wird mit der Bestätigung genau dieser Vorgang ausgelöst. Es gibt keine Freigabe, die etwas rückgängig macht.
Was der Anrufer sagt – und was die App tut
Derselbe Fingertipp, zwei völlig verschiedene Bedeutungen.
Was am Telefon behauptet wird
„Zur Stornierung bitte in der App bestätigen.“
- Es gebe unberechtigte Überweisungen von Ihrem Konto
- Die Betrugsabteilung könne sie zurückholen
- Dafür müssten Sie mehrere Vorgänge freigeben
- Das sei eilig, sonst sei das Geld weg
Was die Freigabe tatsächlich auslöst
Den Vorgang, der in der App steht. Nichts anderes.
- Steht dort eine Überweisung, geht das Geld raus
- Steht dort eine Geräteaktivierung, hat der Täter danach ein eigenes TAN-Gerät
- Eine Freigabe kann nichts stornieren, sie kann nur ausführen
- Echtzeitüberweisungen sind in Sekunden beim Empfänger
Lesen, was die App anzeigt – nicht, was der Anrufer sagt, das sie anzeigt.
Was wir wissen – und was nicht
Belastbar dokumentiert ist die Kette aus Brief, QR-Code, Fake-Seite und Anruf derzeit für Deutschland, mit Meldungen aus Hessen, Nordrhein-Westfalen, Baden-Württemberg und Brandenburg innerhalb von drei Wochen. Eine vergleichbare aktuelle Häufung für Österreich oder die Schweiz haben wir nicht gefunden. Das heißt nicht, dass es sie nicht gibt; gefälschte Bankbriefe mit QR-Code sind auch hierzulande seit Längerem im Umlauf, und der Telefonteil der Masche braucht keine Landesgrenze. Ob alle Fälle auf dieselbe Tätergruppe zurückgehen, lässt sich aus den Polizeimeldungen nicht ablesen. Dafür wären Angaben zu den verwendeten Bankmarken, Briefvorlagen und Phishing-Domains nötig, die die Behörden bislang nicht veröffentlicht haben.
Was sich sagen lässt: Die einzelnen Bausteine sind alt. Neu ist, wie eng sie verzahnt werden. Der Brief liefert den Zugang, der Anruf liefert den Vorwand, die App liefert die Unterschrift. Und die Person, die den Schaden erleidet, führt jeden dieser Schritte selbst aus, in der Überzeugung, gerade das Gegenteil zu tun.
Zum Mitnehmen
Drei Regeln, die diese Kette unterbrechen
- Kein Anruf entscheidet über eine Freigabe.Wer am Telefon zur Bestätigung in der App aufgefordert wird, legt auf. Egal, welche Nummer im Display steht.
- Die Bank selbst anrufen – über eine eigene Nummer.Nicht die Rückruftaste, nicht die Nummer aus dem Brief. Die Nummer von der Bankkarte oder aus der Banking-App.
- Schon freigegeben? Sofort sperren.Online-Banking und Karten sperren lassen, Bank wegen Rückruf der Zahlung kontaktieren, Anzeige erstatten.
Wie gefälschte QR-Codes grundsätzlich funktionieren und woran man Quishing-Briefe erkennt, steht in unserem Leitfaden zu QR-Code-Betrug.
