Facebook: Betrüger geben sich als Freunde aus

Betrüger kopieren Facebook-Profile, um damit Geld von Freunden der realen Personen zu ergaunern. Weil niemand systematisch gegen die Täter vorgeht, hilft nur Selbstschutz: Die wichtigsten Tipps, wie Sie die kriminellen Doppelgänger Ihrer digitalen Freunde ausbremsen.

Identitätsdiebstahl im Netz: Wie soll man mit Fake-Profilen in sozialen Medien wie Facebook, Twitter und Co. umgehen?

Bild:  Screenshot

Dass sie online gleich zwei digitale Alter-Egos bei Facebook hatte, bemerkte Karin Landolt erst, als sich Freunde telefonisch und per E-Mail bei ihr meldeten. "Es gibt dich bei Facebook zwei Mal, warnten die", erzählt die Kommunikationschefin bei der Standortförderung der Stadt Winterthur. Erstaunt stellte die Schweizerin fest, dass sich zeitweilig tatsächlich zwei identisch aussehende Profil-Seiten von ihr im weltgrößten sozialen Netzwerk fanden - mit gleichem Namen, gleichem Profilbild, gleichem Hintergrundbild, gleichem Arbeitsort.

"Es passte alles - nur stammte die eine Seite nicht von mir", erzählt Landolt im Gespräch mit der WirtschaftsWoche. Den digitalen Doppelgänger hatten bislang unbekannte Betrüger angelegt und sich dabei kurzerhand der Online-Identität der Schweizerin bedient.

Zehn Abzocker-Tricks im Internet

Trojaner und Co.

Viren, Würmer und Trojaner können erhebliche Schäden auf dem PC anrichten. Beliebt bei Abzockern sind vor allem die Trojanischen Pferde, die vom Nutzer meist unbemerkt auf dem Rechner lauern und sensible Daten wie Passwörter abfangen, mit denen dann Schindluder getrieben werden kann.

Wie kann man sich schützen?

Bei allen Downloads aus dem Internet ist Vorsicht geboten. Das BSI warnt davor, dass sich in der Flut von Gratis-Programmen und Dateien unzählige Schadprogramme verstecken, die dann den Rechner infizieren. Manche davon verbreiten sich auch über USB-Sticks, weshalb man diese am besten nicht mit anderen austauschen sollte.
Bemerkt man die Infektion, sollte man an einem "sauberen" PC umgehend alle wichtigen Passwörter, besonders von Online-Händlern oder Auktionshäusern, ändern. Die Kontoauszüge sollte man in der nächsten Zeit stets kritisch prüfen, da Betrüger an Kontodaten gelangt sein könnten und nun im Namen des Geschädigten Geschäfte tätigen.

Bild: REUTERS

Phishing

Das Wort, das wie "Fischen" klingt, ist in aller Munde. Im Prinzip geht es auch genau darum: Abzocker werfen die Angelrute nach Passwörtern aus. Auf gefälschten Internetseiten, die etwa denen von sozialen Netzwerken oder Banken täuschend ähnlich sind, geben ahnungslose Nutzer ihre Daten ein - und sind sie auch schon los. Die Betrüger sind auf Passwörter, persönliche Daten oder Kreditkartennummern aus.

Wie kann man sich schützen?

Grundsätzlich sollte man bei E-Mails, die etwa scheinbar von der Bank oder einer Firma kommen und die den Empfänger dazu auffordern, seine Daten zu aktualisieren, misstrauisch sein. Diese Mails werden massenhaft verschickt und die Angreifer spekulieren darauf, dass einige der Adressaten tatsächlich Kunde bei dem vorgegebenen Unternehmen ist. Um so einen gefälschten Link zu enttarnen, muss man mit der rechten Maustaste auf den angegebenen Link in der E-Mail klicken und dann "Quelltext anzeigen" auswählen, rät das Bundesamt für Sicherheit in der Informationstechnik (BSI). So kann man erkennen, was sich tatsächlich hinter dem "offiziellen" Link verbirgt.

Bild: dpa/dpaweb

Spam, Spam, Spam

Spam- oder auch Junk-Mails sind nicht nur ärgerlich, weil sie den Posteingang zumüllen. Lädt man die Massen-Mails herunter, können dem Nutzer je nach Internet-Anbieter Kosten für den Datenverkehr entstehen. Laut BSI entstehen jedes Jahr Kosten in Milliardenhöhe für Versand, den Zeitverlust fürs Lesen, das Entfernen oder sogar Beantworten des elektronischen Schrotts.

