Vermehrte Anzeigen bei der Polizei. Lesen Sie unsere Hinweise und Tipps.
Vermehrt registriert die Polizei Niedersachsen derzeit Anzeigen im Bereich des Missbrauches von Onlinebanking.
Link zur Pressemitteilung vom 26.06.2014
Eine Analyse innerhalb des polizeilichen Anzeigensystemes ergab, dass derzeit vermehrt Strafanzeigen durch geschädigte Bankkunden erstattet werden, deren Onlinebanking-Zugänge durch unbekannte Täter für missbräuchliche Überweisungen genutzt wurden.
Als Schwachstelle kann hier überwiegend die Nutzung von Onlinebanking über den Internet-Browser angesehen werden.
Der Bankkunde ruft hier in der Regel die Internetseite seiner Bank auf (z.B. über sein abgespeichertes Lesezeichen oder über die eigene Eingabe seiner Bankadresse). Beim/Nach dem Login auf die Bankseite kommen dann jedoch gefälschte Mitteilungen, die den optischen und inhaltlichen Eindruck vermitteln, von der Bank zu stammen. Diese Fenster poppen auf und legen sich über das normale Browserfenster. Ein Wegklicken ist oft nicht möglich. In diesen Popup-Fenster kommen Mitteilungen zu angeblichen Fehlern beim Online-Bankiung, zu Testteilnahmen oder zu falschen Überweisung, die eine Rücküberweisung nötig machen.
Folgt der Kunde dann den Anweisungen, kann dies schwerwiegende Folgen haben. Die Täter erfragen zur „Fehlerbehebung“ Zugangsdaten und/oder überweisungsrelevante Daten (z.B. TAN). Mit diesen werden dann manipulierte Überweisungen im Sinne der Täter durchgeführt, von denen der Bankkunde vorerst nichts mitbekommt. Will man im Anschluss (in der gleichen Onlinesitzung) seine Überweisung oder den Kontostand kontrollieren, kann es passieren, dass die Täter durch die Schadsoftware den Browser oder Computer abstürzen lassen, um die Kontrolle zu verhindern.
Typische Beispiele für Tätervorgehen:
1.) Rücküberweisung
Die Täter täuschen mittels Fehlermitteilung vor, dass es von einem fremden Bankkonto zu einer Fehlüberweisung auf das eigene Konto gekommen sei. Dieser Fehler könne nur vom Kunden behoben werden. In der Regel werden hier hohe Überweisungsbeträge (z.B. 3000 Euro) vorgespielt. Tatsächlich wird auch ein Kontostand angezeigt, der genau diesen Betrag mehr ausweist. Der Kunde müsse nun ein speziellen Button anklicken, der die Rücküberweisung auslöst. Tatsächlich aber ist lediglich der „Kontoauszug“ bzw. das Kontosaldo manipuliert. Es gab keine fremde Überweisung auf das eigene Konto. Mit der „Rücküberweisung“ wird erst jetzt eine entsprechend hohe Überweisung auf ein anderes Konto ausgeführt. Prüft man später seinen Kontostand erneut (z.B. nach einem neuen Einloggen, an einem anderen PC oder am Kontoauszugsdrucker) fällt der Fehler auf.
2.) TAN-Generator-Kalibrierung
Hier fordern die Täter mittels Fehlerbenachrichtigung per Popup-Fenster auf, den TAN-Generator zu kalibrieren. Die kann für die Generatoren gelten, die mittels Flicker-Code (optischer Impuls vom Monitor geht an den Generator) oder die per Tastenfeld selbst bedient werden müssen. Die Täter geben dann vor, dass gewisse Zahlenfolgen zwingend in den Generator eingegeben werden müssen. Das Ergebnis (eine TAN) müsse dann übermittelt werden. Hierbei werden aber bereits die Überweisungsdaten vom getäuschten Bankkunden persönlich eingegeben und durch die Übermittlung der TAN die Überweisung abgeschlossen.
3.) TAN-Liste muss abgeglichen werden
Hier verlangen die Täter, dass spezielle TAN aus der Liste (I-TAN-Verfahren) oder sogar die gesamte Liste abgeglichen werden muss (Eingabe mehrerer TAN). Mit den TAN können die Täter dann weitere Überweisungen ausführen.
4.) Testteilnahme
Über ein Fenster wird der Nutzer zur Teilnahme einem Test aufgefordert. Hierfür sind weitere Daten notwendig (z.B. Logindaten, TAN).
5.) Verifizierung von Mobilfunknummer für SMS-TAN-Verfahren
Die Täter täuschen Probleme beim SMS-Versand der TAN oder eine Bestätigung der Mobilfunknummer vor. Hierfür werden weitere Daten eingefordert (Login-Daten, TAN, Mobilfunknummer).
