Die bekannte Nummer auf dem Display ist keine Identität. Eine von Ihnen selbst bestätigte Autorisierung ist keine „unautorisierte Zahlung“ mehr.

Abschnitt: Technologie & KI Autor: IN Leselänge: ~27 Min Quellen und weiterführende Literatur: 22 Artikel Themen: Cybersicherheit, Bankbetrug, Phishing, Smishing, Vishing, MFA SEO / Arbeitstitel: Wie erkennt man eine betrügerische E-Mail, SMS oder einen betrügerischen Anruf?

Die Frage ist: Wie erkennt man eine betrügerische E-Mail, SMS oder einen betrügerischen Anruf? Es klingt einfach, bis wir merken, dass wir eine Sache nicht vergleichen. Die angezeigte Nummer ist keine Identität. Phishing ist kein Vishing und Vishing ist kein Smishing. MFA ist keine Zwangssperre. Eine autorisierte Zahlung, die Sie selbst bestätigt haben, ist nicht mehr nicht autorisiert. Erst wenn diese vier Dinge getrennt werden, ist es möglich zu lesen, was die Polizei der Tschechischen Republik, NÚKIB, CNB und CBA in den Jahren 2024 und 2025 tatsächlich misst – und wasfließt, bevor das Geld abfließt.

1. Die Bank, die Polizei und das Amt sehen in drei Statistiken den gleichen Anruf

Stellen wir uns einen Nachmittag zu Hause vor. Auf dem Display erscheint der bekannte Name der Bank. Die Stimme behauptet, dass auf dem Konto eine verdächtige Operation ausgeführt wird. Eine Nachricht auf dem Telefon bittet um Bestätigung. In der E-Mail befindet sich ein Link zur „sicheren Verifizierung“. Man fragt nicht nach einer Definition des Cyberspace. Er möchte wissen, ob er mit der Bank spricht oder mit jemandem, der sich als die Bank ausgibt.

Aber die Institutionen, die das Problem beschreiben, sehen nicht dieselbe Einheit. Die Polizei der Tschechischen Republik und das Innenministerium überwachen registrierte Taten im Cyberspace. Im Jahr 2024 waren es 18 495, also 10,67 % der insgesamt 173 322 Straftaten, ein Rückgang um 5,5 % gegenüber dem Vorjahr; Die Klarheit betrug 15,4 % ^[1][2]. Im Jahr 2025 waren es 21 137, also 12,4 % von 170 051 Taten, im Vergleich zum Vorjahr um 2 642 mehr, also um 14,3 %; Die Klarheit betrug 15,1 % ^[3][4]. Das ist eine breite Polizeikategorie. Es ist nicht die Zahl der betrügerischen Anrufe.

Die CZSO- und Kriminalstatistik zur eng qualifizierten Cyberkriminalität nach §§ 230 bis 232 StGB weist eine abweichende Summe aus: 1 224 Taten im Jahr 2025, 93 weniger als im Vorjahr, also 7,1 % ^[5]. NÚKIB erfasst Cybervorfälle gemäß seinem Rechts- und Arbeitsrahmen. Im Jahr 2024 waren es 268 davon, davon 1 sehr bedeutsam und 18 bedeutsam ^[6]. Im Jahr 2025 meldet das Innenministerium 203 von NÚKIB zitierte Vorfälle ^[4]. Der Tschechische Bankenverband spricht über Kunden von Mitgliedsbanken, deren Schäden und Angriffe ^[12][13].

Auf den ersten Blick ist es eine Bedrohung. Tatsächlich fügt jeder ein anderes Objekt hinzu. Die Polizei sieht die Taten. CZSO ist eine enge Rechtskategorie. NÚKIB-Vorfälle bei regulierten und adressierten Organisationen. Kunden der CBA-Bank. Rechtsordnung und Beschwerden der CNB. Daher sind sie möglicherweise alle teilweise korrekt, und eine allgemeine Zahl, wie viele betrügerische Anrufe es gab, kann immer noch nicht ehrlich zusammengestellt werden.

Die bekannte Nummer auf dem Display ist keine Identität.

– Anderer Kontext

2. Eine Aktionsanforderung hat mindestens fünf Ebenen

Betrug beginnt nicht mit Schäden. Es beginnt mit einem Kanal. Eine E-Mail besteht aus einem Header, einem Link und einem Anhang. Eine SMS oder RCS besteht aus einer kurzen Nachricht, dem Namen des Absenders und oft einem Hinweis auf Geschwindigkeit. Der Ruf hat Stimme, Intonation und die Fähigkeit, sofort Angst auszulösen. Messenger fügt den Anschein einer persönlichen Beziehung hinzu. Jeder Kanal trägt unterschiedliche Spuren und einen anderen Rhythmus der Entscheidungsfindung.

Die zweite Ebene ist die Absendermaske. Dabei kann es sich um den Namen der Bank in einer SMS, eine ähnliche Domain in einer E-Mail oder eine gefälschte Rufnummer handeln. Die Maske reduziert den Luftwiderstand. Es beweist nicht die Identität. Das ist die erste Faustregel: Identität beginnt nicht mit dem, was das Display anzeigt. Es beginnt damit, ob die Verifizierung über einen Kanal erfolgt, den Sie gewählt haben und den Sie im Voraus kennen.

