Eine bekannte Nummer auf dem Display ist keine Identität. Eine Autorisierung, die Sie selbst bestätigt haben, ist keine „nicht autorisierte Zahlung“ mehr.

Abschnitt: Technologie & KI Autor: V Leselänge: ~27 Min Quellen und weiterführende Literatur: 22 Einträge Themen: Cybersicherheit, Bankbetrug, Phishing, Smishing, Vishing, MFA SEO / Arbeitstitel: Wie erkennt man eine betrügerische E-Mail, SMS oder einen Anruf?

Die Frage lautet: Wie erkennt man eine betrügerische E-Mail, SMS oder einen Anruf? Sie klingt einfach, bis wir merken, dass wir nicht eine Sache vergleichen. Die Nummer auf dem Display ist keine Identität. Phishing ist nicht Vishing und Vishing ist nicht Smishing. MFA ist kein Schloss gegen Nötigung. Eine autorisierte Zahlung, die Sie selbst bestätigt haben, ist nicht mehr nicht autorisiert. Erst wenn diese vier Dinge getrennt sind, lässt sich lesen, was Policie ČR, NÚKIB, ČNB und ČBA zu den Jahren 2024 und 2025 tatsächlich messen — und was daraus folgt, bevor das Geld weg ist.

1. Bank, Polizei und Behörde sehen denselben Anruf in drei Statistiken

Stellen wir uns einen Nachmittag zu Hause vor. Auf dem Display erscheint ein bekannter Bankname. Die Stimme behauptet, auf dem Konto laufe eine verdächtige Operation. Eine Nachricht im Telefon verlangt eine Bestätigung. In der E-Mail liegt ein Link zur „sicheren Prüfung“. Man fragt nicht nach einer Definition des Cyberraums. Man will wissen, ob man gerade mit der Bank spricht oder mit jemandem, der die Bank nachahmt.

Die Institutionen, die das Problem beschreiben, sehen jedoch nicht dieselbe Einheit. Policie ČR und das Innenministerium verfolgen registrierte Taten im Cyberraum. Im Jahr 2024 waren es 18 495, also 10,67 % von 173 322 Taten der gesamten Kriminalität, gegenüber dem Vorjahr um 5,5 % weniger; die Aufklärungsquote lag bei 15,4 % ^[1][2]. Im Jahr 2025 waren es 21 137, also 12,4 % von 170 051 Taten, gegenüber dem Vorjahr um 2 642 mehr, also um 14,3 %; die Aufklärungsquote lag bei 15,1 % ^[3][4]. Das ist eine breite polizeiliche Kategorie. Es ist nicht die Zahl betrügerischer Anrufe.

ČSÚ und die Strafstatistik zur eng qualifizierten Cyberkriminalität nach §§ 230 bis 232 des tschechischen Strafgesetzbuchs zeigen eine andere Summe: 1 224 Taten im Jahr 2025, 93 weniger als im Vorjahr, also um 7,1 % ^[5]. NÚKIB erfasst wiederum Cybervorfälle nach seinem gesetzlichen und arbeitsmäßigen Rahmen. Im Jahr 2024 waren es 268, davon 1 sehr bedeutender und 18 bedeutende ^[6]. Für 2025 nennt das Innenministerium in seinem Bericht 203 aus NÚKIB zitierte Vorfälle ^[4]. Die Tschechische Bankenvereinigung spricht von Kunden der Mitgliedsbanken, ihren Schäden und Angriffen ^[12][13].

Auf den ersten Blick ist das eine Bedrohung. In Wirklichkeit addiert jeder ein anderes Objekt. Die Polizei sieht Taten. ČSÚ eine enge rechtliche Kategorie. NÚKIB Vorfälle bei regulierten und befragten Organisationen. ČBA Bankkunden. ČNB ein Rechtsregime und Beschwerden. Deshalb können alle teilweise recht haben und eine gemeinsame Zahl „wie viele betrügerische Anrufe es gab“ sich trotzdem nicht ehrlich zusammenstellen lassen.

Eine bekannte Nummer auf dem Display ist keine Identität.

— Jiný Kontext

2. Eine Bitte um Handlung hat mindestens fünf Schichten

Ein Betrug beginnt nicht mit dem Schaden. Er beginnt mit dem Kanal. Eine E-Mail hat Kopfzeile, Link und Anhang. Eine SMS oder RCS hat eine kurze Nachricht, einen Absendernamen und oft Druck auf Tempo. Ein Anruf hat Stimme, Intonation und die Möglichkeit, sofort Angst auszulösen. Ein Messenger fügt den Anschein einer persönlichen Beziehung hinzu. Jeder Kanal trägt andere Spuren und einen anderen Rhythmus der Entscheidung.

Die zweite Schicht ist die Maske des Absenders. Es kann der Name einer Bank in einer SMS sein, eine ähnliche Domain in einer E-Mail oder eine untergeschobene Rufnummer. Die Maske senkt den Widerstand. Sie beweist keine Identität. Das ist die erste praktische Regel: Identität beginnt nicht damit, was das Display zeigt. Sie beginnt damit, ob die Prüfung über einen Kanal läuft, den Sie gewählt haben und den Sie im Voraus kennen.

