[datensicherheit.de, 04.06.2025] Ein aktueller Bericht von Signicat zeigt eine Diskrepanz zwischen zunehmendem Betrug einerseits und dem großen Vertrauen europäischer Unternehmen andererseits auf – in einer signifikanten aggressiven Betrugslandschaft wird demnach bereits jede fünfte Transaktion als „betrügerisch“ eingestuft – mit geschätzten Auswirkungen auf rund 22 Prozent des Jahresumsatzes. Trotzdem zeigten sich 74 Prozent der Unternehmen zuversichtlich, sich effektiv schützen zu können – „obwohl nur 45 Prozent tatsächlich die Auswirkungen von Identitätsbetrug messen“. Für die Erstellung der Studie wurde Sapio Research mit der Befragung von 900 Entscheidern in Dänemark, Finnland, Frankreich, Deutschland, den Niederlanden, Norwegen, Spanien, Schweden und dem Vereinigten Königreich beauftragt: Diese kamen aus den Bereichen Banken, Versicherungen, Zahlungsdienstleister und „Fintechs“ – alle mit direkter Verantwortung für das Betrugsmanagement ihrer Organisation. „Die Befragung wurde vom 17. März bis 7. April 2025 online durchgeführt.“

Abbildung: Signicat

Der aktuelle Bericht von Signicat zeigt Diskrepanz zwischen zunehmendem Betrug und großen Vertrauen europäischer Unternehmen auf

„The Battle in the Dark 2025“ untersucht die Methoden, mit denen Betrug wie z.B. Identitätsdiebstahl begangen wird

Signicat hat am 3. Juni 2025 in Zusammenarbeit mit Red Goat Cyber Security eine neue Studie zum Thema Identitätsbetrug publiziert. „Trotz eines deutlichen Anstiegs von Betrugsfällen im letzten Jahr bleiben viele europäische Unternehmen optimistisch: Sie schätzen, dass 19 Prozent aller Transaktionen betrugsverdächtig sind.“

• Der Bericht „The Battle in the Dark 2025“ untersucht die Methoden, mit denen Betrüger Identitätsdiebstahl begehen, die finanziellen Auswirkungen auf Unternehmen sowie deren Vertrauen in eigene Schutzmaßnahmen.

Grundlage dieser Studie seien Antworten von über 900 Entscheidungsträgern aus Deutschland, Dänemark, Finnland, Frankreich, den Niederlanden, Norwegen, Spanien, Schweden und dem Vereinigten Königreich. „Befragt wurden Akteure aus den Bereichen Zahlungsverkehr/Fintech, Banken, Versicherungen, Glücksspiel sowie Automotive/Mobilität.“

Europas Unternehmen im Spannungsfeld zwischen Ohnmacht und Zuversicht

Zentrale Erkentnnisse des Signicat-Reports:

• Gefühl der Ohnmacht
  59 Prozent der Unternehmen berichteten von einem Anstieg der Betrugsversuche im Vergleich zum Vorjahr. „Insgesamt beeinträchtigen Betrug und Präventionsmaßnahmen rund 22 Prozent des Jahresumsatzes.“ Gleichzeitig sagten 80 Prozent dass Gegenmaßnahmen Betrüger lediglich dazu brächten, ihre Taktiken anzupassen.
• Trügerisches Vertrauen
  Obwohl 74 Prozent der Unternehmen überzeugt seien, sich ausreichend schützen zu können, würden 59 Prozent einen Anstieg erfolgreicher Betrugsfälle erkennen. „Die geschätzte Betrugsquote liegt bei 19 Prozent aller Transaktionen.“
• Mangelnde Transparenz
  47 Prozent der Unternehmen erfassten Betrugsfälle nicht systematisch – und ganze 55 Prozent würden die Auswirkungen von Betrug überhaupt nicht messen. „Ohne einen klaren Überblick über das Ausmaß der Bedrohung ist eine wirksame Bekämpfung kaum möglich!“
• Künstliche Intelligenz (KI) als Hoffnungsträger
  90 Prozent der Unternehmen glaubten, durch den KI-Einsatz einen entscheidenden Schritt voraus zu sein und neue Bedrohungen frühzeitig zu erkennen.
• Länderspezifische und branchenspezifische Erkenntnisse
  „Der Bericht zeigt, welche Betrugsmethoden in den einzelnen Branchen am häufigsten vorkommen – und wo es geographische Unterschiede gibt.“

Erster Schritt im Kampf gegen Betrug ist das Verstehen der Bedrohung

„Diese Studie zeigt eine besorgniserregende Entwicklung: Unternehmen vertrauen auf ihre Fähigkeit zur Betrugsabwehr, verstehen aber oft nicht, wo und wie genau sie angegriffen werden“, erläutert Pinar Alpay, „Chief Product and Marketing Officer“ bei Signicat.

• „Der erste Schritt im Kampf gegen Betrug ist, die Bedrohung zu verstehen – wie sie ins Unternehmen gelangt und wo sie erfolgreich ist. Ohne dieses Wissen tappen Unternehmen im Dunkeln“, warnt Alpay.

Ein weiteres zentrales Thema des Berichts sind laut Alpay die verwendeten Betrugstaktiken. „So ist etwa die Fälschung von Ausweisdokumenten branchenübergreifend weit verbreitet.“ 71 Prozent der Befragten glaubten, dass die meisten Betrugsversuche inzwischen mithilfe von KI-Technologien durchgeführt würden. Statt aber neue Methoden zu erfinden, nutzten Kriminelle moderne „Tools“, um klassische Betrugsmaschen günstiger, schneller und im größeren Stil umzusetzen.

Beispiellose Geschwindigkeit, mit der sich Identitätsbetrug aktuell weiterentwickelt

Die kostspieligsten Betrugsarten blieben jedoch Konto-Übernahmen und Social-Engineering-Angriffe. Diese nutzten Schwachstellen in der Sicherheit der Kunden aus und seien schwer zu erkennen – da betroffene Transaktionen oft erst bei einer Meldung durch den Kunden auffielen.

• „Die Geschwindigkeit, mit der sich Identitätsbetrug weiterentwickelt, ist beispiellos. Was früher das Feld opportunistischer Einzeltäter war, ist heute ein professionelles, skalierbares und erschreckend leicht zugängliches Geschäftsmodell – oft mit denselben KI-Werkzeugen betrieben, die auch legitime Branchen beflügeln“, führt Lisa Forte, Partnerin bei Red Goat Cyber Security, aus.

„Vertrauen ist im Bereich Cybersicherheit ein gefährlicher Ansatz: Kontoübernahmen und synthetischer Identitätsbetrug sind keine theoretischen Risiken – sie finden hier und jetzt statt, und sie zielen auf Unternehmen, die sich fälschlicherweise sicher fühlen.“

Weitere Informationen zum Thema:

Signicat, 03.06.2025
The Battle in the Dark 2025 / Fraud insights from 900 decision-makers across Europe

RED GOAT
Training, exercising and consultancy to help defend your organisation against cyber threats

datensicherheit.de, 09.04.2025
Millionenschäden: Identitätsbetrug zum Schaden von Unternehmen / Aktuelle Studie von Entrust und Docusign zeigt weltweit zunehmende finanzielle Verluste bei Unternehmen

datensicherheit.de, 20.11.2024
Laut 2025 Identity Fraud Report alle fünf Minuten ein Deepfake-Angriff / Aktueller Bericht thematisiert globale Trends und Techniken des Identitätsbetrugs, welche Unternehmen im Jahr 2025 bedrohen werden

datensicherheit.de, 19.11.2024
Betrug im Digital-Zeitalter: Moderne IT definiert -Bedrohungen und -Schutzmaßnahmen neu / Unternehmen sind mit neuen Formen digitalen Betrugs konfrontiert, denn technologischer Fortschritt bietet ihnen selbst, aber eben auch Hackern neue Möglichkeiten

[datensicherheit.de, 25.10.2025] Kürzlich hat der Cyberversicherungsanbieter Coalition seinen neuesten jährlichen „Cyber Claims Report“ vorgelegt. „Dessen Kernaussage: Die Mehrheit der Cyberversicherungsansprüche des Jahres 2024 resultierte aus der Kompromittierung von Geschäfts-E-Mail-Betrug und Überweisungsbetrug“, berichtet Dr. Martin J. Krämer, „Security Awareness Advocate“ bei KnowBe4, in seiner aktuellen Stellungnahme. 60 Prozent der Cyberversicherungsansprüche, so der Report, entfielen auf sogenannte BEC-Angriffe („Business Email Compromise“) und 29 Prozent hatten einen FTF-Angriff („Funds Transfer Fraud“) zur Folge. „Unternehmen rät der Report, das Sicherheitsbewusstsein ihrer Mitarbeiter zu stärken. Ein Punkt, in dem man ihm nur Recht geben kann“, so Krämer, ließen sich doch BEC- und FTF-Angriffe in aller Regel auf eine Schwachstelle zurückführen – nämlich die Anfälligkeit der Belegschaft für Phishing- bzw. Spear-Phishing-Angriffe. Unternehmen sollten also ihren Mitarbeitern helfen, die subtilen Anzeichen von Phishing rechtzeitig zu erkennen – bevor es zu spät ist.