Die dritte Ebene ist das Skript. Manche Legenden basieren auf Angst: Der Account ist gehackt, die Polizei ermittelt, jemand hat den Personalausweis missbraucht. Andere verlassen sich auf Gier: eine Investition, eine schnelle Rendite, eine verpasste Chance. Andere verlassen sich auf Vertrauen: einen Kollegen, eine Familie, eine vertraute Stimme. Zeitdruck ist kein Beweis für die Echtheit. Es ist Teil des Drehbuchs.

Die vierte Ebene ist die erforderliche Aktion. Geben Sie die Informationen ein. Diktieren Sie den Code. Bestätigen Sie MFA. Geld senden. Installieren Sie den Fernzugriff. Hier wird aus einer verdächtigen Nachricht Schaden. Die fünfte Ebene ist die Wiedergutmachung: die Bank, die Polizei der Tschechischen Republik, der Finanzschiedsrichter oder das Gericht, je nachdem, was passiert ist und welche Rechtsordnung gilt. Keine dieser Schichten ist eine sofortige Rückgabe.

Dieser Aufbau ist wichtig, da die Verteidigung nicht erraten soll, wie überzeugend die Maske ist. Es soll die Aktion stoppen. Wenn beim Anruf nach einem Code gefragt wird, ist nicht nur die Stimme das Problem. Wenn eine SMS zum Klicken auffordert, ist nicht nur der Text das Problem. Wenn die E-Mail über einen Link zur Anmeldung auffordert, ist nicht nur das Logo das Problem. Wir fragen immer, welche Maßnahmen der Kanal von uns verlangt und ob wir dies an anderer Stelle überprüfen.

3. Die angezeigte Nummer ist keine Identität

Man neigt dazu, zu glauben, was einem bekannt vorkommt. Der Name der Bank in der Nachricht, die Nummer der Infoline auf dem Display, der Name der Geschäftsstelle in der E-Mail. Die CNB und NÚKIB machen jedoch auf betrügerische Telefonanrufe und Spoofing aufmerksam, d. h. auf eine Situation, in der der Betrüger versucht, wie eine bekannte Institution auszusehen ^[7][9][11]. Daraus folgt nicht, dass jede bekannte Zahl gefälscht ist. Daraus folgt, dass eine bekannte Nummer selbst keine Identitätsprüfung durchführt.

Technische Systeme zur Verifizierung der Rufnummer lösen nur einen Teil des Problems. Das amerikanische STIR/SHAKEN-Framework, über das die FCC schreibt, arbeitet mit der Authentifizierung einer Telefonnummer im Netzwerk und mit der Beziehung von Betreibern zu der Nummer ^[18]. Dies ist eine nützliche Ebene. Es ist kein Beweis dafür, wer genau spricht, warum er anruft und ob er das Recht hat, Ihr Eingreifen zu verlangen. Die Erfolgsquote ähnlicher Überprüfungen in tschechischen Netzen wird in der Akte nicht als Karte veröffentlicht, anhand derer jeder Anruf bewertet werden könnte.

Es reicht nicht aus, die Nummer im Internet nachzuschlagen. Wenn in der Maske eine Banknummer angezeigt wird, bestätigt das Internet lediglich, dass die Nummer tatsächlich zur Bank gehört. Es wird nicht beweisen, dass die Bank ihn anruft. Der richtige Schritt ist ein anderer: Legen Sie auf, rufen Sie nicht die angezeigte Nummer zurück und verwenden Sie den offiziellen Kontakt auf der Website der Institution, auf der Zahlungskarte oder in der Anwendung. Wenn eine Bank eine In-App-Anrufverifizierung anbietet, ist diese eine bessere Überprüfung als die Spracheingabe am Telefon.

Identität ist also nicht das, was zu einem kommt. Identität ist das, was Sie überprüfen. Das ist eine kleine Veränderung, aber sie verändert den gesamten Entscheidungsprozess.

4. Phishing ist kein Vishing. Vishing ist kein Smishing

Das Wort Phishing wird oft für alles verwendet. Für E-Mail, SMS und Telefonanrufe. Praktisch hilft es beim Kopfball, tut aber in der Verteidigung weh. E-Mail-Phishing hinterlässt andere Spuren als SMS-Smishing und Voice-Call-Vishing. Die CNB unterscheidet in ihrer Übersicht die Sender ^[9][10]. Der Punkt ist einfach: gleiches Ziel, anderer Kanal, anderer Test.

Für E-Mail können Adresse, Domain, Header, Anhang und Link adressiert werden. Bei SMS ist der Platz knapp und der Name des Absenders, die Dringlichkeit und der Link spielen eine größere Rolle. Der Anruf steht in Echtzeit unter Druck. Man hat keine Zeit, in Ruhe zu lesen. Deshalb ist es so wichtig, bei einem Anruf aufzulegen. Nicht, weil der Anruf immer ein Betrug ist. Denn derselbe Kanal, der den Push verursacht hat, soll nicht der Verifizierungskanal sein.

