„Den gesunden Hausverstand gebrauchen“
Auch in Oberkärnten werden wöchentlich Fälle von Delikten über das Internet, soziale Medien oder Messenger-Dienste bekannt. Gruppeninspektor Klaus Tamegger ist Bezirks-IT-Ermittler in Spittal. Mit dem „Volltreffer“ sprach er über Phishing, Bestell-Betrug, Sex-Erpressung und den Tochter/Sohn-Trick und wie man solchen Situationen begegnen kann.
OVT: Herr Tamegger, warum haben diese Betrügereien immer wieder Erfolg?
Klaus Tamegger: Cybercrime wie z. B. Hacking-Angriffe oder eine klassische Betrugssache haben eines gemeinsam: Die Täter bedienen sich dem sogenannten Social Engineering (etwa soziale Manipulation). Sie bringen Leute dazu das zu tun, was sie von ihnen wollen. Sie sind dabei geschickt im Umgang mit Menschen und wissen, wie sie manipulieren und mit möglichst wenig Aufwand ihr Ziel erreichen können. Oft müssen sie dazu nur ein Mail, WhatsApp oder SMS schicken. Wenn ich vorspiele, ich bin ein Sohn oder eine Tochter in Not, hat man hat das Bedürfnis seinem Kind zu helfen. Diese „Schwächen“ werden ausgenützt.
Wie finden sie ihre Opfer?
Es wird nicht gezielt nach Opfern gesucht. Sehr oft bekommen die Täter die Daten der Opfer über Daten-Leaks bei E-Mails oder den sozialen Medien. Wer überprüfen will, ob seine E-Mailadresse geleakt, gestohlen wurde: auf der Website haveibeenpwned.com kann man das ganz einfach feststellen.
Wer macht so etwas?
Die Täter können überall auf der Welt sein, in ehemaligen Ostblockstaaten, sehr viele sitzen in afrikanischen Staaten, wie Nigeria. Bis vor wenigen Jahren war Betrug dort nicht strafbar und es hat sich eine regelrechte Industrie entwickelt. Man kann sich den „Betrieb“ wie ein Callcenter vorstellen. Die Infrastruktur steht noch immer.
Was sind so die typischen Delikte?
Phishing, Sextorsion, Bestell-Betrug oder der Tochter/Sohn-Trick kommen häufig vor. Beim Phishing (engl. Angeln) wird z. B. ein Account-Inhaber kontaktiert und behauptet es gebe Unstimmigkeiten bei Sicherheitsfragen. Die Ansprache ist hier ganz allgemein gehalten: „Lieber Nutzer“, „Lieber Kunde“. Über einen Link wird man dann auf eine Phishing-Seite gelockt und der Schaden ist angerichtet. Verhindern kann man das, wenn man ganz einfachen Regeln folgt. Z. B. immer über die tatsächliche Internetseite der Bank einsteigen und niemals einen zugesandten Link verwenden.
Beim sogenannten „Spear-Phishing“ (engl. Speer-Fischen) wird eine bestimmte Person, z. B. ein Firmenmitarbeiter, angesprochen. Wenn man darauf hineinfällt, wird der ganze Rechner kompromittiert, es werden Daten verschlüsselt oder auch geleakt (engl. nicht autorisierte Veröffentlichung). Betriebe sollten ihre Mitarbeiter darauf schulen. Große Betriebe machen das, kleine und mittelständige Betriebe reagieren meist erst, wenn etwas passiert.
