Zu schön, um wahr zu sein

Kaltstart

Jens: Ich stell heute mal eine steile These auf. Auf Phishing fällt nur rein, wer nicht aufpasst.

Katja: Mutig. Und woran erkennst du so eine Mail?

Jens: Holpriges Deutsch. Und „Sehr geehrter Kunde“, obwohl die Bank meinen Namen kennt.

Katja: Dann mach ich es dir schwer. Die Mail ist fehlerfrei, höflich, sie spricht dich mit Namen an, sie nennt den Paketdienst, bei dem du wirklich letzte Woche etwas bestellt hast. Und sie kommt an einem Freitagabend, wenn du müde bist.

Jens: Okay. Dann ziehe ich die These halb zurück. Auf Phishing fällt rein, wer im falschen Moment die falschen Zeichen prüft.

Katja: Mit der Fassung kann ich leben. Und genau um die richtigen Zeichen geht es heute.

Begrüßung

Katja: Hallo und willkommen bei Hallo KI. Ich bin Katja.

Jens: Und ich bin Jens. Auch heute gilt: Katja und ich sind KI-Stimmen, und was wir sagen, hat Dominik von Hallo KI geprüft.

Katja: Letztes Mal ging es um gefälschte Bilder und Videos, und deine Aufgabe war die Rückwärtssuche. Einmal üben, bevor man sie braucht.

Jens: Hab ich gemacht, mit einem ganz normalen Nachrichtenfoto. Es tauchte auf erstaunlich vielen Seiten auf, und ganz unten fand sich die Agentur, von der es ursprünglich stammt. Was ich gelernt hab: Die Suche zeigt einem auch Bilder, die nur ähnlich aussehen. Man muss also schon hinschauen, ob es wirklich dasselbe ist.

Katja: Genau richtig beobachtet. Heute geht es um drei Maschen, die alle nach demselben Muster laufen: gefälschte Nachrichten, falsche Online-Shops und falsche Werbung mit Prominenten. Was die KI daran verändert, wo sie beim Prüfen hilft, wo nicht. Und was du tust, wenn es passiert ist.

Wie Betrug eigentlich funktioniert

Jens: Bevor wir über KI reden: Warum funktioniert das überhaupt? Die Leute sind ja nicht blöd.

Katja: Weil Betrug nicht auf den Verstand zielt, sondern auf ein paar alte Knöpfe. Angst: Dein Konto wird gesperrt. Gier oder Glück: Du hast gewonnen, das ist ein Schnäppchen. Autorität: Hier schreibt das Finanzamt, hier spricht ein bekannter Moderator. Und fast immer Zeitdruck obendrauf.

Jens: Und das Ziel ist immer dasselbe. Ich soll klicken, zahlen oder Daten rausgeben.

Katja: Genau. Und dann die Rechnung der Betrüger. Eine Mail kostet sie praktisch nichts. Sie verschicken Millionen, und es reicht, wenn ein winziger Bruchteil anbeißt. Deshalb bekommst du auch Mahnungen von Banken, bei denen du gar kein Konto hast. Die wissen nicht, wer du bist. Die hoffen nur.

Jens: Und was ändert jetzt die KI daran?

Katja: Vier Dinge. Erstens die Sprache. Fehlerfreies, höfliches Deutsch in Sekunden, und das in jeder Sprache der Welt. Das alte Erkennungszeichen ist nicht schwächer geworden. Es ist weg.

Jens: Zweitens?

Katja: Die Menge an Maßarbeit. Früher war eine Mail, die deinen Namen, deinen Arbeitgeber und deinen letzten Urlaub kennt, aufwendig. Heute kann ein Programm aus öffentlich auffindbaren Angaben tausende solcher Mails schreiben, jede ein bisschen persönlich.

Jens: Und das ist der Punkt, der mich beunruhigt. Die persönliche Anrede war mal ein Zeichen für Echtheit. Das ist sie nicht mehr. Namen kann man herausfinden.

Katja: Genau. Drittens: Ganze Läden entstehen in einer Stunde. Mit Produktfotos, Beschreibungen, einer rührenden Firmengeschichte und hunderten Bewertungen, jede in einem anderen Tonfall. Und viertens die Gesichter und Stimmen. Der Promi im Video, das hatten wir letztes Mal.

Jens: Also: Alles, was man sieht und liest, kann perfekt sein. Worauf verlasse ich mich dann?