Foto: KnowBe4

Dr. Martin J. Krämer warnt: Angreifer gehen beim Phishing und Spear-Phishing immer professioneller vor – sie passen sich an und wissen um die Trainingsinhalte für Cybersicherheit vergangener Jahre

„Business Email Compromise“ eine ausgeklügelte Form der Cyberkriminalität

Krämer erläutert: „,Business Email Compromise’ (BEC), ist eine ausgeklügelte Form der Cyberkriminalität, bei der Angreifer Personen innerhalb einer Organisation zu manipulieren und zu bestimmten Handlungen zu bewegen suchen – in aller Regel zu Geldüberweisungen und zur Offenlegung sensibler Unternehmensdaten.“

Ausgangspunkt solcher Angriffe seien in aller Regel Phishing- und Spear-Phishing-Angriffe. Angreifer sammelten so Informationen über die Unternehmensstruktur, Schlüsselpersonen und Geschäftsprozesse, um dann überzeugende, personalisierte Fake-E-Mails für einen BEC- oder gleich einen FTF-Angriff zu erstellen.

Typische Opfer: Unternehmen, deren Belegschaft nur über geringes Cybersicherheitsbewusstsein verfügen

„Der Report hält fest, dass der Schaden der BEC-Angriffe 2024 um 23 Prozent zugenommen hat. Durchschnittlich liegt er mittlerweile bei umgerechnet rund 31.000 Euro. Erklären lässt sich dieser Anstieg, so der Report, zumindest zum Teil durch die gestiegenen Kosten für Rechtsberatungen, Maßnahmen zur Schadensbegrenzung und zur Wiederherstellung.“ Immerhin: Die Häufigkeit von FTF-Angriffen sei 2024 um zwei Prozent gesunken, die Schadenshöhe um 46 Prozent – allerdings auch nach einem Allzeithoch im Jahr 2023.

Der Bericht hält fest, dass Unternehmen, deren Belegschaft nur über ein geringes Cybersicherheitsbewusstsein verfügen, prädestiniert dafür seien, Opfer von Phishing- und Spear-Phishing-Angriffen zu werden. „Er rät Unternehmen deshalb, die eigenen Mitarbeiter über Taktiken, Strategien und Tools von Bedrohungsakteuren aufzuklären, ihnen beizubringen, wie man solche Angriffe erkennt und vermeidet – zum Beispiel unter Zuhilfenahme von Schulungen und Phishing-Simulationen.“

Moderne Anti-Phishing-E-Mail-Tools kombinieren KI mit „Crowdsourcing“

Krämer unterstreicht: „Ein Rat, der nur zu unterstützen ist!“ Allerdings genügten mittlerweile traditionelle Schulungen und Trainings allein nicht mehr. Angreifer gingen beim Phishing und Spear-Phishing immer professioneller vor, passten sich an, wüssten um die Inhalte der Trainings der vergangenen Jahre. „Unternehmen können und müssen dem etwas entgegensetzen!“

Sie müssten ihre Cybersicherheit weiter ausbauen – auch und gerade im Bereich intelligenter Anti-Phishing-Technologien. „Moderne Anti-Phishing-E-Mail-Tools kombinieren KI mit ,Crowdsourcing’, um neueste Zero Day-Bedrohungen frühzeitig aufzuspüren und rechtzeitig abzuwehren.“ Im Gegensatz zu herkömmlichen Tools, könnten sie potenzielle Phishing-E-Mails ganzheitlich analysieren – einschließlich der Domäne des Absenders, des Inhalts und möglicher Social-Engineering-Taktiken. „Daneben werden Unternehmen aber auch fortschrittliche Schulungen und Trainings zum Einsatz bringen müssen.“

Weitere Informationen zum Thema:

Coalition, Robert Jones, 08.05.2025
Insights from Coalition’s 2025 Cyber Claims Report

datensicherheit.de, 10.04.2025
BEC-Angreifer: Beuteforderungen verdoppelten sich innerhalb eines Quartals / Waren es im 3. Quartal 2024 durchschnittlich rund 60.000 Euro, so fordern Cyber-Kriminelle per BEC im 4. Quartal 2024 bereits etwa 120.000 Euro

datensicherheit.de, 05.03.2025
Spear Phishing-Angriffe: OT-Systeme der Fertigungsbranche am häufigsten betroffen / „Spear Phishing“-E-Mails werden versandt, welche das Opfer zur Begleichung einer ausstehenden Rechnung auffordern

datensicherheit.de, 02.09.2021
Weltweite Zunahme der BEC-Attacken / Erfolgreicher BEC-Angriff kann für Unternehmen zu Schäden in Millionenhöhe führen

datensicherheit.de, 20.12.2018
Spear Phishing: Hilfsorganisation verlor eine Million US-Dollar / Angriff über kompromittiertes E-Mail-Konto eines Mitarbeiters

[datensicherheit.de, 21.05.2025] „Eine aktuelle Betrugsmasche, bei der sich die Angreifer als der Telekommunikationsanbieter Xfinity ausgeben, hat aufgezeigt, wie leicht Angreifer Kundenservicesysteme ausnutzen können, um ahnungslose Opfer zu täuschen“, so Dr. Martin Krämer, „Security Awareness Advocate“ bei KnowBe4, in seiner aktuellen Stellungnahme. Mit überzeugenden Kenntnissen über Rechnungs- und Kontodaten lockten die Betrüger Nutzer in Prepaid-Geschenkkarten-Fallen – und agierten dabei oberflächlich betrachtet völlig legitim.

Foto: KnowBe4

Dr. Martin Krämer kommentiert Xfinity-Missbrauch: Vertrauen basiert zunehmend auf Daten – wenn diese jedoch zu leicht zugänglich sind, wird das Vertrauen selbst zur Schwachstelle!

Xfinity-Betrug: Opfer erhielten unaufgefordert Nachrichten mit Rabatt-Versprechen

Die größere Sorge gehe jedoch über diesen konkreten Vorfall hinaus: „Es ist die strukturelle Schwachstelle in der Art und Weise, wie viele Dienstleister die Kundenauthentifizierung handhaben.“ Wenn Rechnungsdaten und persönliche Kontoinformationen mit wenig mehr als einer Telefonnummer oder Adresse abgerufen werden können, erhalten Betrüger dadurch „ein mächtiges Werkzeug für immer raffiniertere Social-Engineering-Methoden“.

Bei dem Xfinity-Betrug erhielten die Opfer demnach unaufgefordert Nachrichten, in denen ihnen Rabatte auf zukünftige Rechnungen versprochen wurden. Krämer berichtet: „Die Nachrichten verwiesen sie auf eine Telefonnummer, die scheinbar zu Xfinity gehörte. Der Betrug war raffiniert: Wartemusik, professionelle Sprachaufnahmen und Skripte, die die Sprache des Unternehmens imitierten, vermittelten einen Eindruck von Authentizität.“

Betrüger konnten konkrete, genaue Xfinity-Rechnungsinformationen angeben

Was die Opfer letztendlich überzeugt habe, sei die Fähigkeit der Betrüger gewesen, konkrete, genaue Rechnungsinformationen anzugeben – wie beispielsweise den Betrag der letzten Rechnung oder die Angabe von Familienmitgliedern, welche über das Konto abgerechnet werden.

„In einem Fall wurde das Opfer aufgefordert, anstehende Rechnungen über ,Target’-Geschenkkarten zu bezahlen, angeblich im Rahmen einer markenübergreifenden Werbeaktion.“ Nach der Zahlung sei auf dem Konto des Opfers kurzzeitig ein Saldo von null angezeigt worden – „bevor die betrügerische Zahlung unvermeidlich zurückgewiesen wurde“.

Hauptgrund für Betrugsfälle wie z.B. bei Xfinity nicht unbedingt eine gehackte Kundendatenbank…

Der Hauptgrund für diese Betrugsfälle sei nicht unbedingt eine gehackte Kundendatenbank, sondern die unsichere Gestaltung vieler telefonbasierter Kundendienstsysteme. „In Tests, die von einem besorgten Nutzer durchgeführt wurden, gab das automatisierte System von Comcast nach nur minimaler Überprüfung – einer Telefonnummer und einer Anschrift – Kontostände aus und akzeptierte Zahlungsaufforderungen.“

Da Telefonnummern leicht gefälscht werden könnten und grundlegende personenbezogene Daten oft öffentlich zugänglich seien oder über Datenbroker gefunden werden könnten, „können Betrüger diese Systeme ohne tiefgreifende technische Kenntnisse oder Sicherheitsverletzungen ausnutzen“. Diese niedrige Hürde mache es einfacher denn je, sich mit gerade genug Details als Unternehmen auszugeben, um glaubwürdig zu sein.

