Post von Betrügern: Wie Scam-Mails Schaden anrichten

Auf Scam-Mails von Kriminellen sollte man nicht hereinfallen
Bild: dpa Werbung, Rechnungen, dringende Bitten von Arbeitskollegen, das alles landet fast täglich in unseren digitalen Postfächern. Manchmal sind es aber auch solche Mails: "Wir sind eine Hacker-Gruppe, die virtuelle Geldbörsen für Kryptowährungen hackt", steht in einer Nachricht, die im Januar an mehrere Menschen ging. Der Absender bietet dem Empfänger an, ihn von einem totalen Verlust seines Bitcoin-Vermögens auszunehmen - gegen einen kleinen Obolus. 0,03 Bitcoins waren im konkreten Fall gefragt, das entsprach zu jenem Zeitpunkt etwa 380 Euro.

Solche und andere Scam-Mails werden immer wieder bekannt. In diesem Fall weil der Empfänger die angeblichen Hacker nicht bezahlte, sondern ein Bildschirmfoto an die Watchlist Internet schickte - eine österreichische Info-Plattform, die Online-Betrugsfälle sammelt.

Empfängeradressen stammen meist aus Datenlecks

Auf Scam-Mails von Kriminellen sollte man nicht hereinfallen
Bild: dpa Scam-Mails sind eine Unterform von Spam. "Spam sind Mails, die massenhaft verschickt werden", erklärt Matthias Gärtner vom Bundesamt für Sicherheit in der Informationstechnik (BSI). Manche von ihnen enthalten Anhänge mit Schadsoftware, andere Links, die auf Fake-Shops führen und Nutzerdaten abfischen sollen - und eben auch Betrugsversuche.

Die Empfängeradressen stammen meist aus Datenlecks von Online-Shops. Kriminelle verkaufen entsprechende Listen mit Mailadressen und Kundendaten. "Oft sind das Kriminelle, die jemanden brauchen, der das Geld für sie wäscht", erläutert Gärtner die Idee hinter Scam-Mails. Das funktioniert zum Beispiel so: Der Absender sucht einen Helfer, der für ihn Geld auf ein anonymes Konto überweist - und erklärt das zum Beispiel damit, dass er in seinem Land politisch verfolgt wird und Hilfe braucht. Als Belohnung für die Transaktion darf der Handlanger eine Provision einbehalten.

"Das Geld kommt aber aus einer unerlaubten Überweisung", erklärt Gärtner weiter, etwa von gehackten Online-Banking-Kontos oder gestohlenen Kreditkarten. Fliegt der Schwindel auf, haben nichtsahnende Handlanger ein Problem. "Mit strafrechtlichen Konsequenzen ist zu rechnen", warnt Hans-Joachim Henschel, der bei der Präventionsstelle Cybercrime des Landeskriminalamtes Niedersachsen arbeitet. "Zudem sperrt die Bank bei Geldwäscheverdacht wahrscheinlich das Konto." Und da man selbst das letzte nachvollziehbare Glied der Transaktionskette ist, wird das gestohlene Geld wahrscheinlich vom Konto zurückgebucht - ein enormer Schaden.

Gefälschte Job- oder Immobilienangebote mit Vorkasse

Solche und ähnliche Maschen gibt es zuhauf, zum Beispiel mit gefälschten Job- oder Immobilienangeboten, bei denen die Empfänger in Vorkasse gehen sollen. Auch auf Datingportalen tummeln sich Schwindler: "Die gedatete Person braucht dann dringend Geld, um einen ärztlichen Notfall oder die Behandlung eines Kindes zu bezahlen", erläutert Henschel. Inzwischen fielen zwar nur noch selten Leute auf die klassischen Betrugsmails herein. Aber: "Mittlerweile sind die Betrüger sehr viel raffinierter und ködern ihre Opfer mit täuschend echten Lebensgeschichten", warnt Harald Schmidt, Geschäftsführer der Polizeilichen Kriminalprävention der Länder und des Bundes.

Genaue Zahlen gibt es nicht, die Polizeiliche Kriminalstatistik erfasst nur Betrugsfälle im Allgemeinen. "Aus der Zusammenarbeit mit Selbsthilfegruppen sind uns bei diesen Fällen zwischenzeitlich bundesweit Gesamtschäden im zweistelligen Millionenbereich bekannt", gibt Schmidt als Richtwert an.

Mitleidstour: Menschen wollen gerne helfen

Aber warum fallen überhaupt immer wieder Menschen auf solche Maschen herein? Die Medienpsychologin Astrid Carolus von der Universität Würzburg erklärt das mit dem Begriff Social Engineering: "Man hat ein System aus Hardware, Software und dem Benutzer", sagt die Wissenschaftlerin. Und man könne eben nicht nur Geräte, sondern auch Benutzer manipulieren. "Menschen sind soziale Wesen", sagt Carolus. "Sie haben das Bedürfnis, anderen zu helfen und eine Neigung, anderen zu vertrauen."

Auf Texte, die unser Mitleid oder unsere Gier wecken, unseren Helferinstinkt ansprechen, reagieren wir eher impulsiv als analytisch. "Das hat dann sehr wenig mit Intelligenz zu tun", fügt Carolus hinzu. Menschen aus allen Bildungsschichten fallen auf Betrugsmails herein, vor allem wenn diese genau auf einzelne Empfänger zugeschnitten sind.

Kurzes Nachdenken hilft, dem Schwindel auf die Spur zu kommen. "Wenn es zu gut klingt, um wahr zu sein, ist es meistens nicht gut oder nicht wahr", fasst BSI-Mitarbeiter Gärtner zusammen. Wenn man mit der Maus über die Absenderadresse fährt oder draufklickt, kann man außerdem sehen, ob die Mailadresse tatsächlich mit der des angeblichen Arbeitskollegen oder Verwandten übereinstimmt oder ob sie nur eine beliebige Buchstabenabfolge enthält. Oder man ruft einfach bei dem angeblichen Absender an und fragt nach.

"Antworten sollte man nie", rät Gärtner. Denn dann wissen die Kriminellen, dass die Mail-Adresse aktiv ist - und schaffen es vielleicht doch noch, einen um den Finger zu wickeln. "Melden Sie verdächtige Mails Ihrem E-Mail-Provider", rät Schmidt. Ein Screenshot der Mail hilft. Ihn kann man auch an Portale wie die Watchlist Internet oder die Verbraucherzentralen schicken. Wer doch drauf reinfällt, sollte Anzeige erstatten. Und von Anhängen oder Links sollte man wegen der Viren- und Phishinggefahr tunlichst die Finger lassen.