Betrug erkennen,
bevor Geld fließt.

Die Masche

Eine aufgelöste Stimme, die genau wie dein Enkelkind klingt, meldet sich am Telefon: Es habe einen Unfall oder eine Festnahme gegeben, und die Kaution müsse sofort überwiesen werden. Danach übernimmt ein angeblicher Anwalt oder Polizist das Gespräch. Die Stimme stammt aus einem KI-Programm, das mit Videos aus sozialen Netzwerken gefüttert wurde.

Was dagegen hilft

Wenn ihr in der App verbunden seid, hat dein Enkelkind einen eigenen Code aus drei Wörtern, der sich standardmäßig jeden Tag ändert. Du fragst nach diesem Code und vergleichst die Antwort mit dem, was deine App für dein Enkelkind anzeigt. Wer nur eine geklonte Stimme hat, kennt diese Wörter nicht.

Die Masche

"Mama, ich hatte einen Unfall. Der Krankenwagen ist hier, du musst sofort die Bank anrufen und eine Überweisung freigeben." Die Stimme deines Kindes wurde aus einer einzigen Sprachnachricht geklont. Der Anrufer kennt den Namen deines Partners, euer Auto und eure Gewohnheiten, weil er vorher alles aus sozialen Netzwerken zusammengetragen hat.

Was dagegen hilft

Richtet die Verbindung ein, solange nichts passiert ist. Im Ernstfall fragst du nach dem aktuellen Code, bevor du Geld bewegst, und wer ihn nicht nennen kann, bekommt keine Überweisung.

Die Masche

Betrüger bauen über Wochen oder Monate eine Beziehung auf, oft mit KI-erzeugten Profilfotos, geklonten Stimmen und gefälschten Videoanrufen. Erst wenn das Vertrauen groß genug ist, kommt die angebliche Notlage, in der dringend Geld gebraucht wird.

Was dagegen hilft

Eine Verbindung beweist nicht, wer jemand wirklich ist. Sie zeigt aber, ob du später noch mit demselben Menschen sprichst, der sie mit dir eingerichtet hat. Kann dein Gegenüber im Videoanruf den eigenen Code nicht nennen, oder lehnt es eine Verbindung von vornherein ab, ist das ein Warnsignal, das du ernst nehmen solltest.

Die Masche

Eine Sprachnachricht oder ein Videocall scheint vom CEO zu kommen: Bis heute Abend müsse eine Überweisung raus, und die Sache sei vertraulich. Stimme und Gesicht sind gefälscht, aber kaum vom Original zu unterscheiden, und die angehängte Vertraulichkeitsvereinbarung sieht echt aus.

Was dagegen hilft

Legt fest, dass keine Zahlung ohne den aktuellen Code der freigebenden Führungskraft freigegeben wird. Die Codes werden nie per E-Mail oder Chat verschickt, weil jede Person ihren eigenen Code in ihrer App abliest und im Gespräch nennt.

Die Masche

Auch ganze Besprechungen lassen sich fälschen, mit bekannten Gesichtern und Stimmen, die in Echtzeit erzeugt werden. Die falschen Teilnehmer sprechen über echte Firmenthemen, die sie aus öffentlichen Quellen kennen, und bitten am Ende um eine Überweisung, eine Vertragsänderung oder vertrauliche Daten.

Was dagegen hilft

Zu Beginn eines Gesprächs, in dem es um Geld oder vertrauliche Daten geht, nennt jeder Teilnehmer seinen Code. Das dauert etwa eine halbe Minute, und wer keinen gültigen Code nennen kann, bleibt bei den entscheidenden Punkten außen vor.

Die Masche

Eine Nachricht, scheinbar vom wichtigsten Kunden, bittet darum, die Bankverbindung für künftige Rechnungen zu ändern, eine Lieferung umzuleiten oder einen Änderungsauftrag sofort freizugeben. Die Absenderadresse unterscheidet sich nur in einem Buchstaben, und der Schreibstil passt, weil der Text anhand echter Korrespondenz erzeugt wurde.

Was dagegen hilft

Wenn du mit deinen wichtigsten Kunden verbunden bist, prüfst du jede größere Änderung per Code, bevor du sie umsetzt. Stimmt der Code nicht, rufst du über eine Nummer zurück, die du schon vorher kanntest.