Die dritte Schicht ist das Szenario. Manche Legenden bauen auf Angst: Das Konto sei angegriffen, die Polizei ermittle, jemand habe den Personalausweis missbraucht. Andere bauen auf Habgier: Investition, schneller Ertrag, verpasste Gelegenheit. Weitere bauen auf Vertrauen: Kollege, Familie, bekannte Stimme. Zeitdruck ist kein Beweis der Echtheit. Er ist Teil des Szenarios.

Die vierte Schicht ist die verlangte Handlung. Eine Angabe ausfüllen. Einen Code diktieren. MFA bestätigen. Geld senden. Fernzugriff installieren. Gerade hier wird aus einer verdächtigen Nachricht ein Schaden. Die fünfte Schicht ist die Abhilfe: Bank, Policie ČR, Finanzschiedsstelle oder Gericht, je nachdem, was geschehen ist und welches Rechtsregime gilt. Keine dieser Schichten ist eine sofortige Rückbuchung.

Dieser Aufbau ist wichtig, weil die Verteidigung nicht raten soll, wie überzeugend die Maske ist. Sie soll die Handlung stoppen. Wenn ein Anruf einen Code verlangt, ist das Problem nicht nur die Stimme. Wenn eine SMS einen Klick verlangt, ist das Problem nicht nur der Text. Wenn eine E-Mail eine Anmeldung über einen Link verlangt, ist das Problem nicht nur das Logo. Wir fragen immer, welche Handlung der Kanal von uns will und ob wir sie anderswo prüfen.

3. Die Nummer auf dem Display ist keine Identität

Der Mensch neigt dazu, dem zu glauben, was bekannt aussieht. Der Name der Bank in der Nachricht, die Nummer der Infoline auf dem Display, der Name einer Behörde in der E-Mail. ČNB und NÚKIB warnen jedoch vor betrügerischen Anrufen und Spoofing, also vor Lagen, in denen der Betrüger wie eine bekannte Institution aussehen will ^[7][9][11]. Daraus folgt nicht, dass jede bekannte Nummer untergeschoben ist. Daraus folgt, dass eine bekannte Nummer selbst die Identität nicht prüft.

Technische Systeme zur Prüfung der Rufnummer lösen nur einen Teil des Problems. Der amerikanische Rahmen STIR/SHAKEN, über den die FCC schreibt, arbeitet mit der Authentifizierung einer Telefonnummer im Netz und mit dem Verhältnis der Betreiber zur Nummer ^[18]. Das ist eine nützliche Schicht. Es ist kein Beweis, wer genau spricht, warum er anruft und ob er das Recht hat, Ihre Handlung zu verlangen. Der Erfolg einer vergleichbaren Prüfung in tschechischen Netzen ist im Dossier nicht öffentlich als Karte ausgewiesen, nach der sich jeder Anruf bewerten ließe.

Eine Nummer im Internet zu suchen reicht nicht. Wenn die Maske eine Banknummer zeigt, bestätigt das Internet nur, dass die Nummer wirklich der Bank gehört. Es beweist nicht, dass die Bank gerade von ihr aus anruft. Der richtige Schritt ist ein anderer: auflegen, nicht die Nummer vom Display zurückrufen und einen amtlichen Kontakt von der Website der Institution, von der Zahlungskarte oder aus der App verwenden. Wo die Bank eine Prüfung des Anrufs in der App anbietet, ist das eine bessere Kontrolle als die Stimme im Telefon.

Identität ist also nicht das, was zu Ihnen kommt. Identität ist das, was Sie prüfen. Das ist eine kleine Verschiebung, aber sie ändert die ganze Entscheidung.

4. Phishing ist nicht Vishing. Vishing ist nicht Smishing

Das Wort Phishing wird oft für alles verwendet. Für E-Mail, SMS und Anruf. In der Überschrift hilft das, in der Verteidigung schadet es. E-Mail-Phishing hinterlässt andere Spuren als Smishing in der SMS und Vishing im Sprachanruf. Die ČNB unterscheidet die Kanäle in ihrer Übersicht ^[9][10]. Der Sinn ist einfach: dasselbe Ziel, anderer Kanal, anderer Test.

Bei der E-Mail lassen sich Adresse, Domain, Kopfzeile, Anhang und Link prüfen. Bei der SMS ist wenig Raum, und eine größere Rolle spielen Absendername, Dringlichkeit und Link. Beim Anruf wirkt der Druck in Echtzeit. Man hat keine Zeit, in Ruhe zu lesen. Deshalb ist es beim Anruf so wichtig aufzulegen. Nicht weil der Anruf immer Betrug ist. Weil derselbe Kanal, der den Druck ausgelöst hat, nicht der Kanal der Prüfung sein darf.

