Dienstagabend, 17.40 Uhr. Ihr Handy klingelt, und auf dem Display steht der Name Ihrer Bank, derselbe wie bei den SMS mit den Anmeldecodes. Eine ruhige Stimme stellt sich vor: Herr Weber, Betrugsabteilung. Er entschuldigt sich für die Störung, aber auf Ihrem Konto stünden zwei verdächtige Zahlungen bereit, eine an eine Kryptobörse, eine an einen Elektronikhändler im Ausland. Ob Sie die freigegeben hätten? Nein? Das habe er sich gedacht, deshalb rufe er ja an. Er liest die letzten vier Ziffern Ihrer Karte vor, „nur um sicherzugehen, dass ich den richtigen Kunden in der Leitung habe”. Sie stimmen. Ihr Puls steigt. Er bleibt ruhig. Diese Ruhe ist das Produkt: Sie soll Ihr Vertrauen gewinnen.

Alles an diesem Anruf kann gefälscht sein. Die Nummer, der Name auf dem Display, die Kartenziffern, die Betrugsabteilung, Herr Weber selbst. Dieser Artikel zerlegt den Anruf falscher Bankmitarbeiter von innen und gibt Ihnen ein Verifikationsprotokoll an die Hand, das auch dann hält, wenn jedes sichtbare Signal gefälscht ist.

Call-ID-Spoofing: Die Nummer Ihrer Bank beweist nichts

Die Rufnummernanzeige fühlt sich wie ein Ausweis an. Sie ist keiner. Sie gleicht eher dem Absender auf einer Postkarte: ein Feld, das der Absender selbst ausfüllt und das unterwegs niemand prüfen muss.

Beim Aufbau eines Anrufs meldet die anrufende Seite eine Nummer an, und genau diese gemeldete Nummer zeigt Ihr Telefon an. In alten Festnetzen war das Fälschen aufwendig. In der Internettelefonie ist es ein Konfigurationsfeld. Betrügerbanden leiten ihre Anrufe über Dienste, mit denen sich jede beliebige Nummer anzeigen lässt, also zeigen sie die offizielle Servicenummer Ihrer Bank an. Ihr Handy erkennt die Nummer wieder und blendet hilfsbereit den Namen der Bank ein. Die Polizei nennt das Call-ID-Spoofing und warnt ausdrücklich davor, der angezeigten Rufnummer zu vertrauen.

Die Konsequenz ist unbequem, aber einfach: Ein eingehender Anruf kann niemals beweisen, wer anruft. Und die Kartenziffern beweisen ebenfalls nichts. Teilnummern, Ihre Adresse, manchmal sogar Ihr Kontostand stammen aus einer früheren Phishing-Mail, einem Datenleck oder Schadsoftware. Betrüger eröffnen gezielt mit korrekten Details, weil Sie annehmen, dass nur Ihre Bank sie kennen kann.

Das Drehbuch der falschen Betrugsabteilung

Diese Anrufe folgen einem Skript, das an tausenden Opfern geschliffen wurde. Kennen Sie die Stationen, bevor Sie sie live hören.

Zuerst der Alarm: verdächtige Zahlungen, eine kompromittierte Karte, jemand, der in genau diesem Moment Ihr Konto leerräumen wolle. Die Bedrohung ist immer jetzt akut. Dringlichkeit ist die tragende Wand des Skripts; ein Opfer, das Zeit zum Nachdenken bekommt, ist ein verlorenes Opfer.

Dann die Rettung, und hier verzweigen sich die Varianten. In der Kontosicherungs-Variante erklärt Herr Weber, Ihr Geld müsse sofort auf ein „Sicherheitskonto” überwiesen werden, das die Bank eigens für Sie eingerichtet habe, denn Ihr Konto sei kompromittiert. Er hilft Ihnen freundlich bei der Überweisung, und genau das macht den Betrug so wirksam: Sie sind der echte, authentifizierte Kunde, der eine bewusste Zahlung ausführt, also schlägt die Betrugserkennung der Bank nicht an. Andere Varianten: Sie sollen eine TAN vorlesen, „um die betrügerische Zahlung zu stornieren” (in Wahrheit geben Sie sie frei), Sie sollen Fernwartungssoftware wie AnyDesk oder TeamViewer installieren, damit der „Techniker” Ihr Gerät absichert, oder ein „Kollege” holt Ihre Karte an der Haustür ab. Der Bankenverband warnt vor genau diesen Fake-Anrufen, und die BaFin stellt klar, dass sie selbst Verbraucher praktisch nie von sich aus kontaktiert, auch wenn Betrüger sich gern als Finanzaufsicht ausgeben.

Zum Schluss die Leine: Bleiben Sie in der Leitung. Rufen Sie niemanden an, gehen Sie nicht in die Filiale, und erzählen Sie es vor allem nicht Ihrer Familie, denn „der Täter könnte aus Ihrem Umfeld stammen” oder „gegen Mitarbeiter Ihrer Filiale wird ermittelt”. Isolation ist keine Nebenwirkung des Skripts. Sie ist das Skript.

