„BANK: Überweisungsversuch über 1.249,00 € an einen unbekannten Empfänger. Falls diese Transaktion nicht von Ihnen stammt, unternehmen Sie nichts, ein Berater wird Sie zurückrufen."
Diese SMS hat eine gefährliche Besonderheit: Sie verlangt nichts von Ihnen. Kein Link zum Anklicken, kein Formular zum Ausfüllen, kein Code zum Eingeben. Sie erzeugt lediglich eine Angst – die Angst, sein Geld zu verlieren – und kündigt eine Lösung an, die von selbst kommt. Zwei Minuten später klingelt das Telefon. Auf dem Display erscheint die Nummer Ihrer Filiale, dieselbe, die auf der Rückseite Ihrer Bankkarte steht. Und in diesem Moment lässt das Opfer alle Abwehrmechanismen fallen.
Man nennt das den Betrug mit dem falschen Bankberater, sozusagen den „CEO-Betrug für Privatpersonen". Er zählt heute zu den kostspieligsten Betrugsmaschen für private Haushalte: Die erbeuteten Beträge bewegen sich selten im zweistelligen Euro-Bereich, sondern in den Tausenden, manchmal Zehntausenden. Die Banque de France und die Beobachtungsstelle für die Sicherheit von Zahlungsmitteln warnen regelmäßig vor diesem „Betrug durch Manipulation", bei dem das Opfer selbst die betrügerischen Transaktionen ausführt.
Warum diese SMS nicht wie ein Betrug wirkt
Klassische Smishing-Kampagnen – das angebliche Paket, das falsche Bußgeld, die gefälschte Krankenversicherungskarte – setzen alle auf einen präparierten Link. Wir haben gelernt, Links zu misstrauen. Die Betrüger haben sich angepasst.
Die SMS beim Betrug mit dem falschen Berater ist so gestaltet, dass sie sämtliche mentalen Filter passiert, die wir uns aufgebaut haben:
- Sie enthält keinerlei Link: Man kann also nicht „versehentlich klicken".
- Sie verlangt keine Daten: nichts einzugeben, also dem Anschein nach auch nichts zu stehlen.
- Sie fordert Sie ausdrücklich auf, nichts zu tun: Das wirkt paradoxerweise vertrauenerweckend. Ein Betrüger würde einen doch zum Handeln bringen wollen, denkt man.
- Sie erscheint häufig im bestehenden Nachrichtenverlauf Ihrer Bank, direkt im Anschluss an echte Bestätigungscode-Nachrichten.
Dieser letzte Punkt verdient eine Erklärung. In Frankreich verwenden geschäftliche SMS einen „alphanumerischen Absender": Statt einer Nummer liest man „MaBanque", „Ameli" oder „Colissimo". Dieses Feld ist nicht durchgängig authentifiziert: Ein Betrüger kann es über bestimmte internationale Gateways nach Belieben ausfüllen. Die Folge: Das Telefon, das Nachrichten nach Absendername sortiert, ordnet die falsche Nachricht bei den echten ein. Die betrügerische Nachricht erbt so die gesamte Glaubwürdigkeit, die über Monate legitimer Nachrichten aufgebaut wurde.
Die SMS ist nicht der Betrug. Die SMS ist die Inszenierung, die den Anruf glaubwürdig macht.
Der Anruf: dreißig Minuten gut eingespieltes Theater
Der darauffolgende Anruf ist das Herzstück der Masche. Er nutzt Call-ID-Spoofing: Die angezeigte Rufnummer wird gefälscht, sodass sie der Ihrer Bank entspricht. Seit dem Inkrafttreten des Naegelen-Gesetzes und des von der Arcep eingeführten Verfahrens zur Rufnummernauthentifizierung filtern die französischen Netzbetreiber einen Teil dieser gefälschten Anrufe heraus – doch es bleiben blinde Flecken, insbesondere bei Anrufen, die über ausländische Betreiber laufen.
Am anderen Ende der Leitung ist die Stimme ruhig, professionell, fast gelangweilt von der Routine. Sie fragt Sie nie nach Ihrem Passwort. Genau das macht sie glaubwürdig.
Schritt 1: Autorität aufbauen
Der falsche Berater stellt sich mit Namen, Personalnummer und mitunter einer Abteilung vor („Betrugsabwehr, Plattform Nantes"). Er nennt Informationen, die eigentlich nur er kennen dürfte: die letzten vier Ziffern Ihrer Karte, Ihr Geburtsdatum, den Namen Ihrer Filiale, manchmal Ihre letzten Transaktionen. Diese Daten stammen aus geleakten Kundendatenbanken oder einem früheren Phishing-Angriff.