ENISA arbeitet im Bericht Threat Landscape 2025 mit einem europäischen Datensatz von 4 875 Vorfällen für den Zeitraum vom 1. Juli 2024 bis zum 30. Juni 2025. Sie gibt an, dass 77 % der Vorfälle vom Typ DDoS waren und dass Phishing bei etwa 60 % als Eintrittsvektor erscheint ^[17]. Diese Zahlen lassen sich nicht in den Satz übersetzen, 60 % der tschechischen Strafstatistik seien Phishing. Sie messen eine andere Population und eine andere Einheit. Sie erinnern trotzdem daran, dass der soziale Einstieg in ein System auch dort wichtig bleibt, wo der Vorfall später in technischer Sprache beschrieben wird.

Praktisch ist es besser, das Etikett zu vergessen und auf die Anforderung zu schauen. Will der Kanal eine Angabe? Einen Code? Eine Bestätigung? Eine Überweisung? Fernzugriff? Wenn ja, besteht die Verteidigung nicht darin, das richtige lateinische Wort zu bestimmen. Die Verteidigung ist der zweite Kanal.

5. Der breite Cyberraum ist nicht die enge Cyberkriminalität

Das Jahr 2025 brachte nach Policie ČR und Innenministerium 21 137 registrierte Taten im Cyberraum ^[3][4]. Dasselbe Jahr nennt ČSÚ in der eng qualifizierten Cyberkriminalität nach §§ 230 bis 232 des tschechischen Strafgesetzbuchs jedoch 1 224 Taten ^[5]. Beide Zahlen können richtig sein. Sie messen nicht dasselbe.

Der breite Cyberraum umfasst Taten, bei denen die digitale Umgebung eine wesentliche Rolle spielt. Es kann um Inseratsbetrug, Investitionslegenden, Phishing und andere Formen des Social Engineering gehen. Die eng qualifizierte Cyberkriminalität zielt auf Straftaten um den unbefugten Zugang zu einem System, um Passwörter und ähnliches Handeln. Wenn jemand am Telefon einen Menschen zu einer Überweisung überredet, kann das in den Statistiken anders aussehen als ein Angriff auf ein System.

Die Aufklärungsquote von 15,1 % im Jahr 2025 bei Taten im Cyberraum ist nicht der Anteil zurückgekehrten Geldes ^[3][4]. Es ist ein polizeilicher Indikator der Aufklärung einer Tat. Es kann einen Fall geben, der aufgeklärt ist, das Geld aber nicht zurück. Und es kann eine Zahlung geben, die die Bank helfen stillzulegen, ohne dass daraus eine rasche Aufklärung des ganzen Täternetzes folgt.

Hier zeigt sich erneut, warum eine große Zahl nicht reicht. Der Leser braucht nicht nur zu wissen, wie groß das Problem in der Summe ist. Er braucht zu wissen, wann er aufhören soll, in dem Kanal zu handeln, der von ihm eine Handlung verlangt. Statistiken zeigen den Umfang. Sie entscheiden nicht für ihn in der Minute des Anrufs.

6. Ein Vorfall von NÚKIB ist keine Straftat der PČR

NÚKIB ist eine wichtige Institution, aber seine Statistik ist nicht dasselbe wie die polizeiliche Statistik der Straftaten. Im Jahr 2024 erfasste sie 268 Cybervorfälle, was das Dossier als Rekord der Reihe beschreibt; davon war 1 sehr bedeutend und 18 bedeutend ^[6]. In einer Umfrage unter 415 Befragten, davon 324 regulierte und 91 nicht regulierte, begegneten mehr als 90 % der Befragten Phishing und mehr als 80 % betrügerischen E-Mails ^[6]. NÚKIB gibt an, diese Umfragedaten nicht geprüft zu haben. „Begegnet“ ist nicht dasselbe wie „einen Schaden erlitten“.

Für 2025 nennt das Innenministerium 203 aus NÚKIB zitierte Vorfälle; der Rückgang gegenüber 2024 hing vor allem mit DDoS zusammen ^[4]. Ein unmittelbarer Download des NÚKIB-PDF-Berichts für 2025 lud sich laut Dossier zum 1. September 2026 nicht. Deshalb ist es genau, bei dem zu bleiben, was das Innenministerium angibt, und keine eigene Sicherheit hinzuzufügen.

NÚKIB zieht bei betrügerischen Anrufen an Bürger auch die Grenze seiner Agenda ^[7]. Das bedeutet nicht, dass der Anruf ungefährlich ist. Es bedeutet, dass eine andere Institution ein anderes Stück des Problems verfolgt. Die Kampagne Velké odhalení kann eine nützliche Quelle von Warnung und Bildung sein ^[21]. Sie ist keine polizeiliche Reihe von Taten.

Diese Dinge zu unterscheiden ist praktisch. Wenn eine Firma einen Vorfall löst, fragt sie nach Systemen, Pflichten und Meldung. Wenn ein Haushalt einen Anruf der angeblichen Bank löst, fragt er nach der Prüfung der Identität und nach dem Stoppen der Handlung. Beides gehört zur Cybersicherheit. Es sind nicht dieselben Türen.