6.) Phishinmails
Die Täter täuschen in einer Mail vor, dass es Probleme bei Ihrem Onlinebanking gibt. Sie sollen Ihr Konto verifizieren oder den „Schaden“ begutachten. Dazu sollen Sie einen Link folgen, Daten per Mail schicken oder einen Anhang in der Mail öffnen. Weitere Informationen zu solchen Mails finden Sie allgemein auch hier.
7.) Testüberweisung
Ähnlich wie bei der Kalibrierung des TAN-Generators werden Umstellungen im Bereich des Onlinebankings vorgetäuscht, um den Geschädigten zur Durchführung einer Test- oder Demoüberweisung zu veranlassen.
Die angelbliche Testüberweisung wird dann tatsächlich durchgeführt.
8.) Sicherheitsabfrage
Nach Einloggen in Bankkonto erhält der Geschädigte einen Sicherheitshinweis und wird aufgefordert eine TAN einzugeben, welche sodann per TAN-Generator generiert oder zeitgleich als SMS übermittelt wird.
Wie kann ich mich schützen?
Nachfolgende Auflistung sollten Sie beachten, wenn Sie am Online-Banking-Verfahren teilnehmen. Ggf. sind einige davon sogar verpflichtend für Sie (z.B. Punkte 5 und 6). Haben Sie z.B. kein aktuelles Antivirenprogramm, kann es passieren, dass im Schadensfall die Bank den Schaden nicht ersetzt.
1.) Nutzen Sie ein sicheres Onlinebanking-Verfahren! Wir empfehlen die Nutzung von HBCI in Verbindung mit einem eigenständigen Onlinebanking-Programm und einem externen Kartenleser, der mittels USB am Computer angeschlossen ist. Dieses Verfahren kann zusätzliche Gebühren und Kosten bei Soft- und Hardwareanschaffung bedeuten). Infos dazu finden Sie auch hier bei uns.
2. Halten Sie Ihr Betriebssystem immer auf einem aktuellen Stand. Dies gilt auch für zusätzliche Software (besonders für Internetbrowser und PDF-Reader, Adobe Flash-Player usw.).
3.) Nutzen Sie eine aktuelle Antivirensoftware mit Firewall. Wir empfehlen hier die Anschaffung kostenpflichtiger Software, da diese in der Regel einen umfassenderen Schutz bietet als kostenfreie Software. Nutzen Sie regelmäßig auch den Dienst des EU-Cleaners, den Sie auf www.botfrei.de bekommen.
4.) Scannen Sie regelmäßig Ihr System mit der Antivirensoftware. Führen Sie diesen Scan unbedingt vor einer Überweisung durch!
5.) Prüfen Sie die Internetseite! Sollten Sie bei der Variante per Internetbrowser bleiben, so prüfen Sie immer den Zugang zur Bank. Liegt hier eine gesicherte Leitung mittels SSL-Verschlüsselung vor? Sie erkennen diese z.B. am geschlossenen Schloss im Browser (ggf. in der URL-Zeile wo www.IhreBank… steht) und an dem „s“ in „https“.
6.) Prüfen Sie den Fingerabdruck (Fingerprint) Ihrer Bankseite vor jedem Login. Ihre Bankfiliale zeigt Ihnen auf der Zugangsseite zum Onlinebanking in der Regel, wie Sie hier zu verfahren haben. Sollten Sie diese Informationen nicht finden, fragen Sie unbedingt bei Ihrer Bank nach. Sie haben sich möglicherweise bei der Beantragung zum Onlinebanking-Verfahren mit Ihrer Unterschrift sogar zu dieser Prüfung verpflichtet.
7.) Folgen Sie keinen Links aus Mails, die angeblich von Ihrer Bank stammen soll. Öffnen Sie auch keine Anhänge aus den Mails. Banken, Sparkassen und andere Kreditinstitute verschicken keine solchen Mails. Führen Sie im Zweifelsfall eine Kontrolle der Behauptungen durch, indem Sie sich über den Originallink (aus dem Gedächtnis) oder per Lesezeichen einloggen und dort die z.B. angebliche „Sperrung“ nachvollziehen. Alternativ können Sie auch bei Ihrer Bank nachfragen. Ggf. wird bereits auf der Bank-Homepager davor gewarnt.
8.) Werden Sie misstrauisch, wenn es zu ungewöhnlichen Fehlermeldungen, Tests und Anweisungen beim Login auf Ihrer Bankseite kommt. Fragen Sie hier lieber telefonisch bei Ihrer Bank nach und beenden Sie das Onlinebanking sofort mittels ausloggen. Beachten Sie entsprechende Warnungen auf der Bank-Homepage.
8.) Halten Sie immer eine Notrufnummer zu Ihrer Bank bereit, falls es zu Problemen kommt.
