WhatsApp-Betrug neue Nummer: die Hallo-Mama-Masche

„Hallo Mama, mein Handy ist kaputtgegangen. Das ist meine neue Nummer, die alte kannst du löschen. Schreib mir kurz auf WhatsApp, wenn du das liest.”

Wenn Sie ein Kind haben, das alt genug für ein eigenes Handy ist, stehen die Chancen gut, dass eine solche Nachricht schon auf Ihrem Bildschirm gelandet ist. Sie klingt nach Ihrem Kind. Sie ist nicht von Ihrem Kind. Es ist der Eröffnungszug der sogenannten Hallo-Mama-Masche, vor der polizei-beratung.de und die Verbraucherzentrale seit Jahren warnen, und die in Deutschland wie in Österreich zu den erfolgreichsten Betrugsmaschen überhaupt gehört.

Ich bin Mitgründer von Hongi und lese berufsbedingt mehr Betrugsprotokolle, als gesund sein kann. Was dabei immer wieder auffällt: Die Details wechseln, das Drehbuch nie. Wie industriell das Ganze abläuft, zeigt ein Ermittlungserfolg der Nürnberger Kriminalpolizei: Eine einzige Bande verschickte binnen zehn Tagen über 16.000 Erst-SMS mit dem Text „Hallo Mama, hallo Papa, mein Handy ist kaputt. Dies ist meine neue Nummer.” Wer das Drehbuch einmal seziert hat, erkennt es künftig auf hundert Meter Entfernung. Genau dafür ist dieser Artikel da.

Die Hallo-Mama-Masche, Nachricht für Nachricht

Erster Akt: der Köder. „Hallo Mama” oder „Hallo Papa”, fast nie Ihr Name und nie der Ihres Kindes. Kein Wunder: Dieselbe Nachricht geht gleichzeitig an tausende Nummern. Die Täter wissen nicht, ob Sie Kinder haben, geschweige denn, wie sie heißen. Wer zurückschreibt „Jonas, bist du das?”, liefert den Betrügern den Vornamen frei Haus, mit dem sie den Rest des Gesprächs bestreiten.

Zweiter Akt: die Ausrede, warum Anrufen nicht geht. Das ist die tragende Wand der ganzen Konstruktion. Das Handy ist ins Wasser gefallen, das Display gesprungen, die SIM-Karte defekt, „schreiben geht, telefonieren nicht”. Jede Variante existiert aus genau einem Grund: Ein einziger Anruf mit der echten Stimme würde den Schwindel in drei Sekunden auffliegen lassen. Also muss das Drehbuch den Anruf unmöglich erscheinen lassen. Wer trotzdem auf einem Gespräch bestand, bekam schon Antworten wie „das Mikrofon ist auch kaputt”. Das sagt alles über die Bedeutung dieses Akts.

Dritter Akt: die dringende Geldforderung. Weil das „neue Handy” angeblich noch nicht eingerichtet ist, funktioniere das Online-Banking nicht, und ausgerechnet heute werde eine Rechnung fällig. Miete. Ein Handyvertrag. Eine Bestellung, die in einer Stunde storniert wird. Die Beträge sind so kalibriert, dass sie wehtun, aber machbar bleiben, meist einige hundert bis wenige tausend Euro, per Echtzeitüberweisung auf ein Konto, das nie Ihrem Kind gehört, sondern einem Finanzagenten, der das Geld sofort weiterleitet. Die Verbraucherzentrale weist übrigens auf ein verräterisches Detail hin: Auffällig oft stecken Rechtschreib- und Grammatikfehler in den Nachrichten, die Ihrem echten Kind nie unterlaufen würden.

Vierter Akt: Druck und Wiederholung. Zögern Sie, kippt der Ton. „Mama bitte, ich bin echt im Stress, kannst du es jetzt machen?” Schuldgefühl ist der Brandbeschleuniger. Und wer zahlt, erhält erstaunlich oft binnen einer halben Stunde eine zweite Forderung, weil die erste Überweisung angeblich „nicht angekommen” ist. Das Drehbuch endet erst, wenn Sie aufhören zu zahlen oder anfangen zu prüfen.

