Betrugsversuch im Selbsttest: So funktioniert eine beliebte Scam-Methode

Donnerstagabend, gerade heimgekommen, vibriert mein Handy. Eine neue Person folgt mir auf Instagram. Keine Unbekannte, sondern eine Kollegin, von der ich eigentlich dachte, dass sie mir bereits auf dieser Plattform folgt. Vielleicht hat sie sich ein neues Konto erstellt? Ich denke mir nicht viel dabei und folge dem neuen Account zurück. Wenige Minuten später meldet sich mein Handy wieder. Besagte Kollegin, nennen wir sie Lisa, hat mir eine Nachricht geschickt: „Hallo, wie geht es dir? Ist es möglich, deine Nummer zu haben, bitte, es ist ein bisschen dringend?“

In dem Moment werde ich kurz stutzig. Zum einen, weil ich weiß, dass Lisa mir im Dialekt schreiben würde, wenn sie mit mir kommuniziert. Zum anderen, weil die grammatikalische Formulierung ihrer Frage nicht gerade nach jemandem klingt, der Deutsch als Muttersprache spricht, sondern vielmehr, als wäre ein Satz aus einer anderen Sprache direkt übersetzt worden.

Trotzdem bin ich neugierig und schreibe: „Was ist denn los?“ Die Antwort lässt nicht lange auf sich warten: „Nur mein Handy ist blockiert und der Kundendienst bittet mich, meinen PIN-Code bei jemandem zu erhalten und ich habe keinen anderen.“

Beweisbilder?

Als Beweis schickt Lisa noch zwei Screenshots. Auf dem Ersten ist ein gesperrtes iPhone zu sehen. Interessanterweise ist auf dem Sperrbildschirm sogar ein Foto von ihr als Hintergrundbild eingerichtet. Auf dem Bildschirm steht: „iPhone nicht verfügbar“ und „In neun Stunden erneut versuchen“. Auf dem zweiten Screenshot steht: „Code erforderlich? Geben Sie die Apple-ID ein, die Sie zum Zurücksetzen Ihres Codes verwenden möchten.“

Mir ist in diesem Moment schon längst klar, dass ich nicht mit Lisa kommuniziere, sondern mit einer Person, die offensichtlich versucht, unter einem Vorwand und durch die Vortäuschung einer falschen Identität an meine Telefonnummer zu kommen. Dabei ist die Behauptung, dass es um eine gesperrte Apple-ID geht, auf den ersten Blick gar nicht so unplausibel.

Die Lüge

Ohne funktionierenden Apple Account ist ein iPhone in vielen Bereichen nur eingeschränkt nutzbar. Wer Zugangsdaten vergisst oder ausgesperrt wird, kann über Apples Wiederherstellungsprozesse unter anderem Bestätigungscodes erhalten. Soweit wirkt die Geschichte zunächst nachvollziehbar.

Die Wahrheit

Doch im konkreten Fall spricht vieles dafür, dass es gar nicht um die Freischaltung einer Apple-ID geht. Stattdessen liegt nahe, dass die Person versucht, meine Telefonnummer als Zahlungsmethode im App Store zu verwenden. Dazu gibt sie meine Telefonnummer bei sich als Zahlungsmethode an. Wird die Abrechnung über die Handyrechnung eingerichtet, verschickt Apple einen Bestätigungscode an die angegebene Nummer. Genau diese Nachricht landet dann bei mir. Sie lautet:

„Teile diesen Code mit niemandem. Gib den Code ein, um Handyrechnung als Zahlungsmethode für Apple-Dienste zu bestätigen.“ An die Nachricht ist ein vierstelliger Code angehängt.

Die Masche setzt darauf, dass ich im Glauben, einer Kollegin zu helfen, meine Telefonnummer weitergebe, die SMS mit dem Bestätigungscode nicht genau durchlese und den Code anschließend ebenfalls weiterleite. In diesem Fall könnte die andere Person die Zahlung über meine Handyrechnung aktivieren. Käufe im App-Store, In-App-Käufe, Abos oder andere Apple-Dienste könnten dann unter Umständen über meine Mobilfunkrechnung abgerechnet werden.

Social Engineering

Offizielle Stellen und Apple selbst ordnen solche Fälle grundsätzlich dem Bereich „Social Engineering“ zu. Dabei versuchen Betrüger nicht in erster Linie, technische Sicherheitslücken auszunutzen, sondern Menschen unter Druck zu setzen, zu verunsichern oder zu einer schnellen Handlung zu bewegen. Besonders wirksam ist das, wenn die Nachricht scheinbar von einer bekannten Person kommt.

Warnung von Apple

Apple warnt ausdrücklich davor, Passwörter, Gerätecodes oder Bestätigungscodes an Dritte weiterzugeben. Das gilt auch dann, wenn der Code tatsächlich von Apple stammt. Genau darin liegt die Gefahr. Die SMS kann echt sein, der Anlass aber betrügerisch. Bei der Abrechnung über die Handyrechnung wird ein Einmalcode an die angegebene Mobilfunknummer geschickt. Wird dieser Code an eine fremde Person weitergegeben, kann damit eine Zahlung oder Zahlungsmethode bestätigt werden.

Auch österreichische Informationsstellen, wie onlinesicherheit.gv.at warnen vor ähnlichen Abläufen, etwa im Zusammenhang mit Apple Pay oder anderen Zahlungsdiensten. Das Muster ist dabei vergleichbar: Kriminelle veranlassen im Hintergrund eine echte Sicherheitsabfrage und bringen Betroffene anschließend dazu, den Code weiterzugeben. Die technische Prüfung wird damit nicht umgangen, sondern vom Opfer selbst bestätigt.

Nicht weitergeben

Schützen kann man sich vor allem durch eine einfache Regel: Sicherheitscodes, TANs und Bestätigungscodes werden niemals weitergegeben. Auch nicht an Freundinnen, Kollegen, vermeintliche Support-Mitarbeitende oder Familienmitglieder. Bei ungewöhnlichen Nachrichten sollte man die Person über einen zweiten Kanal kontaktieren, etwa per Anruf oder über eine bereits bekannte Telefonnummer. Außerdem empfiehlt es sich, die SMS genau zu lesen. In vielen Fällen steht darin bereits, wofür der Code tatsächlich verwendet wird.

Hilfe suchen

Wer betroffen ist und einen Code weitergegeben hat, sollte rasch handeln. Man kann den Mobilfunkanbieter kontaktieren, „Zahlen per Handyrechnung“ oder Drittanbieterdienste sperren lassen, die nächste Rechnung prüfen und unberechtigte Beträge beeinspruchen. Falls Apple-Zugangsdaten eingegeben wurden, sollte das Passwort sofort geändert und die Zwei-Faktor-Authentifizierung überprüft werden. Zusätzlich sollten Screenshots gesichert, das betroffene Social-Media-Profil gemeldet und im Schadensfall Anzeige erstattet werden.