Betrügerische QR-Codes - Mit Twint-Fakeportalen Konten leergeräumt

Betrüger locken ihre Opfer per QR-Code auf gefälschte Twint-Portale. So stehlen sie Login-Daten und räumen Konten leer.

Sie sind nützlich, bequem und allgegenwärtig: QR-Codes. Aber sie können eine Falle sein: Hinter den schwarz-weissen Codes können sich betrügerische Organisationen verbergen. Erleben musste das Ludmilla R. Sie wollte auf der Verkaufsplattform Tutti.ch einen Tisch verkaufen: Es meldete sich eine gewisse Nicole: «Sie schrieb mir, dass Tutti auch Kurierdienste anbiete, ich dachte: Wow, toller Service!».

Kurze Zeit später erhält Ludmilla R. über WhatsApp einen QR-Code mit einem Link und Anweisungen: Sie müsse sich einloggen, ein Formular ausfüllen und dann könne sie die Zahlung abrufen. 

Mit einem Klick ins Verderben

«Der QR-Code führte mich auf eine Seite mit Twint-Portalen verschiedener Banken», erinnert sich Ludmilla R.«Ich habe auf meine Hausbank, die Migros-Bank, geklickt, und meinen Code eingegeben, den ich gewöhnlich zum Einloggen verwende.» Sie hat nicht gemerkt, dass der Link – der scheinbar von der Bank kommt – zu einer betrügerischen Internetseite führt. So erhalten die Betrüger die von Ludmilla R. eingegebenen Daten. Und damit Zugriff auf ihr Twint-Konto. 

«Kassensturz» ist an Ihrer Meinung interessiert

Berichten Sie uns über Ihre Erfahrungen und schreiben Sie uns Ihre Meinung!

Damit nicht genug: Die Betrüger fragen nach weiteren Daten, nach ihren Kreditkarten. Da wird Ludmilla R. misstrauisch.«In diesem Moment hatte ich einen Verdacht: Ich legte das Telefon weg, loggte mich über den Computer in mein Bank-Konto ein und sah, dass auf dem Konto Geld fehlte: Es waren 440 Franken darauf, 420 haben sie mir abgenommen.» 

Keine Hilfe am Wochenende

Es ist Samstagabend, als Ludmilla R. merkt, dass sie Opfer eines Betrugs geworden ist. Sie erstattet sofort online Anzeige bei der Polizei, und schreibt ihre Bank an, um Twint sperren zu lassen. Mehr kann sie im Moment nicht tun: Die Migros Bank bietet samstagabends und sonntags keine Hotline an. 

Am gleichen Wochenende trifft es auch Marco P. Auch er wollte Tutti.ch nutzen, um einen DVD-Player zu verkaufen. Und auch er erhält per WhatsApp von einer Interessentin einen QR-Code zugeschickt, der wiederum auf die gefälschte TWINT-Site führt. Die Betrüger stehlen 3000 Franken von seinem Konto bei der Tessiner Kantonalbank. «Leider ist es an einem Sonntag passiert. Ich habe versucht, die Bank telefonisch zu erreichen, aber leider ist das am Wochenende unmöglich.» 

Das sagen die Banken zur Forderung einer 24-Stunden-Helpline

Migros Bank: «Wir überprüfen laufend die Dauer der Erreichbarkeit unserer Hotline und behalten uns vor, bei Bedarf Anpassungen vorzunehmen. Hat ein Kunde seine vertraulichen Zugangsdaten preisgegeben und wurde dadurch sein Twint-Account mittels betrügerischem Reboarding übernommen, besteht eine mögliche Gegenmassnahme darin, das Geld von dem mit Twint verbundenen Konto möglichst rasch via Kontoübertrag auf ein anderes Bankkonto zu übertragen.» 

Tessiner Kantonalbank: «Die diesbezügliche Politik der Banca di Stato steht im Einklang mit der Praxis mehrerer anderer Twint-Mitgliedsinstitute. Zudem hätte eine 24-Stunden-Unterstützung nicht zu einem anderen Ergebnis geführt, da der Betrug innerhalb weniger Minuten durch die Weitergabe sensibler Daten des Kunden, die mit seinem Twint-Konto verbunden waren, begangen wurde.» 

Twint: «Es liegt im Verantwortungsbereich jeder einzelnen Herausgeberbank, wie sie ihren Kundensupport organisiert und in welchem Umfang dieser verfügbar ist. (…) Twint ist ein sehr sicheres Zahlungsmittel: Alle Nutzenden sind dabei sicher über ihre jeweilige Bank authentifiziert. Im Gegensatz etwa zu Karten ist der Zugriff auf die App sogar doppelt abgesichert. Um Zahlungen zu tätigen, müssen Nutzende zuerst ihr Smartphone entsperren und dann noch einmal separat ihre Twint-App. Kunden können zudem auch eine biometrische Entsperrung der Twint-App aktivieren.» 

Während die Banken über das Wochenende geschlossen sind, schlagen die Verbrecher zu: Sie übernehmen die Kontrolle über fremde Twint-Konten, kaufen ein und verschieben Geld mehrmals von einem Konto aufs nächste. Durch wiederholte Geldtransfers waschen sie ihre illegalen Erlöse. 

Banken zeigen wenig Kulanz

«Betrüger erstellen Hunderte, ja Tausende Versionen solcher Seiten, weil sie damit nur ein paar Stunden online sind», erklärt Ivano Somaini, Cyberspezialist Compass Security Schweiz AG. Es existieren auch Fake-Seiten zu Booking.com, zur Post und zu vielen anderen Firmen. «Geben die Opfer dort ihre Login-Daten ein, ist es so, als ob wir in einem Parkhaus einem falschen Parkwächter die Autoschlüssel in die Hand drücken.»

Die betroffenen Banken erstatten Ludmilla R. und Marco P. kein Geld zurück und verweisen auf die Sorgfaltspflichten der Kunden in den AGB. Doch für Kundinnen und Kunden wird es immer schwieriger, die fiesen Maschen der Kriminellen zu durchschauen.

Im Betrugsfall fühlen sie sich von ihren Banken alleingelassen: «Zumindest eine 24-Stunden-Helpline für diese Art von Betrug wäre bei allen Banken notwendig», finden Ludmilla R. und Marco P.