Wie kann man sich schützen?

Egal wie sehr man sich ärgert, man sollte niemals auf ungewollte Newsletter oder Werbepost antworten - denn die Nachrichten werden oft vollautomatisch an Hunderttausende per Zufallsprinzip erstellte Mailadressen versandt. Reagiert der Adressat auf die unerwünschte Müllpost, zeigt er nur, dass ein realer Nutzer erreicht wurde, und erhält noch mehr Spam. Wird man immer vom gleichen Absender belästigt, kann ein Filter im Mail-Programm helfen, der den Spammer blockiert. Bei extremer Belästigung hilft oft nur noch die Aufgabe der Mail-Adresse und das Erstellen einer neuen - bei der man dann wesentlich vorsichtiger damit umgehen sollte, wo und wem man sie weitergibt.

Bild: AP

Geschenke und Gewinnspiele

Wenn beim Surfen plötzlich ein Browserfenster aufgeht, dass man ein Handy oder gar eine tolle Kamera gewonnen hat, kann man sich doch freuen - oder?
Mitnichten! Die Verbraucherzentralen warnen vor solchen vermeintlichen Geschenken, denn es sind nur fiese Köder, die zum Beispiel von den Kosten für das Gewinnspiel ablenken sollen. Oft sind die Betrüger aber auch hier einfach auf die intimen Nutzerdaten aus.

Wie kann man sich schützen?

Vorsicht bei verlockenden Gewinnspielen und angeblichen Präsenten von Anbietern zweifelhafter Seriosität - denn wer hat schon etwas zu verschenken? Die persönlichen Daten wie Name, Alter, Anschrift, Telefonnummer oder E-Mail-Adresse landen meist nur bei Adressensammlern, die diese dann in Paketen weiterverkaufen und sich so die Taschen füllen. Das einzige, was sich beim Opfer füllt, ist dann der Anrufbeantworter oder das Mail-Postfach, und zwar mit nerviger, ungewollter Werbung. Im Zweifelsfall also lieber: Finger weg!

Bild: dpa

Betrug per App

Smartphones sind ja sehr praktisch. Auch unterwegs hat man nicht nur ein Telefon, sondern eben auch immer einen Zugang zum Internet dabei. Doch auch bei dieser neuen Spielerei finden natürlich Betrüger Mittel und Wege, um Nutzern das Geld aus der Tasche zu ziehen. Die Abzocke per App, also einem kleinen Programm auf dem Handy, nimmt laut Verbraucherzentrale zu. In Spielen oder anderen Anwendungen, die erstmal gratis heruntergeladen werden können, verbergen sich meist kleine Werbebanner, etwa mit Hinweisen auf eine Erweiterung (zum Beispiel: "Hier gibt's neue Level" oder ähnliches). Berührt man die Stelle auch nur aus Versehen, kann das teuer werden, denn oftmals werden so über die Handynummer Käufe oder sogar Abos getätigt, die bis zu 60 Euro pro Monat kosten können.

Wie kann man sich schützen?

Die Verbraucherzentrale stuft einen Vertrag, der über das bloße Antippen eines Banners zustande kam, als ungültig ein. Die Bundesnetzagentur prüft derzeit einen Gesetzesverstoß. Geschädigte müssen sich selbst kümmern. Die Verbraucherzentrale rät dazu, den Vertragsabschluss gegenüber dem Mobilfunkprovider und der App-Firma zu bestreiten, und es zu kündigen. Vorbeugend können Smartphone-Nutzer eine sogenannte Drittanbieter-Sperre verhängen, die verhindert, dass dubiose Geschäftemacher über die Handyrechnung Geld einziehen können.

Bild: dapd

Lösegeld-Erpressung

Lösegeld-Erpressung? Ja, das gibt es auch im digitalen Bereich. Mit sogenannter Ransomeware wird der Rechner infiziert (zum Beispiel per E-Mail-Anhang oder auch per Facebook-Link), und der Nutzer kann auf einmal nicht mehr auf einzelne Dateien, Ordner oder gleich seine ganze Festplatte zugreifen. Für die Freigabe der Daten-Geiseln fordern die Schadprogramme Geld, das per anonymer Überweisung ins Ausland gehen soll. Berühmtheit erlangte der Bundespolizei-Trojaner, der Betroffenen vorgaukelte, eine offizielle Polizeibehörde habe den Rechner verschlüsselt, weil ungesetzliches Material (etwa Kinderpornografie) darauf gefunden worden sei.

