Ob durch gefälschte E-Mails, falsche Identitäten oder gezielte Desinformation: Social Engineering zielt darauf ab, Opfer zur Preisgabe sensibler Daten oder Handlungen zu bewegen. Rechtlich relevant sind dabei vor allem Betrug, Computerbetrug (§ 263a StGB) oder Datenausspähung, während die Abgrenzung zu erlaubter Sozialtechnik oft schwierig ist. Diese Übersicht zeigt, wie Beschuldigte die Täuschungshandlung oder den Vorsatz bestreiten, Beweislücken bei der Kausalität aufdecken und eine überzogene strafrechtliche Bewertung entkräften können – besonders bei komplexen Angriffszenarien oder unternehmensinternen Vorfällen.
Anwaltskanzlei Ferner Alsdorf: Kontakt zu Rechtsanwalt Ferner im Raum Aachen
Fachlich hochqualifiziert: Alle unsere Strafverteidiger sind Fachanwälte für Strafrecht; RA JF ist zudem Fachanwalt für IT-Recht mit fortlaufenden Publikationen und Lehrbeauftragter für IT-Compliance und Wirtschaftsstrafrecht (FH Aachen)
Das Oberlandesgericht Bremen (1 U 32/24) hat in einem bemerkenswerten Hinweisbeschluss grundlegende Fragen zur Autorisierung von Zahlungsvorgängen und zur Haftung bei Täuschung durch sogenannte Call-ID-Spoofing-Betrüger behandelt. Der Fall betraf die Freigabe einer pushTAN durch einen Bankkunden, der aufgrund einer Täuschung glaubte, eine Rückbuchung zu veranlassen, tatsächlich aber eine Echtzeitüberweisung autorisierte. Das Gericht klärte zentrale rechtliche Probleme zur Anfechtbarkeit von Autorisierungen, zur groben Fahrlässigkeit und zu Gegenansprüchen von Zahlungsdienstleistern.
Das Landgericht Hagen (Az. 9 O 258/23) hatte über die Klage einer Firma zu entscheiden, die Ersatzansprüche aus einem Cyberversicherungsvertrag geltend machte. Der Kern der Auseinandersetzung lag darin, dass die Versicherung den geltend gemachten Schaden nicht regulieren wollte, da aus ihrer Sicht – mangels insoweit notwendiger IT-Sicherheitsverletzung – eine Cyberversicherung nicht bei Schäden durch betrügerische E-Mails greift.
Die Klage wurde abgewiesen, was auf die Auslegung der Versicherungsbedingungen und den Sachverhalt im konkreten Fall zurückzuführen war.
In den letzten Jahren hat die künstliche Intelligenz (KI) enorme Fortschritte gemacht und sich zu einem mächtigen Werkzeug entwickelt, das sowohl positive als auch negative Auswirkungen auf demokratische Prozesse haben kann. Während KI das Potenzial hat, die Demokratie zu stärken und die politische Beteiligung zu fördern, birgt sie auch erhebliche Risiken, insbesondere im Kontext von Wahlen.
Im Zuge der fortschreitenden Digitalisierung hat sich die Landschaft der internationalen Sicherheit erheblich verändert. Besonders die Aktivitäten von staatlich unterstützten Hackergruppen rücken immer mehr in den Fokus der globalen Aufmerksamkeit. Eine dieser Gruppen, die in den letzten Jahren besonders hervorgetreten ist, operiert aus China.
Diese Hacker, oft in direkter oder indirekter Verbindung mit der chinesischen Regierung, sind bekannt für ihre Bemühungen, durch Cyberangriffe technologische und wirtschaftliche Vorteile zu erlangen. In diesem Blog-Beitrag werde ich in lockerem Stil auf die Thematik eingehen.
Der Fokus liegt auf der Bewertung, wie KI, insbesondere große Sprachmodelle (LLMs), die Cyberbedrohungslandschaft beeinflussen, sowohl für Angreifer als auch für Verteidiger. Der Bericht hebt hervor, wie KI-basierte Technologien die Möglichkeiten und Techniken der Cyberkriminalität erweitern, aber auch wie sie zur Stärkung der Cybersicherheitsmaßnahmen eingesetzt werden können.
Generative KI verlangt unserer Gesellschaft viel ab: Schon jetzt ist immer weniger das, wonach es aussieht. Man darf (und sollte) weder seinen Ohren noch seinen Augen trauen – und es wird immer einfacher, selbst ohne erhebliche eigene Ressourcen oder technische Fertigkeiten, Angriffsszenarien mithilfe von KI aufzubauen.
