Veritiliz

Weltweiter Kontext: Das tatsächliche Ausmaß

Niemand hat Ihnen gesagt, dass es diese Art von Kriminalität gibt. Das ist der Ausgangspunkt. Keine Statistik. Keine Geografie. Die Tatsache, dass die Mehrheit der Menschen, die in die Phantom-Hacker-Masche geraten, ihr begegnet sind, ohne vorher zu wissen, dass so etwas überhaupt möglich ist.

Sie wurden nicht gewarnt. Nicht von dem Technologiekonzern, dessen Logo für die Browserwarnung gestohlen wurde. Nicht von Ihrer Bank, deren Name und Nummer ohne ihr Wissen gefälscht wurden. Von keiner Aufklärungskampagne, die Sie rechtzeitig erreicht hätte. Die Stellen, die Sie hätten warnen sollen, wussten entweder nicht wie, unterschätzten das Ausmaß oder nahmen an, jemand anderes kümmere sich darum.

Jede Zahl oben steht für gemeldete Fälle. Strafverfolgungsbehörden weltweit schätzen, dass gemeldete Fälle 10 % bis 15 % der tatsächlichen Vorfälle ausmachen. Das wahre Ausmaß sind nicht die Zahlen oben. Es sind diese Zahlen mal sechs bis zehn.

Das Ausmaß: Was die Zahlen tatsächlich sagen

Die Phantom-Hacker-Masche und das breitere Geflecht des Technik-Support-Betrugs, zu dem sie gehört, bilden eine der größten und finanziell zerstörerischsten Kategorien weltweit tätiger organisierter Kriminalität.

Woher das kommt

Die wichtigste Callcenter-Infrastruktur, die auf amerikanische und britische Betroffene zielt, hat ihre größte dokumentierte Konzentration in Südasien, insbesondere in Indien, mit großen Standorten in Noida, Kalkutta und Gurugram. Das sind keine Kelleroperationen. Es sind Bürokomplexe mit Personalabteilungen, strukturierten Schulungsprogrammen zur Angleichung des Akzents und leistungsabhängigen Vergütungsmodellen.

Indien als einziges Epizentrum darzustellen gibt die vollständige Bedrohungslage allerdings falsch wieder. Europols Internet Organised Crime Threat Assessment von 2024 dokumentiert ausdrücklich erhebliche illegale Callcenter-Aktivität in Osteuropa, mit bemerkenswerten Operationen in Bulgarien und Rumänien sowie in Israel.

Auf wen gezielt wird — die wachsende Angriffsfläche

Die Hauptzielgruppe bleiben Menschen über 60 in wohlhabenden englischsprachigen Ländern. Europols Bewertung von 2024 nennt allerdings kleine und mittlere Unternehmen als zunehmend anvisierte Kategorie. Solche Unternehmen bewegen häufig erhebliche Geldströme, verfügen aber über weniger eigene Mittel für Cybersicherheit als große Konzerne. Der Angriffsweg passt sich entsprechend an — gefälschte Anrufe des IT-Helpdesks, erfundene Sicherheitswarnungen von Unternehmenssoftware, vorgetäuschte Identität von Technologielieferanten.

Wie das Geld verschwindet

Die Finanzarchitektur ist um eine einzige Anforderung herum gebaut: Das Geld muss unwiederbringlich sein, bevor die betroffene Person merkt, dass es weg ist.

  • Überweisungen: Sofort über mehrstufige Netze von Geldkurieren verteilt.
  • Kryptowährung: Über mehrere Protokolle hinweg von Kette zu Kette bewegt und durch Mixdienste geschleust, die den Verlauf der Transaktionen algorithmisch verschleiern.
  • Gold und Bargeld: Von einem im Inland angeworbenen Kurier an der Wohnung der betroffenen Person abgeholt und rasch über Edelmetallhändler zu Geld gemacht oder in Kryptowährung umgewandelt. Das ist eine analoge Lösung für digitale Abwehr.

Der regulatorische Unterschied, auf den es ankommt

Im Vereinigten Königreich wurden im Oktober 2024 verpflichtende Erstattungsregeln für Betrug mit autorisierten Push-Zahlungen eingeführt. Sie verpflichten Banken, Betroffene in den meisten Fällen zu entschädigen, und schaffen damit einen unmittelbaren wirtschaftlichen Anreiz für Banken, in Systeme zur Verhaltenserkennung zu investieren.

In den Vereinigten Staaten sieht der Rechtsrahmen keine vergleichbare Erstattungspflicht vor. Banken verweigern häufig die Erstattung für Überweisungen, die die betroffene Person formal autorisiert hat, unabhängig von der seelischen Täuschung dahinter. Für amerikanische Betroffene bedeutet das: Die Bank, deren Rufnummer benutzt wurde, um Vertrauen zu gewinnen, trägt für das Ergebnis keinerlei rechtliche finanzielle Verantwortung.

Die Eskalation durch künstliche Intelligenz

Stimmklonen mit generativer KI kann heute aus nur drei Sekunden Audio eine überzeugende Nachbildung der Stimme einer bestimmten Person erzeugen. Die geklonte Stimme wird in Phantom-Hacker-Operationen eingesetzt, um der Phase der vorgetäuschten Behörde eine erschreckend persönliche Ebene hinzuzufügen. Die Erstellung von Deepfake-Dateien stieg 2025 auf geschätzte 8 Millionen Fälle. Deepfake-Video in Echtzeit wird außerdem in Videokonferenzen (Zoom, Teams) eingesetzt, damit die Bearbeiter als Polizeibeamte auftreten können.

Was sich ändern muss

Der Rechtsrahmen in den Vereinigten Staaten muss dem Standard entsprechen, der inzwischen im Vereinigten Königreich gilt: verpflichtende Erstattung für Betroffene von Betrug mit autorisierten Push-Zahlungen, der durch nachweisbare seelische Täuschung zustande kam.

Digitale Werbenetzwerke — Google, Bing und ihresgleichen — brauchen durchsetzbare Standards zur Überprüfung von Werbetreibenden. Die derzeitigen Standards erlauben es, dass betrügerische Telefonnummern mit minimaler Prüfung über den seriösen Suchergebnissen erscheinen.

Telekommunikationsanbieter müssen die Einführung von Protokollen zur Authentifizierung der Rufnummernanzeige (STIR/SHAKEN) bei allen Netzteilnehmern abschließen, um die Fälschungsmöglichkeit zu beseitigen, die die Phase mit dem Bankmitarbeiter erst möglich macht.

Die Schulung von Bankangestellten muss als vorrangiges Mittel der Betrugsprävention behandelt werden. Dokumentierte Fälle zeigen, dass geschulte Angestellte, die die Verhaltensmerkmale von Phantom-Hacker-Betroffenen erkennen, das Abschöpfen in der Filiale unterbrochen und verhindert haben.

Die Lücke schließen

Es braucht eine Aufklärungsinfrastruktur in großem Umfang, auffindbar für jemanden, der „Computervirus Warnung Telefonnummer“ in eine Suchmaschine tippt und irgendwo Echtem landen muss, bevor er wählt. Jeder Mensch, der diese Seite liest und sie mit jemandem teilt, der sie brauchen könnte, leistet genau diese Arbeit. Sie ist nicht glamourös. Sie ist das Einzige, was schnell genug wirkt, um etwas zu ändern.