Geschäftsmann wird zum Opfer: 90.000 Euro von Sparkassen-Konto geplündert

Kreis Herford. Cyberkriminelle haben über Ostern das online geführte Geschäftskonto eines Herforder Einzelhändlers bei der Herforder Sparkasse geplündert und ihn in existenzielle Bedrängnis gebracht. Der Mann ist der Redaktion bekannt, möchte namentlich aber nicht genannt werden. In mehreren Auslandsüberweisungen über insgesamt fast 90.000 Euro räumten die Interneträuber das Konto von Frank M. (Name geändert) komplett ab. So schildert es der Betroffene und so legt es sein Anwalt Fritz Hänsel gegenüber dem Vorstand der Sparkasse dar. Die Sparkasse lehnt es dem Betroffenen gegenüber in wenigen Sätzen ab, für den Schaden einzustehen, weil sie davon ausgehe, dass die Überweisungen nur durch die Preisgabe vertraulicher und sicherheitsrelevanter Informationen durch den Kunden möglich wurden. Das sieht der Wirtschaftsanwalt aus Bremen anders. Sein Mandant sei weder achtlos noch arglos gewesen. Sollte die Sparkasse den Schaden nicht ersetzen, will der Anwalt Klage erheben. Vermeintliche SMS von der Sparkasse Frank M. hatte bis vor Kurzem mehrere Konten bei der Sparkasse und es war die Nutzung von Onlinebanking vereinbart. Bei Überweisungen von seinem Computer über die Sparkassen-Homepage kam das Push-Tan-Verfahren zum Einsatz. Über eine App auf dem Smartphone, der Push-Tan-App, wird eine Nummer erzeugt und angezeigt, die am Rechner eingegeben werden muss, bevor die Überweisung ausgeführt werden kann. Das Unglück nahm nach Darstellung des Betroffenen und seines Anwalts am Ostermontag, 5. April, seinen Lauf mit einer SMS, die vermeintlich von der Sparkasse auf das Handy des langjährigen Sparkassenkunden gesendet wurde. Seine Registrierung für das Push-Tan-Verfahren laufe am 6. April aus und sei zu erneuern, wenn sie ohne Unterbrechung genutzt werden solle, war die Botschaft. Frank M. bekam nach seiner Darstellung häufiger SMS von der Sparkasse und wurde nicht stutzig. Er drückte einen Link in der SMS und wurde vermeintlich auf die Internetseite der Sparkasse gelenkt. Nach der Anmeldung wurde er aufgefordert, die Nummer seiner Girokarte und sein Geburtsdatum einzugeben - beides keine vertraulichen Daten, wie der Anwalt meint. In einer weiteren SMS forderte man ihn auf, einen Link aus dieser SMS in ein freies Feld der auch auf dem Smartphone vorhandenen Sparkassenapp einzukopieren. Die Sparkassenapp kann auch für Überweisungen genutzt werden, was Frank. M. aber nie tut. Dann, so der Anwalt, habe sein Mandant die Anwendung beendet, ohne eine TAN zu erzeugen oder einzugeben. Zwei mal Tageslimit ausgeschöpft Die Cyberkriminellen hatten damit aber offenbar dennoch genug in der Hand, um das Konto zu kapern. Es gab Auslandsüberweisungen in Gesamthöhe des Tageslimits von fast 50.000 Euro, die der Kontoinhaber nicht autorisiert hatte. Als er selbst am gleichen Ostermontagabend eine Überweisung tätigen wollte, funktionierte die Push-Tan-App auf seinem eigenen Smartphone nicht. Frank M. konnte sie bei der Sparkasse wieder für sein Gerät aktivieren - per von der Sparkasse zugesandter SMS. Damit waren die Kriminellen vorübergehend aus dem Rennen. Kurz darauf erhielt M. einen Anruf unter der Telefonnummer der Sparkasse, in dem er nun von einem vermeintlichen Mitarbeiter aufgefordert wurde, nochmals über den Link in einer neuerlichen SMS die Push-Tan-App noch einmal zu aktivieren, um sie am nächsten Tag nutzen zu können. Der Anrufer habe eine seriöse, unaufgeregte Stimme gehabt und auch keinen Druck aufgebaut. "Das hätte mir auch passieren können" Frank M. wunderte sich abermals nicht, weil er nach eigener Darstellung immer mal auch bei hohen Überweisungen Kontrollanrufe von ihm nicht bekannten Sparkassenmitarbeitern bekommen habe. Als