„Bestätigungscode: 748 219. Geben Sie diesen Code an niemanden weiter, auch nicht an einen Mitarbeiter."
Sie haben nichts angefordert. Trotzdem stammt die SMS von einem Absender, den Sie kennen – dem Namen Ihrer Bank, eines Online-Marktplatzes, eines Zahlungsdienstleisters. Sie lesen sie zweimal, zucken mit den Schultern. Und fünfundzwanzig Sekunden später klingelt das Telefon.
Am anderen Ende eine ruhige Stimme, im Hintergrund das leise Rauschen eines Callcenters, Ihr Name korrekt ausgesprochen. „Guten Tag, Sicherheitsabteilung. Wir haben einen Zahlungsversuch über 847 Euro von einem unbekannten Gerät auf Ihrem Konto festgestellt. Sie haben gerade einen Code per SMS erhalten: Das ist der Stornierungscode. Können Sie ihn mir nennen, damit ich die Transaktion blockiere?"
Dieser Code storniert nichts. Er autorisiert. Und die SMS, die Sie gewarnt hat, sagte exakt die Wahrheit – nur dass Sie da längst im Drehbuch eines anderen mitspielten.
Der Einmalcode, das letzte Schloss vor dem Abgrund
Seit Inkrafttreten der europäischen Zahlungsdiensterichtlinie (PSD2), die eine starke Kundenauthentifizierung vorschreibt, laufen nahezu alle sensiblen Vorgänge über einen zweiten Faktor: einen per SMS versandten Code, eine Freigabe in der Banking-App, manchmal einen Fingerabdruck.
Dieser Code – man spricht von OTP, one-time password, Einmalpasswort – ist zum unumgänglichen Nadelöhr jedes Betrugs geworden. Ein Krimineller, der Ihre Zugangsdaten und Ihr Passwort besitzt, gewonnen aus einem Datenleck oder über eine gefälschte Website, kommt allein nicht mehr weiter. Ihm fehlt eine Sache: die sechs Ziffern, die nur Sie empfangen.
Daraus folgt eine völlige Umkehrung der kriminellen Strategie. Es geht nicht mehr darum, ein System zu hacken, sondern einen Menschen dazu zu bringen, sechs Ziffern laut vorzulesen. Das ist ungleich billiger und leider wirkungsvoller.
Die Banque de France und die Beobachtungsstelle für die Sicherheit von Zahlungsmitteln stellen es Jahr für Jahr fest: Betrug „mit Manipulation des Opfers" nimmt zu, während rein technischer Betrug zurückgeht. Der Angreifer muss kein Informatiker mehr sein. Er muss Schauspieler sein – oder einen Roboter haben, der es für ihn ist.
„OTP-Bots": wenn der Betrug zum Monatsabo wird
Das ist die eigentliche Veränderung der letzten beiden Jahre, und sie ist der Öffentlichkeit kaum bekannt. Der Diebstahl von Bestätigungscodes wurde als schlüsselfertiger Dienst industrialisiert, verkauft über private Messenger-Kanäle zu monatlichen Tarifen.
Das Prinzip ist deprimierend simpel. Der Betrüger verfügt über Ihre Zugangsdaten (gekauft in einem Paket gestohlener Daten). Er loggt sich in Ihren Kundenbereich ein, was den automatischen Versand der echten SMS durch den echten Dienst auslöst. Im selben Moment gibt er Ihre Nummer in den Bot ein und wählt ein Szenario: „Bank", „Lieferung", „Kryptowährungsplattform", „Telekommunikationsanbieter".
Der Bot wählt Ihre Nummer, spielt eine synthetische Stimme ab – oft hervorragend, in akzentfreiem Deutsch, samt Callcenter-Geräuschkulisse – und fordert Sie auf, den soeben erhaltenen Code einzutippen oder vorzulesen. Sobald Sie das tun, gelangt der Code in Echtzeit zum Betrüger, der ihn vor Ablauf eingibt. Der gesamte Vorgang dauert weniger als neunzig Sekunden.