In ihrem Threat Landscape 2025-Bericht arbeitet die ENISA mit einem europäischen Datensatz von 4.875 Vorfällen zwischen dem 1. Juli 2024 und dem 30. Juni 2025. Sie berichtet, dass 77 % der Vorfälle DDoS-Vorfälle waren und dass Phishing in etwa 60 % als Einbruchsvektor auftaucht ^[17]. Diese Zahlen lassen sich nicht mit dem Satz übersetzen, dass 60 % der tschechischen Kriminalstatistiken Phishing seien. Es misst eine andere Bevölkerung und eine andere Einheit. Dennoch erinnern sie uns daran, dass der soziale Beitrag zum System auch dann wichtig bleibt, wenn der Vorfall in technischer Sprache beschrieben wird.

Aus praktischer Sicht ist es besser, das Etikett zu vergessen und sich die Anforderungen anzusehen. Möchte der Sender Daten? Will er einen Code? Will er eine Bestätigung? Will er einen Transfer? Möchten Sie Fernzugriff? Wenn ja, besteht die Verteidigung nicht darin, das richtige lateinische Wort zu bestimmen. Verteidigung ist der zweite Kanal.

5. Der weite Cyberspace ist keine enge Cyberkriminalität

Nach Angaben der Polizei der Tschechischen Republik und des Innenministeriums wurden im Jahr 2025 insgesamt 21 137 Taten im Cyberspace registriert ^[3][4]. Im selben Jahr listet die CZSO jedoch 1 224 Taten der eng qualifizierten Cyberkriminalität nach §§ 230 bis 232 StGB auf ^[5]. Beide Zahlen können richtig sein. Sie messen nicht dasselbe.

Der breite Cyberspace umfasst Handlungen, bei denen die digitale Umgebung eine wesentliche Rolle spielt. Dabei kann es sich um Werbebetrug, Anlagelegenden, Phishing und andere Formen des Social Engineering handeln. Bei der eng gefassten Cyberkriminalität geht es um Straftaten im Zusammenhang mit unbefugtem Zugriff auf das System, Passwörtern und ähnlichen Handlungen. Wenn jemand eine Person per Telefon zu einer Überweisung überredet, sieht das in der Statistik möglicherweise anders aus als ein Angriff auf das System.

Eine Aufklärungsquote von 15,1 % im Jahr 2025 für Cyberkriminalität ist kein Anteil an Rückerstattungen ^[3][4]. Es handelt sich um einen polizeilichen Indikator für die Aufklärung der Tat. Es kann sein, dass ein Fall geklärt ist, das Geld aber nicht zurückerhalten wird. Und es kann sein, dass die Bank hilft, eine Zahlung zu stoppen, ohne dass das gesamte kriminelle Netzwerk schnell aufgedeckt wird.

Auch hier zeigt sich, warum eine große Zahl nicht ausreicht. Der Leser muss nicht wissen, wie groß das Problem insgesamt ist. Es muss wissen, wann es aufhören muss, in dem Kanal, der es zum Handeln auffordert, Maßnahmen zu ergreifen. Die Statistik zeigt die Reichweite. Sie entscheiden nicht in der Minute des Anrufs für ihn.

6. Der NÚKIB-Vorfall ist kein Verbrechen der PČR

NÚKIB ist eine wichtige Institution, ihre Statistiken sind jedoch nicht mit den Kriminalstatistiken der Polizei identisch. Im Jahr 2024 wurden 268 Cybervorfälle registriert, was das Dossier als Serienrekord bezeichnet; Davon war 1 sehr signifikant und 18 signifikant ^[6]. In einer Umfrage unter 415 Befragten, davon 324 regulierte und 91 nicht regulierte, waren mehr als 90 % der Befragten mit Phishing und mehr als 80 % mit betrügerischen E-Mails konfrontiert ^[6]. NÚKIB gibt an, diese Fragebogendaten nicht überprüft zu haben. „Betroffen“ ist nicht dasselbe wie „erlittener Schaden“.

Im Jahr 2025 meldet das Innenministerium 203 von NÚKIB zitierte Vorfälle; Der Rückgang bis 2024 war hauptsächlich auf DDoS zurückzuführen ^[4]. Der direkte Download des PDF-Berichts von NÚKIB für das Jahr 2025 wurde gemäß der Datei zum 1. September 2026 nicht geladen. Daher ist es richtig, sich an die Aussagen des MV zu halten und nicht Ihre eigene Gewissheit hinzuzufügen.

NÚKIB definiert auch die Grenzen seiner Agenda für betrügerische Telefonanrufe an Bürger ^[7]. Das bedeutet nicht, dass der Anruf nicht gefährlich ist. Das bedeutet, dass sich eine andere Institution mit einem anderen Teil des Problems befasst. Die Big Reveal-Kampagne kann eine nützliche Quelle der Warnung und Aufklärung sein ^[21]. Es handelt sich nicht um eine Reihe von Polizeitaten.

