Eine SMS, angeblich von TWINT: Eine Zahlung über mehrere hundert Franken sei ausgelöst worden. Wenn das nicht stimme, solle man sich umgehend melden. Darunter eine Telefonnummer, die mit 071 beginnt.
Also die Vorwahl der Ostschweiz. Unsere eigene.
Das Bundesamt für Cybersicherheit warnt seit dem 15. September vor genau dieser Masche und meldet, die Zahl der Meldungen sei in den letzten Wochen deutlich angestiegen. Die Täter benutzen dabei bevorzugt Schweizer Festnetzvorwahlen: 021 für die Waadt, 022 für Genf, 026 für Freiburg — und 071 für die Ostschweiz.
Wie die Masche läuft
Am Anfang steht eine E-Mail oder eine SMS mit einer erfundenen Behauptung. Das BACS nennt drei Varianten: Es sei ein kostenpflichtiger Vertrag abgeschlossen, eine verdächtige Transaktion festgestellt oder eine Zahlung ausgelöst worden. Dazu eine knappe Frist, damit niemand in Ruhe nachdenkt.
Und dann der eigentliche Zug: eine Nummer, die man anrufen soll.
«Wer anruft, landet jedoch direkt bei den Betrügern», schreibt das BACS. Im Gespräch geht es dann um Kreditkartendaten, um Bestätigungscodes, um persönliche Angaben — oder darum, dass man kurz eine Software installieren solle, damit der Mitarbeiter das Problem selbst ansehen könne.
Die Namen, in denen die Nachrichten auftreten, sind dieselben, die jeder kennt: UBS, TWINT, Migros, MediaMarkt.
Warum das gerade jetzt kommt
Hier lohnt ein Blick auf etwas, das wir vor zwei Wochen selbst beschrieben haben.
Anfang September haben wir über die Kennzeichnungspflicht für Anrufe aus dem Ausland berichtet — eine Regel, die tatsächlich gewirkt hat: Gefälschte Anrufe im Namen von Behörden gingen um über 75 Prozent zurück.
Nur haben alle diese Massnahmen eines gemeinsam. Sie setzen an der eingehenden Seite an. Kennzeichnung, Filterung, Sperrung — sie alle prüfen einen Anruf, der bei Ihnen ankommt.
Wenn Sie selbst anrufen, greift keine davon.
Dann ist es kein gefälschter Anruf mehr, sondern ein ganz gewöhnlicher, von Ihnen gewählter, auf eine Schweizer Festnetznummer, die tatsächlich existiert und tatsächlich erreichbar ist. Es gibt nichts zu erkennen und nichts zu blockieren.
Das ist kein Zufall und keine Laune. Es ist die Anpassung an eine Gegenmassnahme, die funktioniert hat.
Der Teil, der einen Betrieb betrifft
Bis hierhin klingt das nach einem Privatproblem. Ist es nicht.
Wer in einem Betrieb Zahlungen freigibt, eine Firmenkarte trägt oder die Buchhaltung macht, ist genau die Person, an die sich so eine Nachricht richtet. Und dort geht es nicht um zweihundert Franken.
Besonders zählt der Punkt, den das BACS eher beiläufig erwähnt: das Drängen auf Fernzugriffssoftware. Wer sie installiert, gibt nicht eine Kartennummer preis, sondern den Rechner — mit dem E-Banking darauf, mit den Dateien und mit dem Zugang zu allem, was dort angemeldet ist.
Die eine Regel, die trägt
Man muss sich nicht merken, welche Vorwahlen verdächtig sind. Die Liste ändert sich ohnehin, und eine 071 ist zu 99 Prozent ein ganz normales Ostschweizer Geschäft.
Was trägt, ist einfacher: Rufen Sie nie die Nummer an, die in der Nachricht steht. Nehmen Sie die Nummer, die Sie schon hatten — auf der Rückseite Ihrer Karte, auf einer alten Rechnung, auf der offiziellen Website. Dasselbe empfiehlt das BACS, und das ist auch der Grund, warum die Masche überhaupt funktioniert: Sie setzt darauf, dass man die mitgelieferte Nummer benutzt.
Und der zweite Satz, der jede Variante dieser Masche beendet: Niemand, bei dem Sie sich nicht selbst gemeldet haben, hat einen Grund, Sie um Fernzugriff zu bitten.
Das gilt auch für uns, und wir haben es Ende August ausdrücklich zugesagt: Cyberdine bittet nie unaufgefordert am Telefon um die Installation von Fernwartungssoftware, und wir fragen nie nach Passwörtern. Fernzugriff findet nur statt, wenn der Vorgang von Ihnen ausgegangen ist.
Wenn Sie unsicher sind, ob wirklich wir angerufen haben: auflegen und unter +41 71 740 05 74 zurückrufen. Das ist ausdrücklich erwünscht und niemandem hier unangenehm.
Wenn es schon passiert ist
Falls Kartendaten herausgegeben wurden, informieren Sie sofort den Kreditkartendienstleister — die Nummer steht auf der Karte. Wurde Fernzugriffssoftware installiert, trennen Sie das Gerät vom Netz, bevor Sie irgendetwas anderes tun. Und erstatten Sie Anzeige; das BACS verweist dafür auf Suisse ePolice.
Wir sehen so etwas regelmässig, meist erst am nächsten Tag. Wenn bei Ihnen etwas im Gang ist und Sie nicht sicher sind, wie weit es gekommen ist: Melden Sie sich, bevor Sie aufräumen. Was einmal überschrieben ist, lässt sich hinterher nicht mehr beurteilen.