Die Analyse „GenAI against humanity: nefarious applications of generative artificial intelligence and large language models“ bietet eine tiefgreifende Analyse der missbräuchlichen Anwendungen von Generativer Künstlicher Intelligenz (GenAI) und Großen Sprachmodellen (LLMs). Diese Studie, verfasst von Emilio Ferrara, betrachtet die dunkle Seite dieser Technologien, indem sie verschiedene schädliche Szenarien und deren potenzielle Auswirkungen auf Gesellschaft und Individuen aufzeigt.
In einer Ära, in der Cyberangriffe zunehmend raffinierter und zahlreicher werden, stehen Unternehmen vor der Herausforderung, ihre Cybersecurity-Strategien zu stärken. Dabei stoßen sie oft auf das Problem des Mangels an gut ausgebildeten IT-Sicherheitspersonal. „Cybersecurity as a Service“ (CSaaS), ein Dienst, der von Managed Security Service Providern (MSSPs) angeboten wird, bietet eine mögliche Lösung für dieses Problem. Eine Studie von John Morris, Stefan Tatschner, Michael P. Heinl und anderen bietet einen Überblick über gängige CSaaS-Funktionen und deren Anbieter und gibt insbesondere kleinen und mittelständischen Unternehmen Leitlinien zur Auswahl eines geeigneten MSSPs.
Ein gemeinsamer Sicherheitshinweis von BfV und NIS vom 19. Februar 2024 informiert über nordkoreanische Cyberspionageaktivitäten gegen die Rüstungsbranche. Nordkorea fokussiert auf den Diebstahl fortschrittlicher Rüstungstechnologien, um sein Militär zu stärken.
Der Hinweis enthält Taktiken, Techniken, Verfahren (TTPs) und Indikatoren für Kompromittierungen (IoCs) der DVRK. Er beschreibt zwei Fälle von Cyberangriffen: einen Supply-Chain-Angriff auf ein Forschungszentrum und Social Engineering-Angriffe durch die Gruppe LAZARUS. Die Empfehlungen betonen präventive Maßnahmen und Sensibilisierung der Rüstungsbranche und anderer Sektoren für solche Bedrohungen.
Am 13.12.2023 wurden durch Ermittler des Fachkommissariates Cybercrime der Zentralen Kriminalinspektion der Polizeidirektion Göttingen unter der Sachleitung der Staatsanwaltschaft Göttingen im Rahmen eines internationalen Einsatzes gegen die Betreiber und Mittäter mehrerer sog. Cybertradingplattformen diverse strafprozessuale Maßnahmen umgesetzt. Dabei wurden in Zusammenarbeit mit Eurojust und Europol insgesamt sechs Objekte auf Zypern, sechs Objekte in Deutschland und in eigener Zuständigkeit ein Objekt in Schweden durchsucht. Im Rahmen dieser Durchsuchungen konnten diverse Beweismittel, darunter IT-Hardware wie Smartphones, Laptops/Computer, Datenträger und zahlreiche Dokumente, sichergestellt werden. Zudem konnten im weiteren Verlauf der Maßnahmen drei Beschuldigte im Alter von 24 bis 33 Jahren im europäischen Ausland, je einer in Belgien, in Montenegro und auf Zypern, festgenommen werden, denen gewerbsund bandenmäßiger Betrug vorgeworfen wird.
Das umfangreiche, bereits seit November 2021 laufende Ermittlungsverfahren, richtet sich gegen eine Tätergruppierung aus dem Bereich des sog. Cybertradings. Bei diesem in den vergangenen Jahren häufig anzutreffenden Kriminalitätsphänomen beraten angebliche Finanzexperten, die in aller Regel aus Callcentern im Ausland anrufen, die potentiellen Geschädigten über vermeintlich lukrative Anlage- und Finanzprodukte. Die Anleger werden dabei darüber getäuscht, dass die investierten Beträge tatsächlich nicht gewinnbringend angelegt und auf Wunsch nebst den erzielten Gewinnen ausgezahlt werden. Über die verfahrensrelevanten Plattformen „Blue-Lable“, „i-Banners“, „AllCinvest“ und „Greenlinepro“ ist es so in Deutschland zu einem sechsstelligen Schaden gekommen. Alleine über die weitere relevante Plattform „Daxiron“ kam es zu einem Schaden in Höhe von 3,3 Mio. Euro, wobei davon auszugehen ist, dass der tatsächlich durch diese Plattformen verursachte Schaden um ein Vielfaches höher liegt.
