Experte erklärt: So wollen Cyberkriminelle uns betrügen
An einem Info-Anlass zeigte Cybersecurity-Experte Ivano Somaini, wie raffiniert Kriminelle inzwischen vorgehen. Jeden kann es treffen.
Kaum eine Woche vergeht, in der nicht ein E-Mail eines «reichen Prinzen aus Afrika» im Posteingang landet, in welchem der schnelle Reichtum versprochen wird. «Dass diese Mails voller Rechtschreibfehler sind, ist gewollt», erklärt Ivano Somaini.
«Die Cyberkriminellen wissen: Wer trotz der Fehler auf ein solches Schreiben reagiert, lässt sich leichter hintergehen.» Die Betrüger finden jedoch stets neue Wege, um ihre Opfer hinters Licht zu führen. Etwa, indem auf Websites falsche Sicherheitschecks durchgeführt werden, bei welchen die Nutzer beweisen sollen, dass sie keine Roboter sind.
In Tat und Wahrheit nehmen die Nutzer dabei den Kriminellen die Arbeit ab, indem sie ihnen mit wenigen Klicks Zugriff auf das verbundene Gerät verschaffen. Dies sind nur zwei von vielen Beispielen dafür, wie clever Onlinebetrüger vorgehen.
Es kann jeden Betrieb treffen
Der Verein «Gwärb Niederamt» hat sich bewusst zu einem Info-Anlass zu diesem Thema entschieden, da mittlerweile auch immer wieder KMU von Cyberattacken betroffen sind. Auch wenn sich Vereinspräsidentin Iris Flükiger leicht enttäuscht über die Teilnehmerzahl zeigte (rund 40 Personen), ist dies für Ivano Somaini durchaus erklärbar.
«Ein Coiffeursalon oder ein kleiner Schreinereibetrieb rechnet kaum damit, zur Zielscheibe der organisierten Cyberkriminalität zu werden. Doch die Kriminellen sind nicht wählerisch.» Gleichwohl sei auch klar, dass viele kleine Unternehmen schlicht nicht die Ressourcen haben, um viel in die Online-Sicherheit zu investieren.
Das Ziel müsse es daher für KMU wie auch Privatpersonen sein, einfach ein bisschen mehr zu tun als die anderen. Dies erfordere nicht viel Geld, jedoch ein stetes Bewusstsein für die Gefahr.
Bereits einfache Schritte reduzieren die Möglichkeit einer Online-Attacke markant: Klare Richtlinien für E-Mail, Künstliche Intelligenz und Social Media definieren, Updates zeitnah durchführen, starke Passwörter und Multi-Faktor-Authentifizierung einsetzen oder sensible Daten angemessen schützen.
Und wenn das Geschäft trotzdem zum Opfer wurde, kann der Worst Case verhindert werden, indem regelmässige Backups erstellt werden.
Persönliche Informationen sparsam teilen
Ähnlich verhält es sich auch bei Privatpersonen. Besonders bei den Informationen, die über Social Media preisgegeben werden, ist Vorsicht geboten. «Mittlerweile reicht bereits etwa eine dreisekündige Sprachaufnahme einer Person, um ihre Stimme überzeugend nachzuahmen», warnt Ivano Somaini.
Und es sei nur eine Frage der Zeit, bis Gesichter und Stimme gleichzeitig bei einer Live-Übertragung als Deepfake vorgetäuscht werden können. Nicht zuletzt auch bei der Preisgabe der Handynummer sei Vorsicht geboten.
«Wer im Besitz einer Handynummer ist, kann mittels Online-Tool ganz einfach im Namen des Nummernbesitzers eine SMS verfassen und vortäuschen, die entsprechende Person zu sein», so Somaini.
Besonders perfid: Auf dem Smartphone der empfangenden Person kann die gefälschte SMS im bestehenden Chatverlauf mit jener Person erscheinen, deren Identität beziehungsweise Telefonnummer missbraucht wurde (der Angreifer erhält aber keinen Zugriff auf den Chatverlauf). Der Bund sei derzeit daran, diese Problematik in den Griff zu kriegen.