Schritt 2: Die Beweislast umkehren
„Zu Ihrer Sicherheit muss ich überprüfen, dass ich tatsächlich mit dem Kontoinhaber spreche." Sie sollen Ihre Identität nachweisen, obwohl er derjenige ist, der angerufen hat. Diese Umkehrung ist ein Klassiker des Social Engineering: Sie bringt das Opfer in die Rolle des Bittstellers.
Schritt 3: Kontrollierte Dringlichkeit erzeugen
„Drei Zahlungsversuche sind gerade in Bearbeitung. Mir bleiben 12 Minuten, bevor der Interbankenausgleich sie endgültig bestätigt." Der Countdown verhindert jede Überprüfung, jeden Anruf bei einer vertrauten Person, jeden Moment der Distanz.
Schritt 4: Die entscheidende Aufforderung
Sie tritt in einer dieser Formen auf:
| Was der falsche Berater verlangt | Was tatsächlich passiert |
|---|---|
| „Bestätigen Sie die Benachrichtigung in Ihrer App, um die Transaktion zu stornieren" | Sie bestätigen eine Überweisung oder das Hinzufügen eines Empfängers |
| „Nennen Sie mir den 6-stelligen Code, den ich Ihnen gerade geschickt habe" | Er bestätigt eine Online-Zahlung mit Ihrer Karte |
| „Wir übertragen Ihr Guthaben auf ein gesichertes Zwischenkonto" | Sie überweisen Ihre Ersparnisse auf ein Konto von Finanzagenten |
| „Installieren Sie diese Support-App, damit ich eine Diagnose durchführen kann" | Er übernimmt aus der Ferne die Kontrolle über Ihr Telefon |
| „Ein Kurier kommt vorbei, um Ihre zu zerschneidende Karte abzuholen" | Er holt die Karte ab, die weiterhin nutzbar ist |
Das „Zwischenkonto", das „Treuhandkonto" oder der „Tresor der Banque de France" existieren nicht. Keine Bank, kein Institut, keine Behörde verfügt über ein Verwahrkonto, auf das eine Privatperson ihre Ersparnisse überweisen müsste. Das ist die zentrale Fiktion dieses Betrugs.
Die Signale, die den falschen Berater verraten
Manche Anhaltspunkte lügen nie, selbst wenn alles andere authentisch wirkt.
1. Ein echter Berater bittet Sie während des Anrufs niemals darum, irgendetwas zu bestätigen. Weder einen per SMS erhaltenen Code, noch eine Benachrichtigung in der App, noch einen Fingerabdruck. Die starke Authentifizierung dient dazu, eine Transaktion zu autorisieren, niemals dazu, sie zu stornieren. Wenn Sie bestätigen sollen, um zu stornieren, werden Sie gerade betrogen. Das ist das einzige Kriterium, das Sie sich merken müssen, falls Sie sich nur eines merken.
2. Ein echter Berater akzeptiert es, wenn Sie zurückrufen. Der falsche niemals. Er wird die Warteschlange anführen, die überlastete Leitung, den Verlust des Vorgangs, die Haftung, die dann auf Sie zukäme. Die richtige Antwort ist immer dieselbe: „Ich lege auf und rufe die Nummer auf der Rückseite meiner Karte an."
3. Ein echter Berater lässt Sie keine Software installieren. Fernwartungsanwendungen sind legitime Werkzeuge, die zweckentfremdet werden. Eine Bank wird Sie niemals bitten, eine solche zu installieren.
4. Ein echter Berater fordert Sie nicht auf zu lügen. „Falls Ihre Bank anruft, sagen Sie, es sei ein Möbelkauf": Dieser Satz, der in Überweisungsbetrugs-Szenarien sehr häufig vorkommt, ist ein vollständiges Geständnis.
5. Der Zeitdruck ist immer künstlich. Eine verdächtige Überweisung kann nach dem französischen Geld- und Finanzgesetzbuch dreizehn Monate lang beanstandet werden. Keine Transaktion hängt an zwölf Minuten.
Der eine Schritt, der alles zunichtemacht: auflegen und zurückrufen
Es gibt eine denkbar einfache Gegenmaßnahme, und sie genügt, um das gesamte Szenario scheitern zu lassen: auflegen und dann selbst die offizielle Nummer anrufen.
