Die Bank N26 wird von der Finanzaufsicht Bafin wegen mangelnder Kontrollsysteme kontrolliert. Wir schauen heute darauf, wie Betrüger im Detail vorgehen, um die Hürden von N26 zu umgehen.
Die Bafin hat aktuell ein Auge auf N26 geworfen und droht in diesem Zusammenhang sogar mit Wachstumsbeschränkungen. Die Details zu den Verfahren werden wir aus erster Hand wohl kaum erfahren. Ich möchte das Thema heute mal von der anderen Seite aufrollen: der „Schwachstelle Mensch“.
Kontrollsysteme sollen bei Banken im besten Fall immer dann zum Einsatz kommen, wenn Betrüger Lücken im System ausnutzen wollen. Dieses Ausnutzen erfolgt heutzutage in der Regel über eine „Dritte Person“, die wenig bis keine Ahnung von N26, Fintechs, Onlinebanken, Video-Ident o.ä. hat. Im Grunde ist es sehr viel einfacher, ein leichtgläubiges Opfer zu finden, als Daten zu erspähen. Das wissen die Betrüger.
Im Rahmen unserer Recherchen zur Bank N26 sind wir in Kontakt mit einem Opfer gekommen. Also jemandem, der uns nachweisbar aufzeigen konnte, wie Betrüger vorgehen. Der Ansatz ist dabei bekannt: Im Kern wird eine Art „App-Test“ mit Vergütung ausgerufen, auf den man sich bewerben kann. Kommuniziert wird über gängige Messenger-Systeme, in diesem Fall über WhatsApp.
Dem Opfer soll dabei glaubhaft gemacht werden, dass es kein „echtes Konto“ nutzt, sondern dies nur zum Test eröffnet, um den Service von N26 zu beurteilen. Dafür soll dann eine angebliche Aufwandsentschädigung gezahlt werden. Für Kontrollsysteme ist das schwer zu erkennen, da theoretisch auch ein „echter“ Kunde am anderen Ende sitzen könnte.
Das Protokoll eines N26-Betrugs
Uns ist es nun in Absprache mit einem Opfer ermöglicht worden, das gesamte Chat-Protokoll des Betrugs zu erhalten und dies hier zu veröffentlichen. Der Vorfall wurde zudem an N26 und die zuständige Strafverfolgungsbehörde weitergeleitet. Zum Schutz des Opfers wurden ausschließlich persönliche bzw. individuelle Daten von uns geändert, alle anderen Inhalte wurden unverändert übernommen.
Jeder kann sich mit dem Protokoll einmal selbst ein Bild davon machen, wie Betrüger versuchen ahnungslose Nutzer zu überzeugen, N26-Konten für gewisse Vorgänge zu eröffnen bzw. einzusetzen, die wiederum für kriminelle Zwecke genutzt werden. Weiterhin soll das ganze Lehre und Warnung zugleich sein. Nicht nur für euch, sondern eventuell auch für Personen in eurem Umfeld, die weniger versiert im Bereich der Fintechs sind.
Beginn Chat-Protokoll
13.07.21, 15:41 – Nachrichten und Anrufe sind Ende-zu-Ende-verschlüsselt. Niemand außerhalb dieses Chats kann sie lesen oder anhören, nicht einmal WhatsApp. Tippe, um mehr zu erfahren.
13.07.21, 15:41 – Dies ist ein Chat mit einem Unternehmens-Account. Tippe, um mehr zu erfahren.
13.07.21, 15:41 – Mitarbeiter: Guten Tag, wir bedanken uns für deine Anfrage auf Lendinaro.com. Aktuell vergeben wir N26 Aufträge mit einer Totalvergütung von 275€. Sollten Sie Interesse haben teilen Sie mir dies gerne mit.
13.07.21, 15:41 – Dies ist ein Chat mit einem Unternehmens-Account. Tippe, um mehr zu erfahren.
13.07.21, 16:10 – Julia: Ja ich hätte Interesse daran.