Wenn Bequemlichkeit Sicherheit untergräbt: Xfinity kein Einzelfall

Diese Betrugsfälle verdeutlichen laut Krämer den Konflikt zwischen Komfort und Sicherheit: „Automatisierte Systeme sollen Reibungsverluste für Benutzer reduzieren – doch dieser Komfort geht oft auf Kosten unzureichender Identitätsprüfungen. Wenn grundlegende Kontodaten mit minimaler Überprüfung zugänglich sind, werden Angreifer diese weiterhin ausnutzen, um Vertrauen aufzubauen und Opfer zu manipulieren.“

Dies sei kein Einzelfall von Xfinity. Viele Unternehmen aus verschiedenen Branchen verließen sich auf ähnliche Identitätsabläufe, „was bedeutet, dass dieses Problem – und sein Missbrauchspotenzial – wahrscheinlich weitaus verbreiteter ist, als ein einzelner Vorfall vermuten lässt“.

Betrugsfall bei Xfinity unterstreicht Notwendigkeit, Zugriff auf Kontoinformationen zu überdenken

Der Betrugsfall bei Xfinity unterstreiche, dass Unternehmen neu bewerten müssten, wie leicht auf Kontoinformationen zugegriffen werden kann. Eine strengere Identitätsprüfung sollte eine Grundvoraussetzung sein, keine Hürde. Gleichzeitig müssten Verbraucher weiterhin vorsichtig sein, wenn sie unaufgefordert Angebote erhalten – „selbst wenn der Anrufer Dinge zu wissen scheint, die nur das ,echte, Unternehmen wissen sollte“.

Abschließend betont Krämer: „Vertrauen basiert zunehmend auf Daten. Wenn diese Daten jedoch zu leicht zugänglich sind, wird das Vertrauen selbst zur Schwachstelle!“ Umso wichtiger sei es, auch Nutzer gezielt für digitale Risiken zu sensibilisieren. Gut strukturierte Schulungen zum Sicherheitsbewusstsein – etwa im privaten oder beruflichen Umfeld – könnten entscheidend dazu beitragen, potenzielle Betrugsversuche frühzeitig zu erkennen und wirkungsvoll abzuwehren.

Weitere Informationen zum Thema:

xfinity
Comcast Resources for Fraud and Identity Theft Resolution

xfinity, Xfinity Community Forum, 08.02.2025
Xfinity Target Promotion Scam

xfinity, Xfinity Community Forum, 12.01.2025
Heads up – scam „Xfinity“ emails on the rise

datensicherheit.de, 20.10.2020
Brand Phishing Report: Microsoft Top-Köder für Phishing / Im dritten Quartal 2020 gelangte Microsoft auf Platz 1 der Top-10

[datensicherheit.de, 15.04.2025] Erkenntnisse aus der „Safer Summer Travel“-Studie von McAfee verdeutlichen, dass deutsche Urlauber ihre Ausgaben reduzieren und zugleich Schwierigkeiten haben, Betrügereien zu erkennen, was eine ideale Gelegenheit für Cyber-Kriminelle bietet. „Obwohl viele auf der Suche nach Schnäppchen sind, fällt es schwer, zwischen echten und gefälschten Angeboten, Buchungen oder Reisebestätigungen zu unterscheiden, was die Anfälligkeit für immer raffiniertere Betrüger erhöht, die auf finanzielle Gewinne abzielen.“ Die zugrundeliegende McAfee-Umfrage, welche sich auf das Thema Reisebetrug und die Auswirkungen dieses Betrugs auf die Verbraucher konzentrierte, wurde im Februar 2025 online durchgeführt. „Mehr als 7.000 Erwachsene in Deutschland, den USA, Großbritannien, Frankreich, Indien, Japan und Australien ab 18 Jahren nahmen an der Studie teil.“

20 Prozent der angehenden Urlauber während des Buchungsvorgangs Betrugsopfer geworden

Die Studie zeigt demnach, dass durchaus 54 Prozent der Urlauber über gängige Reisebetrügereien recherchieren, bevor sie buchen, und bereits 20 Prozent während des Buchungsvorgangs Opfer solcher Betrügereien geworden sind. „Besonders gefährdet sind jüngere Altersgruppen zwischen 18 bis 34 Jahren: 50 Prozent der 18- bis 24-Jährigen und 32 Prozent der 25- bis 34-Jährigen haben bereits Erfahrungen mit Reisebetrug gemacht.“

Diese Reisenden seien besonders anfällig für Betrugsfälle mit falschen Unterkünften oder Ausflügen – zehn Prozent der 18- bis 24-Jährigen und neun Prozent der 25- bis 34-Jährigen hätten bereits Geld für nicht existierende Unterkünfte verloren und fünf Prozent für Ausflüge im Voraus bezahlt, „die sich als unwahr oder irreführend herausstellten“. Auch digitale Betrügereien seien weit verbreitet: Zwölf Prozent der 18- bis 24-Jährigen hätten berichtet, „dass ihre Bankdaten während der Urlaubsplanung oder im Urlaub kompromittiert wurden“, im Vergleich zu nur einem Prozent der über 65-Jährigen.

92 Prozent der Deutschen planen für 2025 eine Urlaubsreise

Die finanziellen Aspekte der Reiseplanung seien ebenso bezeichnend: 92 Prozent der Deutschen planten für 2025 eine Urlaubsreise und 40 Prozent suchten nach Einsparmöglichkeiten. „Viele strecken ihr Reisebudget, indem sie alltägliche Ausgaben reduzieren, etwa weniger auswärts essen (41%) oder auf neue Urlaubsgarderobe verzichten (35%). Im Rahmen der Schnäppchenjagd wird aktiv nach günstigen Angeboten für Unterkünfte (50%), Flugtickets (33%) und Ausflüge (28%) gesucht.“ Indes öffnet die zeitliche Hast, die besten Preise zu sichern, für raffinierte Reisebetrüger Tür und Tor.

Cyber-Kriminelle nutzten gefälschte Buchungsseiten, betrügerische Bestätigungslinks und manipulierte Bilder, was die Erkennung von Betrügereien schwieriger denn je mache. „Fast die Hälfte (38%) gibt an, dass Videobetrug schwer erkennbar ist, 30 Prozent haben Schwierigkeiten, betrügerische SMS zu identifizieren, und 29 Prozent kämpfen mit der Erkennung von E-Mail-Betrug.“ Durchschnittlich verbrächten Deutsche 83,2 Stunden jährlich damit, Nachrichten auf Echtheit zu prüfen, darunter SMS-Nachrichten, E-Mails und über Soziale Medien erhaltene Nachrichten.

Zeitliche Hast, die besten Preise zu sichern, öffnet raffinierten Urlaubsbetrügern Tür und Tor

Viele Deutsche sind laut McAfee dabei bereits Opfer von Betrügereien geworden:

• Neun Prozent klickten auf einen Bestätigungslink, der sich als Betrug herausstellte.
• Sieben Prozent gaben ihre Kredit- oder Bankdaten auf einer gefälschten Website ein, was zu betrügerischen Abbuchungen führte.
• Sieben Prozent wurden durch manipulierte Bilder ihres Urlaubsziels in die Irre geführt.
• Fünf Prozent wurden dazu verleitet, Unterkünfte oder Reisen zu buchen, die es gar nicht gab.

Während der Ferienzeit präsentierten Cyber-Kriminelle verlockende Angebote, welche „oft zu gut erscheinen, um wahr zu sein, was besondere Vorsicht erfordert“. Laut Vonny Gamot, „Head of EMEA“ bei McAfee, wird jeder fünfte Deutsche Opfer eines Reisebetrugs, weshalb erhöhte Wachsamkeit geboten ist: „Wenn ein Angebot zu gut aussieht, um wahr zu sein, ist es das wahrscheinlich auch. Eine kurze Überprüfung vor der Buchung kann helfen, einen stressfreien und betrugsfreien Urlaub zu erleben, wodurch der Fokus auf die wohlverdiente Erholung gelegt werden kann.“

McAfee-Tipps, um sich gegen Urlaubsbetrug zu schützen

Solche Erkenntnisse betonten die Notwendigkeit erhöhter Vorsicht bei der Buchung von Reisen und Online-Zahlungen, um teure Missgeschicke zu vermeiden. Um sich gegen Reisebetrug zu schützen, könnten folgende Tipps befolgt werden:

Vor der Reise:

• Betrügereien erkennen
  Phishing-E-Mails und gefälschte Reiseangebote könnten den Zugang zu sensiblen Informationen ermöglichen. Zur Vermeidung sollte das Klicken auf unbekannte Links und die Preisgabe persönlicher Daten vermieden werden.
• Mietangebote prüfen
  Eine umgekehrte Bildersuche könne helfen, gefälschte Angebote zu erkennen. Bewertungen lesen und Buchungen über bekannte, vertrauenswürdige Plattformen vornehmen.
• Ganzheitlichen Online-Schutz verwenden
  Eine Investition in Schutzlösungen wie z.B. „McAfee+“ könne dabei helfen, verdächtige Links und Websites zu erkennen und abzuwehren. Auch die Nutzung eines Deepfake-Erkennungstools könne erwogen werden, um bei KI-generierten oder manipulierten Videos gewarnt zu werden.