Die Masche

"Guten Tag, hier ist die Betrugsabteilung Ihrer Bank. Wir sehen verdächtige Buchungen und müssen Ihre Daten prüfen." Der Anrufer kennt deinen Namen, Teile deiner Kontonummer und deine letzten Buchungen, weil diese Daten aus einem früheren Datenleck stammen. Er bittet dich, eine angeblich sichere Überweisung freizugeben, deine Karte einem Kurier mitzugeben oder eine Sicherheits-App zu installieren.

Was dagegen hilft

Nutzt deine Bank Trusted Codes, schaltet die Mitarbeiterin für das Gespräch ihren Beacon ein und nennt dir auf Nachfrage den Code. Du gibst ihn auf verify.trusted.codes ein und siehst, ob er gerade gültig ist und für welche Bank sie arbeitet. Einen Code, den die Seite nicht bestätigt, behandelst du als Betrugsversuch.

Die Masche

"Hallo, hier ist die IT. Wir sehen ungewöhnliche Anmeldeversuche auf Ihrem Konto. Bitte bestätigen Sie Ihre Zugangsdaten und erlauben Sie mir den Fernzugriff, damit ich das Konto absichern kann." Viele Mitarbeiter folgen, weil sie nicht ausgesperrt werden wollen und der Anrufer genau so klingt wie jemand aus der eigenen IT.

Was dagegen hilft

Die Mitarbeiter im Helpdesk schalten ihren Beacon ein, wenn sie Kollegen anrufen. Vereinbart intern, dass niemand Zugangsdaten nennt oder Fernzugriff erlaubt, bevor er den Code des Anrufers geprüft hat. Wer keinen Code nennen kann, wird über die bekannte interne Nummer zurückgerufen.

Die Masche

"Hier spricht das Finanzamt. Sie haben Steuerschulden, und es liegt ein Haftbefehl gegen Sie vor. Rufen Sie innerhalb einer Stunde zurück, sonst kommt die Polizei." Solche Anrufe setzen auf die Angst vor der Behörde, damit die Betroffenen zahlen, bevor sie nachdenken.

Was dagegen hilft

Eine Behörde, die Trusted Codes einsetzt, lässt ihre Mitarbeiter bei ausgehenden Anrufen einen Beacon einschalten. Bürger prüfen den genannten Code kostenlos im Browser auf verify.trusted.codes und brauchen dafür weder App noch Konto.

Die Masche

"Hier ist Ihre Hausarztpraxis, wir müssen Ihren Termin verschieben. Bitte bestätigen Sie kurz Ihr Geburtsdatum und Ihre Versichertennummer." Bei Anrufen aus Praxis oder Apotheke geben viele Patienten solche Daten ohne Nachfrage heraus, weil der Anlass plausibel klingt.

Was dagegen hilft

Praxen und Apotheken, die Trusted Codes nutzen, geben ihrem Personal einen Beacon für Anrufe bei Patienten. Bevor du persönliche oder medizinische Daten bestätigst, fragst du nach dem Code und prüfst ihn auf verify.trusted.codes.

Die Masche

"Hier ist der Microsoft-Support. Ihr Computer ist mit einem gefährlichen Virus infiziert, und Ihre Bankdaten sind in Gefahr." Der Anrufer bringt das Opfer dazu, ihm Fernzugriff zu geben, installiert dann Schadsoftware und räumt Konten leer oder kassiert Geld für eine angebliche Virenentfernung.

Was dagegen hilft

Microsoft ruft nach eigener Aussage nicht unaufgefordert bei Kunden an, ein solcher Anruf ist also immer verdächtig. Nutzt dein IT-Dienstleister Trusted Codes, kann dessen Mitarbeiter dir einen Beacon-Code nennen, den du auf verify.trusted.codes prüfst, bevor du jemandem Zugriff auf deinen Rechner gibst.

Die Masche

Die Zugangsdaten eines echten Mitarbeiters sind gestohlen. Der Angreifer nutzt dessen E-Mail- oder Chat-Konto, um Kollegen anzuschreiben oder anzurufen, Passwörter zurücksetzen zu lassen oder vertrauliche Informationen abzufragen. Weil das Konto echt ist, fällt bei der Anmeldung nichts auf, und auch die interne Rufnummer stimmt.