Vielen Dank das Sie sich gemeldet haben.
13.07.21, 16:16 – Mitarbeiter: Im N26 Auftrag durchlaufen Sie den Verifizierungsprozess mit Ihren Daten und Ihrem Personalausweis. Sie setzen am Ende dann eine Freigabe PIN sodass unser System erkennt das dies nur ein Test-Konto ist. Anschließend wird Ihre Vergütung ausgezahlt.
13.07.21, 16:32 – Julia: Okay ,was muss ich da jetzt machen .?
13.07.21, 16:33 – Mitarbeiter: Möchten Sie den Auftrag durchführen?
13.07.21, 16:33 – Julia: Ja möchte ich
13.07.21, 16:33 – Mitarbeiter: Super.
13.07.21, 16:34 – Mitarbeiter: Ich würde erstmals Ihre Angaben abfragen.
13.07.21, 16:34 – Mitarbeiter: Ist das für Sie in Ordnung?
13.07.21, 16:36 – Julia: Ja
13.07.21, 16:37 – Mitarbeiter: Ihr voller Vorname: Julia
Ihr voller Nachname: Müller
Geburtsdatum: 26.05.1969
Geburtsort: Stadt / Fluß
Anschrift: Hauptstraße 8a in 09876 Stadt / Fluß
13.07.21, 16:37 – Mitarbeiter: Teilen Sie mir mit ob diese Angaben korrekt sind.
13.07.21, 16:38 – Julia: Sind Sie
13.07.21, 16:38 – Mitarbeiter: Super bitte installieren Sie die „N26“ auf Ihrem Smartphone vor.
13.07.21, 16:38 – Mitarbeiter: Teilen Sie mir mit wenn dies geschehen ist.
13.07.21, 16:42 – Mitarbeiter: Haben Sie die App installiert?
13.07.21, 16:43 – Julia: Geht nicht ,bringt immer Fehler bei meiner Anschrift ich versuche es nochmal
13.07.21, 16:43 – Mitarbeiter: Nein
13.07.21, 16:43 – Mitarbeiter: Installieren Sie nur die App
13.07.21, 16:43 – Mitarbeiter: Die Zugangsdaten erhalten Sie von uns.
13.07.21, 16:44 – Mitarbeiter: Ich teile Ihnen die Zugangsdaten per WhatsApp mit.
13.07.21, 16:44 – Mitarbeiter: Wichtig ist das Sie die Anleitung genaustens durchlesen und sich dann mit den Login-Daten einloggen.
13.07.21, 16:44 – Mitarbeiter: Haben Sie das so verstanden?
13.07.21, 16:45 – Julia: Okay ich hab es verstanden
13.07.21, 16:45 – Mitarbeiter: Wichtig ist das Sie mir umgehend schreiben sobald dieser erledigt ist, sodass ich den Auftrag als erledigt markieren kann.
13.07.21, 16:46 – Mitarbeiter: Sie erhalten nun die Zugangsdaten mit der Anleitung:
13.07.21, 16:46 – Mitarbeiter: Sie können mit dem N26-Auftrag beginnen, *beachten Sie jedoch den unteren Hinweis*.
Loggen Sie sich mit folgenden Daten in der N26-App ein:
E-Mail: ab8765432x@*net.de
Passwort: äölkjhgfdsa
Achten Sie bitte auf die Groß- und Kleinschreibung.
Führen Sie dann den App-Test durch indem Sie den Verifizierungsprozess durchlaufen.
Wir bitten um eine Rückmeldung sobald Sie den Auftrag bzw. den Verifizierungsprozess abgeschloßen haben.
Bitte beachten Sie das Sie die Freigabe PIN: 2020 erstellen. Nur so können wir sicherstellen das dies ein Test-Konto ist.
*WICHTIGER HINWEIS: Bitte als Freigabe PIN: 2020 setzen sodass der Job als fertiger Auftrag gewertet wird.*
Teilen Sie uns bitte mit sobald der Auftrag abgeschloßen ist.