Die Unterscheidung dieser Dinge ist praktisch. Wenn sich ein Unternehmen mit einem Vorfall befasst, fragt es nach Systemen, Verantwortlichkeiten und Berichterstattung. Wenn ein Haushalt einen Anruf von einer vermeintlichen Bank entgegennimmt, verlangt er eine Identitätsprüfung und stoppt die Aktion. Beides gehört zur Cybersicherheit. Es ist nicht die gleiche Tür.

7. MFA ist keine Zwangssperre

Eine starke Authentifizierung schützt vor vielen Angriffen. Das Zahlungsverkehrsgesetz sieht darin eine Verpflichtung des Anbieters in bestimmten Situationen vor ^[14]. Aber ein MFA ist kein magischer Schutz gegen Social Engineering. Wenn der Angreifer den Menschen dazu bringt, die Authentifizierung selbst zu bestätigen, hat die Technologie einen Teil ihrer Arbeit erledigt und der Mensch hat gleichzeitig etwas getan, was er nicht hätte tun sollen.

Am 27. September 2024 warnte die CNB vor Betrug bei der Multi-Faktor-Authentifizierung. Beschreibt die Situation, in der das Opfer die Überprüfung selbst bestätigt und warnt davor, dass der Verbraucher nach dieser Bestätigung den Schaden tragen könnte ^[8]. Das ist ärgerlich, aber für die Verteidigung unerlässlich. Mit MFA soll eine unbefugte Nutzung ohne Mitwirkung verhindert werden. Es ist schwieriger, eine Situation zu stoppen, in der eine Person unter Druck kooperiert.

Daraus folgt nicht, dass das Opfer im moralischen Sinne „schuld“ am Betrug ist. Daraus folgt, dass sich die rechtlichen und operativen Regelungen nach der Bestätigung ändern. Die Bank, die Polizei, die CNB, der Finanzschiedsrichter und das Gericht werden sich nicht nur damit befassen, dass der Anruf überzeugend klang. Sie werden sich damit befassen, was bestätigt wurde, welche Informationen die Person gesehen hat und ob grobe Fahrlässigkeit vorliegt.

Der praktische Satz ist kurz: Bestätigen Sie keine MFA, die Sie nicht selbst durchgeführt haben. Wenn jemand im Anruf Sie auffordert, die Verifizierung zu Ihrem Schutz zu bestätigen, verifizieren Sie die Situation über einen anderen Kanal. Nicht im selben Anruf.

8. Eine autorisierte Zahlung ist nicht länger nicht autorisiert

Das Wort „unerlaubt“ klingt im Bankbetrug natürlich. Jemand hat Sie ausgeraubt, also gehörte die Zahlung doch nicht Ihnen. Das Gesetz über Zahlungssysteme unterscheidet jedoch zwischen Situationen, in denen Sie einen Zahlungsvorgang nicht autorisieren, und Situationen, in denen Sie ihn bestätigen, allerdings mit einem betrügerischen Szenario ^[14]. In ihren Erläuterungen weist die ČNB darauf hin, dass ein Verbraucher, der den Betrag und den Empfänger selbst bestätigt oder eine andere Handlung vornimmt, den Schaden als grobe Fahrlässigkeit tragen kann ^[8][9].

Dies ist nicht dasselbe wie eine gestohlene Karte ohne Mitwirkung des Kunden. Beim Fernbetrug kommt es darauf an, ob die Person die Daten weitergegeben, die MFA bestätigt, die Übertragung genehmigt oder auf andere Weise bei der Abwicklung der Transaktion geholfen hat. Aus diesem Grund konzentrieren sich viele Empfehlungen auf die Aktion und nicht auf das Erscheinungsbild der Nachricht.

Daraus folgt nicht, dass jeder Fall eine Selbstverständlichkeit ist. Die CNB selbst betont die Umstände und sagt gleichzeitig, dass sie Streitigkeiten über Rückerstattungen nicht entscheidet; Dies geschieht je nach Art des Falles durch einen Finanzschiedsrichter oder ein Gericht ^[9]. Daran liegt etwas Praktischeres: Die Verteidigung muss vor der Bestätigung erfolgen, nicht danach.

Wenn die Zahlung weg ist, bleibt nur noch eine schnelle Reaktion: Kontaktieren Sie die Bank, schließen Sie eine weitere Missbrauchsmöglichkeit aus und erstatten Sie Anzeige bei der Polizei der Tschechischen Republik. Möglicherweise versucht die Bank, die ausgehende Zahlung zu stoppen. Dies ist jedoch nicht dasselbe wie ein automatischer Rückerstattungsanspruch.

9. Škoda CBA ist keine Schande für PČR

Laut Pressekonferenz und Zitaten meldet der tschechische Bankenverband einen durchschnittlichen Schaden von 23 462 CZK pro Kunde der Mitgliedsbanken, die im Jahr 2025 einen Schaden erlitten haben. Außerdem wird von weniger als 91.000 Angriffen, von Banken eingesparten 12,2 Milliarden CZK und einem Versuch über 14 Milliarden CZK gesprochen ^[12][13]. Diese Zahlen sind wichtig, aber es gibt genaue Grenzen.

