Gefälschte Support-Anrufe und Zahlungen mit Gutscheinen

Drei Arten, wie der Anruf beginnt

Das Pop-up

Ein Browserfenster füllt den Bildschirm. Es gibt einen Alarmton, manchmal eine synthetische Stimme, eine Warnung, dass Ihr Rechner infiziert oder Ihre IP-Adresse kompromittiert sei, die Anweisung, den Computer nicht neu zu starten, und eine Telefonnummer in großer Schrift. Gelegentlich läuft eine animierte Prüfung, die anscheinend Dateien findet.

Eine Webseite kann Ihren Computer nicht auf Viren prüfen. Sie hat keinen Zugriff auf Ihre Dateien, Ihr Antivirenprogramm oder Ihr System. Was sie lesen kann, ist das, was jede Website liest: welchen Browser Sie verwenden, welches Betriebssystem und einen ungefähren Ort aus Ihrer IP-Adresse. Deshalb „weiß" die Warnung, dass Sie in Ihrer Stadt mit Windows arbeiten. Es ist der älteste Trick auf der Seite, und er erledigt den größten Teil der Arbeit.

Die Seite kann außerdem im Vollbild die Tastatur festhalten oder bei jedem Schließversuch ein Dialogfenster werfen. Erzwingen Sie das Beenden des Browsers — Task-Manager unter Windows, Sofort beenden auf dem Mac — und öffnen Sie ihn erneut, ohne die vorherige Sitzung wiederherzustellen. Es ist nichts beschädigt worden.

Der unerwartete Anruf

„Ich rufe von Microsoft an. Unsere Server haben eine schwere Infektion auf Ihrem Rechner festgestellt." Microsoft, Apple, Google und Internetanbieter rufen Privatpersonen nicht wegen Virusinfektionen an. Sie überwachen Ihren Computer nicht und könnten Sie daran auch nicht erkennen, wenn sie es täten. Dasselbe gilt für jeden Anrufer, der behauptet, Ihr Router sei gehackt worden oder Ihre Lizenz sei abgelaufen.

Die Nummer, die Sie selbst gefunden haben

Diese verdient Aufmerksamkeit, weil sie sich sicher anfühlt. Sie suchen die Supportnummer eines Unternehmens, rufen die Nummer ganz oben in den Ergebnissen an und erreichen ein Callcenter, das die Anzeige gekauft oder den Eintrag gesetzt hat. Sie haben gewählt, also ist Ihre Deckung unten. Erreichen Sie den Support nur, indem Sie die eigene Adresse des Unternehmens in den Browser tippen und von dort aus navigieren.

Ein naher Verwandter davon ist die Verlängerungsrechnung per E-Mail: Ihr Antiviren-Abonnement habe sich für eine große Summe automatisch verlängert, und um zu kündigen, müssen Sie die unten stehende Nummer anrufen. Es gibt keinen Link und keinen Anhang, was genau der Grund ist, warum sie den Spamfilter passiert. Die Nummer ist die gesamte Nutzlast.

Was der Techniker mit Ihrem Bildschirm macht

Die erste Bitte ist immer der Fernzugriff. Sie werden durch die Installation eines Fernwartungsprogramms geführt — AnyDesk, TeamViewer, UltraViewer, LogMeIn, Supremo und ähnliche sind gewöhnliche Werkzeuge, die von echten Technikern ehrlich benutzt werden, weshalb sie gewählt werden — und dazu gebracht, die Verbindungs-ID vorzulesen.

Sobald die Verbindung steht, beginnt die Vorführung. Jeder Punkt darin ist echte Software, die sich normal verhält.