13.07.21, 16:57 – Mitarbeiter: Teilen Sie mir mit sobald die Verifizierung abgeschloßen ist.
13.07.21, 16:59 – Julia: Ist alles abgeschlossen
13.07.21, 16:59 – Mitarbeiter: Teilen Sie mir bitte den SMS Code mit.
13.07.21, 17:00 – Mitarbeiter: Die SMS wurde versandt.
13.07.21, 17:01 – Julia: 345789
13.07.21, 17:01 – Mitarbeiter: Super.
13.07.21, 17:02 – Mitarbeiter: Es dauert nun 24 Stunden bis wir die Bestätigung im System erhalten.
13.07.21, 17:02 – Mitarbeiter: Behalten Sie bitte weiterhin die App.
13.07.21, 17:02 – Mitarbeiter: Die Kontogebühren übernehmen wir für Sie damit der Vorgang für Sie absolut kostenfrei bleibt.
13.07.21, 17:02 – Julia: Danke
13.07.21, 17:02 – Mitarbeiter: Sobald dies abgeschloßen ist verifizieren wir lediglich Ihre persönlichen Angaben für eine Auszahlung der Vergütung.
13.07.21, 17:03 – Julia: Okay
13.07.21, 17:03 – Mitarbeiter: Sie erhalten zudem die N26 Karte zugesandt per Post fotografieren Sie diese ab und senden sie diese per WhatsApp zu sodass wir die Karte deaktivieren können.
13.07.21, 17:03 – Mitarbeiter: Ich melde mich bei Ihnen sobald ich eine Rückmeldung habe.
13.07.21, 17:03 – Mitarbeiter: Der Vorgang dauert in der Regel ca. 2-3 Werktage ( ab Montag ).
13.07.21, 17:04 – Mitarbeiter: Haben Sie eventuell Fragen?
13.07.21, 17:04 – Julia: Was muss ich nun noch machen dafür,daß ich Geld ausgezahlt bekomme?
13.07.21, 17:05 – Mitarbeiter: Sobald wir die Karte abfotografiert zugesandt haben und wir diese deaktivieren können wird Ihre Provision ausgezahlt.
13.07.21, 17:05 – Mitarbeiter: Ich melde mich innerhalb 24 Stunden bei Ihnen.
13.07.21, 17:06 – Julia: Okay
13.07.21, 17:06 – Mitarbeiter: Haben Sie das Verstanden?
13.07.21, 17:06 – Mitarbeiter: Super.
13.07.21, 17:06 – Julia: Ja
13.07.21, 17:11 – Julia: Für was bekomme ich dann Provision und wieviel…..?
13.07.21, 17:12 – Mitarbeiter: Sie bekommen 275€ als Provision ausgezahlt. Sie erhalten danach ein Fragebogen diesen benötigen wir dann ausgefüllt zurück für weitere Marktumfragen.
13.07.21, 17:12 – Mitarbeiter: Im Fragebogen beschreiben Sie den Verlauf des Verifizierungsprozess in der N26 App.
13.07.21, 17:13 – Julia: Okay ich habe das jetzt verstanden
13.07.21, 17:14 – Mitarbeiter: Super.
13.07.21, 17:14 – Julia: Vielen Dank
13.07.21, 17:14 – Mitarbeiter: Gerne.
13.07.21, 17:15 – Mitarbeiter: Sollten Sie weitere Fragen haben und ich etwas verzögert antworte bitte ich um Verständnis.
13.07.21, 17:15 – Julia: Ja okay ,vielen Dank.
13.07.21, 17:15 – Mitarbeiter: Wir sind derzeit restlos ausgelastet.
14.07.21, 18:08 – Mitarbeiter: Guten der App Auftrag ist bestätigt wir würden gerne morgen Ihre persönlichen Angaben für eine Auszahlung der Vergütung verifizieren.
