Phantom-Hacker- & Technik-Support-Betrug: So funktioniert das System

Der Bildschirm fror ein. Aus den Lautsprechern dröhnte ein Alarm. Eine Warnung füllte die ganze Anzeige — Microsoft-Logo, roter Text, eine Vorgangsnummer, eine Telefonnummer.

„Ihr Gerät wurde kompromittiert. Nicht neu starten. Rufen Sie sofort an.“

Sie haben angerufen.

Wenn Sie das hier lesen, hat dort alles angefangen. Was nach dem Anruf geschah, war kein technischer Support. Es war keine Untersuchung einer Bank. Es war kein Fall einer Bundesbehörde.

Es war eine Vorstellung in drei Akten — mit Drehbuch, einstudiert und ausgeführt von Fachleuten, die sie schon hundertfach gespielt hatten, bevor Sie zum Hörer griffen.

Diese Seite zeichnet jeden Akt nach. Jede Stufe hatte einen Namen, einen Zweck und einen festgelegten nächsten Zug. Sie zu lesen macht das Geschehene nicht ungeschehen. Aber sie schließt endgültig die Tür zu der Frage, die die Betrüger zurückließen, als sie verschwanden: „Wie konnte ich das nicht sehen?“

Sie werden gleich genau sehen, wie es gebaut wurde, um unsichtbar zu sein.

Wie diese Masche tatsächlich heißt

Strafverfolgungsbehörden, das Internet Crime Complaint Center des FBI und Forschende zur Cyberkriminalität bezeichnen diese Kategorie als Phantom-Hacker-Masche — ein Begriff, der ihre prägende Architektur erfasst: mehrere Schichten vorgetäuschter Identität, nacheinander gestapelt, um eine vollständig geschlossene, erfundene Wirklichkeit zu erzeugen.

Anders als frühere Technik-Support-Maschen, die einem Opfer schlicht 300 $ für die „Behebung“ eines nicht vorhandenen Computervirus berechneten, zielt die Phantom-Hacker-Operation auf die vollständige Auflösung des Vermögens. Der Computervirus ist nicht mehr die Masche. Er ist nur noch der erzwungene Zugang zu Ihrer Psyche.

Sind sie einmal drin, zielen die Bearbeiter nicht auf den Computer. Sie zielen auf die Ersparnisse eines Lebens.

Die Architektur in drei Akten

Was diesen Betrug verheerend wirksam macht, ist die „Übergabe“. Sie haben nicht mit einer Person gesprochen. Sie wurden eine erfundene Befehlskette hinaufgereicht, wobei jede neue Stimme die Autorität der vorherigen bestätigte.

Erster Akt: Der Techniker

Als Sie die Nummer auf dem blinkenden Bildschirm anriefen, landeten Sie im ersten Akt. Die Person am anderen Ende stellte sich als Sicherheitstechniker von Microsoft, Apple oder einem Antivirenhersteller vor. Sie war ruhig, professionell und ganz darauf konzentriert, „die Sicherheitslücke zu schließen“.

Sie wies Sie an, eine seriöse Fernwartungssoftware herunterzuladen — etwa AnyDesk, TeamViewer oder UltraViewer. Nach der Installation übernahm sie die Kontrolle über Ihren Bildschirm. Sie öffnete Eingabeaufforderungen, ließ gefälschte Diagnoseprüfungen laufen und zeigte Ihnen schnell vorbeirauschende Codezeilen. Dann kam die Wende.

Der Techniker hielt plötzlich inne. Der Ton wechselte von hilfsbereit zu ernst. Er teilte Ihnen mit, die Hacker hätten nicht nur den Computer geknackt — sie hätten auch Ihre Bankkonten geknackt. „Ausländische IP-Adressen“ versuchten gerade, Ihr Geld nach Russland oder China zu überweisen.

Der Techniker sagte, er könne Ihnen nicht mehr helfen. Er müsse den Fall sofort an die Betrugsabteilung Ihrer Bank weitergeben.

Zweiter Akt: Der Bankermittler

Sie wurden zu einer neuen Person durchgestellt oder erhielten einen Anruf von einer Nummer, die genau der Servicenummer auf der Rückseite Ihrer Bankkarte entsprach (erreicht durch einfaches Fälschen der Rufnummernanzeige).

Diese Person gab sich als leitender Betrugsermittler genau Ihrer Bank aus. Sie bestätigte die schlimmste Einschätzung des Technikers: Ihre Konten seien schwer kompromittiert. Womöglich seien sogar bankinterne Mitarbeitende an dem Angriff beteiligt.

