Der gefälschte Anruf
vom „technischen Support“

Nein. Weder Microsoft noch Apple noch Google rufen an, um vor einem Virus zu warnen, und auch Ihre Bank ruft nicht an, damit Sie ein Fernwartungsprogramm installieren. Keines dieser Unternehmen muss sich von außen auf Ihren Computer schalten, um etwas zu reparieren: Gibt es wirklich ein Sicherheitsproblem, erfahren Sie es in Ihrem Konto oder über die Kanäle, die Sie ohnehin nutzen – nie durch einen Anruf, bei dem Sie während des Gesprächs etwas öffnen sollen. Der einzige Zweck dieses Anrufs ist, Sie in Eile an den PC zu setzen, denn sobald Sie davorsitzen, läuft das Drehbuch ab: ein Fernzugriffsprogramm, ein Code, den Sie laut vorlesen sollen, oder gleich Ihre Kartendaten. Bei einem solchen Anruf müssen Sie nicht beurteilen, ob er glaubwürdig klingt: Die Regel ist immer dieselbe. Legen Sie auf, und wenn Sie es überprüfen möchten, rufen Sie selbst die Nummer an, die Sie schon vor diesem Anruf gespeichert hatten.

Das beweist nichts – und genau das macht den Anruf glaubwürdig. Die Rufnummernanzeige lässt sich mit frei verfügbaren Werkzeugen fälschen. Dass auf dem Display Name oder Nummer Ihres Anbieters, Ihrer Bank oder sogar eines Ihrer Kontakte erscheint, heißt also nicht, dass diese Person oder Firma am anderen Ende ist. Es ist dieselbe Technik, mit der Phishing-SMS mit gefälschtem Absender glaubwürdig gemacht werden. Es bringt nichts zu fragen „Sind Sie wirklich von Movistar?“ oder am Telefon eine andere Bestätigung zu verlangen, denn wer in böser Absicht anruft, ist auf diese Frage vorbereitet. Es hilft nur eines: das Gespräch nicht über diesen Kanal fortsetzen. Legen Sie auf und wählen Sie selbst die Nummer, die Sie schon vorher hatten – die auf einer echten Rechnung oder auf der Rückseite Ihrer Karte. War es ein legitimes Anliegen, wird man Ihnen auch so helfen; war es Betrug, gibt es diesen zweiten Kontakt einfach nicht.

Das sind seriöse Fernwartungsprogramme, die echte Techniker jeden Tag für den Support aus der Ferne nutzen. Das Problem ist nicht das Werkzeug, sondern wer Sie zur Installation auffordert und wann: Hat Sie jemand angerufen, mit dem Sie nicht gerechnet haben, und führt er Sie im selben Gespräch durch den Download, verlangt er vollen Zugriff auf Ihren Bildschirm – und wenn Sie eine weitere Berechtigung bestätigen, die Kontrolle über Tastatur und Maus, als säße er selbst vor dem Gerät. Von dort aus sieht er gespeicherte Passwörter, offene Banking-Sitzungen und Dokumente und kann Sie dazu bringen, Zahlungen oder Überweisungen selbst freizugeben, ohne dass es nach Diebstahl aussieht. Die Regel ist einfach: Installieren Sie solche Programme nur, wenn Sie selbst einen vertrauenswürdigen Support angerufen haben und diese Person Sie im Rahmen eines von Ihnen begonnenen Vorgangs darum bittet. Kam der Anruf von selbst und sollen Sie nach fünf Minuten schon etwas installieren, ist das kein Support, sondern der Angriff.

Dasselbe Stück in anderem Kostüm: Statt der Angst vor dem Virus nutzen sie die Angst, Geld zu verlieren oder eine Strafe zu bekommen. Kein großes Unternehmen wickelt ein Bußgeld oder eine Rückerstattung telefonisch ab und verlangt dabei, dass Sie ein Programm installieren oder einen Bestätigungscode laut vorlesen. Solche Vorgänge laufen, wenn es sie wirklich gibt, über Ihr Konto, schriftlich oder in einer Filiale – nie mit jemandem am Telefon, der Sie drängt, „vor Ablauf der Frist“ zu handeln. Achten Sie auf das Muster, nicht auf die Details der jeweiligen Ausrede: Immer geht es um einen Geldbetrag, immer gibt es eine erfundene Dringlichkeit, und immer ist der nächste Schritt, dass Sie etwas installieren oder eine Zahl diktieren. Bietet man Ihnen eine Rückerstattung an, legen Sie auf und prüfen Sie Ihr echtes Konto selbst, ohne einen Link oder eine Nummer aus dem Anruf zu benutzen. Eine echte Rückerstattung kommt von allein, ohne dass Sie dafür irgendwo Zugriff gewähren müssen.