14.07.21, 18:09 – Mitarbeiter: Teilen Sie mir bitte eine für Sie optimale Uhrzeit für morgen mit. Der Vorgang dauert ca. 2-3 Minuten.
14.07.21, 19:25 – Julia: Morgen 10.00 Uhr
14.07.21, 22:20 – Mitarbeiter: Eventuell wird sich dies verzögern auf Abends, da wir aktuell ausgelastet sind.
14.07.21, 22:20 – Mitarbeiter: Ich würde Sie aber zeitnah kontaktieren.
14.07.21, 23:15 – Julia: Okay dann morgen Abend
15.07.21, 18:41 – Mitarbeiter: Guten Abend, teilen Sie mir doch mit wenn Sie zur Verfügung stehen, der Vorgang dauert dann ca. 2-3 Minuten.
15.07.21, 18:41 – Julia: Jetzt
15.07.21, 18:42 – Mitarbeiter: Super ich bereite dies kurz vor, Sie erhalten dann den Verifizierungslink per SMS klicken Sie diesen dann an und führen Sie die Verifikation durch.
15.07.21, 18:42 – Julia: Ja okay
15.07.21, 18:51 – Mitarbeiter: Super die Adressverifizierung war erfolgreich.
15.07.21, 18:51 – Julia: Okay was passiert jetzt dann
15.07.21, 18:52 – Mitarbeiter: Wir erwarten nun lediglich das Foto der Karte damit wir diese deaktivieren können und die Auszahlung genehmigt wird.
15.07.21, 18:52 – Mitarbeiter: Die Gebühren werden am Montag auf dem Testkonto erstattet somit bleibt der Vorgang weiterhin kostenfrei für Sie.
15.07.21, 18:53 – Julia: Okay dann muss ich jetzt nur warten
15.07.21, 18:54 – Mitarbeiter: Exakt.
15.07.21, 18:54 – Julia: Okay dann schönen Abend noch
15.07.21, 19:07 – Mitarbeiter: Ihnen auch.
16.07.21, 13:59 – Mitarbeiter: Automatische Nachricht: Die Kontoführungsgebühr wurde dem Testkonto erstattet
16.07.21, 14:10 – Julia: Okay vielen Dank
17.07.21, 15:31 – Mitarbeiter: Guten Tag.
17.07.21, 15:32 – Mitarbeiter: Das System benötigt kurz den SMS Code für den Testauftrag.
17.07.21, 15:54 – Julia: Du hast diese Nachricht gelöscht.
17.07.21, 15:56 – Julia: 987123
17.07.21, 16:09 – Mitarbeiter: Dieser ist abgelaufen
17.07.21, 16:09 – Mitarbeiter: Wir würden einen neuen zusenden
17.07.21, 16:09 – Mitarbeiter: Teilen sie mir mit wenn Sie Anwesend sind kurz.
17.07.21, 16:14 – Julia: Jetzt
17.07.21, 16:15 – Mitarbeiter: Der Code wurde versandt.
17.07.21, 16:15 – Julia: 524713
17.07.21, 16:16 – Mitarbeiter: Super vielen Dank.
17.07.21, 20:07 – Julia: Bitte
18.07.21, 11:01 – Mitarbeiter: Guten Tag, das System benötigt einen erneuten SMS Code bevor der Auftrag morgen endgültig abgeschloßen ist. Teilen Sie mir mit wenn die SMS versandt werden kann.
18.07.21, 11:14 – Julia: Jetzt
18.07.21, 11:19 – Mitarbeiter: Super einen Moment.
18.07.21, 11:19 – Mitarbeiter: Die SMS wurde versandt.
18.07.21, 11:21 – Julia: Hey der Code ist 567432
18.07.21, 11:21 – Mitarbeiter: Vielen Dank.
18.07.21, 11:24 – Julia: Bitte
19.07.21, 12:15 – Mitarbeiter: Guten Tag, teilen Sie mir mit sobald Sie Anwesend sind sodass wir den Auftrag abschließen können.