Warum der WhatsApp-Betrug mit neuer Nummer auch vorsichtige Menschen trifft

Der Reflex lautet: Mir passiert das nicht. Genau dieser Reflex ist die Gefahr.

Die Masche funktioniert, weil sie die eine Beziehung angreift, in der Ihre Abwehr strukturell heruntergefahren ist. Sie haben jahrelang auf echte „Mama, kannst du mal helfen?”-Nachrichten reagiert. Der Täter baut kein Vertrauen von null auf; er leiht sich zwanzig Jahre bestehendes Vertrauen. Dazu kommen drei klassische Druckhebel. Zeitdruck verkleinert den Denkraum. Die Elternrolle („mein Kind braucht mich”) übertönt die übliche Vorsicht. Und die Legende von der „neuen Nummer” entschärft im Voraus das einzige wirklich verdächtige Indiz, nämlich dass die Nachricht von einer fremden Nummer kommt.

Es gibt noch einen leiseren Mechanismus, den ich als Entwickler von Verifikationssoftware am bemerkenswertesten finde: Das Opfer erledigt die Arbeit des Täters. Sie liefern den Vornamen. Sie liefern den Kontext („geht es um deine WG in Leipzig?”). Wer solche Chatverläufe liest, erkennt das Muster des Kaltlesens vom Jahrmarkt, nur dass hier Ihr Erspartes auf dem Tisch liegt.

Ein bewusst erfundenes Beispiel, um es greifbar zu machen. Dienstagabend, 21 Uhr, Sie schauen mit halbem Auge eine Serie. Die Nachricht kommt, Sie antworten, „Jonas” reagiert herzlich, witzelt über sein ertrunkenes Handy und erwähnt dann die Rechnung. Nichts an diesem Austausch fühlt sich wie ein Überfall an. Das ist der Punkt. Diese Masche ist darauf gebaut, alltäglich und harmlos zu wirken.

Die alte Nummer anrufen: die ganze Verteidigung in einem Satz

Jeder offizielle Ratschlag, von der Polizeiberatung bis zur österreichischen Watchlist Internet, läuft auf denselben Handgriff hinaus: Kontaktieren Sie die Person über die Nummer, die Sie bereits gespeichert haben, bevor auch nur ein Euro fließt.

Warum wirkt das so zuverlässig? Weil es die Geometrie des Betrugs umkehrt. Der Täter kontrolliert die neue Nummer vollständig und die alte überhaupt nicht. Ist das Handy Ihres Kindes wirklich kaputt, kostet der Anruf auf der alten Nummer Sie nichts: Es hebt schlicht niemand ab. Ist es nicht kaputt, hebt Ihr echtes Kind verwundert ab, und der Betrug ist auf der Stelle tot. Es gibt kein Szenario, in dem dieser Anruf Ihnen schadet, und keines, in dem er dem Täter nützt. In der Sicherheitstechnik nennt man das einen kostenlosen Zug, und kostenlose Züge, die eine Bedrohung vollständig auflösen, sind selten genug, um diesen einen zu pflegen.

Die Kehrseite derselben Regel: Verifizieren Sie niemals über den Kanal, aus dem die Bitte kam. „Bist du das wirklich?” in den neuen WhatsApp-Chat zu tippen heißt, den Betrüger zu bitten, für sich selbst zu bürgen. Das tut er. Überzeugend.