Es geht nicht um den Median. Es geht nicht um die gesamte Bevölkerung der Tschechischen Republik. Es geht nicht nur um Vishing. Die Definition einer „Angriffs“-Einheit ist intern und das offizielle PDF des Verbandes mit der vollständigen Methodik fehlt zum Zeitpunkt der Suche in der Datei. Es ist daher nicht möglich, einen einfachen Anteil der Opfer zu berechnen, die das Geld nach der Überweisung zurückerhalten haben. Auch lassen sich diese Zahlen nicht mit polizeilichen Maßnahmen addieren und daraus ein einheitliches Maß bilden.

Dies schwächt die praktische Botschaft nicht. Banken erfassen eine große Anzahl an Versuchen, und der Schaden für diejenigen, die davon betroffen sind, ist nicht gering. Doch für den Leser ist der Mechanismus entscheidend: Der eingesparte Betrag bedeutet in der Regel einen Eingriff, bevor der Schaden entsteht oder in dessen unmittelbarer Nähe. Wenn eine Person die Übertragung selbst bestätigt und die Zeit abläuft, verringert sich der Korrekturspielraum.

Daher ist es zutreffender zu sagen: Die CBA-Zahlen zeigen den Bankenteil des Problems. Die Zahlen der Polizei zeigen den kriminellen Teil des Problems. Die CNB zeigt die rechtliche Regelung. Die Verteidigung des Benutzers liegt zwischen ihnen, in der Entscheidung, die gewünschte Aktion in dem Kanal, der den Druck verursacht hat, nicht durchzuführen.

10. Die SIM-Farm erklärt die Maske. Es erklärt nicht Ihren Transfer

Im IOCTA-Bericht 2026 beschreibt Europol eine Operation gegen Infrastruktur im Jahr 2025, an der angeblich 40 000 SIM-Karten, ein Netzwerk von 7 lettischen Staatsangehörigen, mindestens 1 200 SIM-Boxen und Nummern aus mehr als 80 Ländern beteiligt waren. Auf Basis des Dienstes sollten mehr als 49 Millionen Online-Konten erstellt werden ^[16]. Dies ist ein Beispiel für Industrialisierung. Nicht die EU-Summe aller Betrügereien und nicht die Zahl der tschechischen Opfer.

Solche Zahlen helfen zu verstehen, warum Betrug nicht amateurhaft aussehen muss. Infrastruktur, Mietdienste, Automatisierung und KI-gestützter Identitätswechsel senken die Kosten der Maske. Der Betrüger muss nicht selbst alles technisch beherrschen. Es kann Dienste nutzen, die den Postversand, die Kontoverwaltung oder die Nachahmung einer Institution erleichtern. Hier gibt es jedoch eine notwendige Grenze: Die Beschreibung der Infrastruktur ist kein Leitfaden für deren Nutzung.

Zur Verteidigung des Lesers kommt es nicht darauf an, wie genau die Maske zusammengesetzt ist. Wichtig ist, dass die Maske selbst nichts beweist. Wenn der Angreifer besser wie eine Bank aussehen kann, sollte das Aussehen nicht ausschlaggebend sein. Die Aktion und der zweite Kanal sollten entscheiden.

Die SIM-Farm erklärt also, warum viele überzeugende Kontakte von verschiedenen Nummern ausgehen können. Es erklärt nicht, warum man die Übertragung bestätigen sollte. Zwischen Maske und Schaden liegt noch ein Schritt. Dieser Schritt muss verzögert, unterbrochen und überprüft werden.

11. Deepfake-Stimme ist kein Legendenzustand

Deepfake-Stimme verändert die Grenzen des Vertrauens. Wenn die eigene Stimme nachgeahmt werden kann, ist das Hören kein ausreichender Identitätstest mehr. Another Context befasst sich damit in einem separaten Text zum Deepfake einer bekannten Stimme ^[22]. Dieser Artikel möchte nicht dasselbe Argument wiederholen. Um es gelinde auszudrücken: Bei E-Mails, SMS und normalen Anrufen: Die meisten Abwehrmaßnahmen basieren nicht auf der Spracherkennung. Es steht auf dem zweiten Kanal.

Viele dokumentierte Legenden benötigen keine synthetische Stimme. Sie benötigen lediglich eine bekannte Nummer auf dem Display, ein dringendes Szenario und einen Aufruf zum Handeln. Eine unter Druck stehende Person verifiziert nicht, weil sie an künstliche Intelligenz glaubt. Er verifiziert, weil er den Schaden, den der Anrufer gerade geschildert hat, schnell stoppen möchte.

Aus diesem Grund ist es keine gute Idee, Menschen als primäre Verteidigung beizubringen, auf „Verrücktheiten“ in der Stimme zu achten. Die Stimme kann echt und die Anfrage falsch sein. Die Stimme ist möglicherweise unbekannt und der Anruf echt. Die Stimme kann synthetisch und technisch überzeugend sein. Hören ist nicht der Test. Der Test besteht darin, zu einem zuvor bekannten Kanal zurückzukehren.