• Die Ereignisanzeige. Jeder funktionierende Computer protokolliert Warnungen und Fehler: ein Treiber, der spät startete, ein Dienst, bei dem eine Zeitüberschreitung auftrat. Durch einen Bildschirm voll roter und gelber Symbole zu scrollen wird als Beweis für einen Einbruch dargestellt.
• Die Liste der Netzwerkverbindungen. Der Befehl netstat gibt die Verbindungen aus, die Ihr Rechner gerade hält. Updateserver, Cloudspeicher, die in Ihrem Browser geöffneten Websites. Jede fremde Adresse wird als Hacker beschrieben, der in Ihrem Computer sitzt.
• Der Trick mit der Lizenzkennung. Sie sollen einen Befehl ausführen, der Dateizuordnungen ausgibt, und werden auf eine lange Zeichenfolge in der Ausgabe hingewiesen — eine Klassenkennung. Der Techniker behauptet, das sei Ihre eindeutige Lizenznummer, und liest dann dieselbe Zeichenfolge aus „unseren Unterlagen" zurück, um zu beweisen, dass er Microsoft ist. Diese Zeichenfolge ist auf jeder Windows-Installation der Erde identisch.
• Ein Verzeichnislisting in voller Geschwindigkeit. Tausende Dateinamen, die ein schwarzes Fenster hinunterströmen, beschrieben als Tiefenprüfung.
• Deaktivierte Dienste. Ein Konfigurationsfenster wird geöffnet, und ein paar nicht gesetzte Häkchen werden als Beweis dafür gezeigt, dass Ihr Schutz von einem Angreifer abgeschaltet wurde.
• Notepad als Chatfenster. Ihnen Nachrichten zu tippen hält Ihre Augen am Bildschirm und hält Sie am Lesen, während andere Dinge geschehen.
• Der geschwärzte Bildschirm. „Ich blende die Anzeige aus, während die Reparatur läuft." Nichts Seriöses verlangt von Ihnen, dass Sie aufhören, Ihrem eigenen Computer zuzusehen.

Es folgt die Diagnose: Ihr Rechner sei kompromittiert, Ihre Bankdaten seien offengelegt, und ein Sicherheitspaket, eine lebenslange Firewall-Lizenz oder ein Netzwerkschutz-Abonnement werde sofort gebraucht.

Warum die Zahlung ein Gutschein sein muss

Kein Softwareunternehmen berechnet Support mit einer Paysafecard-PIN. Keines nimmt Neosurf, Transcash, PCS, Cashlib oder Flexepin. Anbieter rechnen über das Konto ab, das Sie ohnehin bei ihnen haben, oder nehmen eine Karte und stellen eine Quittung mit einem Firmennamen darauf aus.

Das Callcenter kann keine Karte annehmen, denn eine Karte braucht ein Händlerkonto, und ein Händlerkonto braucht ein eingetragenes Unternehmen, eine Bank und eine Adresse. Was sie stattdessen brauchen, ist etwas, das in dem Moment zu Bargeld wird, in dem Sie es vorlesen, und danach niemandem gehört. Prepaid-Gutscheincodes funktionieren genau so, und die Marken, die nichts als eine PIN auf einem Ticket sind, sind das reinste Beispiel dafür.

Die Erstattungsumkehr, die teure Variante

Wochen oder Monate später sagt ein Anrufer, das Unternehmen schließe und schulde Ihnen eine Erstattung. Oder die Antiviren-Rechnungsmail führt zu einem Anruf, in dem eine Kündigung vereinbart wird. So oder so brauchen sie Fernzugriff, um sie zu „bearbeiten", und sie brauchen Sie, damit Sie Ihr Onlinebanking oder ein Formular auf ihrem Bildschirm öffnen.

Dann geht etwas schief. Die Erstattung erscheint auf dem Bildschirm als weit mehr als die vereinbarte Summe — eine Ziffer zu viel, werden sie sagen. Der Mechanismus wechselt: Sie verschieben Geld zwischen zwei Konten, die Ihnen ohnehin gehören, sodass ein Saldo springt, sie bearbeiten die im Browser angezeigten Zahlen mit den darin eingebauten Entwicklerwerkzeugen, oder sie zeigen Ihnen eine gefälschte Seite. Es ist nirgendwoher etwas angekommen.