9.) Führen Sie sicherheitshalber das Onlinebanking zu banktypischen Öffnungszeiten durch, um im Notfall einen direkten Ansprechpartner zu haben. Ein Kauf in einem Onlineauktionshaus z.B. am Freitag-Abend kann im Normalfall auch bis Montag früh mit der Überweisung warten.
10.) Holen Sie Kontoauszüge (online und am Automaten). Loggen Sie sich nach einer Überweisung aus der Bank (Onlinesitzung) aus und loggen Sie sich danach erneut ein. Prüfen Sie dann den Kontoauszug. Möglicherweise fallen hier schon Behauptungen wie „Falsche Überweisung – Rücküberweisung nötig!“ auf.
11.) Nutzen Sie für das Onlinebanking einen sauberen Computer und nicht unbedingt Ihr „Surf-Profil“. Legen Sie ein eigenes Profil im Computer an, über dass sonst nicht gesurft und gearbeitet wird. Sie können auch eine Linux-Variante wählen, die Sie per CD-ROM starten. Die Computerzeitschrift Heise bietet hier einen solchen Dienst unter dem Namen Bankix kostenfrei an.
12.) Prüfen Sie Ihr System.
13.) Beschränken Sie Ihr Onlinebanking auf geringe Überweisungsbeträge. Führen Sie höhere Überweisungen ggf. direkt bei Ihrer Bank durch. Sperren Sie Ihr Konto für Auslandsüberweisungen. Halten Sie hier Rücksprache mit Ihrer Bank und bedenken Sie diese Sperren bei Auslandsaufenthalten. Solche Sperren können ggf. auch kurzfristig wieder aufgehoben werden.
14.) Wenn Sie tatsächlich neue Zugangsdaten von Ihrer Bank bekommen, geben Sie diese erst in Ihrem Computer ein, wenn dieser von jeglicher Schadsoftware befreit ist! Ansonsten besteht die Gefahr, dass die neuen Zugangsdaten wieder an die Täter übermittelt werden.
15.) Ausloggen nicht vergessen! In der Regel sind Sie nach dem Einloggen im Browserfenster bis zum Ausloggen mit Ihrer Bank verbunden. Dieser Zeitraum kann je nach Ihren dortigen Tätigkeiten variieren. Diesen Zeitraum können aber auch die Täter für deren Missbrauch ausnutzen. Halten Sie den Zeitraum so kurz wie möglich und loggen Sie sich unbedingt auch wieder aus. Ein Schließen des Fensters ist nicht immer sicher!
16.) Führen Sie Onlinebanking nicht über fremde Netzwerke (Hotspots, Hotel, Flughafen usw.) oder fremde Computer (Internetcafe, Hotelcomputer in Lobby, Freunde) durch. Nutzen Sie dort im Zweifelsfall eine VPN-Verbindung. Weitere Informationen finden Sie bei uns auch hier als Download.
Welche Banken sind betroffen?
In der Regel kann jede Bank betroffen sein, die Onlinebanking über ein Web-Portal, also mittels Zugriff über Internetbrowser, betreibt. Vermehrt sind aber Phishingmails zu verzeichnen, die Banken vortäuschen, die deutschlandweit einen einheitlichen Auftritt haben (z.B. Postbank, IngDIBA usw.). Banken mit lokalem Bezug kontaktieren Ihre Kunden auch immer lokal und haben in der Regel auch einen lokalen Internetauftritt (z.B. Sparkassen und Volksbanken). Hier ist der Kundenstamm im Vergleich zu den landesweiten einheitlichen Banken eher gering. Die Trefferquote für die Täter wäre somit geringer und weniger erfolgversprechen. Werden Sie also Misstrauisch, wenn Sie ungewöhnliche Mails von Kreditinstituten bekommen, wie Sie (lokal) kein Kunde sind.
Ich bin wahrscheinlich geschädigt, was soll ich nun machen?
Melden Sie Ihren Verdacht unverzüglich Ihrer Bank! Lassen Sie Ihr Konto sperren und versuchen Sie, die Überweisung somit noch zu stoppen. Oft bleiben nur wenige Stunden!
Nehmen Sie sofort im Anschluss auch direkt Kontakt zu Ihrer örtlichen Polizei auf. Verzichten Sie in diesem Fall auf eine Onlineanzeige, da diese in der Regel einen längeren Weg durchlaufen muss.
Bringen Sie mögliche Unterlagen (Kontoauszüge, Screenshots, Mailverkehr, gefälschte Mails, Antivirenprotokolle usw.) als Ausdruck zu Anzeigenerstattung mit oder reichen Sie diese unverzüglich nach! Weitere Infos zur Anzeigenerstattung finden Sie hier.