Katja: Auf das, was die Nachricht von dir will. Nicht, wie es aussieht, sondern was es verlangt und auf welchem Weg. Das lässt sich nämlich nicht wegpolieren. Eine Betrugsmail muss dich irgendwann zu einem Link bringen. Ein falscher Laden muss irgendwann Geld sehen, ohne zu liefern.

Die Nachricht, die angelt

Jens: Dann nehmen wir das Postfach. Und ich fang mit dem an, was ich inzwischen für die wichtigste Regel halte: Ich öffne Bank, Versicherung, Behörde oder Paketdienst nie über einen Link aus einer Nachricht. Nie. Ich nehme die App, die ich sowieso habe, oder ein Lesezeichen, das ich selbst angelegt habe.

Katja: Und warum ist die so stark?

Jens: Weil sie gar nicht verlangt, dass ich die Fälschung erkenne. Ist die Mail echt, sehe ich die Sache in meiner App genauso. Steht da nichts, war nichts. Ich verliere also nie etwas.

Katja: Genau. Das ist der Unterschied zwischen einem Erkennungszeichen und einer Handlung. Erkennungszeichen versagen, sobald die Fälschung gut ist. Die Handlung nicht. Trotzdem ein paar Zeichen, weil sie oft schneller sind. Druck und Fristen von wenigen Stunden. Eine Bitte um PIN, Passwort oder TAN. Die stellt kein seriöses Unternehmen, es gibt keine Ausnahme.

Jens: Und die Absenderadresse. Nicht den angezeigten Namen lesen, sondern die Adresse dahinter. Da steht dann ein vertrauter Name mit einem fremden Zusatz, so etwas wie Sicherheit und eine Zahl.

Katja: Und am Computer kannst du mit der Maus über einen Link fahren, ohne zu klicken. Dann zeigt dir das Programm meistens irgendwo das echte Ziel an. Wenn da etwas ganz anderes steht als der Name der Bank, weißt du Bescheid.

Jens: Aber umgekehrt beweist eine richtig aussehende Adresse gar nichts. Absender lassen sich fälschen, und manche Adressen tauschen nur einen Buchstaben aus, den man beim schnellen Lesen übersieht.

Katja: Deshalb gewinnt am Ende immer die Regel, nicht das Zeichen. Und dann gibt es noch Denkfehler, die man sich leicht merkt. Das Finanzamt schreibt, du bekommst Geld zurück, du sollst nur deine Bankdaten bestätigen.

Jens: Dabei hat das Finanzamt meine Kontonummer längst. Sie steht in meiner Steuererklärung. Es müsste gar nicht fragen.

Katja: Genau. Und das gibt es nicht nur per Mail. Per SMS kommt der Paketdienst mit einer kleinen Zollgebühr, im Messenger schreibt angeblich das Kind von einer neuen Nummer und braucht dringend Geld.

Jens: Und im Job gibt es eine Variante, die wir nicht vergessen sollten. Die Mail vom Chef, dringend, vertraulich, bitte sofort eine Überweisung freigeben oder Gutscheinkarten besorgen. Und mit geklonten Stimmen kommt das inzwischen auch als Anruf.

Katja: Und da gilt dasselbe wie in der Familie. Auflegen, über die bekannte Nummer zurückrufen. Und bei Geld im Job: Das Verfahren im Unternehmen einhalten, auch wenn der angebliche Chef drängelt. Gerade dann.

Jens: Und noch eine Sache aus dem Buch, die mich überrascht hat. Der alte Rat „Im Zweifel löschen, echte Absender melden sich wieder“ stimmt nicht immer.

Katja: Nein. Manche echten Absender melden sich nicht nochmal, und dann verpasst du eine Frist. Deshalb: erst klären, dann aufräumen. Nichts anklicken, selbst in der App nachschauen, im Zweifel unter der bekannten Nummer anrufen. Erst wenn der Betrug feststeht, ab in den Spam-Ordner.

Der Laden, den es nicht gibt

Katja: Nächstes Zimmer. Der Gartenstuhl, den du seit Wochen suchst. Überall kostet er ungefähr gleich viel, und in einem Laden nur ein Drittel. Schöne Fotos, fehlerfreie Texte, viele Bewertungen mit fast fünf Sternen.

Jens: Und das gute Aussehen bringt mir nichts mehr.

Katja: Im Gegenteil. So ein falscher Laden sieht heute oft besser aus als die Seite vom Fachhändler um die Ecke. Der hat keine Zeit für Hochglanztexte. Der schraubt.