7. MFA ist kein Schloss gegen Nötigung

Eine starke Authentifizierung schützt gegen viele Angriffe. Das Gesetz über den Zahlungsverkehr arbeitet mit ihr als Pflicht des Anbieters in bestimmten Lagen ^[14]. MFA ist aber kein Zauberschloss gegen Social Engineering. Wenn der Angreifer einen Menschen dazu bringt, die Prüfung selbst zu bestätigen, hat die Technik einen Teil ihrer Aufgabe erfüllt und der Mensch zugleich eine Handlung getan, die er nicht tun sollte.

Am 27. September 2024 warnte die ČNB vor Betrug mit Multifaktor-Authentifizierung. Sie beschreibt die Lage, in der das Opfer die Prüfung selbst bestätigt, und weist darauf hin, dass der Verbraucher nach einer solchen Bestätigung den Verlust tragen kann ^[8]. Das ist unangenehm, für die Verteidigung aber grundlegend. MFA soll die unbefugte Nutzung ohne Mitwirkung stoppen. Schlechter stoppt sie den Zustand, in dem der Mensch unter Druck die Mitwirkung leistet.

Daraus folgt nicht, dass das Opfer den Betrug im moralischen Sinn „selbst verschuldet“ hat. Daraus folgt, dass sich das rechtliche und betriebliche Regime nach der Bestätigung ändert. Bank, Polizei, ČNB, Finanzschiedsstelle und Gericht werden nicht nur lösen, dass der Anruf überzeugend klang. Sie werden lösen, was bestätigt wurde, welche Informationen der Mensch sah und ob grobe Fahrlässigkeit vorlag.

Der praktische Satz ist kurz: Bestätigen Sie keine MFA, die Sie nicht selbst ausgelöst haben. Wenn Ihnen jemand im Anruf sagt, Sie sollten eine Prüfung bestätigen, um Sie zu schützen, prüfen Sie die Lage über einen anderen Kanal. Nicht in demselben Anruf.

8. Eine autorisierte Zahlung ist nicht mehr nicht autorisiert

Das Wort „nicht autorisiert“ klingt beim Bankbetrug natürlich. Jemand hat Sie bestohlen, die Zahlung war also nicht die Ihre. Das Gesetz über den Zahlungsverkehr unterscheidet jedoch Lagen, in denen Sie eine Zahlungstransaktion nicht autorisieren, von Lagen, in denen Sie sie bestätigen, wenn auch durch ein betrügerisch entlocktes Szenario ^[14]. In ihren Erläuterungen weist die ČNB darauf hin, dass ein Verbraucher, der selbst Betrag und Empfänger oder eine andere Handlung bestätigt, den Verlust als grobe Fahrlässigkeit tragen kann ^[8][9].

Das ist nicht dasselbe wie eine gestohlene Karte ohne Mitwirkung des Kunden. Beim Fernbetrug ist entscheidend, ob der Mensch Angaben mitgeteilt, MFA bestätigt, eine Überweisung genehmigt oder der Transaktion sonst geholfen hat durchzukommen. Gerade deshalb zielen so viele Empfehlungen auf die Handlung, nicht auf das Aussehen der Nachricht.

Daraus folgt nicht, dass jeder Fall im Voraus verloren ist. Die ČNB selbst betont die Umstände und sagt zugleich, dass sie Streitigkeiten um die Rückgabe des Geldes nicht entscheidet; dazu dienen die Finanzschiedsstelle oder das Gericht nach der Natur der Sache ^[9]. Es folgt etwas Praktischeres: Die Verteidigung muss vor der Bestätigung kommen, nicht erst danach.

Wenn die Zahlung weg ist, bleibt die rasche Reaktion: die Bank kontaktieren, eine weitere missbräuchliche Nutzung sperren und eine Anzeige bei der Policie ČR erstatten. Die Bank kann versuchen, eine ausgehende Zahlung stillzulegen. Das ist jedoch nicht dasselbe wie ein Anspruch auf automatische Rückgabe.

9. Ein Schaden der ČBA ist kein Schaden der PČR

Die Tschechische Bankenvereinigung nennt für das Jahr 2025 nach Pressekonferenz und Zitaten einen durchschnittlichen Schaden von 23 462 Kč je Kunden der Mitgliedsbanken, der einen Schaden erlitten hat. Weiter ist die Rede von knapp 91 Tausend Angriffen, 12,2 Milliarden Kč, die die Banken gerettet haben, und einem Versuch von über 14 Milliarden Kč ^[12][13]. Diese Zahlen sind wichtig, aber sie haben genaue Grenzen.

