Es gibt viele Angriffstechniken, derer sich Cyberkriminelle bedienen, um in fremde Netzwerke oder Organisationen einzudringen. Besonders infam ist das sogenannte Spoofing.
Hierbei handelt es sich um einen Sammelbegriff für ein ganze Reihe verschiedener Täuschungsmethoden, deren Gemeinsames darin besteht, dass der Angreifer die eigene Identität verschleiert und eine andere vertrauenswürdige vortäuscht, um auf diese Weise in Systeme einzudringen oder sich anderweitige Vorteile zu verschaffen. Ein Identitätsschwindel also oder eine digitale Maskerade. Von all den Kniffen, die zur Anwendung kommen, um Authentifizierungs- und Identifikationsverfahren auszuhebeln und dann unter falscher Flagge in fremde Gewässer einzudringen, ist die einfachste das sogenannte …
… Caller ID Spoofing.
Dabei handelt es sich um eine telefonische Betrugsmethode, bei der dem Angerufenen eine gefälschte Nummer des Anrufers angezeigt wird, eine Nummer, der er vertraut, was ihn dazu verleitet, dem Anrufer Informationen preiszugeben oder Zugang zu Personen zu ermöglichen, die für ihn sonst unerreichbar wären. Diese Art der Manipulation, bei der die „Display information“ des Angerufenen verändert wird, verstößt gegen § 120 des Telekommunikationsgesetzes und ist – je nach dem dadurch erzielten Vorteil – gegebenenfalls ein Straftatbestand, für einen cleveren Hacker jedoch keine große technische Herausforderung.
In der jüngsten Vergangenheit wurden unter Einsatz dieser Technik mehrfach Kanzleien von DATEV-Mitgliedern kontaktiert, wobei den Angerufenen fälschlich die Anrufernummer der Frankfurter DATEV-Niederlassung angezeigt wurde. Mit der Falschbehauptung, ein DATEV-Mitarbeiter sei am Telefon, wurde dann versucht, in den Kanzleien der Angerufenen Personal abzuwerben. Hinter der Aktion steckte, wie sich später herausstellte, ein unseriös arbeitender Head-Hunter, und es ist überflüssig zu betonen, dass DATEV diesen sofort juristisch belangt hat. Niemals würde DATEV im übrigen irgendwelche Abwerbeversuche unternehmen.
Ohne Identifikation keine Möglichkeit der Verfolgung
Leider birgt diese Situation ein grundsätzliches Problem: Wir als DATEV können vorbeugend gegen diese missbräuchliche und illegale Verwendung unserer Rufnummern zu Manipulationszwecken rein garnichts unternehmen, weil wir unsere eigenen Telefonnummern in keiner Weise davor schützen können, als „Vorlage“ von einem Spoofer kopiert und missbraucht zu werden. Hiergegen vorzugehen, ist erst und nur dann möglich, wenn ein Angerufener Verdacht schöpft, die wahre oder zumindest eine nachverfolgbare Identität des Anrufers in Erfahrung bringt und den Fall dann mit diesen Informationen an uns weiterleitet. Nur in einem solchen Fall können wir gegen den Spoofer vorgehen wie in dem oben genannten Fall, in dem neben dem Verstoß gegen § 120 TKG eine Markenrechtsverletzung und ein Verstoß gegen das Wettbewerbsrecht vorlag.
Schöpft ein Anrufer jedoch lediglich einen Verdacht, und sei dieser auch noch so begründet, etwa weil der angebliche DATEV-Anrufer sich am Telefon sonderbar gebärdet, oder klar erkennbar kein DATEV-Mitarbeiter ist, sich in dem Gespräch aber kein Anhaltspunkt ergibt, wer tatsächlich hinter der Aktion steckt, können wir als DATEV nichts unternehmen. Wie und wonach sollten wir dann fahnden? Darum auch die herzliche Bitte, uns nur solche Fälle zur Anzeige zu bringen, die einen Rückschluss auf die Identität des jeweiligen Angreifers zulassen. In allen anderen Fällen können wir nichts unternehmen.
Wachsamkeit schützt
Wie also sollte man sich am Telefon verhalten, wenn im Display vermeintlich oder tatsächlich eine vertraute DATEV-Nummer aufleuchtet? Ein Generalverdacht oder unbegründeter Alarmismus wären sicher fehl am Platze, aber eine gewisse Wachsamkeit für alles Ungewöhnliche ist stets geboten. Sie sollten Sich fragen:
- Erkenne ich zweifelsfrei die Stimme des Anrufers?
- Lässt er Insiderwissen erkennen, an dem ich ablesen kann, dass er tatsächlich der ist, der er zu sein vorgibt, beziehungsweise tatsächlich als Mitarbeiter im Auftrag der DATEV eG spricht?
Im Zweifel gilt: Lassen Sie sich ihre eigene Berater oder Mitgliedsnummer vom Anrufer nennen. Ein echter DATEV-Mitarbeiter hat diese zur Hand, ein Betrüger muss spätestens hier scheitern.
Und schließlich …
Wenn Sie den Verdacht haben, einen Spoofer am Telefon zu haben, der vorgibt, für DATEV zu arbeiten und der unter falscher Telefonnummer offenbar Ihr Vertrauen erschleichen will, sollten Sie idealerweise versuchen – etwa über eine offerierte Kontaktmöglichkeit – Zugang zu seiner wahren Identität zu erlangen.
In diesem Fall bitten wir Sie, diesen Kontakt an uns weiterzuleiten, um den Sachverhalt zu prüfen und den Verdächtigen gegebenenfalls zu demaskieren und zu belangen. Ihr persönlicher DATEV-Berater oder -Beraterin helfen Ihnen hierbei gerne weiter.