Wie kann man sich schützen?

Alle Programme inklusive Antivirensoftware sollte immer auf dem neusten Stand gehalten werden. Vor allem gegenüber E-Mails von unbekannten Absendern, die Links oder Anhänge enthalten, sollte man misstrauisch sein. Ein beliebter Verbreitungsweg ist auch das soziale Online-Netzwerk Facebook: Hier verbreiten sich die Schadprogramme über Links in automatisch geposteten Videos oder Fragen, die zum draufklicken animieren (zum Beispiel: "Bist du das auf dem Foto?" oder "Total krasses Video!"). Hier heißt es wachsam sein, nachdenken und erst dann klicken. Hat man sich infiziert, sollte man auf keinen Fall zahlen und zudem Anzeige bei der Polizei erstellen.

Bild: dpa

berTeure Abofallen

Eigentlich wollte man doch nur über eine Website ein paar Gratis-SMS verschicken. Und nun flattert eine astronomische Rechnung ins Haus. Angeblich kostenfrei zu versendende Kurznachrichten oder Spiele, Logos und Klingeltöne, die man sich zu sagenhaft günstigen Preisen herunterladen kann, sind eine beliebte Abofalle. Nutzer übersehen das Kleingedruckte und schließen nichts ahnend ein teures Abonnement ab.

Wie kann man sich schützen?

Auch wenn es lästig ist: Man sollte auch bei scheinbar kleinen Beträgen für ein Onlinespiel oder vermeintlichen Gratis-Angeboten sehr genau darauf achten, was sich im Kleingedruckten versteckt. Man sollte sich genau durchlesen, welche Leistung verkauft wird und auf Schlagworte wie "wiederkehrende Leistung" achten - denn das ist nichts anderes als ein Abonnement, das richtig teuer werden kann.

Bild: gms

Ärgerlicher noch als die bloße Kopie ihres Facebook-Auftritts war, dass die Ersteller der Profilkopie kurzerhand Landolts bestehenden Facebook-Freunden eine weitere Kontaktanfrage vom Fake-Profil schickten - im Wissen, dass vielen die Dopplung nicht auffällt und sie die Anfrage kurzerhand nochmals bestätigen.

Polizei warnt vor vierstelligen Schadenssummen

Der Gedanke dahinter ist ebenso dreist wie lukrativ: Sobald einer von Landolts Kontakten die Anfrage bestätigt hätte, wäre er vom Fake-Profil in einen Chat gelockt worden, in dem der Betrüger die Handynummer abfragt. Auf diese Nummer bucht der Angreifer dann mithilfe von Online-Bezahldiensten wie Paypal oder Boku einen per Handyrechnung zu bezahlenden Einkaufsgutschein. Den daraufhin an das Handy des ahnungslosen Freundes verschickten Freigabe-Code hätte der Betrüger via Chat abgefragt und so die Zahlung autorisiert.

Konkrete Zahlen zu Opfern und wirtschaftlichen Schäden gibt es nicht: Das Betrugsmuster wird in der Kriminalstatistik nicht gesondert ausgewiesen. Laut Warnungen mehrerer Polizeibehörden aus Deutschland, der Schweiz oder Österreich erreichen die Schäden in einzelnen Fällen aber bis zu vierstellige Summen.

Betrüger setzen auf den guten Glauben

Zwar soll der Freischalt-Code eigentlich genau solch einen Missbrauch vermeiden. Doch bei ihrem Tun profitieren die Betrüger von der Wirksamkeit einer Taktik, die sich "Social Engineering" nennt. Sie setzt darauf, dass die angefragten Bekannten dem vermeintlichen Facebook-Freund im Grunde ja vertrauen und nicht davon ausgehen, dass dieser sie hintergeht.

Mal behaupten die Betrüger, ihnen sei das Portemonnaie gestohlen worden und sie müssten dringend ein Taxi bezahlen. Mal geben sie an, sie bräuchten einen Vorschuss und würden das Geld kurzfristig zurückzahlen. Es sind in der Mehrheit Szenarien, die - guten Glauben vorausgesetzt - mindestens leidlich plausibel klingen.

Es ist eine seit Jahren erprobte und erfolgreiche Strategie, die digitale Angreifer nicht nur im Fall von kopierten Facebook-Profilen nutzen.