Aufzulegen ist nicht unhöflich. Es bedeutet auch nicht, „ein Risiko einzugehen": War der Anruf legitim, wird die Bank Sie zurückrufen oder eine Spur des Vorgangs finden. Bei alten Festnetzanschlüssen ist allerdings Vorsicht geboten: Manche Betrüger blieben in der Leitung, um das Freizeichen zu simulieren. Am Mobiltelefon besteht dieses Risiko nicht, sobald der Anruf tatsächlich beendet ist; im Zweifelsfall nutzen Sie ein anderes Gerät oder warten Sie dreißig Sekunden, bevor Sie die Nummer wählen.
Für Menschen, die noch viel das Festnetz nutzen, insbesondere Senioren, schaltet ein Festnetztelefon mit Anrufsperre und Blockierung unbekannter Nummern einen Großteil dieser Kontaktversuche aus, noch bevor es überhaupt klingelt. Das Prinzip ist dasselbe wie bei SMS: weniger unerwünschte Kontakte, weniger Gelegenheiten, in die Falle zu tappen.
Drei Nummern, die man kennen und speichern sollte, bevor man sie braucht:
- Die Nummer Ihrer Filiale, abgeschrieben von der Rückseite Ihrer Bankkarte oder von einem Papierkontoauszug – niemals aus einer SMS oder einem Suchmaschinenergebnis, wo mitunter falsche Nummern gelistet sind.
- Die 0 892 705 705: interbankarischer Sperrdienst für Karten, rund um die Uhr erreichbar.
- Die 17 119: nationale Rufnummer für Opfer von Cyberangriffen und Online-Betrug, kostenlos, täglich erreichbar.
Was in der Stunde nach einer betrügerischen Transaktion zu tun ist
Die Reaktionszeit bestimmt unmittelbar die Chancen, das Geld zurückzuerhalten. Eine SEPA-Überweisung ist nicht sofort unumkehrbar: Ein Rückruf der Gelder (Recall) kann von der überweisenden Bank mitunter ausgelöst werden, sofern das Geld noch nicht vom Empfängerkonto abgehoben wurde.
- Die Karte sofort sperren lassen und, falls nötig, die Sperrung ausgehender Überweisungen beantragen.
- Die Zugangsdaten fürs Online-Banking ändern, und zwar von einem anderen Gerät als dem möglicherweise kompromittierten.
- Jede während des Anrufs installierte App deinstallieren und anschließend in den Telefoneinstellungen die Apps mit erweiterten Berechtigungen überprüfen.
- Eine schriftliche, mit Datum und Uhrzeit versehene Erklärung an die Bank verfassen: Uhrzeit des Anrufs, angezeigte Nummer, vom Gesprächspartner genannter Name, Beträge, IBAN des Empfängers, sofern bekannt. Versand per Einschreiben mit Rückschein. Ein einfacher A5-Notizblock neben dem Telefon ermöglicht es, diese Angaben sofort festzuhalten, solange die Erinnerung noch frisch ist – oft macht genau das den Unterschied im Vorgang aus.
- Anzeige erstatten bei der Polizei oder Gendarmerie. Die Anzeige ist keine gesetzliche Voraussetzung für die Erstattung, aber sie stärkt den Vorgang.
- Die SMS an 33700 melden, indem Sie sie weiterleiten, und den betrügerischen Anruf ebenfalls über die Plattform Signal Conso oder 33700 melden.
Was das Gesetz zur Erstattung sagt
Das ist der Punkt, den die meisten Opfer nicht kennen – und den manche Banken lieber nicht erklären.
Das französische Geld- und Finanzgesetzbuch (Artikel L133-18 ff.) stellt einen klaren Grundsatz auf: Bei einer nicht autorisierten Zahlungstransaktion muss die Bank unverzüglich erstatten, spätestens am ersten Werktag nach der Meldung. Sie darf dies nur verweigern, wenn sie eine grobe Fahrlässigkeit des Kunden nachweist – und die Beweislast liegt bei ihr, nicht beim Kunden, der seine Unschuld belegen müsste.