Es geht nicht um den Median. Es geht nicht um die ganze Bevölkerung der Tschechischen Republik. Es geht nicht nur um Vishing. Die Definition der Einheit „Angriff“ ist intern, und ein amtliches PDF der Vereinigung mit vollständiger Methodik fehlt laut Dossier zum Datum der Recherche. Deshalb lässt sich kein einfacher Anteil der Opfer berechnen, die nach dem Absenden Geld zurückerhalten haben. Man kann diese Zahlen auch nicht mit den polizeilichen Taten addieren und daraus einen universellen Maßstab machen.

Das schwächt die praktische Botschaft nicht. Banken fangen ein großes Volumen von Versuchen ab, und der Schaden bei denen, die ihn erleiden, ist nicht gering. Für den Leser ist jedoch der Mechanismus entscheidend: Ein geretteter Betrag bedeutet gewöhnlich einen Eingriff vor der Vollendung des Schadens oder in seiner unmittelbaren Umgebung. Wenn der Mensch selbst eine Überweisung bestätigt und die Zeit läuft, verengt sich der Raum für Abhilfe.

Deshalb ist es genauer zu sagen: Die Zahlen der ČBA zeigen den bankmäßigen Teil des Problems. Die polizeilichen Zahlen zeigen den strafrechtlichen Teil des Problems. Die ČNB zeigt das Rechtsregime. Die Verteidigung des Nutzers liegt dazwischen, in der Entscheidung, die verlangte Handlung nicht in dem Kanal zu tun, der den Druck ausgelöst hat.

10. Eine SIM-Farm erklärt die Maske. Sie erklärt nicht Ihre Überweisung

Europol beschreibt im Bericht IOCTA 2026 eine Operation aus dem Jahr 2025 gegen eine Infrastruktur, die nach seinen Angaben 40 000 SIM-Karten, ein Netz von 7 lettischen Staatsangehörigen, mindestens 1 200 SIM-Boxen und Nummern aus mehr als 80 Ländern umfasste. Auf der Grundlage des Dienstes sollen mehr als 49 Millionen Onlinekonten entstanden sein ^[16]. Das ist ein Beispiel der Industrialisierung. Nicht die EU-Summe aller Betrüge und nicht die Zahl tschechischer Opfer.

Solche Zahlen helfen zu verstehen, warum ein Betrug nicht amateurhaft aussehen muss. Infrastruktur, gemietete Dienste, Automatisierung und KI-gestützte Imitation senken den Preis der Maske. Der Betrüger muss nicht selbst in allem technisch gewandt sein. Er kann Dienste nutzen, die das Versenden, die Verwaltung von Konten oder die Nachahmung einer Institution vereinfachen. Hier ist aber eine Grenze nötig: Die Beschreibung der Infrastruktur ist keine Anleitung zu ihrem Gebrauch.

Für die Verteidigung des Lesers ist nicht am wichtigsten, wie genau sich die Maske zusammensetzt. Wichtig ist, dass die Maske selbst nichts beweist. Wenn der Angreifer besser wie eine Bank aussehen kann, soll umso weniger das Aussehen entscheiden. Entscheiden sollen die Handlung und der zweite Kanal.

Eine SIM-Farm erklärt also, warum viele überzeugende Kontakte von verschiedenen Nummern kommen können. Sie erklärt nicht, warum ein Mensch eine Überweisung bestätigen sollte. Zwischen Maske und Schaden steht noch ein Schritt. Dieser Schritt muss verzögert, unterbrochen und geprüft werden.

11. Eine Deepfake-Stimme ist keine Bedingung der Legende

Eine Deepfake-Stimme verschiebt die Grenze des Vertrauens. Wenn sich die Stimme jemandes nachahmen lässt, hört das Gehör auf, ein ausreichender Test der Identität zu sein. Jiný Kontext behandelt das in einem eigenen Text über die Deepfake-Stimme eines Bekannten ^[22]. Dieser Artikel will dasselbe Argument nicht wiederholen. Bei E-Mail, SMS und einem gewöhnlichen Anruf genügt weniger: Die meisten Verteidigungen stehen nicht auf dem Erkennen der Stimme. Sie stehen auf dem zweiten Kanal.

Viele belegte Legenden brauchen keine synthetische Stimme. Es genügen eine bekannte Nummer auf dem Display, ein drängendes Szenario und die Aufforderung zur Handlung. Der Mensch unter Druck prüft nicht, weil er der künstlichen Intelligenz glaubt. Er prüft, weil er den Schaden, den der Anrufer gerade beschrieben hat, rasch stoppen will.

Das ist der Grund, warum es nicht gut ist, Menschen beizubringen, als Hauptverteidigung auf „Seltsamkeiten“ in der Stimme zu hören. Die Stimme kann echt und die Bitte falsch sein. Die Stimme kann unbekannt und der Anruf echt sein. Die Stimme kann synthetisch und technisch überzeugend sein. Der Test ist nicht das Gehör. Der Test ist die Rückkehr zu einem zuvor bekannten Kanal.

Deepfake gehört also ins Bild. Aber nur als weitere Schicht der Maske. Nicht als notwendige Bedingung des Betrugs und nicht als Grund, die Grundregel zu ändern: eine Handlung nicht in dem Kanal zu bestätigen, der sie verlangt hat.