M. den Anweisungen gefolgt war, konnten die Kriminellen am frühen Morgen des nächsten Tages abermals rund 40.000 Euro überweisen, bis das Konto leer war. "Das hätte mir auch passieren können", meint Rechtsanwalt Fritz Hänsel. "Die Banken werben ja mit einem 24-Stunden-Service. Die Betrugsmasche war so nicht erkennbar." Frank M. hatte bis dahin nie eine Auslandsüberweisung von seinem Konto getätigt. Erst am anderen Tag habe ihn ein ihm bekannter, stutzig gewordener Sparkassenmitarbeiter über die Überweisungen informiert und ihm mitgeteilt, dass er Opfer eines Betruges geworden sei, sagt M. Der Mitarbeiter habe angekündigt zu versuchen, das Geld zurückzuholen. Das ist offenbar nicht gelungen. M. erstattete umgehend Anzeige bei der Polizei, die ihm aber wenig Hoffnung gemacht habe. Zwei Überweisungen scheiterten an "schwarzer Liste" Der Anwalt wirft der Sparkasse vor, dass ein internes Sicherungssystem hätte verhindern müssen, dass Auslandsüberweisungen in dieser Höhe und zu dieser ungewöhnlichen Uhrzeit ausgeführt würden. Bei zwei kleineren Überweisungen des gleichen Abends sei das geschehen, weil die Empfängerkonten laut Sparkasse auf einer schwarzen Liste gestanden hätten. Er hält das Geschehene für einen außergewöhnlichen Fall. Rechtlich sei es inzwischen so, dass ein Geldinstitut in einem Rechtsstreit nachweisen müsse, dass sein System sicher sei. Frank M. glaubt, dass eine der Vorgehensweisen der Sparkasse, die Push-Tan-App mit Hilfe einer SMS auf einem neuen Endgerät einzurichten, zu unsicher sei: "Wenn das durch einen Code in einem Brief geschähe, hätte mir das nicht passieren können." Er beklagt auch, dass es schwierig bis unmöglich sei, Überweisungen außerhalb Deutschlands ganz zu sperren. M. glaubt, dass es für die Polizei dann einfacher sei, Täter zu stellen. Polizei konnte Täter nicht ermitteln Die Kreispolizeibehörde hat den Fall ausermittelt und an die Staatsanwaltschaft übergeben. Nach Angaben des Pressesprechers der Staatsanwalt Moritz Kutkuhn konnte kein Täter ermittelt werden. Die Sparkasse nimmt auf Anfrage nicht Stellung zum konkreten Einzelfall. Generell sei durch den Einsatz modernster Techniken ihr Online-Banking sicher. Deshalb sei dem Haus auch kein Betrugsfall bekannt, bei dem nicht der Kunde durch die Weitergabe sensibler Daten dazu beigetragen habe, dass der oder die Täter Erfolg haben konnten. Der Kunde erhalte nur dann eine SMS von der Sparkasse Herford, wenn er selbst vorher aktiv einen Prozess initiiert habe. Bei der Ersteinrichtung von Push-Tan spiele SMS "in der Regel keine Rolle" - allerdings wenn der Kunde sein Smartphone wechsle. Das komme in der Kundschaft monatlich bis zu 1.000 Mal vor. Ein Schadensfall sei dabei bisher nicht aufgetreten. Sparkasse veröffentlicht diverse Warnungen auf ihrer Homepage Weiter teilt die Sparkasse mit: "Wir sensibilisieren unsere Kunden regelmäßig dafür, dass und wie sie durch ihr eigenes Verhalten ihr Konto vor unberechtigten Zugriffen schützen können und informieren auf unserer Homepage über aktuelle Sicherheitswarnungen." Auf einer der Seiten wird vor Anrufen vermeintlicher Sparkassen-Mitarbeiter gewarnt, die unter Vortäuschen der Sparkassen-Telefonnummer anrufen. Die Sparkasse warnt auch vor "Phishing-SMS unter dem Vorwand einer ablaufenden Push-Tan-Registrierung". Nun wird wohl ein Richter entscheiden müssen, wo die Schwachstelle im Betrugsfall gelegen hat, und wie viel Durchblick im Dschungel des digitalen Zahlungsverkehrs einem Kunden zugemutet werden kann. Das ZDF-Wirtschaftsmagazin Wiso hält den Fall für so interessant, dass in den nächsten Tagen ein Team für Dreharbeiten nach Herford kommt. Die Dokumentation mit mehreren Fällen zum Thema Phishing im Zahlungsverkehr soll im Oktober ausgestrahlt werden.

Meistgelesen