Nun hat der Kassationsgerichtshof mehrere für Spoofing-Opfer günstige Entscheidungen getroffen. In einem bemerkenswerten Urteil aus dem Jahr 2024 entschied die Handelskammer, dass die Weitergabe von Sicherheitsdaten an einen Gesprächspartner, der sich als Berater ausgibt, in einem Kontext, in dem die angezeigte Nummer die der Bank war, nicht automatisch eine grobe Fahrlässigkeit darstellt. Mit anderen Worten: Wenn die Identitätsvortäuschung technisch glaubwürdig ist, liegt die Schuld nicht automatisch beim Opfer.
In der Praxis:
- Weigert sich die Bank, wenden Sie sich zunächst schriftlich an deren Beschwerdestelle.
- Anschließend an den Bankenombudsmann des Instituts (kostenlos, grundsätzlich Antwort innerhalb von 90 Tagen).
- Als letztes Mittel an das zuständige Verbraucherschutzgericht. Verbände wie UFC-Que Choisir und CLCV begleiten regelmäßig solche Verfahren.
Achtung auf eine wichtige Nuance: Der Schutz ist deutlich stärker bei nicht autorisierten Transaktionen (Zahlung ohne Ihr Wissen) als bei Überweisungen, die das Opfer unter Manipulation selbst angewiesen hat. Die Unterscheidung ist technisch, lässt sich aber juristisch vertreten – zumal die derzeit überarbeitete europäische Zahlungsdiensterichtlinie vorsieht, die Entschädigung auf Betrugsfälle mit Identitätsvortäuschung eines Instituts auszuweiten.
Vorsorgen, bevor man ins Visier gerät
Dieser Betrug trifft wahllos, aber er gelingt besser, wenn die Person allein ist, unter Zeitdruck steht oder mit Bankabläufen wenig vertraut ist. Ein paar in Ruhe getroffene Vorkehrungen verändern den Ausgang grundlegend.
Überweisungslimits setzen. Die meisten Banken erlauben es, in den App-Einstellungen ein tägliches Überweisungslimit festzulegen. Dieses Limit auf einen realistischen Betrag zu senken (500 oder 1.000 €) verwandelt eine Katastrophe in einen Zwischenfall. Die Erhöhung erfordert eine Wartezeit – und Wartezeit ist genau das, was der Betrüger nicht gebrauchen kann.
Ersparnisse abschotten. Ein Sparkonto, das nicht an Echtzeitüberweisungen angebunden ist oder dessen Bewegungen einen Filialbesuch erfordern, schützt den Großteil des Vermögens.
Ein Familienpasswort vereinbaren. Ein Satz, den nur Sie kennen, nach dem Sie fragen, wenn ein Angehöriger Sie wegen eines finanziellen Notfalls anruft. Das hilft auch gegen den Betrug mit dem angeblich in Not geratenen Kind.
Die Regel aufschreiben. Ein Notizbuch mit alphabetischem Register neben dem Telefon, in dem die echten Nummern und der Satz „Ich lege immer auf und rufe zurück" stehen, hilft Menschen erheblich, die unter Druck die Fassung verlieren. Es ist simpel – und es funktioniert.
Sich informieren, ohne sich zu ängstigen. Es gibt hervorragende allgemeinverständliche Bücher über Cybersicherheit für Privatpersonen, die ohne Fachjargon geschrieben sind und eher die Manipulationsmechanismen als die Technik erklären. Cybermalveillance.gouv.fr veröffentlicht außerdem kostenlose, druckbare Merkblätter zum Aufhängen zu Hause oder bei einem älteren Angehörigen.
Das Gerät selbst schützen. Ein im falschen Moment beschädigtes oder ausgefallenes Telefon bedeutet, dass man nicht schnell sperren lassen kann. Eine verstärkte Schutzhülle und eine externe Notfall-Powerbank sind in diesem Zusammenhang kein Komfortzubehör: Sie sind die Garantie, handlungsfähig zu bleiben.
Zusammengefasst
Der Betrug mit dem falschen Bankberater beruht weder auf einem Hackerangriff noch auf einer technischen Schwachstelle. Er beruht auf einer Verkettung: eine SMS, die Beunruhigung erzeugt, ein Anruf, der Erleichterung bringt, eine Autorität, die beruhigt, eine Dringlichkeit, die das Nachdenken verhindert.
Ein einziger Satz entschärft die gesamte Masche, und er verdient es, so lange laut wiederholt zu werden, bis er zum Reflex wird:
„Ich lege auf und rufe selbst die Nummer an, die auf der Rückseite meiner Karte steht."
Kein legitimer Berater wird daran Anstoß nehmen. Kein Betrüger wird das überstehen.