19.07.21, 12:32 – Julia: Ich habe jetzt Zeit
19.07.21, 12:34 – Mitarbeiter: Senden Sie uns per WhatsApp die Karte abfotografiert zu. Ich leite den Abschluß dann ein.
19.07.21, 12:35 – Julia: Okay ich muss die Karte aber erst bekommen ,war noch nicht da
19.07.21, 12:36 – Mitarbeiter: Laut System wurde die Karte zugestellt.
19.07.21, 12:36 – Julia: Nein ist noch nichts da
19.07.21, 12:37 – Julia: Sobald ich Sie habe melde ich mich
19.07.21, 12:37 – Mitarbeiter: Donnerstag
19. August 2021
09:39 Ortszeit | Sendung zugestellt
Service-Bereich: Stadt – GERMANY
19.07.21, 12:37 – Mitarbeiter: Ich sende Ihnen kurz den Sendungslink zu:
19.07.21, 12:37 – Mitarbeiter:
19.07.21, 12:38 – Mitarbeiter: Erfahrungsgemäß wird diese im Briefkasten hinterlegt.
19.07.21, 12:39 – Julia: Okay ich bin nachher so gegen 17 Uhr zu Hause und werde im Briefkasten nachsehen
19.07.21, 12:39 – Mitarbeiter: Super.
19.07.21, 16:24 – Mitarbeiter: Frau Müller wir sind ab 18 Uhr da.
19.07.21, 16:25 – Julia: Ja okay
19.07.21, 18:00 – Mitarbeiter: Sind Sie Anwesend?
19.07.21, 18:01 – Julia: Ja
19.07.21, 18:01 – Mitarbeiter: Ihre Nachricht konnte ich leider nicht lesen.
19.07.21, 18:02 – Julia: IMG-20210719-WA0016.jpg (Datei angehängt) (Anmerkung: Foto der schwarzen N26 Mastercard Vorderseite)
19.07.21, 18:02 – Julia: IMG-20210719-WA0017.jpg (Datei angehängt) (Anmerkung: Foto der schwarzen N26 Mastercard Rückseite)
19.07.21, 18:02 – Mitarbeiter: Ich leite den Abschluß kurz ein, Sie erhalten dann in einigen Minuten 3-4 SMS Nachrichten.
19.07.21, 18:02 – Julia: Okay
19.07.21, 18:16 – Mitarbeiter: Die erste SMS wurde versandt.
19.07.21, 18:16 – Julia: Habe ich bekommen
19.07.21, 18:16 – Mitarbeiter: Teilen Sie mir den SMS Code mit.
19.07.21, 18:17 – Julia: 098123
19.07.21, 18:17 – Mitarbeiter: Wir haben einen neuen versandt da dieser abgelaufen ist.
19.07.21, 18:17 – Mitarbeiter: Teilen sie mir den aktuellsten mit.
19.07.21, 18:18 – Julia: 123098
19.07.21, 18:20 – Mitarbeiter: Die zweite SMS wurde nun versandt.
19.07.21, 18:21 – Julia: 789456
19.07.21, 18:23 – Mitarbeiter: Nun die letzte SMS.
19.07.21, 18:24 – Julia: 4881
19.07.21, 18:24 – Mitarbeiter: Super.
19.07.21, 18:25 – Mitarbeiter: Sie können nun die App deinstallieren.
19.07.21, 18:25 – Mitarbeiter: Zerstören Sie bitte die Karte die Sie erhalten haben.
19.07.21, 18:25 – Julia: Okay und was passiert jetzt weiter
19.07.21, 18:25 – Mitarbeiter: Innerhalb 24 Stunden ist dies im System komplett abgeschloßen.
19.07.21, 18:26 – Mitarbeiter: Teilen Sie mir gleich Ihre PayPal/Bankdaten mit.
19.07.21, 18:26 – Julia: Okay
19.07.21, 18:26 – Mitarbeiter: Für die Anweisung der Provision.