Unterbrechen Sie zuerst die Verbindung: Schließen Sie das Fernwartungsprogramm oder schalten Sie das Gerät einfach aus, wenn Sie nicht wissen, wie man es schließt. Ändern Sie dann von einem anderen Gerät, das nicht betroffen war – zum Beispiel dem Handy –, die Passwörter für Onlinebanking und E-Mail, denn wer den Bildschirm gesehen hat, hat womöglich mehr gesehen, als Sie denken. Informieren Sie so schnell wie möglich die Bank, auch wenn Sie noch keine verdächtige Buchung bemerkt haben: Sie kann das Konto überwachen oder Vorgänge sperren, bis geklärt ist, was passiert ist. Wurde bereits Geld bewegt, sollten Sie Anzeige erstatten. Ein wichtiger Punkt: Läuft gerade eine Überweisung oder führt Sie die Bank am Telefon durch die nächsten Schritte, schalten Sie nicht überstürzt den Router ab in dem Glauben, damit sei alles gestoppt – das kann mehr schaden als nützen. Rufen Sie zuerst die Bank an und folgen Sie ihren Anweisungen. Das Gerät wird danach in Ruhe geprüft, und bevor Sie es wieder normal nutzen, wird das Fernzugriffsprogramm deinstalliert.

Nein, der Anruf selbst infiziert nichts: Die Betrüger brauchen Ihre aktive Mithilfe, etwa die Installation eines Programms oder das Vorlesen eines Codes, der per SMS kommt. Deshalb ist das ganze Drehbuch darauf ausgelegt, Sie an den Computer zu bringen und dort unter Zeitdruck zu halten – ohne diesen Schritt erreichen sie nichts. Das ist anders als bei Betrugsarten, bei denen das Öffnen eines Links oder Anhangs genügt: Hier brauchen sie Ihre Mitwirkung, und wenn Sie das wissen, spielt es Ihnen in die Hände. Sie können sich die ganze Rede anhören, sich das angeblich entdeckte „Problem“ erklären lassen und alle Fragen stellen, die Sie möchten, ohne echtes Risiko – solange Sie nichts installieren und keinen Code diktieren. Der gefährliche Moment ist nicht der Anruf, sondern der Klick auf den Download-Link oder die Stimme, die Zahlen von einem Bildschirm vorliest. Legen Sie auf, bevor man eines von beidem verlangt, und es ist nichts passiert.

Diese Bildschirmmeldung ist der Betrug, keine echte Nachricht von Windows oder Ihrem Virenschutz. Sie erscheint meist beim Surfen, füllt den ganzen Bildschirm, spielt manchmal einen Alarmton ab und zeigt eine Telefonnummer, die Sie „dringend“ anrufen sollen. Es ist derselbe Betrug wie der eingehende Anruf, nur umgekehrt: Statt Sie anzurufen, bringen sie Sie dazu, selbst anzurufen – und dann vertrauen Sie ihnen sogar mehr, weil „Sie ja selbst Hilfe gesucht haben“. Rufen Sie diese Nummer auf keinen Fall an. Versuchen Sie, den Browser normal zu schließen; lässt sich das Fenster nicht schließen oder öffnet es sich erneut, beenden Sie den Browser über den Task-Manager oder schalten Sie das Gerät aus und wieder ein. Wenn Sie den Browser wieder öffnen, stellen Sie die vorige Sitzung nicht wieder her, falls er das anbietet, damit dieser Tab nicht erneut lädt. Um die Meldung loszuwerden, müssen Sie niemanden anrufen und nichts installieren: Mit dem Schließen des Browsers verschwindet sie.

Sie rufen selbst an, immer, und zwar eine Nummer, die Sie sich selbst beschafft haben: die auf einer Papierrechnung oder in Ihrem Kundenportal, die auf der offiziellen Website, deren Adresse Sie selbst in den Browser eintippen, statt auf einen Link zu klicken, oder die auf der Rückseite Ihrer Bankkarte. Nie die Nummer eines eingehenden Anrufs, nie die aus einem Pop-up im Browser und nie eine, die per SMS oder E-Mail kommt mit der Bitte, „zur Verifizierung Ihres Kontos“ anzurufen. Wenn Sie die Nummer im Internet suchen, bedenken Sie, dass es auch Anzeigen und gefälschte Seiten gibt, die sich unter den ersten Suchergebnissen als offizieller Support ausgeben. Gehen Sie deshalb besser immer von einem Dokument aus, das Sie bereits hatten, nicht von einer neuen Suche. Mit dieser Gewohnheit – Sie nehmen immer selbst den Kontakt auf – hat das ganze Drehbuch dieses Betrugs keinen einzigen Ansatzpunkt mehr.