Ein Einblick in die Gedankenwelt von Onlinebetrügern: Kristen, Trust & Safety Analyst

Kristen analysiert Daten mit dem Ziel, Phishing-Schemata zu verstehen und Verhaltensprofile von Betrügern zu erstellen. In ihrem Job ist es nötig, wie ein:e Betrüger:in denken zu können, um deren nächsten Schritte vorauszusehen und die Kund:innen von N26 besser zu schützen. Kristen hat uns von den aktuellen Trends erzählt und uns die besten Möglichkeiten gezeigt, um online sicher zu bleiben.

Kristen, du bist im Trust & Safety Team bei N26, das den Teams, die sich mit der Sicherheit der Kund:innen befassen, Informationen liefert. Was machst du ganz genau in deiner Rolle?

Ich bin Trust & Safety Analyst und habe mich auf Phishing-Schemata und Untersuchungen von Kontoübernahmen spezialisiert. Das bedeutet, dass ich neue Phishing- und andere Betrugstrends in der Welt aufspüre und untersuche – auch solche, bei denen sich Betrüger:innen Zugang zu Kundenkonten verschaffen. Ich beschäftige mich auch mit der Erstellung von Verhaltensprofilen von Betrüger:innen, wobei mein akademischer Hintergrund in Psychologie sehr hilfreich ist. Im Grunde analysiere ich, wie Betrüger:innen denken und wie sie sich verhalten, und untersuche, wie sie Menschen manipulieren, damit sie ihnen Informationen oder Zugang zu ihren Online-Konten geben.

All diese Informationen werden verwendet, um die N26 App und Dienste auf der Grundlage von realen Daten noch sicherer zu machen. Darüber hinaus nutzen wir sie, um unsere Mitarbeiter:innen und natürlich die Kund:innen von N26 aufzuklären.

Online-Betrug hat seit der Pandemie zugenommen, da die Menschen in dieser Zeit angefangen haben, immer mehr Dinge online zu erledigen. Was ist deiner Meinung nach das am weitesten verbreitete Problem, dessen sich die Menschen bewusst sein sollten?

Die Zahl der Phishing-Angriffe ist seit 2020 sprunghaft angestiegen, was definitiv mit der zunehmenden Onlineaktivität zusammenhängt. Aber das ist nicht der einzige Grund. Die meisten Menschen assoziieren Phishing mit schlecht formatierten E-Mails, in denen sie aufgefordert werden, auf einen Link zu klicken und persönliche Daten preiszugeben – zum Beispiel, um ein vermeintlich kompromittiertes Kundenkonto wieder freizuschalten. Aber Phishing ist viel mehr als das. Viele Phishing-Methoden beruhen auf emotionaler Manipulation, weshalb sie in Krisenzeiten gut funktionieren. Dann sind die Menschen am empfänglichsten und daher auch am anfälligsten und verletzlichsten.

Rund um das Phishing hat sich eine ganze Branche entwickelt und die Angriffe werden immer professioneller. Betrüger können im Dark Web Phishing-Kits kaufen, die zur Erstellung von Vorlagen für „erfolgreiche“ Kampagnen verwendet werden können. Daneben sind auch Datenbanken mit kompromittierten Kundendaten oder sogar Telemarketing-ähnliche Skripte für Phishing-Anrufe verfügbar. Phishing per Telefon, auch Vishing genannt, nimmt zu, da ein persönliches Gespräch im Allgemeinen mehr Vertrauen schafft als eine anonyme E-Mail und oft auch effektiver ist. So ist die menschliche Natur einfach.

Aus technischer Sicht haben Betrüger:innen heute ganz andere Möglichkeiten als noch vor einigen Jahren. Es ist nicht mehr schwer, eine legitime Telefonnummer zu “spoofen”– was bedeutet, dass die Anrufer-ID eine bestimmte Nummer fälscht, um legitim zu erscheinen und Vertrauen zu schaffen. Betrüger:innen können auch einige persönliche Daten ihrer Opfer verwenden, wie etwa deren Namen oder Kontonummern, die sie im Dark Web gekauft haben. Das macht es recht schwierig, einen betrügerischen Anruf als solchen zu erkennen.