Deepfakes gehören daher ins Bild. Aber nur als weitere Maskenschicht. Nicht als notwendige Voraussetzung für Betrug und nicht als Grund zur Änderung der Grundregel: Bestätigen Sie die Aktion nicht in dem Kanal, der sie angefordert hat.

12. Eine Klarstellung ist keine Rückerstattung

Im Jahr 2024 lag der Anteil der polizeilichen Cyberkriminalität bei 15,4 % und im Jahr 2025 bei 15,1 % ^[2][3]. Diese Zahlen messen die Kriminalitätsarbeit in der Polizeistatistik. Sie sagen nicht, wie viele Opfer Rückerstattungen erhalten haben. Sie sagen nicht einmal, dass in den anderen Fällen nichts passiert sei. Sie geben an, wie viel Prozent der Taten nach den Regeln der jeweiligen Statistik aufgeklärt wurden.

Eine Bankbeschlagnahme ist eine andere Sache. CBA meldet Einsparungen von 12,2 Milliarden CZK im Jahr 2025 ^[12][13]. Dies ist Bankschutz und Reaktion auf Versuche. Es handelt sich nicht um eine polizeiliche Aufklärung. Die CNB ist eine weitere Ebene: Sie überwacht, erklärt das Regime, nimmt Initiativen an, entscheidet aber nicht über den Streit zwischen dem Kunden und der Bank über die Rückerstattung des Geldes ^[9].

Diese drei Erfolge dürfen nicht addiert werden. Zahlungsstopp, geklärte Tat und gewonnener Entschädigungsstreit sind unterschiedliche Ergebnisse. Jedes kann ohne das andere auftreten. Für den Leser besteht praktische Dringlichkeit und keine Panik: Es ist wichtig, schnell einem Verdacht nachzugehen, aber es ist noch wichtiger, nicht so weit zu kommen, dass man nur auf eine Lösung wartet.

Der Satz „Die Polizei wird ermitteln“ soll nicht die letzte Verteidigungslinie gegen eine Bestätigung sein. Die Polizei kommt nach der Veranstaltung. Der zweite Kanal kommt vor ihr.

13. Die beste Verteidigung ist diejenige, deren Fehler Sie rückgängig machen können

Die Abwehr einer betrügerischen E-Mail, SMS oder eines Anrufs sollte kein Genietest sein. Man muss nicht jede Maske erkennen. Es sollte über eine Prozedur verfügen, die die Aktion auch dann stoppt, wenn die Maske nicht erkannt wird. Daher zeigt das folgende Diagramm nicht, wie der Betrug aufgebaut wird. Zeigt an, wo gebrochen werden soll.

Anschauliches Diagramm: Die Zeile zeigt den Kanal: E-Mail, SMS, Anruf. Aktionen werden in der Spalte aufgeführt: Daten, Code, MFA, Übertragung, Fernzugriff. Die Absendermaske ist lediglich eine Kopfzeile. Die Steuerung befindet sich in der Aktionsspalte und läuft über den zweiten Kanal.

Die beste Verteidigung ist keine, die niemals zweifelt. Es ist eine Verteidigung, deren Fehler rückgängig gemacht werden kann. Wenn Sie beim echten Bankier auflegen und auf der offiziellen Leitung zurückrufen, verschwenden Sie Zeit. Wenn Sie im Betrugsanruf bleiben und die Überweisung bestätigen, verlieren Sie mehr.

14. Der zweite Kanal sagt mehr als der Header

Der zweite Kanal ist kein Rückruf an die Nummer, die gerade auf dem Display angezeigt wurde. Es handelt sich nicht um eine Antwort auf dieselbe SMS. Es geht nicht darum, auf einen Link in einer E-Mail zu klicken und ihn dann zu „bestätigen“. Der zweite Kanal ist der Weg, den Sie vor dem Vorfall kennen: offizielle Website der Institution, Nummer auf der Karte, Bankanwendung, interner Firmenkontakt, persönliche Verifizierung außerhalb der ursprünglichen Nachricht.

Was muss getestet werden, bevor Sie MFA bestätigen?

Die erste Frage lautet: Haben Sie die Verifizierung veranlasst? Wenn nicht, bestätigen Sie es nicht. Die CNB warnt ausdrücklich vor Betrug, bei dem das Opfer dazu verleitet wird, die MFA zu bestätigen ^[8]. Die zweite Frage lautet: Sehen Sie den Betrag und den Empfänger, den Sie selbst erwarten? Die dritte Frage lautet: Warum kommt die Verifizierung jetzt? Wenn die Antwort von demselben Aufruf übermittelt wird, der die Validierung ausgelöst hat, handelt es sich nicht um eine Validierung. Es ist Teil des Drucks.