Aber eben auch dort und zwar schon lange. Seit mindestens fünf Jahren warnt die Polizei regelmäßig vor der Masche, und ebenso lange wenden Betrüger sie - zumeist in zeitlich gestaffelten Angriffswellen - auf Facebook erfolgreich an. Wie viele gefälschte Konten der Dienst im Monat sperrt, publiziert Facebook nicht. Betrugsexperten gehen aber von Tausenden Profildiebstählen jeden Monat aus.

Große Zahl neuer Angriffe bei Facebook

Im Zuge der WirtschaftsWoche-Recherchen meldeten sich alleine in der letzten Januarwoche mehr als zehn Facebook-Nutzer, deren Profil entweder kopiert wurde, oder die von Fake-Profilen aus kontaktiert worden waren. Die Fälle reichen von der E-Commerce-Managerin eines Handelskonzerns über die TV-Redakteurin aus Zürich und den Risikokapital-Investor aus Hamburg bis zum Chefredakteur eines Mobilfunk-Portals im Internet.

„Aktuell erleben wir wieder eine ganze Flut von Anfragen zum Thema“, sagt Andre Wolf, Social-Media-Koordinator bei Mimikama.at, einem Info-Portal, das sich auf die Prüfung von Falschmeldungen und Betrugsmaschen in sozialen Netzwerken spezialisiert hat. Der Begriff Mimikama ist die Übersetzung des Facebook-Kommentars "Gefällt mir" in die arabische Sprache Suaheli.

Auch PayPal bestätigt auf Anfrage, "dass vorsätzlicher Missbrauch von PayPal Buy with Mobile über gefälschte oder gehackte Facebook-Profile in letzter Zeit leider gehäuft auftritt".

Tipps gegen den Profilklau bei Facebook

Suchen Sie nach einer Kopie Ihres Kontos

Suchen Sie in der Facebook-Suche Ihren Namen. Ihre Freunde sollten Sie bei der Suche unterstützten, denn die Betrüger blockieren meist das Original-Profil. Haben Sie oder einer Ihrer Freunde eine Kopie entdeckt, dann melden Sie das Fake-Profil sofort.

Quelle: Mimikama

Verbergen Sie Ihre Freundesliste

Sobald ein Konto die Freundesliste auf “Nur ich” gestellt hat, ist es für die Internetbetrüger bereits uninteressant. Klicken Sie dazu in Ihrem Profil auf “Freunde” (unterhalb des Titelbilds). Auf der rechten Seite finden Sie einen “Stift”, der das Bearbeiten ermöglicht.

Posten Sie nie "öffentlich"

Es muss nicht immer jeder alles wissen: Es reicht völlig aus, wenn Ihre Freunde Ihre Neuigkeiten erfahren. Die Einstellung dafür können Sie direkt im Statusbeitrag einstellen. Dies betrifft reine Textbeiträge genauso wie Fotos und Videos.

Hilfreiche Einstellungen

Inhalte, Kontakte und Suchen

Wer kann Ihre zukünftigen Beiträge sehen: “Freunde”
Wer kann Ihnen Freundschaftsanfragen senden: “Alle” oder “Freunde von Freunden”. Unsere Empfehlung: “Freunde von Freunden”
Wessen Nachrichten sollen in Ihrem Postfach gefiltert werden: “Strenges Filtern”

Häkchen entfernen

Möchten Sie, dass andere Suchmaschinen einen Link zu Ihrer Chronik enthalten: Häkchen entfernen

Sichtbarkeit einschränken

Wer kann in Ihrer Chronik posten: “Freunde”
Markierte Beiträge zuerst prüfen: “Aktiviert”
Wer kann markierte Beiträge sehen: Unsere Empfehlung: “Freunde”
Wer kann sehen, was andere in Ihrer Chronik posten: Unsere Empfehlung: “Freunde”
Nutzer-Markierungsvorschläge: “Aktiviert”
Ihre Handlungen mit Werbeanzeigen kombinieren: “Niemand”

Die Experten von Mimikama, die auch die Facebook-Seite Zuerst Denken- dann klicken betreiben, haben daher eine Übersicht mit Tipps zusammengestellt, wie Nutzer des Sozialen Netzwerks die Zugriffsrechte Fremder auf ihr Profil einschränken und welche Sicherheitsvorkehrungen sie aktivieren können, um den Missbrauch der Daten zumindest merklich zu erschweren. Das reicht vom Verbergen privater Fotoalben über die Zugriffssperre auf die Freundesliste bis zum Versand von Warnhinweisen, falls Unbekannte sich beim Konto anmelden wollen.