Der Bankermittler wies Sie an, sich in Ihr Onlinebanking einzuloggen, während er über die bereits installierte Fernwartungssoftware zusah. Er zeigte Ihnen „Beweise“ für die Anwesenheit der Hacker — häufig, indem er den HTML-Code der Bankseite auf Ihrem Bildschirm so veränderte, dass vorübergehend eine riesige nicht autorisierte Überweisung als offen angezeigt wurde.

Weil „bankinternes Personal“ kompromittiert sei, wies der Ermittler Sie an, niemandem in Ihrer Filiale zu trauen. Sie sollten persönlich zur Bank gehen, Ihr Geld sofort abheben und die Angestellten anlügen, falls sie nachfragten. Der Betrüger gab genau vor, was zu sagen war: „Das ist für ein Immobiliengeschäft“ oder „Das ist für eine Renovierung.“

Man sagte Ihnen, Sie brächten das Geld in Sicherheit.

Dritter Akt: Der Regierungsbeamte

Bei vermögenden Betroffenen brachte die Bande den letzten Abschließer ins Spiel. Der Bankermittler behauptete, der Angriff sei so schwerwiegend, dass er eine bundesbehördliche Untersuchung ausgelöst habe. Sie wurden an einen „Beamten“ der Federal Reserve, des FBI, der SEC oder der FTC übergeben.

Diese Person nannte Dienstnummern, Aktenzeichen und schickte per E-Mail amtlich aussehende Dokumente, samt echt wirkender Behördensiegel und gefälschter Unterschriften tatsächlicher Regierungsbeamter.

Der Bundesbeamte gab die letzte Anweisung: Ihr Geld müsse sofort in ein sicheres „staatliches Schließfach“ oder auf ein eigens eingerichtetes „Aliaskonto“ gebracht werden, um Ihr Vermögen zu schützen, während man die Hacker verfolge.

Die Illusion vom „sicheren Konto“

Das sichere Konto war nicht sicher, und es war kein Konto, über das Sie verfügten.

Je nach der Geldwäscheinfrastruktur der Bande wurden Sie angewiesen, Ihr Geld auf einem von drei Wegen zu „schützen“:

Überweisung: Das Geld direkt auf ein von der Bande kontrolliertes Auslandskonto senden, getarnt als sicherer Bundestresor.
Kryptowährung: Bargeld abheben, zu einem Bitcoin-Automaten fahren und das Bargeld in eine per QR-Code angegebene Wallet des Bundesbeamten einzahlen.
Goldbarren oder Bargeldsendungen: In neueren, hoch organisierten Varianten werden Betroffene angewiesen, physische Goldbarren zu kaufen oder große Bargeldsummen in eine Kiste zu packen und sie direkt einem „Bundeskurier“ zu übergeben, der an ihrer Haustür oder an einem vereinbarten Treffpunkt erscheint.

In dem Moment, in dem die Überweisung ausgeführt, das Gold übergeben oder der Bitcoin eingezahlt war, war die Operation faktisch beendet. Die Beamten blieben gerade lange genug in der Leitung, um sicherzugehen, dass die Transaktion durchging, und versprachen, am nächsten Morgen mit den neuen, sicheren Kontodaten zurückzurufen.

Der Anruf kam nie. Die Nummern waren abgeschaltet. Der Bildschirm blieb leer.

Der zweite Schlag: Rückholbetrug

Die Optimierung der Bande endet nicht mit dem Abschöpfen. Ihre Kontaktdaten, Ihr psychologisches Profil, die Einzelheiten Ihres Verlusts und eine Einschätzung Ihrer verbliebenen finanziellen Möglichkeiten wurden in dem Moment erfasst, in dem Sie sich auf die Operation eingelassen haben. Diese Profile — „Trottellisten“ genannt — werden in Foren des Darknets zwischen verschiedenen kriminellen Netzwerken gehandelt und verkauft.

Innerhalb von Wochen oder Monaten meldet sich ein neuer Kontakt. Eine andere Stimme. Jemand, der vorgibt, internationaler Strafverfolgungsbeamter, Blockchain-Forensiker oder privater Anwalt für Vermögensrückholung zu sein. Man sagt Ihnen, man habe die Täter verfolgt, das gestohlene Geld gefunden und die Wallets eingefroren.

Um das zurückgeholte Geld freizugeben, falle eine Gebühr an. Eine Verwaltungsgebühr. Eine Zollabgabe.

Das ist keine andere Masche, die Sie zufällig gefunden hat. Es ist ein zweiter Akt, eigens für Menschen geschrieben, die den ersten überstanden haben. Es ist Stufe vier derselben Operation — das letzte Abschöpfen dessen, was nach der ersten Verlustrunde an finanzieller Kraft und verzweifelter Hoffnung noch übrig ist.

Wenn sich nach diesem Betrug irgendjemand bei Ihnen meldet, der von einem Rückholdienst zu kommen behauptet: Dieser Kontakt ist selbst der Betrug.