Was Ihre Bank niemals verlangen wird

Banken, Polizei und Aufsicht veröffentlichen immer wieder dieselbe kurze Liste. Lernen Sie sie auswendig, denn sie verwandelt einen raffinierten Betrug in einen simplen Abgleich. Ihre Bank wird niemals:

Sie auffordern, Geld auf ein „Sicherheitskonto” zu überweisen — dieses Konto existiert bei keiner Bank der Welt
Ihre vollständige PIN, Ihr Passwort oder eine TAN am Telefon abfragen
jemanden vorbeischicken, um Ihre Bankkarte abzuholen
Sie bitten, Fernwartungssoftware zu installieren
Sie unter Zeitdruck setzen, bevor Sie auflegen und prüfen konnten

Ein einziger Punkt dieser Liste beendet das Gespräch. Sobald jemand davon spricht, Ihr Geld „in Sicherheit zu bringen”, sprechen Sie mit einem Kriminellen. Höfliche Zweideutigkeit gibt es ab diesem Moment nicht mehr.

Auflegen und zurückrufen, und wo dieses Protokoll leckt

Der Standardrat ist gut: Legen Sie auf und rufen Sie Ihre Bank selbst an, unter einer Nummer, die Sie unabhängig beschafft haben, von der Rückseite Ihrer Karte oder von der selbst eingetippten Website der Bank. Rufen Sie niemals eine Nummer an, die Ihnen der Anrufer genannt hat; damit wählen Sie sich nur zurück in den Betrug, jetzt mit zusätzlichem Vertrauen.

Aber seien wir ehrlich über die Schwachstellen, denn die Täter kennen sie besser als Sie.

Die berüchtigtste ist die gehaltene Leitung. In alten analogen Festnetzvermittlungen wurde ein Gespräch erst vollständig getrennt, wenn der Anrufer auflegte. Legte das Opfer auf und wählte sofort auf derselben Festnetzleitung neu, hielten manche Netze die alte Verbindung noch zwei bis drei Minuten offen. Die Täter blieben in der Leitung, spielten ein falsches Freizeichen ein, und ein Komplize „meldete sich” als Bank. Dieser Trick war real und wurde vor allem in Großbritannien massenhaft ausgenutzt, bis die dortigen Netzbetreiber die Trennzeiten um 2014 auf etwa zwei Sekunden verkürzten. Am Handy hat der Trick nie funktioniert: Auflegen beendet das Gespräch, Punkt. Heute ist die gehaltene Leitung also vor allem Geschichte, aber „vor allem” heißt nicht „vollständig”: Vermittlungsstellen und VoIP-Anlagen unterscheiden sich. Die robuste Gewohnheit kostet nichts: Rufen Sie von einem anderen Gerät zurück, wenn eines greifbar ist, oder warten Sie ein paar Minuten und prüfen Sie zuerst das normale Freizeichen.

Der moderne Nachfolger ist der Konferenz-Trick: Der Anrufer überredet Sie, einen „Kollegen” zum Gespräch hinzuzuschalten, und der zugeschaltete Anruf ist in Wahrheit ein automatischer Anruf Ihrer Bank, der eine TAN ansagt, die der Betrüger nun mithört. Schalten Sie niemals auf Wunsch eines Fremden Anrufe zusammen.

Und das Leck, das niemand stopft: Der Rückruf verifiziert die Bank, aber er beruhigt Sie nicht. Wenn das Skript Sie bereits überzeugt hat, die Bank selbst sei unterwandert, rufen Sie die echte Bank an und glauben ihr nicht. Deshalb zählt die Pause genauso viel wie die Nummer.

Wenn das Geld schon weg ist

Jetzt zählt Tempo. Rufen Sie sofort die Betrugshotline Ihrer Bank an und verlangen Sie den Rückruf der Überweisung; in den ersten Stunden ist das Geld oft noch nachverfolgbar. Sperren Sie Ihre Karten in Deutschland über den Sperr-Notruf 116 116 (aus dem Ausland +49 116 116), kostenlos und rund um die Uhr; in Österreich nutzen Sie die Sperrhotline Ihrer Bank. Erstatten Sie Anzeige bei der Polizei, das geht in vielen Bundesländern auch über die Onlinewache. Widersprechen Sie den Abbuchungen schriftlich bei Ihrer Bank. Und erzählen Sie es jemandem. Scham ist der Kundendienst des Betrügers: Sie hält Opfer still und wiederverwendbar.

Die Asymmetrie unter alldem

Das ist der Gedanke, der mich als Gründer nicht loslässt. Wenn Ihre Bank Sie anruft, verifiziert sie Sie in Sekunden: Codes, App, Sicherheitsfragen. Sie können die Bank überhaupt nicht verifizieren. Der Kanal authentifiziert nur in eine Richtung, und jeder Betrug in diesem Artikel lebt genau in dieser Lücke.

Daran bauen wir mit Hongi. Die App gibt zwei gekoppelten Menschen rotierende Codewörter, alle 30 Sekunden erneuert und offline berechnet: Ein Betrüger kann niemals beide Seiten kennen. Schon heute hilft das im schlimmsten Moment eines solchen Anrufs ganz konkret: Bevor Sie unter Druck auch nur einen Cent bewegen, rufen Sie einen Menschen an, mit dem Sie gekoppelt sind, Ihren Partner, Ihre Tochter, einen Freund, und verifizieren Sie ihn zuerst per Codewort. Ein echtes „Stopp, das ist Betrug” von einer verifizierten Stimme schlägt jedes Skript. Derselbe Mechanismus leitet unsere Arbeit mit Organisationen, damit „hier spricht Ihre Bank” eines Tages ein Satz wird, den ein Anrufer beweisen kann. Bis dahin ist das Protokoll oben Ihre beste Verteidigung; wie die Verifikation genau funktioniert, steht in unseren FAQ.

Erst auflegen. Dann verifizieren. Niemals Geld bewegen.