12. Die Aufklärungsquote ist kein zurückgegebener Betrag

Die polizeiliche Aufklärungsquote der Taten im Cyberraum lag bei 15,4 % im Jahr 2024 und bei 15,1 % im Jahr 2025 ^[2][3]. Diese Zahlen messen die Arbeit mit der Straftat in der polizeilichen Statistik. Sie sagen nicht, wie viele Opfer Geld zurückerhalten haben. Sie sagen auch nicht, dass in den übrigen Fällen nichts geschehen ist. Sie sagen, welcher Anteil der Taten nach den Regeln der gegebenen Statistik aufgeklärt wurde.

Der bankmäßige Fang ist eine andere Sache. Die ČBA nennt 12,2 Milliarden Kč, die im Jahr 2025 gerettet wurden ^[12][13]. Das ist bankmäßiger Schutz und Reaktion auf Versuche. Es ist keine polizeiliche Aufklärungsquote. Die ČNB ist eine weitere Schicht: Sie beaufsichtigt, erklärt das Regime, nimmt Hinweise entgegen, entscheidet aber nicht den Streit des Kunden mit der Bank um die Rückgabe des Geldes ^[9].

Diese drei Erfolge dürfen nicht addiert werden. Eine gestoppte Zahlung, eine aufgeklärte Tat und ein gewonnener Streit um Ersatz sind verschiedene Ergebnisse. Jedes kann ohne das andere eintreten. Für den Leser folgt daraus eine praktische Dringlichkeit, keine Panik: Die Geschwindigkeit nach dem Verdacht ist wichtig, noch wichtiger ist es, nicht in die Phase zu geraten, in der man nur noch auf Abhilfe wartet.

Der Satz „die Polizei wird das untersuchen“ darf nicht die letzte Verteidigung vor der Bestätigung sein. Die Polizei kommt nach dem Ereignis. Der zweite Kanal kommt davor.

13. Die beste Verteidigung ist die, deren Irrtum Sie noch zurückholen können

Die Verteidigung gegen eine betrügerische E-Mail, SMS oder einen Anruf darf kein Test der Genialität sein. Der Mensch muss nicht jede Maske erkennen. Er muss ein Verfahren haben, das die Handlung auch dann stoppt, wenn er die Maske nicht erkennt. Das folgende Schema zeigt deshalb nicht, wie man einen Betrug zusammenbaut. Es zeigt, wo er unterbrochen werden soll.

Illustratives Schema: In der Zeile steht der Kanal: E-Mail, SMS, Anruf. In der Spalte steht die Handlung: Angabe, Code, MFA, Überweisung, Fernzugriff. Die Maske des Absenders ist nur eine Überschrift. Die Kontrolle sitzt in der Spalte der Handlung und führt über den zweiten Kanal.

Die beste Verteidigung ist nicht die, die nie zweifelt. Es ist die Verteidigung, deren Irrtum sich noch zurückholen lässt. Wenn Sie bei einem echten Banker auflegen und die amtliche Leitung zurückrufen, verlieren Sie Zeit. Wenn Sie im betrügerischen Anruf bleiben und eine Überweisung bestätigen, verlieren Sie mehr.

14. Der zweite Kanal sagt mehr als die Kopfzeile

Der zweite Kanal ist nicht der Rückruf der Nummer, die gerade auf dem Display erschienen ist. Es ist nicht die Antwort auf dieselbe SMS. Es ist nicht der Klick auf den Link in der E-Mail und die anschließende „Prüfung“. Der zweite Kanal ist ein Weg, den Sie vor dem Vorfall kennen: die amtliche Website der Institution, die Nummer auf der Karte, die Banking-App, ein interner Firmenkontakt, eine persönliche Prüfung außerhalb der ursprünglichen Nachricht.

Was vor der Bestätigung von MFA zu prüfen ist

Die erste Frage lautet: Haben Sie die Prüfung selbst ausgelöst? Wenn nicht, bestätigen Sie sie nicht. Die ČNB warnt ausdrücklich vor Betrug, in dem das Opfer zur Bestätigung von MFA gelenkt wird ^[8]. Die zweite Frage lautet: Sehen Sie Betrag und Empfänger, die Sie selbst erwarten? Die dritte Frage lautet: Warum kommt die Prüfung gerade jetzt? Wenn die Antwort derselbe Anruf liefert, der die Prüfung ausgelöst hat, ist das keine Prüfung. Es ist Teil des Drucks.

Wie man den zweiten Kanal testet

Legen Sie auf oder hören Sie auf, im selben Kanal zu antworten. Nehmen Sie den amtlichen Kontakt von der Website der Institution, von der Zahlungskarte oder aus der App. Bei einer Bank, die eine Prüfung des Anrufs in der App anbietet, nutzen Sie gerade diese Möglichkeit. CISA empfiehlt, in verdächtigen Nachrichten nicht auf Links zu klicken und über vertrauenswürdige Quellen zu prüfen ^[19]. CSIRT.CZ nimmt Meldungen von Vorfällen einschließlich Phishing entgegen und arbeitet mit URL und E-Mail-Kopfzeilen ^[20]. Das ist ein Weg für die Meldung, nicht für den panischen Klick.