So testen Sie den zweiten Kanal

Legen Sie auf oder hören Sie auf, im selben Kanal zu antworten. Den offiziellen Kontakt entnehmen Sie der Website der Institution, der Zahlungskarte oder dem Antrag. Verwenden Sie diese Option für eine Bank, die eine In-App-Anrufverifizierung anbietet. CISA empfiehlt, nicht auf Links in verdächtigen Nachrichten zu klicken und die Überprüfung über vertrauenswürdige Quellen durchzuführen ^[19]. CSIRT.CZ akzeptiert Meldungen über Vorfälle, einschließlich Phishing, und arbeitet mit URLs und E-Mail-Headern ^[20]. Das ist die Art zu melden, nicht in Panik zu geraten.

Auch der zweite Kanal muss im Unternehmen vorab bekannt sein. Es reicht nicht aus, einem Kollegen im selben Thread zu schreiben, aus dem die Anfrage kam. Es reicht nicht aus, auf eine E-Mail mit einer dringenden Rechnung zu antworten. Es reicht nicht aus, die Nummer in der Signatur der Nachricht anzurufen, wenn diese Signatur möglicherweise Teil des Problems ist. Das Unternehmen benötigt eine einfache Regel für Zahlungen, Lieferantenkontoänderungen und Fernzugriff: Authentifizierung über den im eigenen System gespeicherten Kontakt, nicht über den in der Anfrage angegebenen Kontakt.

Dieses Vorgehen ist kein Misstrauen gegenüber Kollegen. Es soll Kollegen davor schützen, dass ihr Name zu einem Druckmittel wird. Der Buchhalter muss nicht entscheiden, ob der E-Mail-Stil wirklich zum Geschäftsführer passt. Ein IT-Techniker kann möglicherweise nicht erkennen, ob der Anruf wie ein Auftragnehmer klingt. Es genügt ihm zu wissen, dass die Änderung des Zahlungskontos, des Einmalcodes und des Fernzugriffs nicht über denselben Kanal erfolgen, über den sie angefordert werden.

Der Haushalt braucht das gleiche Prinzip in kleinerem Maßstab. Eltern und Großeltern hilft eine lange Liste an Angriffsarten nicht weiter, wenn sie befürchten, dass jemand im entscheidenden Moment bereits den Account stiehlt. Ein bedenkenlos einsetzbarer Satz hilft: Ich rufe die Nummer von der Karte oder vom offiziellen Antrag zurück. Wenn der Anrufer die Person drängt, nicht aufzulegen, ist das an sich schon ein Grund, aufzulegen. Die richtige Institution geht davon aus, dass der Client den Anruf über seinen eigenen Kanal authentifiziert.

Ein guter Zweitkanal hat noch eine weitere Qualität: Er erfordert keine Improvisation. Die Bankleitzahl, das Verfahren zur Sperrung der Karte, der Kontakt zum Buchhalter und die Regel zum Wechseln des Lieferantenkontos sollten gespeichert werden, bevor der Druck kommt. Sie können ganz einfach den richtigen Weg wählen. Bei einem Anruf wird oft der Schnellste gewählt. Der Betrug beruht auf genau diesem Austausch. Daher ist die Erstellung einer Kontaktliste keine administrative Kleinigkeit. Es ist ein Sicherheitstool.

Drei Tests vor dem Transfer

Erster Test: Auflegen und mit dem zweiten Kanal verifizieren. Zweiter Test: Bestätigen Sie nicht, dass Sie MFA nicht selbst ausgeführt haben. Dritter Test: Bei Verdacht wenden Sie sich sofort an die Bank zur Sperrung und zur Benachrichtigung an die Polizei der Tschechischen Republik. Hören Sie nicht auf die Deepfake-Stimme. Nach Kanal lösen.

Eine von Ihnen selbst bestätigte Autorisierung stellt keine unberechtigte Zahlung mehr dar.

– Anderer Kontext

15. Der Zeitraum von dreizehn Monaten stellt keine Rückerstattung dar

Das Zahlungssystemgesetz sieht eine Frist für die Meldung eines nicht autorisierten Zahlungsvorgangs vor. Gemäß § 175 muss der Zahler den Anbieter über eine nicht autorisierte Transaktion unverzüglich, spätestens jedoch 13 Monate nach der Abschreibung des Betrags informieren; Widerspricht der Anbieter der verspäteten Benachrichtigung, gewährt das Gericht keinen Rechtsbehelf ^[14]. Das ist die Frist. Es handelt sich nicht um ein Geld-zurück-Versprechen.

Darüber hinaus gibt es weitere Bestimmungen des Zahlungssystemgesetzes, darunter strenge Überprüfungs- und Korrekturregeln ^[14]. Und daneben das Strafgesetzbuch, zum Beispiel § 209 über Betrug ^[15]. Diese rechtliche Karte ist für den Leser vor allem deshalb wichtig, weil sie nicht zu einer automatischen Rückkehr führt. Eine frühzeitige Benachrichtigung ist erforderlich. Keine Garantie.

