Ich möchte euch von einem Erlebnis berichten, das mir kürzlich passiert ist – zur Warnung und Sensibilisierung für euch.
Seit dem Ledger Leak werde ich regelmäßig mit Phishing-Versuchen per Telefon, Post und E-Mail beglückt. Ich bin in Sachen Phishing also schon einiges gewohnt und entsprechend sensibilisiert.
Dachte ich jedenfalls. Aber was dann kam, hat alles Bisherige in den Schatten gestellt.
Der Anruf
Mein Mobiltelefon klingelt. Auf dem Display erscheint „Polizeiakademie Berlin“ mit einer Berliner Festnetznummer. Im weiteren Gesprächsverlauf überprüfe ich parallel die angezeigte Telefonnummer. Sie ist korrekt und gehört tatsächlich zur Berliner Polizei. Allerdings handelte es sich um einen Telefon-Phishing-Angriff. Die Telefonnummer war gefälscht, genauer gesagt: Die Betrüger hatten eine echte Telefonnummer der Polizei als Absenderrufnummer vorgetäuscht. Dieses Verfahren nennt sich Call-ID-Spoofing.
Eine Frau, die akzentfreies Deutsch sprach und vorgab, von der Polizei zu sein, verwickelte mich über mehrere Minuten in ein Gespräch. Die Gesprächsführung war äußerst professionell und sie verwendete entsprechendes Polizei- und Juristenvokabular.
Ich skizziere aus dem Gedächtnis den ungefähren Gesprächsverlauf:
Im Zusammenhang mit dem Drohnen-Vorfall in Leipzig sei eine Festplatte sichergestellt worden. Auf dieser habe man einen Datensatz mit zahlreichen persönlichen Informationen über mich gefunden, darunter sogar Bilder meines Personalausweises. Ich sei mutmaßlich Opfer eines Identitätsdiebstahls geworden. In dem Ermittlungsverfahren würde ich ausdrücklich nicht als Beschuldigter, sondern als Betroffener geführt. In den nächsten Tagen bekäme ich Post von meiner örtlichen Polizeidienststelle und könne anschließend auch Akteneinsicht erhalten. Aufgrund der Ernsthaftigkeit des Vorfalls wolle sie aber vorab einige Sicherheitsmaßnahmen mit mir abklären. Dann stellte sie mir eine ganze Reihe durchaus sinnvoll erscheinender Fragen zur IT-Sicherheit: Ob meine Geräte oder Konten kürzlich gehackt worden seien oder es entsprechende Versuche gegeben habe. Ob ich von Datenlecks betroffen sei. Ob ich sensible Daten in Cloud-Diensten gespeichert hätte. Ob mir ungewöhnliche Kreditkartenabbuchungen aufgefallen seien. Ob meine E-Mail-Konten unerwartet gesperrt worden seien. Ob ich Virenscanner verwenden würde. Und so weiter.
Die Dame ging dabei äußerst geschickt vor. Sie fiel weder mit der Tür ins Haus, noch setzte sie mich unmittelbar unter Druck. Stattdessen erfragte sie scheibchenweise Informationen und versuchte, Vertrauen aufzubauen. Ich antwortete zum Glück nur sehr zögerlich und oberflächlich, weil ich angesichts der ungewöhnlichen Art der Kontaktaufnahme von Anfang an misstrauisch war. Als sie dann erwähnte, dass man auch eine Seedphrase einer Krypto-Wallet gefunden hätte, habe ich den Braten gerochen und das Gespräch beendet.
Ich habe im Verlauf des Telefonats keine wichtigen Informationen preisgegeben, es ist nichts passiert und mir ist auch kein Schaden entstanden.
Trotzdem war ich im Nachhinein etwas über mich selbst schockiert, dass dieses Gespräch überhaupt stattgefunden hatte und die Tante mich rund zehn Minuten bei der Stange halten konnte.
Warum habe ich nicht sofort aufgelegt?
Drei Faktoren haben entscheidend dazu beigetragen:
- Die gefälschte Telefonnummer der Polizei.
- Ein gewisser Schockeffekt durch die Geschichte mit dem angeblichen Identitätsdiebstahl.
- Die äußerst professionelle und glaubwürdige Gesprächsführung.
Der eigentliche Türöffner war aber die Telefonnummer der Polizei. Ohne diese hätte das Gespräch gar nicht stattgefunden. Mir war bis dahin nicht bewusst, dass auch deutsche Festnetznummern auf diese Weise gefälscht werden können. Bei Telefonnummern aus dem Ausland, unbekannten Mobilnummern, unterdrückten Nummern oder mir unbekannten Nummern gehe ich meistens gar nicht erst ran und falls doch, rechne ich schon mit Betrügern oder Nervensägen. Aber eine tatsächlich existierende Telefonnummer der Polizei war eine andere Hausnummer. Das besonders Tückische daran: Ich habe die Telefonnummer während des Gesprächs überprüft, und sie war tatsächlich korrekt. Nur der Anruf kam eben nicht von dort. Eine einfache Google-Suche nach der angezeigten Telefonnummer bietet in so einem Fall also keinerlei Sicherheit. Das war für mich das nächste Level des Telefon-Phishings, mit dem ich bisher nicht gerechnet hatte.
Was kann man daraus lernen?
- Selbst wenn auf dem Display „Polizei“ steht und die angezeigte Telefonnummer tatsächlich einer Polizeidienststelle gehört, ist das kein Beweis dafür, dass der Anruf von dort kommt.
- Sich nicht durch irgendwelche Schock- oder Horrorgeschichten am Telefon ins Bockshorn jagen lassen. Auch wenn die Geschichte zunächst plausibel klingt.
- Bei verdächtigen Anrufen keine persönlichen Informationen preisgeben. Auch vermeintlich harmlose Fragen können dazu dienen, Informationen für weitere Betrugsversuche zu sammeln.
- Wenn jemand behauptet, von der Polizei zu sein: Namen und Dienststelle notieren, das Gespräch beenden und anschließend selbst bei der Dienststelle anrufen. Die Telefonnummer unbedingt unabhängig über eine offizielle Quelle recherchieren und nicht einfach eine vom Anrufer genannte Rückrufnummer verwenden.
,
