09.10.2023 Schutz vor Cyberkriminellen

Anatomie des Online-Betrugs

Im Kommentar macht Lars Schumann deutlich, wie sich Mittelständler vor den immer raffinierter agierenden Cyberkriminellen schützen können. Der Anti-Fraud-Consultant bei Risk Ident empfiehlt den Fokus auf die drei W-Fragen: Wer? Wie? Was?

Zu den Aufgaben von Lars Schumann gehören die interne und externe Beratung im Bereich des Online-Betrugs und Entwicklungen in der Betrugsprävention.

Betrug ist so alt wie das Konzept von Besitz und Handel. Selbst im Tierreich lässt sich der Einsatz von Lügen und Täuschungen beobachten: Wenn ein Rabe sich beobachtet fühlt, sucht er gezielt am falschen Ort nach seinem Futterversteck. Menschen sind hochkomplexe Wesen und in der Lage, raffinierte Strategien zum Erreichen ihrer Ziele zu formulieren. Beim Betrug geht es fast immer um eine schnelle Bereicherung, die mit möglichst geringem Aufwand den größtmöglichen Ertrag liefern soll. Könnte man Betrüger anhand weniger Merkmale identifizieren, wären diese bald ermittelt und befänden sich kurz darauf hinter Gittern. Hinzu kommt: Betrüger gibt es überall auf der Welt. Sie kommen aus unterschiedlichen Gesellschaftsschichten und sind mal mehr, mal weniger organisiert. Eines haben sie jedoch alle gemeinsam: Sie blenden moralische Skrupel und rechtliche Konsequenzen aus, um sich auf Kosten anderer zu bereichern – und lassen sich anhand ihrer Organisationsgrade grob in vier Kategorien einteilen: Einzeltäter, organisierte Verbrecher, Netzwerke und Mentoren.

Die Kommunikation und Organisation sowie der Austausch über lohnende Ziele finden häufig über Clear- und Darkweb-Foren oder über verschlüsselte Messenger wie Telegram statt. Eine weitere Unterscheidungsmöglichkeit bietet der Grad ihrer Professionalität. Hier gibt es fließende Übergänge vom Gelegenheitskriminellen bis hin zu erfahrenen und hochgradig spezialisierten Profibetrügern, die kaum Spuren hinterlassen und nur vermeintlich beherrschbare Risiken eingehen. Vor allem Letztere sind in der Lage, Unternehmen schwere finanzielle Schäden zuzufügen.

Wie gehen sie vor?

Eine der häufigsten Methoden des Online-Betrugs ist die Bestellung mit Zahlungsinformationen in einem Online-Shop, die man durch hochfrequentes Durchprobieren zufälliger Kombinationen Brute Force erlangt hat. Dieser Ansatz ist relativ einfach und erfordert nur einen geringen Aufwand, was ihn zu einer beliebten Wahl bei Betrügern macht. Da jedoch immer mehr Händler Überprüfungsmechanismen einführen, um diese Art von Betrug zu verhindern, müssen Betrüger im Gegenzug neue Wege zur Umgehung dieser Mechanismen finden. Dazu kann es gehören, sich gültige Identitäten bzw. Iban-Nummern zu beschaffen oder bestehende Kundenkonten zu übernehmen. Die jeweiligen Informationen werden in vielen Fällen durch Brute-Force-Attacken erbeutet.

Der Einsatz erfundener Identitäten und das Erraten von Iban-Nummern ist ebenfalls mit relativ wenig Aufwand verbunden, aber weniger effektiv als die Verwendung gestohlener Zahlungsinformationen. Der Erfolg hängt davon ab, inwieweit Händler Überprüfungen vornehmen. Generell kann man sagen, dass die meisten Betrüger ihre Vorgehensweise und den dafür benötigten Aufwand dynamisch an das ausgewählte Ziel und die dort vorhandenen Absicherungsmechanismen anpassen. Oft erfolgt auch die Auswahl des Ziels nach vorangehender Recherche der dort vorhandenen Sicherheitsvorkehrungen sowie der potenziellen Beute.

Dies ist ein Artikel aus unserer Print-Ausgabe 9/2023. Bestellen Sie ein kostenfreies Probe-Abo.

Was ist zu tun?

Online-Betrug ist also eine sehr anspruchsvolle Verbrecherdisziplin mit vielen Facetten und Erscheinungsformen. Er fordert sowohl Händlern als auch Verbrauchern ständige Wachsamkeit ab, um nicht zum Opfer von teils professionell agierenden und hochgradig vernetzten Profis zu werden. Den bestmöglichen Schutz bieten spezialisierte Betrugserkennungslösungen, die sich auf eindeutige Erkennungsmerkmale (Device Fingerprinting, E-Mail-Verification, Behavioral Pattern, Geo-Location etc.) und ausgefeilte Identifikationsalgorithmen stützen, um bekannte Betrüger sowie verräterische Verhaltensmuster bereits beim Bestellprozess zu identifizieren und einen Betrug abzuwehren.