Was folgt, ist inszenierte Verzweiflung. Der Techniker sagt, der Fehler sei seiner gewesen, das Geld sei von seinem Privatkonto gekommen, sein Vorgesetzter werde ihn entlassen, er habe eine Familie. Ob Sie bitte die Differenz zurückgeben würden. Nicht per Überweisung, denn die Prüfung würde es zeigen. In Gutscheinen, aus dem Laden die Straße hinunter.

Prüfen Sie den Kontostand von einem anderen Gerät aus, oder rufen Sie die Bank unter der auf Ihrer Karte gedruckten Nummer an. Die Überzahlung ist der Trick, und sie ist der einzige Teil der Geschichte, der je geprüft werden muss.

Wenn Sie gerade im Gespräch sind

• Legen Sie auf. Lassen Sie sie nicht ausreden, streiten Sie nicht, warnen Sie sie nicht vorher.
• Trennen Sie den Computer vom Internet — ziehen Sie das Kabel oder schalten Sie das WLAN aus —, was ihre Sitzung sofort beendet.
• Gehen Sie nicht ran, wenn sie zurückrufen, und sie werden zurückrufen, manchmal viele Male.

Danach, in dieser Reihenfolge

1. Entziehen Sie ihnen den Zugang. Deinstallieren Sie die Fernwartungssoftware, die sie Sie installieren ließen. Wenn Sie nicht sicher sind, dass sie weg ist, behandeln Sie den Rechner als nicht vertrauenswürdig.
2. Ändern Sie Passwörter von einem anderen Gerät aus. Ein Telefon oder ein anderer Computer. Zuerst die E-Mail, denn sie ist der Schlüssel zu allem anderen, dann das Banking, dann alles, was dasselbe Passwort teilt. Schalten Sie die Zwei-Faktor-Authentifizierung ein, wo Sie können.
3. Rufen Sie Ihre Bank an, wenn während der Sitzung Onlinebanking offen war, wenn Kartendaten eingetippt wurden oder wenn Geld bewegt wurde. Bitten Sie sie, das Konto zu überprüfen und die Karte neu auszustellen.
4. Bedenken Sie, was sie hatten. Wer eine halbe Stunde lang die volle Kontrolle über einen Computer hat, kann alles installieren und alles lesen. Wo Banking- oder Arbeitssysteme auf diesem Rechner liegen, ist eine saubere Neuinstallation die einzige ehrliche Antwort. Führen Sie mindestens eine vollständige Prüfung mit Sicherheitssoftware durch, die Sie sich selbst beschafft haben.
5. Melden Sie es der Polizei oder Ihrer nationalen Betrugsmeldestelle und der Betrugsabteilung Ihrer Bank.
6. Wenn bereits ein Code vorgelesen wurde, folgen Sie ohne Verzögerung den Schritten für einen Gutscheincode, der weg ist.

Rechnen Sie mit einer zweiten Welle. Dieselben Daten werden von „der Erstattungsabteilung", „dem Betrugsteam", einer Cybercrime-Einheit oder einer Rückholfirma wiederverwendet, die von Ihrem Fall gehört hat. Wer Sie von sich aus wegen verlorenen Geldes kontaktiert, arbeitet nach einer Liste.

Was echter Support nie tut

• Sie unaufgefordert wegen einer Infektion auf Ihrem Rechner anrufen.
• Eine Telefonnummer in einer Virenwarnung anzeigen.
• Sie bitten, Fernwartungssoftware zu installieren, nach der Sie nicht gesucht haben.
• Zahlung in Prepaid-Gutscheinen verlangen, in welcher Währung und aus welchem Grund auch immer. Niemand Seriöses tut das.
• Sie bitten, das Gespräch vor Ihrer Familie oder Ihrer Bank zu verschweigen.
• Eine Erstattung leisten, indem er Sie bittet, Geld zurückzuschicken.

Jedes einzelne davon reicht für sich, um das Gespräch zu beenden.