Im Urlaub:

• Vertrauen überprüfen, bevor gehandelt wird
  Betrüger könnten sich als Hotelpersonal oder Reiseleiter ausgeben. Eine Identitätsüberprüfung sei wichtig, bevor Informationen oder Wertsachen weitergegeben werden.
• Internetsicherheit beachten
  Öffentliches Wi-Fi könne Daten gefährden. „Die Nutzung eines VPNs wird empfohlen, um sicher zu surfen.“
• Vorsicht bei QR-Codes
  Gefälschte QR-Codes führten oft zu betrügerischen Websites. Online-Sicherheitssoftware, die verdächtige Links kennzeichnet, sollte genutzt werden.
• Überlegtes Posten
  Das Teilen des Echtzeitstandorts könne Gefahren bergen. „Es ist ratsam, Updates erst nach der Rückkehr zu posten.“

Weitere Informationen zum Thema:

datensicherheit.de, 21.08.2024
Sicher durch die Scam-Saison kommen: Wie nicht nur Urlauber ihre Endgeräte schützen können / In der Urlaubszeit nimmt die Nutzung mobiler Geräte zu – dies wissen auch Cyber-Kriminelle und nutzen die Gelegenheit

datensicherheit.de, 02.07.2024
Urlaub kommt so unerwartet wie Weihnachten: Aufmerksamkeitsdefizite bei der Cyber-Sicherheit drohen / Sophos gibt Tipps, um insbesondere die Ferienzeit ohne „Cyber-Frust“ genießen zu können

datensicherheit.de, 22.06.2024
Cyber-Gefahren im Urlaub: Vier von fünf Deutschen ignorieren Risiken öffentlicher WLAN-Netze / Genau hierbei lauern erhebliche Risiken wie das Mitlesen des Datenverkehrs durch Cyber-Kriminelle

datensicherheit.de, 11.06.2024
Check Point: Warnung vor Betrug bei der Urlaubsbuchung / Check Point Research gibt Tipps, wie sich Nutzer schützen können

datensicherheit.de, 22.04.2024
KEEPER: 5 Sicherheitsmaßnahmen, um Cyber-Bedrohungen während der Urlaubszeit zu minimieren / Bevorstehenden Pfingst- und Sommerferien sich auch wieder Hochsaison für Cyber-Kriminelle

[datensicherheit.de, 06.04.2025] TEHTRIS hat Anfang April 2025 seinen neuen „Threat Intelligence“-Bericht veröffentlicht: Darin wird demnach die Entwicklung der Cyber-Bedrohungslandschaft im Jahr 2025 detailliert beschrieben. Diese Studie soll den besorgniserregenden Zuwachs im Bereich „Deepfake-as-a-Service“ (DfaaS) beleuchten, bei dem Künstliche Intelligenz (KI) eingesetzt wird, um Online-Betrug in großem Maßstab zu automatisieren und zu industrialisieren. „Der Zugang zu DfaaS-Plattformen, die Dienste wie KI-Gesichts-Austausch (Face Swapping), Stimm-Imitation, Sprachsynthese und KI-Animation anbieten, erleichtert die Erstellung realistischer Deepfake-Inhalte und ebnet den Weg für potenziellen Missbrauch.“

Abbildung: TEHTRIS

„< Deepfake-as-a-Service >“ – „THREAT INTELLIGENCE REPORT“ von TEHTRIS

Die wichtigsten Ergebnisse des Berichts über „Deepfake-as-a-Service“:

• KI – eine für alle zugängliche Cybercrime-Waffe
  Der vereinfachte Zugang zu KI-Tools, kombiniert mit der Verfügbarkeit vortrainierter Modelle und APIs sowie dem Aufkommen von DfaaS-Plattformen, ermögliche es selbst ungeschickten Akteuren, ausgeklügelte Cyber-Angriffe zu starten.
• Glaubwürdigere und profitablere Betrugsmaschen
  Deepfakes, Stimm-Imitationen und Bots, mit denen man sich unterhalten kann und die über DfaaS-Plattformen zugänglich sind, machten Angriffe überzeugender und schwerer zu erkennen, wodurch ihre Erfolgsrate steige. Der Bericht nennt Beispiele für Identitätsdiebstahl in Videokonferenzen, Romance-Scams („Pig Butchering“) und die Umgehung von KYC-Verfahren („Know Your Customer“).
• Automatisierung in großem Maßstab
  KI-Bots könnten Hunderte von Gesprächen gleichzeitig und rund um die Uhr simulieren, wodurch Betrugsmaschen umfangreicher und profitabler würden. DfaaS-Plattformen beschleunigten dieses Phänomen, indem sie sofort einsatzbereite Automatisierungstools bereitstellten.

„Haotian AI“ – die Verkörperung des „Deepfake-as-a-Service“

Innerhalb dieses „kriminellen Ökosystems“ hat TEHTRIS „Haotian AI“ identifiziert – eine eine in Asien ansässige Organisation, welchee die Professionalisierung von „Deepfake-as-a-Service“ veranschauliche. „Haotian AI“ biete eine einsatzbereite, für DfaaS-Plattformen typische Lösung mit Dienstleistungen an:

• Echtzeit-Gesichtsaustausch, um während Videoanrufen eine Identität vorzutäuschen
• Ultrarealistische Sprachsynthese, um Stimmen präzise zu imitieren
• Automatisierte Chatbots, um wochenlang glaubwürdige Gespräche zu führen
• Bilderzeugung, um gefälschte Profile in Sozialen Netzwerken zu erstellen

Die OSINT-Recherche von TEHTRIS deutet offenbar darauf hin, dass „Haotian AI“ nicht nur IT-Tools verkauft, sondern deren Nutzung durch Cyber-Kriminelle aktiv fördert und damit die Industrialisierung von Deepfakes im Dienste von Betrug geradezu verkörpert. „Der Bericht beschreibt detailliert die Architektur der Bots, Geldwäschetechniken über ,Krypto-Währungen’ und Methoden der Opferbindung, die von dieser Organisation verwendet werden.“

Empfehlungen für IT-Security-Verantwortliche (CISOs und SOC/MDR) im Kontext von „Deepfake-as-a-Service“:

• Einführung eines hyperautomatisierten XDR-Ansatzes
  Die Security-Teams sollten proaktive Lösungen integrieren, die in der Lage sind, aufkommende Bedrohungen im Zusammenhang mit DfaaS-Plattformen zu antizipieren und zu neutralisieren, wie z.B. die „TEHTRIS XDR AI PLATFORM“.
• Fokus auf Verhaltenserkennung
  Subtile Anomalien in der Kommunikation (Latenzzeiten, stimmliche Inkonsistenzen, dringende Anfragen) müssten identifiziert werden, um Deepfakes und Bots zu erkennen.
• Überwachung von Finanzströmen und Nutzung von OSINT Blockchain
  Security-Verantwortliche sollten verdächtige, mit kriminellen Aktivitäten in Verbindung stehende Transaktionen und Krypto-Adressen verfolgen – insbesondere solche, die DfaaS-Dienste nutzen.
• Sensibilisierung und Schulung der Mitarbeiter
  Simulationen von Deepfakes und Voice-Phishing seien für Organisationen essenziell, um Teams auf neue Formen der Manipulation vorzubereiten, die durch DfaaS-Plattformen ermöglicht werden.

„2025 könnte das Jahr sein, in dem die Cyber-Kriminalität endgültig in eine neue Ära eintritt – die des automatisierten, skalierbaren und nicht nachweisbaren Verbrechens, insbesondere dank der Verbreitung von Deepfake-as-a-Service-Plattformen“, kommentiert Eric Bregand, „Chief Product Officer“ bei TEHTRIS. Die zunehmende Zugänglichkeit dieser Technologien mache es für Unternehmen unerlässlich, eine proaktive Sicherheitsstrategie zu verfolgen und ihre Abwehr gegen diese aufkommenden Bedrohungen zu stärken.

Weitere Informationen zum Thema:

TEHTRIS
< Deepfake-as-a-Service > I THREAT INTELLIGENCE REPORT

TEHTRIS
GET YOUR REPORT: „Dial D for Deepfake“ – Will Cybercrime be almost perfect in 2025?

datensicherheit.de, 11.02.2025
Fake-Romance: Scams mit KI-gestützten Deepfake-Promis fordern Opfer / KI-Deepfakes gaukeln Opfern prominente Persönlichkeiten vor, welche angeblich in einer Notlage stecken und finanzielle Unterstützung benötigen

datensicherheit.de, 27.01.2025
Deepfakes: Wie Internet-Nutzer täuschend echte Fälschungen erkennen können / Immer häufiger tauchen aktuell sogenannte Deepfakes auf, d.h. mit Künstlicher Intelligenz manipulierte Fotos und Videos

datensicherheit.de, 05.12.2024
KI-basierte Deepfakes zur effektiven Täuschung als Angriffsvektor etabliert / Deepfakes werden in Audio- und Video-Formaten vermehrt für Betrugsmanöver eingesetzt

datensicherheit.de, 08.10.2024
Zunehmende Bedrohung in der digitalen Welt durch Deepfake-Angriffe / BlackBerry erörtert das Gefahrenpotenzial KI-gestützter Deepfake-Angriffe auf Unternehmen und stellt Abwehrmaßnahmen vor

datensicherheit.de, 29.08.2024
Drei präventive Schutzmaßnahmen gegen CEO-Fraud und Deepfake-Angriffe / Detlev Riecke gibt Unternehmen Empfehlungen, um Chance eines erfolgreichen KI-gestützten Deepfake-Angriffs erheblich zu mindern

[datensicherheit.de, 17.12.2024] Die Verbraucherzentrale Nordrhein-Westfalen (vz NRW) geht in einer aktuellen Stellungnahme auf Vorfälle bei „PayPal“ zum Schaden von Verbrauchern ein, bei denen Cyber-Kriminelle demnach mit fremden Kontodaten im Internet einkaufen und gibt Tipps, wie sich Verbraucher schützen können.