Drei Details machen dieses Vorgehen so gefährlich:
- Das Timing ist perfekt. Die legitime SMS und der Anruf treffen in der richtigen Reihenfolge ein, wenige Sekunden auseinander. Das Gehirn verknüpft beide Ereignisse automatisch.
- Die SMS ist echt. Sie kommt tatsächlich von Ihrer Bank, vom richtigen Absender, im richtigen Format. Nichts zu erkennen, kein verdächtiger Link zum Überprüfen: Es gibt überhaupt keinen Link.
- Die angezeigte Nummer ist gefälscht. Dank Spoofing scheint der Anruf von jener Nummer zu stammen, die auf der Rückseite Ihrer Bankkarte steht.
Mit anderen Worten: Sämtliche Reflexe, die uns seit zehn Jahren beigebracht werden – Link prüfen, Absender prüfen, Nummer prüfen – sind auf einen Schlag ausgehebelt.
Die fünf häufigsten Szenarien
1. Der falsche „Sicherheitsberater"
Der Klassiker. Angeblich wurde eine verdächtige Zahlung entdeckt, die storniert werden müsse. Der Code diene dazu, zu „blockieren", „abzulehnen", „abzusichern". Eine Bank verlangt niemals einen Code, um etwas zu stornieren: Die Stornierung erfolgt auf ihrer Seite, ohne Ihr Zutun.
2. Die Lieferbestätigung
Ein Paket sei blockiert, ein Zeitfenster zu bestätigen. Der Code diene angeblich der „Adressbestätigung". Tatsächlich bestätigt er häufig eine Kontoeröffnung oder die Hinterlegung einer Bankkarte in einer Mobile-Wallet.
3. Der Privatverkauf
Sie verkaufen einen Gegenstand. Der Käufer schickt Ihnen einen Code, „um zu prüfen, dass Sie kein Roboter sind", bevor er vorbeikommt. In Wahrheit ist es ein Registrierungscode für einen Drittdienst, verknüpft mit Ihrer Nummer – die anschließend dazu dient, weitere Betrügereien in Ihrem Namen aufzuziehen.
4. Der falsche Kundenservice des Mobilfunkanbieters
Man bietet Ihnen einen Rabatt an, eine Kulanzgutschrift, einen Tarifwechsel. Der verlangte Code ist in Wirklichkeit derjenige, der die Übertragung Ihrer Rufnummer auf eine andere SIM-Karte freigibt. Diese Variante führt direkt zur vollständigen Übernahme Ihrer Nummer.
5. Die „Reaktivierung" eines gesperrten Kontos
Ein E-Mail-Konto, eine Kleinanzeigenplattform, ein mobiler Zahlungsdienst: Man kündigt Ihnen eine Sperrung an und „hilft" Ihnen beim Entsperren. Der Code entsperrt tatsächlich etwas – den Zugang des Betrügers.
Warum auch vorsichtige Menschen darauf hereinfallen
Man muss sich von der Vorstellung verabschieden, diese Maschen zielten nur auf technikferne Personen. Die Szenarien nutzen universelle kognitive Mechanismen aus, die bestens dokumentiert sind.
Dringlichkeit schaltet die Überprüfung aus. Eine hohe Summe, ein gefährdetes Konto, eine Frist von zwei Minuten: Das Gehirn schaltet in den Reaktionsmodus. Studien zur Entscheidungsfindung unter Stress zeigen einen deutlichen Einbruch der Fähigkeit, alternative Erklärungen in Betracht zu ziehen.
Stimmigkeit beruhigt mehr als Echtheit. Sie erhalten eine SMS, man ruft Sie wegen dieser SMS an: Beide Elemente bestätigen einander. Man nennt das Korroborationsillusion. Dabei stammen beide aus derselben Quelle – der Betrüger hat lediglich das erste ausgelöst.
Autorität entwaffnet den Widerspruch. Eine ruhige Stimme, Fachvokabular („Sperrung", „Transaktionsablehnung", „Stufe 2"), eine bekannte Nummer. Jemanden zu unterbrechen, der Ihnen scheinbar hilft, kostet echte soziale Überwindung.