Der zweite Kanal muss auch in der Firma im Voraus bekannt sein. Es reicht nicht, dem Kollegen in demselben Faden zu schreiben, aus dem die Anforderung kam. Es reicht nicht, auf eine E-Mail mit dringender Rechnung zu antworten. Es reicht nicht, die Nummer in der Signatur anzurufen, wenn gerade diese Signatur Teil des Problems sein kann. Die Firma braucht eine einfache Regel für Zahlungen, Änderungen des Lieferantenkontos und Fernzugriff: Geprüft wird über einen im eigenen System gespeicherten Kontakt, nicht über den in der Anforderung gelieferten Kontakt.

Dieses Verfahren ist kein Misstrauen gegenüber Kollegen. Es ist der Schutz der Kollegen davor, dass ihr Name zum Werkzeug des Drucks wird. Die Buchhaltung muss nicht entscheiden, ob der Stil der E-Mail wirklich dem Direktor entspricht. Der IT-Techniker muss nicht erkennen, ob der Anruf wie der Lieferant klingt. Es genügt, dass er weiß, dass die Änderung des Zahlungskontos, ein Einmalcode und der Fernzugriff nicht durch denselben Kanal gehen, in dem um sie gebeten wird.

Der Haushalt braucht dasselbe Prinzip im kleineren Maßstab. Eltern und Großeltern hilft keine lange Liste von Angriffsarten, wenn sie im entscheidenden Augenblick fürchten, das Konto werde schon geleert. Es hilft ein Satz, den man ohne Nachdenken verwenden kann: Ich rufe die Nummer von der Karte oder aus der amtlichen App zurück. Wenn der Anrufer darauf drängt, dass man nicht auflegt, ist das selbst ein Grund aufzulegen. Eine echte Institution hält aus, dass der Kunde den Anruf über den eigenen Kanal prüft.

Ein guter zweiter Kanal hat noch eine Eigenschaft: Er verlangt keine Improvisation. Die Nummer zur Bank, das Verfahren zur Sperre der Karte, der Kontakt zur Buchhaltung und die Regel für die Änderung des Lieferantenkontos sollen gespeichert sein, bevor der Druck kommt. In Ruhe lässt sich der richtige Weg wählen. Im Anruf wählt man oft den schnellsten. Der Betrug setzt gerade auf diesen Tausch. Deshalb ist die Vorbereitung einer Kontaktliste keine administrative Kleinigkeit. Sie ist ein Sicherheitswerkzeug.

Drei Tests vor der Überweisung

Erster Test: auflegen und über den zweiten Kanal prüfen. Zweiter Test: keine MFA bestätigen, die Sie nicht selbst ausgelöst haben. Dritter Test: nach dem Verdacht sofort die Bank wegen der Sperre und die Policie ČR wegen der Anzeige kontaktieren. Eine Deepfake-Stimme lösen Sie nicht mit dem Gehör. Lösen Sie sie mit dem Kanal.

Eine Autorisierung, die Sie selbst bestätigt haben, ist keine nicht autorisierte Zahlung mehr.

— Jiný Kontext

15. Die Frist von dreizehn Monaten ist keine Rückbuchung

Das Gesetz über den Zahlungsverkehr enthält eine Frist für die Anzeige einer nicht autorisierten Zahlungstransaktion. Nach § 188 Abs. 1 muss der Zahler die nicht autorisierte Transaktion dem Anbieter ohne unnötigen Aufschub anzeigen, spätestens binnen 13 Monaten nach der Abbuchung des Betrags; wendet der Anbieter die verspätete Anzeige ein, erkennt das Gericht das Recht auf Abhilfe nicht zu ^[14]. Das ist eine Frist. Es ist kein Versprechen der Rückgabe des Geldes.

Daneben stehen weitere Bestimmungen des Gesetzes über den Zahlungsverkehr, einschließlich der Regeln der starken Authentifizierung und der Abhilfe ^[14]. Und daneben das tschechische Strafgesetzbuch, zum Beispiel § 209 über Betrug ^[15]. Diese rechtliche Karte ist für den Leser vor allem deshalb wichtig, weil sie nicht zu einer automatischen Rückbuchung führt. Die rechtzeitige Anzeige ist eine Bedingung. Keine Garantie.

Wenn der Mensch die Transaktion unter Druck oder aufgrund einer Täuschung bestätigt hat, kann sich der Streit um Mitwirkung und grobe Fahrlässigkeit drehen. Die ČNB wiederholt, dass sie selbst den Streit um die Rückgabe des Geldes nicht entscheidet ^[9]. Das praktische Verfahren bleibt deshalb doppelt: sofort die Bank kontaktieren und Anzeige bei der Polizei erstatten. Zugleich Kommunikation, Nummern, Nachrichten und Zeitangaben für die weitere Lösung aufbewahren.