Betrüger missbrauchte alte IBAN beim Online-Shopping über Funktion „Zahlen ohne PayPal-Konto“

Ein Verbraucher aus dem nördlichen Nordrhein-Westfalen sei fassungslos: „Der Zahlungsdienstleister „PayPal“ möchte 56,75 Euro von ihm haben – für einen Einkauf, von dem er nichts weiß.“ Er habe sodann bei „PayPal“ nachgefragt und erfahren, dass das Geld von seinem Bankkonto nicht habe abgebucht werden können. „Das Konto existiert ja auch seit 2018 nicht mehr“, so seine Erklärung gegenüber der vz NRW. Er habe zwar ein „PayPal“-Account, aber seine alte IBAN daraus längst gelöscht.

Dieser Verbraucher habe dann herausgefunden, dass irgendjemand offensichtlich diese alte IBAN beim Online-Shopping über die Funktion „Zahlen ohne PayPal-Konto“ eingegeben habe. Wie die unbekannte Person an diese Daten gekommen sei, wisse er nicht. Bei dieser Methode, auch „Gast-Konto“ oder „Gastzahlung“ genannt, erlaube „PayPal“ das Bezahlen per Lastschrift, ohne dass ein „PayPal“-Konto angelegt werde. „,PayPal’ hat dabei die Rolle eines Zahlungsabwicklers, der dafür zuständig ist, dass die per Lastschrift oder Kreditkarte geleistete Zahlung des Käufers dem ,PayPal’-Konto des Händlers gutgeschrieben wird“, so eine „Paypal“-Sprecherin auf Anfrage der vz NRW.

Auf die Frage „Wird dabei geprüft, ob die angegebene IBAN auch der Person gehört, die gerade die Bestellung tätigt?“ habe „PayPal“ nur allgemein geantwortet: „,PayPal’ führt im Rahmen der Maßnahmen zu Risikomanagement und Betrugsprävention Sicherheitsprüfungen bei der Abwicklung von Zahlungen durch.“

vz NRW gibt generelle Tipps für Verbraucher – „PayPal“ nur ein Beispiel

Wie sich Verbraucher laut vz NRW schützen könnten und was Betroffene tun sollten:

Forderung des Unternehmens widersprechen!
Wer eine unberechtigte Forderung von einem Zahlungsdienstleister oder Online-Shop erhält, sollte nicht einfach zahlen, aber auch nicht untätig bleiben. Betroffene sollten gegenüber dem Unternehmen schriftlich widersprechen, zum Beispiel mithilfe des Musterbriefs der Verbraucherzentrale NRW. Wer bei einer solchen Forderung mit Mahnungen und Schreiben von Inkassobüros oder Rechtsanwälten überhäuft wird, sollte sich auf keinen Fall einschüchtern lassen. Ernst zu nehmen sei vor allem der „echte“, das heißt gerichtliche Mahnbescheid. Dies sei ein amtliches Formular und komme ausschließlich per Postzustellung von einem Gericht. Zu jedem echten gerichtlichen Mahnbescheid werde auch ein Widerspruchsformular mitgeschickt. „Mit diesem Formular können Betroffene innerhalb der 14-tägigen Widerspruchsfrist der Geldforderung widersprechen. Ein echter Mahnbescheid kommt aber nach den Erfahrungen der Verbraucherzentrale NRW nur sehr selten.“ Sollte dies doch geschehen, könnten Betroffene sich an eine örtliche Verbraucherzentrale wenden.

Rückbuchung bei der Bank beantragen!
Jede Abbuchung auf ihrem Konto könnten Verbraucher acht Wochen lang rückgängig machen. „Handelt es sich um eine unberechtigte Abbuchung ohne Einzugsermächtigung, gilt sogar eine Frist von 13 Monaten.“ Die Rückbuchung könne häufig im Online-Banking oder direkt in der Filiale oder per Telefon beantragt werden.

Anzeige erstatten!
Betroffene sollten den Betrug und den Missbrauch ihrer Daten bei der Polizei zur Anzeige bringen. „Falls sie Inkassoforderungen erhalten, können sie diese mit Vorlage der Anzeige bestreiten.“

Vorsichtig mit Kontodaten umgehen!
Grundsätzlich sollten Verbraucher sensible Daten wie die IBAN so selten wie möglich angeben und schon gar nicht irgendwo öffentlich lesbar hinterlassen. „Wenn Daten durch Hacker-Angriffe oder Datenlecks gestohlen werden oder durch erfolgreiches Phishing in fremde Hände gelangen, bleiben nur die oben genannten Empfehlungen.“

Weitere Informationen zum Thema:

verbraucherzentrale Nordrhein-Westfalen, 16.12.2024
Wie Kriminelle das „Bezahlen ohne PayPal-Konto“ missbrauchen / Mit dem Begriff „Gastkonto-Masche“ wird im Internet über einen Betrug via PayPal diskutiert, bei dem Kriminelle fremde IBAN für Einkäufe missbrauchen. Schutz für Betroffene gibt es kaum.

verbraucherzentrale Nordrhein-Westfalen, 05.12.2024
Abzocke online: Rechnung bekommen, aber nichts bestellt – was tun? / Wer eine unberechtigte Forderung eines Onlineshops erhält, sollte nicht einfach zahlen – aber auch nicht untätig bleiben.

[datensicherheit.de, 17.12.2024] In einer aktuellen Stellungnahme warnt die Check Point Software Technologies Ltd. vor Hochstapelei auf „Instagram“: „Dort erstellen Betrüger Konten, die vortäuschen, eine bestimmte Person oder Organisation zu sein, oder damit in Verbindung zu stehen. Es handelt sich also unter anderem vor allem um typische Fake-Profile.“ Da solche „Instagram“-Imitate für Unternehmen ernsthafte finanzielle Konsequenzen und Reputationsschäden zur Folge haben könnten – „wenn Betrüger gefälschte Konten von Unternehmen oder ihren Führungskräften erstellen“ – spielten Software und Strategien zur Überwachung von „Instagram“ eine wichtige Rolle beim IT-Schutz.

Jeder kann sehr einfach ein Benutzerkonto bei „Instagram“ erstellen

Ein großes Problem sehen die Sicherheitsforscher demnach darin, dass jeder sehr einfach ein Benutzerkonto bei „Instagram“ erstellen kann. „Die Funktion, gefälschte Konten über die App oder ein Online-Formular zu melden, ist jedoch zeitaufwändig und fehlerbehaftet.“ Deshalb reagierten die Betreiber oft nur langsam – Cyber-Kriminelle schrecke dies daher nicht ab.

Mittlerweile existierten bei „Instagram“ rund 95 Millionen sogenannte Bots, so dass eines von zehn Konten eine Fälschung sein könnte. Außerdem sei es bereits vorgekommen, dass Nutzer ein Fake-Konto gemeldet, aber die „Instagram“-Betreiber dann stattdessen echte Konten gesperrt hätten – „offenbar zum Teil aufgrund automatischer Entscheidungsfindungssysteme, die den Betroffenen keine Möglichkeit zur raschen Wiederherstellung ihres Kontos lassen“.

Cyber-Kriminelle missbrauchen „Instagram“-Konten in vielfältiger Weise

Die Nutzung gefälschter „Instagram“-Konten sei für Cyber-Kriminelle äußerst vielfältig. Hierzu nennt Check Point einige Beispiele:

Sammeln personenbezogener Daten, Anmeldedaten oder anderer sensibler Informationen
Dies geschehe, wenn ein gefälschtes Konto andere „Instagram“-Nutzer auffordert, private Informationen zu teilen. „Wenn das Konto echt aussieht, geben die Opfer möglicherweise ihre Daten weiter, insbesondere wenn sie glauben, dass sie mit einem Unternehmen interagieren, dem sie vertrauen.“

Malvertising
Dabei würden gefälschte Konten verwendet, um Werbung zu verbreiten, „die Malware installiert oder Nutzer auf bösartige Websites leitet“.