19.07.21, 18:26 – Mitarbeiter: Bestätigen Sie mir das die App deinstalliert wurde und die Karte zerstört wurde.
19.07.21, 18:29 – Julia: juliamueller8@*mail.de ist die Email für pay pal
19.07.21, 18:30 – Mitarbeiter: Augenblick.
19.07.21, 18:30 – Julia: Die App wurde deinstalliert und die Karte zerstört
19.07.21, 18:36 – Mitarbeiter: Super.
19.07.21, 18:37 – Mitarbeiter: Ich melde mich sobald dies komplett abgeschloßen ist.
19.07.21, 18:37 – Julia: Wie lange dauert das etwa
19.07.21, 18:37 – Mitarbeiter: maximal 24 Stunden.
19.07.21, 18:37 – Julia: Okay
19.07.21, 18:38 – Julia: Dann noch einen schönen Abend
19.07.21, 18:42 – Mitarbeiter: Das wünsche ich Ihnen auch.
20.07.21, 11:45 – Julia: Geld ist noch nicht eingegangen auf PayPal
20.07.21, 14:06 – Mitarbeiter: Es sollte heute abgeschloßen sein, erst dann wird die Auszahlung eingeleitet.
21.07.21, 11:25 – Julia: Ich hab eine Frage, wann kann ich mit der Auszahlung rechnen, möchte ich gern mal wissen. Der Auftrag ist doch bestimmt abgeschlossen…
LG
21.07.21, 18:30 – Mitarbeiter: Guten Tag.
21.07.21, 18:30 – Mitarbeiter: Die Auszahlung erfolgt ab Montag.
21.07.21, 18:32 – Julia: Guten Abend,
Danke für die Info und noch einen schönen Samstag
23.07.21, 16:54 – Julia: Guten Tag es ist immer noch kein Geld eingegangen, finde es langsam mühselig….
23.07.21, 16:56 – Julia: Ich habe meine Bereitschaft auch gezeigt ,da möchte man eigentlich hoffen und denken,daß die andere Seite auch zu ihren Wort steht, aber anscheinend nicht.
23.07.21, 17:17 – Mitarbeiter: Bitte haben sie etwas Geduld alle Auszahlungen werden gerade bearbeitet.
23.07.21, 18:46 – Julia: Dann geben Sie mir bitte Bescheid, wann das passiert ist die Auszahlung
25.07.21, 08:58 – Julia: Habe gerade nochmal geschaut auf mein Paypal Konto, immer noch kein Geld da finde ich nicht mehr schön ,ich habe meinen Teil auch erfüllt,jetzt erfüllen Sie Ihren.
25.07.21, 15:20 – Mitarbeiter: Ihre Auszahlungsanfrage wurde bestätigt, haben Sie aber bitte etwas Geduld bis diese auch ausgeführt wird.
27.07.21, 12:44 – Julia: Bis Montag werde ich noch warten, dann überlege ich was man machen kann.
30.07.21, 08:49 – Julia: Guten Morgen,
Ich habe dann bis heute gewartet, das dass Geld überwiesen wurde, aber leider ist nichts passiert.
[…]
Ende Chat-Protokoll
Die Grundidee solch eines Betrugs ist am Ende immer ähnlich: Das Opfer muss die Situation einmal ernsthaft für vollkommen korrekt bewerten, dann macht es vielleicht nicht alles, aber sehr viel mit. Denkt dabei zum Beispiel an den „Enkeltrick“. Das Opfer muss anfgangs nur einmalig davon überzeugt werden, dass wirklich ein Enkel am Telefon ist. Der Rest ist dann schon nicht mehr so schwer.
Wie für solche Fälle wirklich sichere Kontrollsysteme aussehen könnten, bleibt nun die große Frage. Eine Bank wird sich da nicht zu tief in die Karten schauen lassen, damit Kriminelle die Systeme nicht direkt wieder aushebeln können. N26 ist ja auch bei weitem nicht die einzige Bank, die mit solchen Problemen zu kämpfen hat.