Schweiz als gefragtes Ziel
Das US-amerikanische Marktforschungsunternehmen «Cybersecurity Ventures» geht aktuell davon aus, dass die Cyberkriminalität weltweit aktuell rund 10,5 Billionen Dollar Schaden pro Jahr verursacht. Gemäss Ivano Somaini sei die Schweiz aufgrund ihres technischen Know-hows und ihrer Innovationskraft ein beliebtes Ziel.
Aber auch andere Faktoren würden diesen Umstand begünstigen. Ivano Somaini war viele Jahre als «Social Engineer» tätig und wurde von Unternehmen dafür bezahlt, in diese einzubrechen, um Sicherheitslecks ausfindig zu machen.
Die Schweizer Freundlichkeit käme Dieben dabei entgegen. Somaini zeigt dies schmunzelnd mit einem überspitzten Beispiel auf: «Wenn du in Deutschland bei einem Unternehmen klingelst und sagst, du musst den Drucker reparieren, wird zuerst nach dem entsprechenden Papier gefragt. In der Schweiz hingegen wirst du gefragt, ob du noch einen Kaffee und ein Gipfeli haben möchtest, während du gerade daran bist, eine Wanze am Drucker anzubringen.»
Schier unvorstellbare Dimensionen
Dass es sich beim eingangs erwähnten «reichen Prinz aus Afrika» nicht einfach um einen Amateurdieb handelt, zeigt Ivano Somaini in seinem Referat eindrücklich auf. Auf Satellitenbildern ist zu sehen, wie in Myanmar, Kambodscha und Vietnam sogenannte «Scam Compounds» errichtet wurden.
So werden abgeschottete Gebäudekomplexe bezeichnet, in denen Menschen systematisch für Online-Betrug eingesetzt werden. Häufig werden die Betroffenen mit vermeintlich lukrativen Jobangeboten angelockt, in einigen Fällen auch verschleppt und gegen ihren Willen festgehalten.
Unter strenger Kontrolle müssen sie dort etwa Liebesbetrug, Anlage- oder Krypto-Betrug betreiben und potenzielle Opfer über soziale Netzwerke und Messaging-Dienste täuschen. Verweigern sie die Arbeit oder versuchen zu fliehen, drohen ihnen Berichten zufolge Einschüchterung, Gewalt oder andere Repressalien.
Derweil macht es sich der Chef des Scam Compounds inmitten des Gebäudekomplexes in einer prunkvollen Villa gemütlich.
Wann kommt der erste KI-Dieb?
Noch sind es Menschen, welche für die Onlinekriminalität zuständig sind. Grosse Sorgen bereitet Ivano Somaini mittlerweile jedoch auch die Entwicklung der Künstlichen Intelligenz. Je autonomer solche Systeme werden, desto mehr Möglichkeiten haben sie, auf unerwartete Weise zu handeln.
Wie real diese Gefahr ist, zeigte ein Vorfall im Rahmen einer internen Evaluation der Cyberfähigkeiten von OpenAI. Im Juli 2026 gelang es mehreren getesteten Modellen, eigentlich vorgesehene Schutzmechanismen zu umgehen, sich Zugang zum Internet zu verschaffen und Schwachstellen in Systemen auszunutzen.
Die Modelle waren dabei nicht als Kriminelle eingesetzt worden, sondern wurden im Rahmen einer Cybersecurity-Evaluation getestet. Trotzdem zeigte der Vorfall, dass leistungsfähige KI-Systeme unter bestimmten Bedingungen Wege finden können, die ihre Entwickler so nicht vorgesehen hatten.
Bei all den technischen Möglichkeiten und Gefahren bleibt am Ende vielleicht die einfachste Lösung die sicherste: Wer wissen will, mit wem er es zu tun hat, trifft sich am besten persönlich.
Hinweis
Dieser Artikel ist zuerst in der «Neuen Oltner Zeitung» erschienen.