Gefälschte Stellenausschreibungen
Cyber-Kriminelle nutzten gefälschte Konten, um Stellenanzeigen als Teil von Betrügereien aufzugeben. „So stehlen sie Geld oder waschen es, begehen Identitätsdiebstahl oder führen verschiedene andere Arten von illegalen Aktivitäten durch.“

Check Point gibt Tipps im Kontext von „Instagram“-Hochstapelei

Der beste Schutz gegen Betrügereien mittels „Instagram“-Konten wird laut Check Point erreicht, wenn…

• … die Mitarbeiter hinsichtlich dieser Bedrohungen informiert und geschult werden,
• … Organisationen „Instagram“-Konten überwachen und dann solche identifizieren, die vorgeben, der Organisation oder Führungskraft zu zu gehören,
• … das Unternehmen „Instagram“-Konten automatisiert überwacht, die ihren Namen beinhalten, oder ihr Logo verwenden, um Fälschungen sofort zu erkennen,
• … nicht schlicht das Meldeformular von „Instagram“ ausgefüllt wird, in der Hoffnung auf eine schnelle und korrekte Reaktion, sondern mit einem „Takedown Service Provider“ zusammengearbeitet wird, der Kontakt zum „Instagram“-Team pflegt und spezialisiert ist auf das Erkennen und Abschalten von Fake-Konten („Cyberint als Beispiel, jetzt ein Unternehmen von Check Point, hat eine Erfolgsquote von 97 Prozent bei ,Instagram’-Takedowns und benötigt durchschnittlich für ,Instagram’-Takedowns nur 24 Stunden“).

Weitere Informationen zum Thema:

BEEPING COMPUTER, Ax Sharma, 20.01.2024
Meta won’t remove fake Instagram profiles that are clearly catfishing

BASIC thinking, Christian Erxleben, 04.05.2020
95 Million Bots: One in Ten Instagram Accounts Is Fake

Instagram
Ein Instagram-Konto melden, das jemanden nachahmt

CHECK POINT Cyberint, Takedowns & Remediation Service
Managed takedown services to eliminate cyber risks faster / Leverage Cyberint’s dedicated takedown team to eliminate malicious phishing sites, fraudulent social media profiles, rogue applications, and more

[datensicherheit.de, 28.11.2024] Das Bundesamt für Sicherheit in der Informationstechnik (BSI) geht in seiner aktuellen Stellungnahme ebenfalls auf den „Black Friday 2024“ ein und warnt: „Cyber-Kriminelle lauern auf Schnäppchenjäger!“ Rund um die Rabatt-Aktion „Black Friday“ lockten Webshops mit exklusiven Angeboten – dabei witterten auch Cyber-Kriminelle ihre Chance, zu profitieren: „Mit immer raffinierteren Methoden versuchen sie, ahnungslose Verbraucherinnen und Verbraucher zu täuschen.“ Das BSI möchte daher über Vorsichtsmaßnahmen informieren, „mit denen Verbraucherinnen und Verbraucher sicher durch die Rabatt-Saison kommen“.

Cyber-kriminelle Fake-Shops könnten u.a. sensible Informationen wie etwa Kreditkartendaten abgreifen

Mit unschlagbaren Preisen lockten unseriöse Anbieter oft über sogenannte Fake-Shops: „Schlimmstenfalls werden gekaufte Waren am Ende nicht geliefert.“ Insbesondere, wenn per Vorkasse bezahlt wird, könne es für Betrugsopfer schwierig werden, eine Rückerstattung zu erlangen.

Viele Fake-Shops griffen zudem sensible Informationen wie etwa Kreditkartendaten ab. Indiz für einen Fake-Shop könne beispielsweise ein unvollständiges Impressum sein, „in dem etwa die vertretungsberechtigte Person oder die Postadresse fehlt“. Außerdem gebe ein Blick auf die Webadresse Aufschluss: „Betrügerinnen und Betrüger bauen häufig bekannte Onlineshops nach – von der URL des Originals unterscheidet sich dann beispielsweise nur die Endung: Dort steht dann zum Beispiel ,.com’ statt ,.de’.“

„Schutz beim Onlineshopping“: BSI bietet SOS-Karte für cyber-kriminelle Vorfälle

Wer bestellte Ware nicht erhält oder bemerkt, dass eine fremde Person Zugriff auf ein Benutzerkonto zu haben scheint, sollte sofort reagieren. Die SOS-Karte „Schutz beim Onlineshopping“, vom BSI auf seiner Website zur Verfügung gestellt, erklärt demnach das Vorgehen für den Ernstfall: „Sie fasst zudem die wichtigsten Schutzmaßnahmen zusammen.“

Rund um den „Black Friday“ landeten auch vermehrt Phishing-Mails in den Postfächern. „Sie sehen aus wie offizielle Nachrichten von bekannten Händlern oder Zahlungsdienstleistern. Typische Betreffzeilen lauten ,Ihr exklusives Black-Friday-Angebot’ oder ,Probleme bei der Lieferung’.“ Das Ziel sei es, Nutzer dazu zu bringen, auf enthaltene Links zu gefälschten Websites zu klicken und anschließend sensible Daten wie Passwörter, Kreditkarteninformationen oder Kontodaten preiszugeben.

Cyber-Kriminelle versuchen, Verbraucher durch Links auf Fake-Webseiten umzuleiten

Larissa Hänzgen, BSI-Expertin für „Digitalen Verbraucherschutz“, warnt vor Phishing-Attacken und führt hierzu aus: „Passt die E-Mail-Adresse nicht zur offiziellen Domain des vermeintlichen Absenders, ist dies ein erstes Anzeichen für eine Phishing-Mail.“

Es werde jedoch immer schwieriger, solche E-Mails zu enttarnen. Daher sei generelle Vorsicht insbesondere bei in E-Mails enthaltenen Links geboten: Es sei sicherer, bereits bekannte Webadressen direkt in die Adresszeile des Browsers einzugeben oder die Website über eine Suchmaschine zu finden.

BSI rät: Auf verdächtige Signale achten und persönliche Daten nicht leichtfertig preisgeben, um Cyber-Risiken deutlich zu reduzieren!

Grundsätzlich sollten sich Verbraucher nicht von niedrigen Preisen und schnellen Rabatt-Aktionen täuschen lassen: „Wer auf verdächtige Signale achtet und persönliche Daten nicht leichtfertig preisgibt, kann die Risiken deutlich reduzieren“, so Hänzgen.

Gemeinsam mit dem Programm „Polizeiliche Kriminalprävention der Länder und des Bundes“ (ProPK) führe das BSI jedes Jahr die Bürgerbefragung „Cybersicherheitsmonitor“ durch. Im Jahr 2024 gab laut BSI fast ein Viertel der schon einmal von Cyber-Kriminalität Betroffenen an, Betrug beim Online-Shopping zum Opfer gefallen zu sein.

Weitere Informationen zum Thema:

Bundesamt für Sicherheit in der Informationstechnik, 19.07.2021
Onlineshopping SOS-Karte

Bundesamt für Sicherheit in der Informationstechnik
Wie erkenne ich Phishing-E-Mails und -Webseiten? / Fälschungen von E-Mails und Webseiten sehen immer professioneller aus

Bundesamt für Sicherheit in der Informationstechnik
CyMon – der Cybersicherheitsmonitor / Befragung zur Cybersicherheit

datensicherheit.de, 28.11.2024
Rund um Black Friday, Black Week und Cyber Monday läuft Cyber-Kriminalität zur Höchstform auf / Die populäre Rabatt-Saison hat begonnen – und mit ihnen Cyber-Betrügereien

datensicherheit.de, 23.11.2024
Black Friday: 89 Prozent mehr ominöse Shopping-Websites als 2023 / CPR hat im Vorfeld des „Black Friday 2024“ frühzeitig die Augen nach betrügerischen Websites, Markenimitation und Phishing-Methoden offengehalten

datensicherheit.de, 13.11.2024
Black Friday: Hochsaison für Schnäppchenjagd – und raffinierte Phishing-Angriffe / E-Mails zum „Black Friday“ sind oft perfekt gestaltet – mit offiziellem Logo, persönlicher Anrede und Call-to-Action-Button

datensicherheit.de, 24.11.2023
Black Friday: Umsätze im Online-Handel steigen – damit häufen sich auch Betrugsfälle / Datensicherheit gilt es auch im Schnäppchen-Rausch am Black Friday und an anderen saisonalen Sonderverkaufstagen zu beachten

datensicherheit.de, 17.11.2023
Black Friday: Proofpoint rät zur Vorsicht vor betrügerischen E-Mails / Nur sieben der 20 größten Händler in Deutschland schützen laut Proofpoint-Analyse Verbraucher ausreichend vor Betrügereien in ihrem Namen

[datensicherheit.de, 20.11.2024] Der „2025 Identity Fraud Report“ von Entrust und Onfido dokumentiert nach eigenen Angaben die Erkenntnisse aus einer Untersuchung der Rolle sogenannter Künstlicher Intelligenz (KI) bei der offensichtlichen Zunahme von Cyber-Angriffen – eine gemeinsame Lösung verhinderte demnach weltweit in einem Jahr Betrug in Höhe von schätzungsweise 5,5 Milliarden US-Dollar. Der „2025 Identity Fraud Report“ sei globalen Trends und Techniken des Identitätsbetrugs, „die Unternehmen im Jahr 2025 bedrohen werden“, gewidmet. Mit der Onfido-Lösung zur digitalen Identitätsüberprüfung verarbeite Entrust jedes Jahr Millionen von Verifizierungen in 195 Ländern. Der vorliegende Bericht gebe Einblicke in den Stand des Identitätsbetrugs im vergangenen Jahr, „basierend auf der Analyse von Daten, die zwischen dem 1. September 2023 und dem 31. August 2024 erhoben wurden“. Die Daten seien nach Kunden- und Branchenverteilung normalisiert worden.