Du hast gesagt, dass Krisensituationen das perfekte Klima für Betrüger:innen bieten. Woran liegt das?

Betrüger:innen spielen mit der Angst und den Gefühlen ihrer Opfer. In schwierigen Situationen, wie in der Pandemie oder der aktuellen Lebenshaltungskostenkrise, sind viele Menschen empfänglicher für fragwürdige Angebote und Betrug.

Hast du in den letzten Monaten weitere Trends identifiziert und analysiert, die Verbraucher:innen unbedingt beachten sollten?

Eine besonders außergewöhnliche Betrugsmasche habe ich im Bereich Kartenbetrug entdeckt. Die meisten Menschen denken bei Kartenbetrug eher an Skimming, bei dem Kriminelle mithilfe manipulierter Geldautomaten Kartendaten kopieren. Das war bei dieser Methode allerdings nicht der Fall. Stattdessen stand diese besonders hinterhältige Masche in Verbindung mit einem Carsharing-Dienst.

Im Allgemeinen haben die meisten Peer-to-Peer-Plattformen integrierte Zahlungsfunktionen und erlauben oft keinen Zahlungsverkehr außerhalb der App. Ein Grund dafür ist, dass das Verlassen der App zu Sicherheitsproblemen und Betrug führen kann. In diesem speziellen Fall, an dem ich gearbeitet habe, war auch vorgesehen, dass die Kund:innen des Dienstes die App oder die Website nutzen, um ihre Zahlungen für eine Fahrt vorzunehmen. Aber wir haben festgestellt, dass Fahrer:innen Kund:innen außerhalb der Plattform kontaktierten und sie aufforderten, eine geringe Reservierungsgebühr zu zahlen, die unmittelbar nach der Abfahrt zurückerstattet werden sollte. Dafür wurden die Kund:innen gebeten, den Fahrer:innen ihre Kartendaten und einen Code mitzuteilen, den sie anschließend per SMS erhalten sollten. Die Betrüger:innen haben die erhaltenen Informationen jedoch genutzt, um die Zahlungsdaten der Opfer mit digitalen Geldbörsen zu verknüpfen, die sie kontrollieren.Die Opfer wurden erst darauf aufmerksam, als die Betrüger:innen über gefälschte Onlineshops einkauften, um auf eine sehr schwer nachzuverfolgende Weise Geld zu stehlen.

Abgesehen vom Geheimhalten von Codes und Passwörtern: Welche Ratschläge möchtest du Verbraucher:innen mitgeben, um ihre Sicherheit zu verbessern und Betrug zu vermeiden?

Es ist wichtig, sich eine gesunde Portion Skepsis zu bewahren, genau wie in der Offline-Welt. Verbraucher sollten E-Mails, Textnachrichten und Anrufe, die vorgeben, von ihrer Bank, einem Zahlungsdienstleister, einem Onlineshop und dergleichen zu stammen, immer hinterfragen. Wenn dir etwas seltsam vorkommt, ist es sinnvoll, das Gespräch zu beenden oder eine E-Mail zu ignorieren und direkt beim betreffenden Unternehmen nachzufragen, um sicherzugehen, dass dich dieses Unternehmen tatsächlich kontaktiert hat und nicht jemand anderes.

Verbraucher:innen sollten an ihre Onlineaktivitäten grundsätzlich sehr bewusst herangehen. Es ist normal, dass Menschen im Internet erwarten, dass alles schnell und einfach läuft. Sicherheitsmechanismen können deshalb als störend empfunden werden. Unternehmen werden in Zukunft noch bessere, sicherere und reibungslosere Methoden zur Sicherung von Konten entwickeln, aber in der Zwischenzeit sollten Verbraucher:innen darauf achten, angemessene Online-Sicherheitsmaßnahmen zu ergreifen – wie die Verwendung von Zwei-Faktor-Authentifizierung und einzigartigen Passwörtern für jedes Online-Konto –, auch wenn das ein paar Sekunden länger dauert. Damit ist schon sehr viel gewonnen.