Wenig Chancen, Geld zurück zu bekommen

Im Fall der Schweizer Kommunikations-Expertin Landolt wurden zwei Freunde stutzig und meldeten das Fake-Profil an Facebook, noch bevor Landolt selbst den digitalen Doppelgänger bemerkt hatte und weiterer Schaden entstand. Oft genug aber fallen Gutgläubige auf den Trick hinein. Wie jener Kölner Geschäftsmann, der nicht mit Namen genannt werden will, weil er den Irrtum zu blamabel findet. Dabei hält sich der Schaden in seinem Fall noch in Grenzen. Knapp 40 Euro buchten ihm die Betrüger auf die Telefonrechnung, bis die Täuschung aufflog.

Große Chancen, das Geld vom Bezahldienst zurück zu bekommen, haben er und die übrigen Geschädigten nicht. "Bei der geschilderten Form des Betrugs besteht leider keine Möglichkeit, das Geld wieder zurückzuerhalten. Mit der Weitergabe der PIN beziehungweise des Bezahlcodes an Dritte haben sich die Betrugsopfer fahrlässig verhalten – sie sind ganz einfach ein Opfer von Betrug geworden", schreibt etwa PayPal auf WirtschaftsWoche-Anfrage.

Von Facebook gibt es - über die Sperrung des Kontos hinaus - ebenfalls keine unmittelbare Hilfe. Anzeigen gegen die Ersteller der gefälschten Seiten erstatte man nicht, heißt es beim Sozialen Netzwerk. Nicht jede Kopie habe schließlich kriminelle Hintergründe. Auch die IP- oder die E-Mail-Adressen, von denen aus die Betrüger die Seitenkopien erstellt haben, gibt Facebook nicht an die Betrugsopfer heraus.

Allerdings würden die Daten und die Fake-Seiten selbst drei Monate gespeichert; für den Fall, dass die Polizei die Informationen benötigt, nachdem Geschädigte Anzeige erstattet haben.

Justizministerium fordert besseren Schutz der Facebook-Nutzer

Zudem reagiere Facebook sehr rasch auf Hinweise und sperre Fake-Profile, erkennt auch Mimikama-Experte Wolf an. „Aber aus unserer Sicht reicht das nicht." Facebook könne viel aktiver gegen die Betrüger vorgehen. "Die haben so viel Intelligenz im System, von der Verhaltensmuster- bis zur Bilderkennung, dass auffallen müsste, wenn etwa Name, Profil- und Hintergrundbilder eines Nutzers nochmals verwendet werden.“

Ulrich Kelber, Parlamentarischer Staatssekretär im Bundesministerium der Justiz und für Verbraucherschutz, sieht das ähnlich. Rechtlich verpflichtet sei das Unternehmen zu einer solchen aktiven Abwehr zwar nicht, sagt der Diplom-Informatiker, „ich halte es aber aus verbraucherpolitischen Gründen für geboten, dass Facebook geeignete technische und organisatorische Maßnahmen ergreift, um die Bildung von Fake-Profilen oder Identitätsdiebstähle zu verhindern“.

Noch allerdings ist das bloß eine Forderung, ein systematischer, technischer Schutz der Nutzer vor den Betrügern nur ein politischer Wunsch. Bis sich das ändert, bleibt Facebook-Fans nur eines: Ein gerüttelt Maß an Misstrauen und - sofern akzeptabel - ein Trick, um die Angreifer auf Umwegen auszubremsen.

Ein Trick der die Täter ausbremst

Wer nämlich grundsätzlich darauf verzichten will, Einkäufe per Handyrechnung zu begleichen, kann bei seinem Mobilfunkanbieter eine sogenannte Drittanbietersperre einrichten lassen. Die unterbindet, dass jegliche Onlineeinkäufe auf die Telefonrechnung gebucht werden.

Dann laufen übrigens nicht nur die Profildiebe bei Facebook ins Leere, sondern auch die Betreiber von Abofallen, die mit ihren ebenso teuren wie unerwünschten Dienste allzu gern und leicht die Handyrechnungen ihrer Opfer belasten.

Die aus den Handynetzen erreichbaren Servicenummern der Netzbetreiber, über die sich Drittanbietersperren einrichten lassen, lauten:

• 2202 (Deutsche Telekom)
• 1212 (Vodafone)
• 1000 (E-Plus/Base)
• 55222 (Telefonica O2)

Weitere Online-Informationen zu den Sperrmöglichkeiten der Mobilfunkanbieter finden Sie hier für die Deutsche Telekom, für Vodafone, für e-plus (Base) und für Telefonica O2.