Jens: Der schraubt. Also, worauf achte ich?

Katja: Auf das, was sich schlecht fälschen lässt. Und ganz oben steht die Bezahlung. Und zwar das, was im allerletzten Schritt übrig bleibt, nicht das, was vorher auf der Seite steht. Ein beliebter Trick: Auf der Seite prangen Rechnung, Lastschrift und Bezahldienste, und an der Kasse sind sie leider gerade nicht verfügbar. Übrig bleibt Vorkasse per Überweisung.

Jens: Dann breche ich ab. Nur Vorkasse per Überweisung heißt: nicht bestellen. Und bei einem fremden Laden nie eine Echtzeitüberweisung, da ist das Geld in Sekunden weg.

Katja: Genau. Und dann der Käuferschutz bei Bezahldiensten wie PayPal.

Jens: Der gilt nur, wenn ich für Waren und Dienstleistungen bezahle, nicht, wenn da „Freunde und Familie“ ausgewählt ist. Und genau das stellen falsche Läden gern schon vorher so ein. Also vor dem letzten Klick hinschauen. Ich kaufe einen Gartenstuhl, ich beschenke niemanden.

Katja: Dann das Impressum. Jeder deutsche Shop braucht eins, mit Namen und Anschrift. Fehlt es, ist die Sache erledigt. Ist es da, lies es. Passt der Firmenname zum Shop? Gibt es die Adresse wirklich? Tipp sie in eine Kartenansicht. Wenn da ein Acker liegt, weißt du Bescheid.

Jens: Und die Bewertungen?

Katja: Die im Shop selbst sind wertlos, die schreibt der Betreiber. Achte auf die Daten. Hundert Bewertungen aus derselben Woche und keine einzige schlechte? Echte Kunden verteilen sich über Monate, und einer ist immer schlecht gelaunt.

Jens: Und zum Schluss such ich nach dem Namen des Ladens, mit dem Zusatz „Erfahrungen“ oder „Betrug“. Und die Verbraucherzentralen haben einen kostenlosen Fakeshop-Finder, da gibt man die Adresse ein.

Katja: Wobei grün dort nur heißt: nichts Schlechtes bekannt. Nicht: garantiert sauber. Ein Laden, der seit zwei Wochen offen ist, steht noch in keiner Liste. Und das Beruhigende zum Schluss: Kauf auf Rechnung. Die Ware kommt, du schaust sie an, dann zahlst du. Allerdings bieten auch viele ehrliche kleine Läden keine Rechnung an. Das allein macht sie nicht verdächtig.

Promis, Gewinne und Wundermittel

Jens: Und dann die Werbung in sozialen Netzwerken. Die finde ich am tückischsten, weil sie zwischen lauter harmlosen Beiträgen auftaucht.

Katja: Ein bekanntes Gesicht aus dem Fernsehen schwärmt von einer Geldanlage mit riesigen Gewinnen. Oder ein Mann im Kittel empfiehlt ein Mittel gegen Gelenkschmerzen. Oder: Herzlichen Glückwunsch, du hast gewonnen, du zahlst nur noch die Versandkosten.

Jens: Und da bin ich knallhart. Promi mit Geldtipp: immer Betrug. Ein echter Gewinn kostet nie Geld. Und gewinnen kann man nur, wo man mitgemacht hat.

Katja: Bei den Geldanlagen gibt es übrigens eine Fortsetzung, die viele nicht kennen. Wer seine Telefonnummer hinterlässt, wird angerufen, sehr freundlich, sehr kompetent. Man zahlt einen kleinen Betrag ein, sieht auf einer schicken Seite schöne Gewinne und zahlt nach. Die Gewinne gibt es nur auf dem Bildschirm.

Jens: Und wenn man auszahlen will, kommen plötzlich Gebühren. Und wer schon gezahlt hat, bekommt später noch einen Anruf. Da bietet dann jemand an, das Geld gegen eine Gebühr zurückzuholen. Manchmal nennt er sich Anwalt.

Katja: Dieselben Täter in neuer Verpackung.

Jens: Auflegen. Und diese Anzeigen kann man melden, direkt am Beitrag. Kostet nichts und schützt andere.

KI als Prüfhelfer mit Grenzen

Katja: Und jetzt die schöne Wendung. Die KI, die die Betrüger benutzen, kann auch dir helfen. Als zweite Meinung.