Die Formulierung des Codes wird umgangen. „Geben Sie diesen Code an niemanden weiter" wird vom Betrüger als Hinweis für andere Anrufe dargestellt: „Natürlich, Sie tun recht daran, misstrauisch zu sein. Genau deshalb rufe ich Sie von der offiziellen Nummer aus an." Der Zweifel wird absorbiert, umgedreht, in einen Seriositätsbeweis verwandelt.
Die eine Regel, die alles blockiert
Vergessen Sie die Listen mit zehn Ratschlägen. Ein einziger Satz schützt vor sämtlichen dieser Szenarien:
Ein per SMS erhaltener Code wird nie ausgesprochen, nie auf einer Telefontastatur eingetippt, nie weitergeleitet. Er wird ausschließlich von Ihnen selbst eingegeben, auf einem Bildschirm, in einer App oder auf einer Website, die Sie selbst geöffnet haben.
Keine Ausnahme. Nicht für einen Bankberater, nicht für einen Polizisten, nicht für einen Techniker, nicht für einen Zusteller, nicht für einen Käufer. Kein seriöser Fachmann braucht diesen Code, weil kein seriöser Fachmann gerade an Ihrer Stelle auf Ihrem Konto handelt.
Ebenso wichtig ist die Folgerung: Ein grundlos erhaltener Code ist ein Alarmsignal, kein Versehen. Trifft er ein, obwohl Sie nichts getan haben, bedeutet das, dass jemand bereits Ihre Zugangsdaten besitzt und einzudringen versucht. Die richtige Reaktion ist nicht, die SMS zu ignorieren, sondern sofort das Passwort des betreffenden Dienstes zu ändern – über die offizielle App.
Die Kontrolle zurückgewinnen: konkrete Handgriffe
Auflegen und selbst zurückrufen
Das ist die wirksamste Handlung – und die schwierigste. Man legt auf, wartet eine volle Minute (manche Betrüger halten die Leitung offen) und wählt dann selbst die Nummer, die auf der Rückseite der Bankkarte oder in der App steht. War der Vorfall echt, existiert er auch in fünf Minuten noch.
Für Menschen, die viele unerwünschte Anrufe erhalten, beseitigt ein Festnetztelefon mit Anrufsperre – das nicht gespeicherte Nummern blockiert oder eine vorgeschaltete Ansage verlangt – einen Großteil des Lärms. Eine überschaubare Investition für einen älteren Angehörigen, der es nicht übers Herz bringt, einem höflichen Gesprächspartner aufzulegen.
Wo möglich, von der SMS-Authentifizierung wegkommen
Die SMS bleibt der schwächste Authentifizierungsfaktor: Sie ist per Rufnummernübernahme abfangbar, auf einem gesperrten Bildschirm lesbar und anfällig für die hier beschriebene Manipulation. Wo ein Dienst es anbietet, bevorzugen Sie eine Authentifizierungs-App (Freigabe in der Banking-App, Code-Generator) oder, für die sensibelsten Konten, einen physischen FIDO2-Sicherheitsschlüssel, der den Vorzug hat, nichts anzuzeigen, was man einem Fremden diktieren könnte.
Die Nachrichtenvorschau sperren
Standardmäßig zeigen viele Telefone den Inhalt von SMS auf dem Sperrbildschirm an. Ein Code, der ohne Entsperren sichtbar ist, ist ein Code, der jedem offensteht, der einen Blick auf das Gerät wirft – im Zug, im Großraumbüro, im Wartezimmer. Die Einstellung findet sich unter den Benachrichtigungen: Wählen Sie „Inhalt ausblenden". Eine Blickschutzfolie für Smartphone-Displays ergänzt die Maßnahme sinnvoll für alle, die ihr Telefon in öffentlichen Verkehrsmitteln nutzen.
