Wie man Internetbetrüger hereinlegt
Mit welchen Tricks genervte User zurückschlagen – und warum diese Retourkutschen gefährlich sind.
Matthias Schüssler
Was tun, wenn eines dieser «Gratulation, Sie wurden ausgewählt»-Mails den Weg in den Posteingang gefunden hat? Die meisten Leute drücken schulterzuckend die Löschtaste und betrachten die Sache als erledigt. Aber nicht alle. Das Fachmagazin Heise.de hat diese Woche einen Bericht veröffentlicht, in dem ein erfahrener Hacker anonym seinen Gegenschlag beschreibt, nachdem er in so einer Mailnachricht informiert worden war, er habe 10 Millionen US-Dollar geerbt.
Als Erstes besucht der Hacker die Website, auf den ihn der Betrüger locken will. Er soll dort eine Zahlung von 2500 US-Dollar leisten, damit die Überweisung des Millionenbetrags in die Wege geleitet werden kann: typisch für Vorkassebetrugsfälle. Da diese Website schlecht geschützt ist, kann der Hacker in die Datenbank eindringen, über die der Versand der Spam-Nachrichten abgewickelt wird. Im Administrationsbereich hinterlegt er ein Script und lockt den Betrüger unter einem Vorwand an. Beim Einloggen registriert das Script die IP-Adresse, unter der der Betrüger operiert. Diese IP-Adresse führt den Hacker zum Internetanschluss und zum Router des Betrügers.
Das Standardpasswort nicht geändert
Weil beim Router das Standardpasswort niemals abgeändert wurde, kann der Hacker sich einloggen und Anpassungen vornehmen. Auf diesem Weg überwacht er die Aktivitäten des Betrügers. Dieser geht weiter der Beschäftigung des Versands von Spammails nach. Der Hacker findet nun die Log-in-Daten für den ADSL-Zugang. Da sich anhand der IP-Adresse auch der Internetprovider in Erfahrung bringen lässt, probiert der Hacker, ob die Zugangsdaten auch im Kundenportal des Providers funktionieren. Und in der Tat: Mit diesen Daten loggt er sich ein und gelangt an den Namen des Betrügers. Schliesslich eruiert er auch dessen Aufenthaltsort.
Natürlich – die feine Art ist das nicht: Selbstjustiz ist auch im digitalen Raum kein Kavaliersdelikt. Wer in fremde Computer einbricht, macht sich strafbar, ob er nun Verbrecher jagt oder nicht.
Doch man muss nicht zum Hacker werden, um Vergeltung zu üben. Eine Möglichkeit für legale Retourkutschen ergibt sich bei den gefälschten Supportanrufen. Bei dieser Masche, die seit bald zehn Jahren praktiziert wird, meldet sich per Telefon eine Person, die sich als Supporter eines grossen Tech-Unternehmens wie Microsoft ausgibt und behauptet, es liege ein Computerproblem vor, zum Beispiel eine Vireninfektion oder eine «Verstopfung» mit temporären Dateien. Die eigentliche Absicht ist, persönliche Daten zu stehlen oder teure, nutzlose Sicherheitsprogramme zu verkaufen.
User schlagen zurück
Nun machen sich manche Leute den Spass, die Anrufer selbst zu veralbern: Sie stellen sich begriffsstutzig, wiederholen jedes Wort des Anrufers oder fangen an, lange Monologe über Gott zu halten. Es gibt auch Leute, die «Moment» sagen und den Hörer beiseitelegen und den Anrufer warten lassen, bis er selbst auflegt. Manche legen es auch darauf an, die Betrüger ihrerseits in die Mangel zu nehmen und ihnen Informationen zu entlocken – oder gar das Geständnis, dass alles bloss Irreführung ist.
Doch es gibt auch warnende Stimmen: Den Betrügern auf die Nerven zu fallen, ist nicht illegal. Doch es sind Fälle belegt, in denen diese drastisch reagierten: mit Beschimpfungen, mit weiteren Telefonanrufen und gar mit Morddrohungen. Die Wahrscheinlichkeit, dass die ernst gemeint sind, ist gering. Doch sie wirken dennoch authentisch und höchst verunsichernd. Zu bedenken ist, dass viele Betrüger sich inzwischen «Kunden» gewohnt sind, die die Masche kennen und Gegenwehr leisten – entsprechend routiniert werden Spässe pariert. Und sogar das Hinhalten könne man sich sparen, sagen Experten. Da die Hintermänner dieser Betrugsmaschen mit Callcenters in Billiglohnländern arbeiten, schmälert dieser Trick die Gewinnspanne kaum.
Die Betrüger ködern
Trotzdem ist das Scambaiting – das Ködern von Internetbetrügern – für manche zu einer Art Hobby geworden. Es hat den Zweck, die Betrüger dazu zu bringen, Zeit und Energie auf aussichtslose Betrugsunterfangen zu verschwenden: sei es zur Befriedigung oder um Informationen zu beschaffen, die bei der Strafverfolgung hilfreich sind.
Besonders viele Fälle von Scambaiting sind zur Nigeria Connection dokumentiert. Die betreibt seit bald zwanzig Jahren Vorkassebetrugsfälle mit angeblich reichen Prinzen oder Lotteriegewinnen. Unter dem Vorwand, die Echtheit des Gegenübers überprüfen zu wollen, liessen die selbst ernannten Kämpfer gegen den Scam die Betrüger bestimmte Dinge tun und das fotografisch festhalten. Nebst harmlosen Scherzen gab es auch Fälle von demütigenden Posen, zum Beispiel nackt auf dem WC sitzend oder Tafeln mit Sätzen in fremden Sprachen («Ich bin ein Arschloch») hochhaltend. Natürlich landen diese Bilder umgehend im Netz. Diese Anprangerung lässt allerdings ausser Acht, dass die so Blossgestellten oft nur die Handlanger sind, die aus wirtschaftlicher Not handeln. Und natürlich ist mit solchen Bildern auch niemandem wirklich geholfen.
Sicherheitsunternehmen halten sich bedeckt
Sicherheitsunternehmen geben sich bei Fragen zum Thema bedeckt. Symantec weist auf Anfrage lediglich auf einen Blogbeitrag hin, in dem auf die langjährige Zusammenarbeit mit Strafverfolgungsbehörden wie dem FBI oder dem European Cyber Crime Center von Europol hingewiesen wird. Da geht es nicht um einzelne Betrüger, sondern gegen global operierende Betrugsringe und Botnetze.
Private Ermittlungsaktionen sind aussichtslos: allein deswegen, weil die Betrüger meist in fernen Ländern sitzen und sich konkrete Ermittlungsergebnisse kaum verwerten lassen. Es bleibt dabei: Mails zu löschen und bei dubiosen Anrufen einfach aufzuhängen, bleibt die einzig sinnvolle Reaktion.
Ausnahmen bestätigen die Regel: Der Youtuber Kitboga verdient inzwischen seinen Lebensunterhalt mit Videos, in denen er in die Rolle von Grossmutter Edna oder des hippen Valleygirls Nevaeh schlüpft, um die Betrüger dumm dastehen zu lassen. Er setzt nicht auf Aggression, sondern auf friedliche Taktiken wie Comedy. Trotzdem: In einem Porträt mit dem Magazin «Newsweek» verrät er, wie viel er in seine Sicherheit investiert und mit welchem Aufwand er Computer präpariert, die für die Betrüger echt wirken, aber natürlich keinerlei persönliche Daten enthalten.