Geld schon überwiesen? So handeln Sie in Deutschland und Österreich

1. Rufen Sie sofort Ihre Bank an und bitten Sie um Rückruf oder Anhalten der Überweisung. Je frischer die Zahlung, desto größer die Chance; bei Echtzeitüberweisungen zählt jede Minute. Die erste Stunde ist mehr wert als die ganze folgende Woche.
2. Erstatten Sie Anzeige, in Deutschland bei jeder Polizeidienststelle oder bequem über die Onlinewache Ihres Bundeslandes, in Österreich bei jeder Polizeiinspektion. Sichern Sie vorher Beweise: Screenshots des Verlaufs, die Absendernummer und die Ziel-IBAN.
3. Melden und blockieren Sie die Nummer direkt in WhatsApp und löschen Sie den Chat erst nach der Sicherung. In Österreich können Sie den Fall zusätzlich der Watchlist Internet melden, damit andere schneller gewarnt werden.
4. Informieren Sie die Familie, auch die Person, deren Identität missbraucht wurde. Täter recyceln, was funktioniert; die Großmutter, die von Ihrem Fall noch nichts weiß, ist das nächste Ziel.
5. Zahlen Sie nie für eine „Rückholung”. Wer sich danach meldet und gegen Gebühr Ihr Geld zurückholen will, gehört zur selben Bande und holt sich den zweiten Bissen.

Was auf dieser Liste fehlt: Selbstvorwürfe. Dieses Drehbuch läuft im Industriemaßstab, gerade weil es bei sorgfältigen, vernünftigen Menschen funktioniert. Eine Anzeige ist kein Eingeständnis von Naivität, sondern der Grund, warum die nächste Familie rechtzeitig gewarnt wird.

Die Lücke im „Handy kaputt”-Trick, und wie man sie schließt

Bleibt ein unbequemer Rest. „Rufen Sie die alte Nummer an” hat eine Lücke, und die Täter kennen sie: Manchmal ist ein Handy wirklich kaputt, ändert sich eine Nummer wirklich, bleibt die alte Nummer wirklich stumm. In genau diesem Moment sind die ehrliche Situation und der Betrug von außen nicht zu unterscheiden. Was eine Familie dann braucht, ist ein Erkennungsverfahren, das an keinem Gerät, keiner SIM-Karte und keiner Rufnummer hängt.

Für diese Lücke gibt es gekoppelte Verifikation. Die Idee ist alt, fast militärisch: Man vereinbart vorab, persönlich, ein gemeinsames Geheimnis und nutzt es später, um sich über jeden beliebigen Kanal auszuweisen. Was Hongi hinzufügt: Das Geheimnis lässt sich weder stehlen noch weitersagen, weil es rotiert. Koppeln Sie sich mit Ihrer Mutter, indem Sie einmal von Angesicht zu Angesicht einen QR-Code scannen, berechnen beide Telefone von da an offline übereinstimmende Codewörter, die sich alle 30 Sekunden ändern. Wer behauptet, sie zu sein, muss das Wort vorlesen können, das in diesem Moment auf ihrem Bildschirm steht, und es gibt ein zweites Wort, das nur Sie sehen, sodass ein Betrüger niemals beide kennen kann.

Zur Ehrlichkeit gehören die Grenzen. Das hilft nur Familien, die sich gekoppelt haben, bevor die falsche Nachricht eintrifft, so wie ein Rauchmelder nur hilft, wenn er vor dem Brand hing. Und es hindert keinen Betrüger daran, Ihnen zu schreiben; es hindert ihn daran, die Prüfung zu überstehen. Kommt eine „neue Nummer”-Nachricht an, schicken Sie über die App eine stille Prüfanfrage, dieses leise „Papa prüft gerade, bist du es wirklich?”, das nichts kostet und alles klärt. Auch auf einem geliehenen Handy mit nagelneuer Nummer kann sich Ihre echte Tochter ausweisen, denn das Codewort lebt in der Kopplung, nicht in der Telefonnummer. Genau die Lücke, für die die „Handy kaputt”-Ausrede erfunden wurde, ist damit geschlossen.

Hongi ist kostenlos, in Belgien entwickelt und funktioniert komplett offline, ohne dass irgendein Server Ihre Codes sieht. Wie die rotierenden Codewörter genau berechnet werden, erklärt unsere FAQ, und die Seite mit den Anwendungsfällen spielt das Familienszenario Schritt für Schritt durch. Aber ob Sie nun unsere App nutzen oder am Küchentisch ein altmodisches Familienpasswort vereinbaren: Erledigen Sie es diese Woche, solange das einzige „Hallo Mama” in Ihrem Posteingang noch ein echtes ist.