Die Rufnummer selbst schützen
Da die SMS auf Ihrer SIM-Karte eintrifft, wird die SIM-Karte zum Ziel. Zwei Vorkehrungen: die PIN der Karte aktivieren (bei vielen Nutzern deaktiviert) und beim Anbieter eine Portierungssperre beantragen – eine Option, die die Übertragung der Rufnummer ohne verstärkte Prüfung verhindert. Wer seine Nutzungen trennt, wird ein Dual-SIM-Smartphone zu schätzen wissen, mit dem sich eine eigene Nummer für Bankgeschäfte reservieren lässt, die nie in Anzeigen oder Formularen auftaucht.
Die Regel physisch aufschreiben
Das klingt naiv, funktioniert aber bei gefährdeten Personen am besten. Eine gedruckte Karte neben dem Festnetztelefon mit drei Zeilen: „Ich diktiere nie einen Code. Ich lege auf. Ich rufe meine Bank selbst zurück." Mehrere Präventionsverbände verteilen solche Merkzettel. Ein Praxisratgeber zur Cybersicherheit im Alltag, der auf dem Couchtisch liegen bleibt, bewirkt für die Wachsamkeit der Familie oft mehr als eine lange Rede.
Wenn Sie den Code herausgegeben haben
Es gibt keinen Grund, sich zu schämen – diese Szenarien werden von Profis entworfen, die davon hauptberuflich leben. Es gibt allerdings Grund zur Eile.
| Frist | Maßnahme |
|---|---|
| Sofort | Die Sperrhotline der Bank anrufen (Nummer auf der Kartenrückseite) und Karte sowie Online-Zugang sperren lassen |
| Binnen einer Stunde | Das Passwort des betroffenen Dienstes und des zugehörigen E-Mail-Kontos ändern, nach Möglichkeit von einem anderen Gerät aus |
| Binnen 24 Stunden | Den Vorfall auf der offiziellen Meldeplattform für Betrug anzeigen und bei der Polizei Anzeige erstatten |
| Binnen 13 Monaten | Die nicht autorisierten Transaktionen schriftlich bei der Bank beanstanden |
Einige nützliche Anlaufstellen:
- Die 3018 (Anruf und Dienst kostenlos) begleitet Opfer digitaler Gewalt; Info Escroqueries unter 0 805 805 817 informiert über die nötigen Schritte.
- Betrügerische SMS können an die 33700 gemeldet werden, den gemeinsamen Dienst der französischen Mobilfunkanbieter.
- Die Website cybermalveillance.gouv.fr, die nationale Hilfsstelle, bietet Merkblätter und ein Verzeichnis zertifizierter Dienstleister.
- Das französische Code monétaire et financier sieht die Erstattung nicht autorisierter Zahlungsvorgänge vor, außer bei grober Fahrlässigkeit des Kunden. Der Begriff der groben Fahrlässigkeit wird im Einzelfall beurteilt: Dass jemand Opfer einer ausgeklügelten Manipulation samt gefälschter Bankrufnummer wurde, hat die Cour de cassation bereits zugunsten des Kunden gewertet. Bewahren Sie alles auf: Screenshots, Anrufzeiten, angezeigte Nummer, SMS-Inhalte.
Was diese Masche für die Zukunft bedeutet
Der Einmalcode per SMS erlebt als Sicherheitsstandard seine letzten Jahre. Die europäischen Bankenaufsichtsbehörden fördern bereits den Umstieg auf Verfahren, die die Authentifizierung an das Gerät und an den Vorgang selbst koppeln – eine Freigabe in der App, die Betrag und Empfänger anzeigt und sich telefonisch weit schwerer umlenken lässt.
Bis dahin liegt die Schwachstelle weder im Telefon noch im Netz: Sie liegt im Gespräch. Ein Betrüger stiehlt keinen Code, er lässt ihn sich geben. Das heißt: Eine einzige Entscheidung – höflich ablehnen, auflegen, selbst zurückrufen – genügt, um eine ganze Angriffskette scheitern zu lassen, Sprachroboter inklusive.
Die SMS, die Sie warnt, hat recht. Es ist der Anruf danach, der lügt.