Jens: Wie genau?

Katja: Bei einer verdächtigen Mail tippst du den Text ab oder beschreibst ihn mit eigenen Worten. Ohne deinen Namen, ohne Kundennummern. Nicht markieren und kopieren, dabei landet der Finger schnell mal auf einem Link. Anhänge öffnest du sowieso nicht. Und dann lässt du die KI die Warnzeichen benennen. Druckmittel, verdächtige Formulierungen, typische Muster. Beim Shop genauso: Du beschreibst, was dir auffällt, und bittest um einen nüchternen Blick.

Jens: Einen nüchternen Blick, der sich nicht mitfreut. Das ist eigentlich das Wertvollste daran, wenn man gerade das Schnäppchen haben will.

Katja: Genau. Und jetzt die Grenzen, und die sind wichtig. Frag die KI nicht, ob ein bestimmter Shop seriös ist.

Jens: Aber viele Programme können doch inzwischen im Internet nachschauen.

Katja: Können sie. Und genau deshalb klingt ihr Urteil überzeugender, als es ist. Sie liest dieselbe Seite wie du, mit denselben gefälschten Siegeln. Und ein Laden, der seit zwei Wochen offen ist, hat noch keine Warnungen im Netz. Die entstehen erst, wenn schon jemand Geld verloren hat. Dazu kann sie einen Laden mit einem ähnlich klingenden verwechseln.

Jens: Also ist ein „Ich habe nichts Negatives gefunden“ bei einem neuen Laden gar nichts wert.

Katja: Gar nichts. Eine erfundene Unbedenklichkeitsbescheinigung ist gefährlicher als keine. Und bei der Mail genauso: Eine perfekt gemachte Fälschung kann auch für die KI unauffällig aussehen. Deshalb ist sie eine zweite Meinung, nicht das letzte Wort. Das letzte Wort hat die Regel: nicht über den Link, selbst hingehen.

Jens: Die KI hilft beim Prüfen, nicht beim Urteilen.

Wenn es passiert ist

Jens: Und jetzt mein Teil, weil das der Moment ist, in dem viele vor lauter Scham gar nichts tun. Erstens: Wer darauf hereinfällt, ist nicht dumm. Diese Maschen sind Profi-Arbeit. Es ist keine Frage der Klugheit, sondern des falschen Augenblicks.

Katja: Danke, dass du das so deutlich sagst.

Jens: Zweitens: Tempo. Wer überwiesen hat, ruft sofort die Bank an. Manchmal ist das Geld noch gar nicht draußen, die Bank hat bis zum Ende des nächsten Geschäftstags Zeit. Sonst kann sie beim Empfänger anfragen, ob er es freigibt. Ein Recht darauf hast du nicht, eine Chance schon.

Katja: Bei der Lastschrift ist es entspannter, die kannst du acht Wochen lang ohne Angabe von Gründen zurückbuchen lassen. Bei der Kreditkarte reklamierst du bei deiner eigenen Bank, dafür hast du ungefähr vier Monate. Viele wollen allerdings, dass du vorher ein paar Wochen auf die Ware wartest.

Jens: Und für Karten und Online-Banking gibt es den Sperr-Notruf, eins, eins, sechs, eins, eins, sechs. Rund um die Uhr. Und von dieser Nummer ruft nie jemand bei dir an.

Katja: Drittens: Wenn du irgendwo Zugangsdaten eingegeben hast, sofort das Passwort ändern. Und überall, wo du dasselbe Passwort benutzt. Das vergessen fast alle. Wo es geht, zusätzlich die Anmeldung mit zweitem Faktor einschalten, also mit einem Code aufs Handy.

Jens: Dann alles sichern, Bestätigung, Zahlungsbeleg, Bildschirmfotos vom Shop, solche Seiten verschwinden schnell. Anzeige erstatten, bei jeder Polizeidienststelle oder in vielen Bundesländern online. Den Shop bei der Verbraucherzentrale melden. Und darüber reden. Scham ist der beste Verbündete der Betrüger.

Ist das sicher?

Katja: Und die Pflichtfrage. Kostet das Prüfen etwas? Nein. Die Prüfschritte dauern ein paar Minuten, der Fakeshop-Finder ist kostenlos, die KI als zweite Meinung auch.