„Sextorsion“ - das ist Erpressung mit Sex-Videos. Davon haben wir im Jahr 40 bis 50 Fälle im Bezirk, die offiziell sind. Die Opfer sind Männer wie Frauen, der Jüngste war zwölf Jahre, der Älteste 80. Es fängt immer damit an, dass man in den sozialen Medien eine Anfrage annimmt, die man nicht kennt. Die Person bekommt damit Zugriff auf alle Kontakte, Freunde und Familie. Schnell beginnt ein Chat wobei man dazu gebracht wird, sich bei sexuellen Handlungen zu filmen. Das Video wird dann mitgeschnitten und sobald das Gegenüber das Nacktbild hat, wird der Chat gestoppt und die Erpressung beginnt. Meist sitzt nicht eine Dame gegenüber sondern ein Mann. Großteils laufen diese Chats schon automatisiert über ein Computerprogramm ab. Die Forderungen beginnen dann bei einigen Tausend Euro, lassen sich aber herunterhandeln. Bei Nichtzahlen werden die Videos aber tatsächlich veröffentlicht. Man ist auch hier nicht ganz wehrlos, muss aber herausfinden auf welcher Plattform die Video-Datei gelagert ist. Wenn es gelingt, das Video zu finden und zu löschen, geht die Erpressung meist nicht mehr weiter. Die Täter wollen stets mit wenig Aufwand ihr Ziel erreichen. Wenn etwas nicht funktioniert, gehen sie zum Nächsten.
Wo kann man sich Hilfe und Infos holen?
Es gibt mittlerweile einige sehr gute Internetseiten dafür. Hilfestellung und Anleitungen für Jugendliche, Lehrer und Schüler gibt es z. B. auf saferinternet.at. Die Seite watchlist-internet.at sensibilisiert und zeigt neue Bedrohungen und neue Maschen und gibt Auskunft, was man machen kann. Wenn Nacktfotos auftauchen oder bei Hass im Netz kann man sich beim Internet-Ombudsmann melden. Dieser ist über ombudsstelle.at zu erreichen und kann intervenieren und die Betreiber auffordern, das Bild zu löschen oder Postings vom Netz zu nehmen.
Generell gilt: Google ist dein bester Freund. Bei allen Sachen, die einem komisch vorkommen, braucht man nur einen Teil der Nachricht, der E-Mail oder des SMS bei Google eingeben. Die Suchmaschine spuckt in der Regel sofort aus, wenn es sich um eine Betrugsmasche handelt. Es ist das Einfachste, was jeder machen kann. Es wird auch sonst wegen jedem Schmarrn bei Google nachgeschaut. Das Gleiche gilt auch bei Verkaufsplattformen. Wenn ich dort noch nie eingekauft habe, gebe ich sie einfach bei Google ein. Was bei Verkaufsplattformen oft passiert, ist der sogenannte Vorschussbetrug. Man bezahlt zuerst, um eine Ware zu bekommen, die dann nicht geliefert wird. Häufig passiert das über „Willhaben“. Bei einer andren Masche beklagen die Täter bereits oft betrogen worden zu sein und verlangen sich „zur Sicherheit“ ein Foto des Reisepasses. Mit den Reisepass-Daten werden dann online-Konten erstellt und Gelder von Betrügereien geschleust.
Häufig liest man auch vom Tochter/Sohn-Trick.
Das geht so: Ein Kind befinde sich in einer Notlage und brauche Geld, um eine Kaution zu entrichten. Der Sohn oder die Tochter könne aber nicht selbst anrufen, habe kein Handy mehr, etc. Jemand kommt das Geld abholen und so weiter. Sobald ich so einen Anruf bekomme, rufe ich das Kind einfach unter der bekannten Nummer an. In der Regel sind sie erreichbar, dann falle ich darauf nicht hinein. Außerdem legt ein Gericht die Kaution fest, nicht die Polizei.
Kann man sagen, das Internet ist zu einem Selbstbedienungsladen geworden?
Nein, das nicht. Man kann alles sicher machen aber aufgrund der Bequemlichkeit werden viele Sachen nicht gemacht. Denn sobald ich Sicherheitsmaßnahmen einführe, habe ich eine gewisse Einschränkung, muss mich anmelden, habe ein komplexes Passwort. Vieles wird nicht gemacht, damit der Betrieb reibungslos läuft. Generell gilt: Man muss einfach skeptisch sein und den gesunden Hausverstand gebrauchen, sich fragen: Würde ich das im realen Leben auch so machen? Und wenn ich das nicht machen würde, muss ich die Finger davon lassen. Gebe ich einem Unbekannten ein Bild von meinem Reisepass? Gebe ich nicht! Gebe ich einem Unbekannten meine Kontodaten? Nein gebe ich nicht!