Die Ermittlungen dauern weiter an. Die im Ausland festgenommenen Beschuldigten sollen nach Deutschland ausgeliefert und die Beweismittel ausgewertet werden. (Quelle: Pressemitteilung der StA Göttingen vom 04.01.2024)
Das Landgericht Heilbronn (Bm 6 O 10/23) hat entschieden, dass das sog. pushTAN-Verfahren, bei dem die TAN auf dem Mobiltelefon in einem anderen Programm (App) angezeigt wird, als demjenigen, das auch den Zugang zur Bank über die auf demselben Smartphone installierte Bank-App (SecureGo-App) vermittelt, ein erhöhtes Gefährdungspotential aufweist, da statt der Nutzung getrennter Kommunikationswege nur noch zwei Apps auf einem Gerät verwendet werden.
Konsequenz: Nach Auffassung des Landgerichts liegt damit keine Authentifizierung aus mindestens zwei voneinander unabhängigen Elementen im Sinne des § 1 Abs. 24 ZAG vor, weshalb die für die Annahme eines Anscheinsbeweises für die Autorisierung eines Zahlungsauftrags im Sinne des § 675w BGB erforderliche sehr hohe Sicherheit nicht bejaht werden kann.
NIS2UmsuCG: Zur Umsetzung der NIS2-Richtlinie liegt inzwischen der Referentenentwurf eines Gesetzes zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung (NIS-2-Umsetzungs- und Cybersicherheitsstärkungsgesetz – NIS2UmsuCG) vor.
Es zeichnet sich ab, dass das BSI-Gesetz sich verändern wird: Ursprünglich angetreten, um die Kompetenzen und Maßnahmen des BSI zu regeln, wandelt es sich immer mehr zum Cybersicherheits-Regelungswerk. Dies war mit dem IT-Sicherheitsgesetz schon absehbar, wurde mit dem IT-Sicherheitsgesetz 2.0 aufgebohrt und wird nun auf ein vollkommen neues Level gehoben. Insbesondere die Privatwirtschaft muss sich warm anziehen.
Hinweis zum laufenden Stand des Gesetzgebungsverfahrens: Eigentlich muss die NIS2-Richtlinie bis Mitte Oktober umgesetzt sein. Es gibt aber erst seit Mai 2024 überhaupt Referentenentwürfe, was bereits Zweifel daran weckt, ob das rechtzeitig was wird. Mit Blick hierauf wurde ein Absatz dazu aufgenommen, was eine verspätete Umsetzung bedeutet. Der Artikel wurde auf den Stand des zweiten Referentenentwurfs (Bearbeitungsstand: 24.06.2024) gebracht.
Dass der Einsatz von Ransomware strafbar ist, dürfte wenig überraschen – die Verschlüsselung von Daten zur Abpressung von Geld etwa wird datenstrafrechtlich nach nationalem Recht im Bereich des §303a I StGB liegen (Tatmodalität unterdrücken oder letztlich unbrauchbarmachen) und für den Hintermann bei Ransomware-as-a-Service wird im Zweifel wenigstens der §202d I StGB vorliegen (was bisher zu wenig beachtet wird). Hinzu kommen je nach Tatmodalität die weiteren Varianten, etwa bei vorherigem Phishing nach §263a II StGB oder am Ende auch schlicht eine klassische Erpressung.
Gleichwohl hat sich nun auch der Ausschuss für das Übereinkommen über Cyberkriminalität (T-CY) zu dieser Frage geäußert. Dabei hat der T-CY sich damit beschäftigt, welche Vorgaben der Convention on Cybercrime (CCC, „Budapester Übereinkommen) betroffen sind. Auch wenn dies nur eine Auslegungshilfe ist, also keinen verbindlichen Charakter hat, hat es de Facto eine erhebliche Bindungswirkung in der Auslegung der damit im Einklang stehenden nationalen Gesetze der ratifizierenden Staaten.
Der Betrug mit dem Verkauf von Kryptowährungen ist ein Millionengeschäft – und viele kennen inzwischen die Anrufe, bei denen ein Fremder am Telefon ist und versucht, einem entweder schmackhaft zu machen, seine Zahlungsdaten herauszugeben – oder versucht einem beharrlich einzureden, man hätte sich längst registriert und müsse nun noch ein paar Daten bestätigen.