Jens: Bei den Daten: Ein Impressum in die KI zu kopieren ist unbedenklich, das sind öffentliche Angaben. Meine eigenen Daten haben da nichts zu suchen. Keine Bestellnummer, keine Kontodaten, keine Adresse. Und bei einer verdächtigen Mail bekommt die KI nur den Text, ohne Namen.

Katja: Kaputt machen kannst du beim Prüfen nichts. Eine Mail lesen oder abtippen ist ungefährlich. Gefährlich wird es beim Klicken, beim Öffnen von Anhängen und beim Eingeben von Daten. Und wenn Geld weg ist, sind Bank, Polizei und Verbraucherzentrale die richtigen Ansprechpartner, nicht das Chatfenster.

Prompts zum Mitnehmen

Jens: Zum Mitnehmen. Erste Situation: eine Mail, die dich unsicher macht. Du schreibst: „Ich beschreibe dir eine E-Mail, ohne Namen und Nummern. Angeblich von meiner Bank: Mein Konto werde eingeschränkt, ich soll innerhalb von vierundzwanzig Stunden über einen Link meine Daten bestätigen. Die Absenderadresse enthält den Namen der Bank mit dem Zusatz Sicherheit und einer Zahl. Nenne mir alle Warnzeichen, dann was dagegen spricht, und sag mir zum Schluss, wie ich die Sache prüfe, ohne in der Mail etwas anzuklicken.“

Katja: Der funktioniert, weil du Für und Wider verlangst und am Ende eine Handlung statt eines Urteils. Zweitens, der Shop. „Ich will bei einem Online-Shop bestellen, den ich nicht kenne. Der Preis liegt bei einem Drittel dessen, was andere verlangen. An der Kasse bleibt nur Überweisung übrig, im Impressum steht eine Adresse, aber keine Telefonnummer, und die Bewertungen stammen alle aus derselben Woche. Spiel den nüchternen Freund, der sich nicht mitfreut: Was passt nicht zusammen, und was sollte ich prüfen, bevor ich bezahle?“

Jens: Der Kniff ist die Rolle. Der nüchterne Freund hält gegen dein eigenes Wunschdenken. Drittens, das Impressum. „Hier ist das Impressum eines Online-Shops. Prüf, ob alle Angaben drinstehen, die ein Shop in Deutschland haben muss, und was auffällig ist. Sag mir ausdrücklich, was du von hier aus nicht beurteilen kannst.“ Und darunter fügst du das Impressum ein.

Katja: Da steckt drin: öffentliche Daten statt eigener, und die Erlaubnis, Grenzen zuzugeben. Und viertens, für die Familie. „Schreib mir einen Notfallzettel für neben das Telefon: Was tun, wenn man auf eine Betrugsmail, einen falschen Shop oder falsche Werbung hereingefallen ist? Höchstens acht Punkte in der richtigen Reihenfolge, kurze klare Sätze, keine Fachwörter. Lass eine Zeile frei für die Telefonnummer der eigenen Bank.“

Jens: Der funktioniert, weil du Zweck, Reihenfolge und Format vorgibst. Und die Lücke für die Bank füllst du selbst, von der Karte.

Dein nächster Schritt

Jens: Und bis zum nächsten Mal?

Katja: Mach den Notfallzettel. Einmal für dich und einmal für deine Eltern. Die Nummer der Bank trägst du von der Karte oder vom Kontoauszug ein, nicht aus dem Internet. Und dann leg ihn neben das Telefon.

Jens: Zwei Zettel, zwei Telefone. Und beim Hinbringen hab ich gleich einen Anlass für ein Gespräch. Mach ich.

Merksatz und Verabschiedung

Katja: Wenn du nur eins mitnimmst: Wenn etwas zu schön ist, um wahr zu sein, dann ist es nicht wahr.

Jens: Nicht, wie es aussieht, zählt, sondern was es von dir will. Nie über den Link, selbst hingehen. Und wer reinfällt, ist nicht dumm, sondern ruft sofort die Bank an.

Katja: Die Warnzeichen gibt es auch auf Papier. Dominik hat Schummelzettel zum Ausdrucken gemacht, einer heißt „Woran ich einen Betrugsversuch erkenne“. Kostenlos unter hallo-ki.de/zettel.

Jens: In der nächsten Folge wird es persönlich. So bringst du deinen Eltern KI bei. Mit Geduld, ohne Maus-Übernahme und mit einem Buch, das genau dafür geschrieben ist. Ich bin Jens.

Katja: Ich bin Katja. Bleib wachsam, aber entspannt. Bis zum nächsten Mal.