Abbildung: Entrust Cybersecurity Institute

„2025 Identity Fraud Report“ behandelt globale Trends und Techniken des Identitätsbetrugs, welche Unternehmen im Jahr 2025 bedrohen werden

„2025 Identity Fraud Report“ belegt, dass KI-gestützte Betrugsversuche immer häufiger und zunehmend raffinierter werden

Das Entrust Cybersecurity Institute hat nach eigenen Angaben kürzlich die Ergebnisse seines „2025 Identity Fraud Report“ veröffentlicht. Diese weltweite Untersuchung belege, dass KI-gestützte Betrugsversuche immer häufiger und zunehmend raffinierter würden: Cyber-Kriminelle passten ihre Techniken immer weiter an, um existierende Abwehrmechanismen zu umgehen. Im Jahr 2024 habe bisher alle fünf Minuten ein Deepfake-Angriff stattgefunden – und die Fälschungen digitaler Dokumente hätten im Vergleich zum Vorjahreszeitraum um 244 Prozent zugenommen.

„Die digitale Identitätsüberprüfung ist ein wichtiger Bestandteil eines jeden Onboarding-Prozesses und für die Verhinderung von Betrug und Finanzkriminalität unerlässlich. Diese erste Interaktion ist für Unternehmen entscheidend, um vom ersten Moment an Vertrauen in die Identität einer Person aufzubauen.“ Lösungen von Entrust und Onfido verarbeiteten Millionen Verifizierungen jährlich. Im nunmehr sechsten Jahr könne ihr „Identity Fraud Report“ daher valide Einblicke in den aktuellen Stand bei Onboarding-Betrugsversuchen geben und dabei helfen, die sich schnell entwickelnde Betrugslandschaft von heute zu verstehen.

Der Bericht identifiziere die Manipulation digitaler Dokumente und Deepfakes als die größten – und weiter zunehmenden – Bedrohungen für das Jahr 2025. Insgesamt seien Betrugsversuche beim Onboarding in der EMEA-Region im letzten Jahr um neun Prozent gestiegen: Von 3,1 Prozent im Jahr 2023 auf 3,4 Prozent im Jahr 2024. Diese Rate bleibe jedoch niedriger als in der APAC-Region (6,8%) und Amerika (6,2%), was möglicherweise auf die strengen KYC- und Onboarding-Anforderungen in Europa zurückzuführen sei.

Zu den wichtigsten Ergebnissen des „2025 Identity Fraud Report“ gehören laut Entrust:

Digital vor physisch: Eine neue Ära des Dokumentenbetrugs bricht an

• Im Jahr 2024 habe es erstmals mehr digitale Dokumentenfälschungen als physische Reproduktionen gegeben: 57 Prozent aller Dokumentenfälschungen seien veränderte digitale Originale gewesen. „Dies bedeutet einen Anstieg um 244 Prozent gegenüber 2023 und ein schwindelerregendes Wachstum um 1.600 Prozent seit 2021 – vor drei Jahren waren fast alle betrügerischen Dokumente noch physische Nachahmungen.“
• Mit der Zunahme von KI-gestützten Techniken seien Kriminelle nun in der Lage, raffiniertere Betrugsversuche zu initiieren. Zu den am häufigsten gefälschten Dokumenten gehöre mit zehn Prozent auch der französische Reisepass – neben ID-Karten aus Indien (27%), Pakistan (18%) und Bangladesh (15%).
• Für all diese Dokumente existierten Vorlagen im Internet, die eine digitale Manipulation erleichterten. Betrüger nutzten „As-a-Service“-Plattformen für Phishing, Betrug und Ransomware, welche den Austausch von „Best Practices“ und den Einsatz Generativer KI-Tools (GenAI) erleichterten, um ausgeklügelte digitale Fälschungs- und Injektionsangriffe zu entwickeln.

Einfache Betrugstaktiken weichen ausgefeilten, hyper-realistischen Deepfakes

• Der Bericht identifiziere KI-gestützte Deepfakes als einen Bereich, welcher für globale Organisationen besonders besorgniserregend sei. Denn einfache Betrugstaktiken, wie relativ leicht erkennbare Phishing-Versuche, wichen derzeit hyperrealistischen KI-generierten Deepfakes und synthetischen Identitäten.
• Die Zunahme von „Face-Swap“-Apps und GenAI-Tools ermögliche es Betrügern, immer glaubwürdigere biometrische Betrugsangriffe durchzuführen und zu skalieren.
• Kriminelle Anwendungen seien weit verbreitet und umfassten betrügerische Kontoeröffnungen, Kontoübernahmen, Phishingversuche und Fehlinformationskampagnen. So sei bisher im Jahr 2024 alle fünf Minuten ein Deepfake-Angriff durchgeführt worden.

Finanzdienstleistungen werden zum Hauptziel für Kriminelle

• Weltweit seien die drei wichtigsten Zielbranchen im Jahr 2024 alle mit Finanzdienstleistungen verbunden gewesen – wobei „Krypto-Währungen“ fast doppelt so viele Betrugsversuche wie jede andere Branche hätten verzeichnen müssen (9,5%), gefolgt von Krediten und Hypotheken (5,4%) und traditionellen Banken (5,3%).
• Im Vergleich zum Vorjahr sei die Betrugsrate bei Krypto-Plattformen um 50 Prozent gestiegen – im Jahr 2023 seien es noch 6,4 Prozent gewesen. Vermutlich hänge die besondere Attraktivität für Betrüger damit zusammen, dass „Krypto“ im Jahr 2024 ein Allzeithoch erreicht habe.
• Gefälschte Onboarding-Versuche bei traditionellen Banken seien im Vergleich zum Vorjahr um 13 Prozent gestiegen. Die hohen Inflationsraten hätten zu vermehrtem Kredit- und Hypothekenbetrug geführt.

„2025 Identity Fraud Report“ unterstreicht alarmierenden Trend und zeigt, wie schnell Betrüger ihre Techniken weiterentwickeln

„Derzeit vollzieht sich ein drastischer Wandel in der globalen Betrugslandschaft, gekennzeichnet durch einen signifikanten Anstieg raffinierter, KI-gestützter Angriffe. Unternehmen müssen diese Anzeichen sehr ernst nehmen“, betont Simon Horswell, „Senior Fraud Specialist“ bei Entrust.

Er führt hierzu aus: „Die diesjährigen Daten unterstreichen einen alarmierenden Trend und zeigen, wie schnell Betrüger ihre Techniken weiterentwickeln. Die Bedrohungen sind allgegenwärtig und berühren alle Bereiche von Unternehmen, Behörden und Privatpersonen gleichermaßen!“

Um Betrügern zuvorzukommen, so Horswells abschließender Tipp, sollten Sicherheitsteams ihre Strategien proaktiv anpassen, der Überwachung dieser neuen Bedrohungen Priorität einräumen und ihre Organisationen auf die neue Realität vorbereiten: „Das sind keine optionalen Maßnahmen mehr, sondern zwingend erforderliche!“

Weitere Informationen zum Thema:

ENTRUST
2025 Identity Fraud Report / Stay ahead of sophisticated fraud

[datensicherheit.de, 19.11.2024] Die Check Point® Software Technologies Ltd. Nimmt die „International Fraud Awareness Week“ zum Anlass, in einer aktuellen Stellungnahme auf neue Formen digitalen Betrugs einzugehen, mit denen Unternehmen konfrontiert sind, denn der technologische Fortschritt hat offensichtlich sowohl Unternehmen als auch Hackern neue Möglichkeiten eröffnet: „Von Cyber-Hochstapelei und internem Betrug bis hin zu immer raffinierteren Verbrechen, wie CEO-Vortäuschung und KI-gesteuerten Attacken.“

Foto: Check Point Software

Marco Eggerling: Da Cyber-Betrug immer raffinierter wird, muss sich unsere Verteidigung entsprechend entwickeln!

Digitaler Schub für Wirtschaftsbetrug

Ursprünglich habe sich digitaler Betrug auf einfache Phishing-E-Mails beschränkt, „bei denen die Betrüger ihre Opfer mit einer auf Angst basierenden Taktik zur Preisgabe sensibler Daten veranlassten“. Im Laufe der Zeit seien diese Angriffe ausgeklügelter geworden und nutzten Maschinelles Lernen (ML) sowie Künstliche Intelligenz (KI), um Social-Engineering-Taktiken zu verfeinern, Angriffe zu personalisieren und die Erfolgsquote zu erhöhen.