Was dagegen hilft

Ein Beacon-Code entsteht in der Trusted-Codes-App auf dem Telefon des Mitarbeiters und gilt nur, solange seine Sitzung läuft. Wer nur das E-Mail- oder Chat-Konto übernommen hat, kann den aktuellen Code deshalb nicht nennen, und die Kollegen merken, dass etwas nicht stimmt.

Die Masche

Jemand steht vor deiner Tür oder am Eingang des Gebäudes und gibt sich als Kurier, Techniker der Stadtwerke oder Hausmeister aus. Ist er einmal drin, sieht er sich um, nimmt Pakete mit oder bringt Überwachungstechnik an. Oft hat vorher ein Anruf eine Lieferung angekündigt, damit du nicht misstrauisch wirst.

Was dagegen hilft

Wenn du einen Besuch erwartest, erstellst du in der App einen Gastcode und schickst ihn dem echten Dienstleister. An der Tür fragst du nach diesem Code, und nennen kann ihn nur, wer ihn vorher von dir bekommen hat.

Die Masche

"Ich arbeite gerade bei Ihrem Nachbarn und habe gesehen, dass Ihr Dach beschädigt ist. Wenn ich das nicht heute repariere, wird es dreimal so teuer." Der angebliche Handwerker macht Druck, zeigt keine Nachweise und will Vorkasse in bar. Die Arbeit wird dann gar nicht oder schlecht erledigt.

Was dagegen hilft

Ein Handwerksbetrieb, der Trusted Codes nutzt, kann dir vor Ort einen Gastcode aus seinem Firmenkonto schicken. Auf verify.trusted.codes siehst du ohne App, wer den Code erstellt hat und zu welchem Betrieb die Person gehört. Lehnt jemand diese Prüfung ab, lässt du ihn nicht herein.

Die Masche

Betrüger schalten sich in den E-Mail-Verkehr mit einem Lieferanten ein, entweder über ein gehacktes Postfach oder über eine täuschend ähnliche Domain, und schicken eine Rechnung mit neuer Bankverbindung. Logo, Rechnungsnummer und Betrag stimmen, nur das Konto ist ein anderes.

Was dagegen hilft

Der Lieferant versiegelt seine Rechnungen als Datei. Bevor du zahlst, ziehst du die erhaltene PDF auf die Prüfseite des Siegels, und dein Browser vergleicht sie mit dem versiegelten Original. Wurde auch nur ein Zeichen geändert, etwa in der IBAN, schlägt die Prüfung fehl. Registriere den Lieferanten als deinen Geschäftspartner, dann versiegelt er seine Rechnungen ohne eigenen Tarif.

Die Masche

Wer Zugriff auf das Postfach eines Lieferanten hat, kann Lieferungen umleiten, Lieferadressen ändern oder Bestellungen abfangen. Solche Angreifer bleiben oft monatelang unbemerkt, weil ihre Anweisungen im Ton der echten Korrespondenz geschrieben sind.

Was dagegen hilft

Versiegelt offizielle Anweisungen, Bestellungen und Lieferdokumente. Eine Anweisung ohne gültiges Siegel wird nicht ausgeführt, und ihr fragt über einen bekannten Kontakt beim Lieferanten nach.

Die Masche

Eine KI schreibt in Sekunden eine E-Mail im Stil einer bestimmten Führungskraft: "Bitte kümmern Sie sich persönlich darum und beziehen Sie niemanden ein." Solche Nachrichten kommen durch Spamfilter und setzen auf Autorität und Zeitdruck, damit der normale Freigabeweg übersprungen wird.

Was dagegen hilft

Eine Führungskraft versiegelt wichtige Anweisungen in ihrer App, und die Signatur entsteht auf ihrem eigenen Gerät. Die Prüfseite zeigt, wer versiegelt hat, und den Originaltext, mit dem du die erhaltene Nachricht vergleichst. Eine gefälschte E-Mail hat kein Siegel, das auf diese Person ausgestellt ist.