Wenn eine Person eine Transaktion unter Zwang oder durch Täuschung bestätigt hat, kann sich der Streit um Mittäterschaft und grobe Fahrlässigkeit drehen. Die CNB wiederholt, dass sie den Streit über die Rückerstattung selbst nicht entscheidet ^[9]. Die praktische Vorgehensweise bleibt also zwei: Sofort Kontakt mit der Bank aufnehmen und Anzeige bei der Polizei erstatten. Bewahren Sie gleichzeitig Kommunikation, Nummern, Nachrichten und Zeitdaten für weitere Lösungen auf.

Der beste juristische Begriff ist der, den Sie nicht verwenden müssen. Das ist kein Zynismus. Es handelt sich um eine Beschreibung der Bestellung. Der zweite Kanal entscheidet vor der Bestätigung. Nach der Bestätigung sind bereits Fristen, Bankabläufe und Streitigkeiten entscheidend.

16. Fünf bis zehn Anrufe pro Tag auf der CNB-Leitung sind keine jährliche Opferkarte

In den FAQ zu Betrug im Zahlungssystem gibt die CNB an, dass die Green Line täglich 5 bis 10 Betrugsbeschwerden bearbeitet. In derselben Übersicht heißt es, dass im Jahr 2021 keine derartigen Beschwerden registriert wurden und im Jahr 2022 bereits Hunderte ^[9]. Dies ist ein nützliches Signal der Veränderung. Dabei handelt es sich weder um eine jährliche Gesamtzahl der Opfer noch um eine Statistik erfolgreicher Betrügereien.

Der Bereich 5 bis 10 pro Tag ist die Zahl aus dem Kommunikationskanal der CNB. Es umfasst nicht diejenigen, die die Bank, die Polizei, den Finanzschiedsrichter oder irgendjemanden anrufen. Es wird nicht angegeben, wie viel Schaden angerichtet wurde, wie viel Geld wiedererlangt wurde oder wie viele Fälle sich mit den Polizeistatistiken überschneiden. Darin sind weder die 21 137 Taten im Cyberspace noch der durchschnittliche Schaden von 23 462 CZK für geschädigte Kunden der Mitgliedsbanken enthalten ^[3][12].

Dennoch macht diese Zahl Sinn. Es zeigt, dass Betrug im Zahlungssystem kein Randthema ist. Die Leute fragen, weil die Verantwortungslinie nicht intuitiv ist. Man fühlt sich bestohlen und hört gleichzeitig, dass man die Zahlung selbst bestätigt hat. Genau hier muss vor der Beschwerde über den zweiten Kanal gesprochen werden.

Die Linienstatistik ist also keine Unfallkarte. Es ist ein Warnschild an der Theke, das darauf hinweist, dass die Leute zu spät kommen.

17. Die versteckten Kosten sind die Aktion im selben Kanal

Eine betrügerische Nachricht oder ein betrügerischer Anruf überzeugt oft nicht dadurch, dass sie vollkommen echt ist. Es gewinnt, indem es den Weg zwischen Angst und Handeln verkürzt. Es wird einem nicht erlaubt, den Kanal zu verlassen. Der Anruf geht weiter, die SMS fügt einen Link hinzu, die E-Mail bietet einen Button, der angebliche Banker diktiert den nächsten Schritt. Alles geschieht in derselben Leitung, in der der Druck erzeugt wurde.

Bei den versteckten Kosten handelt es sich nicht nur um finanziellen Schaden. Es ist auch die Verwirrung nach dem Ereignis. Wen soll ich anrufen? Was ist zugelassen? Was ist unerlaubt? Was bedeutet ein MFA? Wer entscheidet den Streit? Warum redet die Polizei von Klarheit und die Bank von Festnahme? Warum zählt NÚKIB Vorfälle und CBA-Kunden? Je später wir diese Differenzen lösen, desto teurer werden sie.

Das bedeutet nicht, dass man alle Statistiken kennen muss. Das bedeutet, dass es eine Regel geben sollte, die stärker ist als die Maske: Ich validiere die Aktion in dem Kanal, der sie anfordert, nicht. Eine Nummer, ein Logo, eine Stimme, eine Dringlichkeit oder korrekte persönliche Informationen allein reichen nicht aus. Daten, Code, MFA, Transfer und Fernzugriff gehören zum zweiten Kanal.

Diese Regel ist langweilig, weshalb sie auch unter normalem Druck funktioniert.

Die Frage ist also nicht, wie man eine betrügerische E-Mail, SMS oder einen betrügerischen Anruf daran erkennen kann, ob sie wie eine Bank aussieht. Es geht darum: Welche Aktion sind Sie bereit, im selben Kanal ohne eine zweite, zuvor bekannte Verifizierung zu bestätigen? Wenn die Antwort „keine“ lautet, handelt es sich nicht um Misstrauen gegenüber der Welt. Es geht um den genauen Ort der Steuerung.

Verwandte Texte in dieser Reihe

• Wie finden Sie heraus, ob Ihr Passwort oder Ihre E-Mail-Adresse durchgesickert ist? — Ein Leck im Index ist nicht derselbe Kanal wie ein Notruf.
• Im Ordner: Deepfake einer bekannten Stimme — Stimme ist kein Identitätssiegel mehr; Dieser Text betrachtet E-Mail, SMS und Anruf als drei Druckkanäle.