Check Point wirft einen Blick auf die verschiedenen, indes typischen Betrugsarten:

Cyber-Betrug
Phishing, Malware und Ransomware seien nach wie vor weit verbreitet. Cyber-Kriminelle hätten es auf sensible Daten abgesehen und störten den Geschäftsbetrieb.
„Dies macht deutlich, wie wichtig robuste IT-Sicherheitsmaßnahmen sind, um unbefugten Zugriff zu erkennen und zu verhindern!“

Interner Betrug
Interne Betrügereien stellten eine erhebliche Bedrohung dar und umfassten kriminelle Handlungen von Mitarbeitern, einschließlich Dokumentenfälschung, Unterschlagung und Diebstahl.
„Diese Art von Insider-Betrug verdeutlicht die Notwendigkeit strenger interner Kontrollen und Überwachung, um Anomalien frühzeitig zu erkennen!“

Betrug mit Rechnungen
Betrüger schickten gefälschte Rechnungen an Unternehmen – in der Hoffnung auf eine ungeprüfte Bearbeitung und Begleichung.
„Diese Form des Betrugs kann Gelder verschlingen, wenn Unternehmen keine angemessenen Prüfungsprozesse besitzen!“

CEO-Betrug
Oft als Business-E-Mail Compromise (BEC) bezeichnet, geben sich Betrüger demnach als hochrangige Führungskräfte aus, um Mitarbeiter zur Überweisung von Geldern oder zur Weitergabe sensibler Informationen zu bewegen.
„Diese Taktik ist durch den Einsatz von Generativer KI, die eine realistische Nachahmung des Kommunikationsstils von Führungskräften ermöglicht, einfacher geworden!“

Betrug bei der Gehaltsabrechnung
Wenn Mitarbeiter Gehaltsabrechnungssysteme zum eigenen Vorteil manipulierten, könne dies zu unerwarteten finanziellen Verlusten führen.
„Diese Art von Betrug erfordert oft eine strenge Überwachung der Gehaltsabrechnungen und regelmäßige Audits!“

Betrug oft von Kombination aus technischem Fortschritt und menschlichem Versagen begünstigt

Ein bemerkenswertes Beispiel sei der Wechsel von allgemeiner Ransomware zu gezielten Angriffen. „Bei herkömmlichen Ransomware-Angriffen verschlüsselten die Hacker die Daten und verlangten eine Zahlung, oft ohne große Strategie oder Präzision. Nun verwenden Ransomware-Betreiber ausgefeilte Erkundungsmethoden und infiltrieren Systeme über längere Zeiträume, um sensible Daten zu stehlen und diese in Doppelter Erpressung gegen Einzelpersonen oder Unternehmen einzusetzen.“ Dieser erhöhte Grad an Personalisierung mache es schwieriger, sie zu entdecken, und sei oft verheerender.

Diese Betrugsarten, welche oft von einer Kombination aus technischem Fortschritt und menschlichem Versagen begünstigt würden, hätten unbestreitbare Auswirkungen auf Unternehmen. Das National Insurance Crime Bureau (NICB) weist laut Check Point darauf hin, dass Betrug jährlich Verluste in Milliardenhöhe verursache, von denen Einzelpersonen, Unternehmen und Branchen gleichermaßen betroffen seien. Laut dem Bericht „Occupational Fraud 2024“ der Association of Certified Fraud Examiners verlören Unternehmen etwa fünf Prozent ihres Jahresumsatzes durch Betrug, wobei der durchschnittliche Verlust pro Vorfall mehr als 1,5 Millionen US-Dollar betrage.

Folgen von Betrug: Mehr als finanzielle Verluste

Nach Angaben der US Federal Trade Commission hätten Verbraucher angegeben, im Jahr 2023 rund zehn Milliarden US-Dollar durch Betrug verloren zu haben, was einem Anstieg von 14 Prozent gegenüber 2022 entspreche. Online-Shopping-Betrug sei die am zweithäufigsten gemeldete Form von Betrug gewesen. Die Auswirkungen von Betrug gingen aber über direkte finanzielle Verluste hinaus – sie umfassten auch Ermittlungskosten, Anwaltskosten, behördliche Strafen, Rufschädigung und erhöhte Versicherungsprämien. Zum Beispiel:

Ermittlungen und Wiederherstellung
Die Aufdeckung von Betrugsfällen erfordere gründliche Untersuchungen und manchmal sogar die Einschaltung der Strafverfolgungsbehörden, was zeitaufwändig sei und Kosten verursache.

Gerichtskosten und Bußgelder
Schwerer Betrug könne zu Gerichtsverfahren führen, insbesondere wenn es zu Datenschutzverletzungen komme, welche hohe Geldbußen nach sich zögen. Allein im Jahr 2023 hätten die Aufsichtsbehörden Bußen in Millionenhöhe wegen ungeschützter sensibler Daten verhängt.

Schädigung des Rufs
Die langfristigen Auswirkungen auf das Kundenvertrauen und den Ruf der Marke könnten zu Umsatzeinbußen und sinkender Kundenbindung führen.

Leichte Zugänglichkeit von KI-Werkzeugen erleichtert Betrug

Check Point erörtert, warum der Betrug in diesem Tempo zugenommen hat: „Zu den Faktoren gehören die rasche Einführung digitaler Transaktionen, die verstärkte Nutzung des Online-Bankings und die Zunahme der Fernarbeit.“ Jeder dieser Faktoren eröffne Betrügern neue Möglichkeiten, welche sie ausnutzen könnten. Ein weiterer Faktor sei die leichte Zugänglichkeit von Werkzeugen, welche den Betrug erleichterten, wie KI-Programme, die realistische Fälschungen erstellten, so dass es für Einzelpersonen und Unternehmen immer schwieriger werde, Echtes von Falschem zu unterscheiden.

Die Rolle Generativer KI sei ein „zweischneidiges Schwert in der Betrugsprävention und -vermeidung“: Diese habe beide Seiten der „Betrugsgleichung“ verändert – auf der einen Seite biete KI unschätzbare Werkzeuge für die Betrugserkennung und -prävention, „indem sie große Datenmengen verarbeitet, um ungewöhnliche Muster oder Verhaltensweisen zu erkennen, die auf Betrug hindeuten könnten“. Auf der anderen Seite hätten auch Betrüger damit begonnen, Generative KI zu missbrauchen, um noch raffiniertere Betrugsversuche durchzuführen. Sogenannte Deepfakes ermöglichten es Kriminellen, realistische Audio-, Video- oder Textnachahmungen von Führungskräften oder Personen des öffentlichen Lebens zu erstellen. Diese Technologie habe bereits Betrügereien mit „CEOs“ ermöglicht, bei denen Imitatoren KI-generierte Inhalte verwendeten, um Mitarbeiter zu täuschen.

Betrugsprävention und umfassende Cyber-Sicherheit

Während sich die Betrugslandschaft weiterentwickelt habe, hätten sich auch die Instrumente und Verfahren zur Betrugsbekämpfung verbessert:

Umfassende E-Mail-Sicherheit
Da Phishing nach wie vor eine der Hauptursachen für Betrug sei, bleibe „ein fortschrittliches E-Mail-Sicherheitssystem, das mithilfe von KI verdächtige Nachrichten erkennt und blockiert, von entscheidender Bedeutung“.

Multi-Faktor-Authentifizierung (MFA)
MFA biete eine zusätzliche Sicherheitsebene, welche es Betrügern erheblich erschwere, sich unbefugt Zugang zu sensiblen Daten zu verschaffen.

Kontinuierliche Mitarbeiterschulung
Die Mitarbeiter seien oft die erste Verteidigungslinie. Mitarbeiter zu den neuesten Betrugstaktiken wie KI-gesteuertem „Social Engineering“ zu schulen, helfe dabei, diese Angriffe zu erkennen.

Regelmäßige Sicherheitsprüfungen
Die regelmäßige Durchführung von Sicherheitsbewertungen ermögliche es Unternehmen, „Schwachstellen zu erkennen und zu beheben, bevor sie ausgenutzt werden können“.

Benutzerfreundliche Sicherheit
„Tools“, welche die Sicherheitsverwaltung vereinfachten, ermöglichten es Unternehmen, Bedrohungen auch ohne umfangreiche technische Schulungen wirksam zu überwachen und umgehend zu reagieren, was die Zugänglichkeit und Skalierbarkeit gewährleiste.

KI kann Reichweite und Auswirkungen von Betrug vergrößern – Marco Eggerlings Fazit:

„Da Cyber-Betrug immer raffinierter wird, muss sich unsere Verteidigung entsprechend entwickeln. KI vergrößert Reichweite und Auswirkungen von Betrug, also müssen Unternehmen ebenso dynamische Sicherheitsstrategien einführen, die KI-gestützte Lösungen nutzt, um Angreifer zu übertreffen und zu überlisten“, kommentiert Marco Eggerling, „Global CISO“ bei Check Point Software Technologies.

Eggerling gibt abschließend zu bedenken: „Der Aufbau einer widerstandsfähigen Cyber-Abwehr verhindert nicht nur Betrug, sondern fördert auch ein sichereres, vertrauenswürdigeres Umfeld für alle!“

Weitere Informationen zum Thema:

ACFE Association of Certified Fraud Examiners, 20.03.2024
ACFE Report to the Nations: Organizations Lost an Average of More Than $1.5M Per Fraud Case