Eurojust berichtet nun, dass man in einem „beispiellosen“ Vorgehen einen massiven Schlag führen konnte: Es soll um Hunderttausende von Anlegern gehen, die durch den Betrug geschädigt wurden, wobei der entstandene Schaden auf 50 Millionen Euro pro Quartal geschätzt wird. Man fing wohl im Jahr 2016 an, seit 2018 wurde ermittelt:
Auf Ersuchen der spanischen, deutschen und finnischen Behörden haben Eurojust und Europol eine Aktion gegen einen massiven Anlagebetrug unter Verwendung von Kryptowährungen unterstützt. Die Zahl der Opfer dieses großen Online-Betrugs wird auf mehrere hunderttausend geschätzt. Bei Einsätzen am 8. und 9. November in Albanien, Bulgarien, Georgien, Nordmazedonien und der Ukraine wurden 15 Callcenter durchsucht und 5 Verdächtige verhaftet.
Die Verdächtigen gehören mutmaßlich zu einer organisierten Verbrechergruppe (OCG), die an einem Anlagebetrug mit Kryptowährungen beteiligt sein soll. Das kriminelle Netzwerk nutzte Dutzende von Callcentern in mehreren Ländern und Hunderte von Online-Plattformen, um den Betrug zu begehen.
Die Verdächtigen gaben sich als Makler aus, die den Anlegern helfen sollten, mit kleinen Investitionen große Geldbeträge zu verdienen. In Wirklichkeit täuschte die OCG die Opfer, indem sie sich ihr Vertrauen sowohl online als auch über professionell eingerichtete Callcenter oder andere Formen des so genannten Social Engineering erschlichen. Auf diese Weise wurden die Opfer ermutigt, über von der kriminellen Organisation kontrollierte Webplattformen zu investieren, was dazu führte, dass sie große Geldsummen verloren.
Das Vorgehen ist in der Tat beispiellos, aber nicht der erste Fahndungserfolg – ich weiß aus anderen meiner Verfahren, wie (selbst-)sicher sich die Betreiber bzw. Anrufer in den Call-Centern fühlen und auch am Telefon aufführen. Tatsächlich aber ist man keineswegs abgesichert, nur weil man sich hinter Grenzen „versteckt“; das vorliegende Verfahren zeigt auf, wie massiv man sich heute koordinieren kann; ich selber habe schon erlebt, dass selbst in der Türkei Call-Center letztlich hochgenommen wurde – zuletzt wurde ein Call-Center in Indien unter Vermittlung von Interpol still gelegt.
Man muss ein ziemlicher Idiot sein, um in der heutigen Zeit zu glauben, dass man dauerhaft mit Call-Centern betrügen kann, ohne ermittelt zu werden – nur weil man sich hinter einer Grenze zu verstecken versucht. Im schlimmsten Fall sitzt man dann über Monate in Auslieferungshaft und kann nur hoffen, das gesundheitlich in brauchbarem Zustand durchzustehen.
Wie kritisch das moderne Strafprozessrecht ist, zeigen dabei aktuelle Beispiele – es droht eben nicht nur die Haft und ein Verfahren, sondern durch zunehmend weltweit (und mindestens europaweit) harmonisierte Regeln der Vermögensabschöpfung sind sämtliche vorhandenen Werte weg. Ein aktuelles Beispiel bei Interpol zeigt, wo das hingehen kann – man hat kürzlich fast 130 Millionen Euro festgesetzt im Zuge von Ermittlungen gegen „Cyber-Financial-Crime“.
Anfang November 2022 wurde der alljährliche ENISA-Report zur Cyber-Bedrohungslandschaft vorgestellt. Neben dem BSI-Lagebericht ist dies eine besonders bedeutende Quelle für aktuelle Entwicklungen im Bereich Cybersicherheits-Bedrohungen.
Schon auf den ersten Blick zeigt sich duchaus eine Überraschung: Die allgegenwärtigen und noch 2021 ausdrücklich hervorgehobenen „Mail-Bedrohungen“Mail related threats“ sind verschwunden, stattdessen steht das Social Enginnering im Fokus. Die wesentlichen Erkenntnisse stellen im Gesamtbild das dar, was man in den vorgangenen 1,5 Jahren miterlebt hat – im Detail gibt es aber Informationen die aufhorchen lassen.