Die beste rechtliche Frist ist die, die Sie nicht brauchen. Das ist kein Zynismus. Es ist die Beschreibung der Reihenfolge. Vor der Bestätigung entscheidet der zweite Kanal. Nach der Bestätigung entscheiden schon Fristen, bankmäßige Prozesse und Streitigkeiten.

16. Fünf bis zehn Anrufe täglich auf der Leitung der ČNB sind keine Jahreskarte der Opfer

Die ČNB gibt in den FAQ zu Betrug im Zahlungsverkehr an, dass sie auf der Grünen Leitung 5 bis 10 Beschwerden täglich zu Betrug bearbeitet. Dieselbe Übersicht sagt, dass sie im Jahr 2021 solche Beschwerden nicht erfasste und dass es im Jahr 2022 schon Hunderte waren ^[9]. Das ist ein nützliches Signal der Veränderung. Es ist keine Jahressumme der Opfer und keine Statistik erfolgreicher Betrüge.

Die Spanne 5 bis 10 täglich ist eine Zahl aus dem Kommunikationskanal der ČNB. Sie umfasst nicht jene, die die Bank, die Polizei, die Finanzschiedsstelle oder niemanden anrufen. Sie sagt nicht, wie viel Schaden entstanden ist, wie viel Geld zurückkam oder wie viele Fälle sich mit der polizeilichen Statistik überschneiden. Sie addiert sich nicht mit den 21 137 Taten im Cyberraum und nicht mit dem durchschnittlichen Schaden von 23 462 Kč bei geschädigten Kunden der Mitgliedsbanken ^[3][12].

Trotzdem hat diese Zahl einen Sinn. Sie zeigt, dass Betrug im Zahlungsverkehr keine Randfrage ist. Die Menschen fragen, weil die Grenze der Verantwortung nicht intuitiv ist. Der Mensch hat das Gefühl, bestohlen worden zu sein, und hört zugleich, dass er die Zahlung selbst bestätigt hat. Das ist genau der Ort, an dem man über den zweiten Kanal früher sprechen muss als über die Reklamation.

Die Statistik der Leitung ist also keine Karte der Opfer. Sie ist ein Warnschild am Schalter, zu dem die Menschen zu spät kommen.

17. Die versteckte Kostenstelle ist die Handlung im selben Kanal

Eine betrügerische Nachricht oder ein Anruf siegt oft nicht dadurch, dass sie vollkommen echt wären. Sie siegt dadurch, dass sie den Weg zwischen Angst und Handlung verkürzt. Sie lässt den Menschen den Kanal nicht verlassen. Der Anruf geht weiter, die SMS fügt einen Link hinzu, die E-Mail bietet eine Taste, der angebliche Banker diktiert den nächsten Schritt. Alles geschieht in derselben Röhre, in der der Druck entstand.

Die versteckte Kostenstelle ist nicht nur der Geldschaden. Es ist auch die Verwirrung nach dem Ereignis. Wen anrufen? Was ist autorisiert? Was ist nicht autorisiert? Was bedeutet MFA? Wer entscheidet den Streit? Warum spricht die Polizei von Aufklärungsquote und die Bank vom Fang? Warum zählt NÚKIB Vorfälle und ČBA Kunden? Je später wir diese Unterschiede lösen, desto teurer sind sie.

Das bedeutet nicht, dass der Mensch alle Statistiken kennen muss. Es bedeutet, dass er eine Regel haben muss, die stärker ist als die Maske: Eine Handlung prüfe ich nicht in dem Kanal, der sie verlangt. Nummer, Logo, Stimme, Dringlichkeit und nicht einmal richtige persönliche Angaben reichen selbst nicht. Angabe, Code, MFA, Überweisung und Fernzugriff gehören erst hinter den zweiten Kanal.

Diese Regel ist langweilig, und gerade deshalb wirkt sie auch unter gewöhnlichem Druck.

Die Frage lautet also nicht, wie man eine betrügerische E-Mail, SMS oder einen Anruf daran erkennt, ob sie wie eine Bank aussehen. Sie lautet: Welche Handlung sind Sie bereit, im selben Kanal ohne eine zweite, zuvor bekannte Prüfung zu bestätigen? Wenn die Antwort „keine“ lautet, geht es nicht um Misstrauen gegenüber der Welt. Es geht um die genaue Lage der Kontrolle.

Verwandte Texte dieser Reihe

• Wie stellt man fest, ob Ihr Passwort oder Ihre E-Mail abgeflossen ist? — ein Abfluss im Index ist nicht derselbe Kanal wie ein Notruf.
• Im Ordner: Deepfake einer bekannten Stimme — die Stimme ist kein Siegel der Identität mehr; dieser Text nimmt E-Mail, SMS und Anruf als drei Kanäle des Drucks.