Betrug mit Spam-E-Mails: Was hinter dem 50-Millionen-Versprechen steckt

Milliarden Spam-E-Mails landen täglich in Postfächern. Wer hinter den Nachrichten steckt, ist meist unklar. Doch wie genau gehen die Betrüger vor? t-online.de hat sich zum Schein auf die Betrugsmasche eingelassen.

50 Millionen Pfund – von dieser Erbschaft trennen Horst Rodelmaier noch zwei Dinge: ein sechsseitiger Vertrag, in dem er auch das Passwort seines E-Mail-Postfachs nennen muss. Und eine "Gebühr" von knapp 11.000 Pfund. Erst dann soll das Geld auf seinem Konto landen.

Doch das Erbe gibt es gar nicht: Es ist nur Vorwand eines Betrügers, der sich als Frank Howard ausgibt – Mitarbeiter einer Londoner Bank. Die Millionen versprach er Rodelmaier in einer Spam-E-Mail. Das wahre Ziel: Geld und sensible Daten zu erbeuten. Doch was der Betrüger nicht weiß: Auch Horst Rodelmaier ist erfunden. Er dient als Köder, um herauszufinden, wie solch eine Masche abläuft.

Was folgt, ist ein wochenlanger E-Mail-Austausch. Rodelmaier wird in dessen Verlauf mit Technikproblemen kämpfen, zweimal im Krankenhaus landen, den Betrug mehrmals anzweifeln und sich um die Beerdigung seiner plötzlich verstorbenen Mutter kümmern. Doch ganz gleich, wie absurd die Lügengeschichten auch werden: Der Betrüger hält an seiner Masche fest – und verliert darum am Ende, als selbst Betrogener, ein wichtiges Bankkonto.

Erster Kontakt

Die erste Betrugs-E-Mail erreicht die Redaktion am 23. Oktober 2019. Auf Englisch schreibt dort ein "Mr. Frank Howard". Er arbeite für eine Bank in London und gratuliert zu einer Erbschaft in Höhe von 50 Millionen Britischen Pfund. Das sei so festgelegt "im Nachtrag und letzten Testaments eines verstorbenen Kunden". Ein Name wird "aus Sicherheitsgründen" nicht genannt, bei Interesse soll sich der E-Mail-Empfänger melden.

Nachrichten wie diese landen täglich milliardenfach in E-Mail-Postfächern. Meist handelt es sich dabei um Spam: Diese E-Mails machen oft Werbung für dubiose Produkte – wie etwa Pillen für eine Penisvergrößerung. In anderen Fällen sind es Hoax-, Phishing- oder Scam-E-Mails. Doch ganz gleich, wie diese Nachrichten auch bezeichnet werden mögen: Wer den Versprechungen oder Warnungen in diesen E-Mails glaubt, wird am Ende stets enttäuscht und erhält weder das versprochene Schnäppchen noch das erhoffte Millionenerbe. In vielen Fällen landen dabei persönliche Daten bei Betrügern, in anderen verlieren die Opfer mehrere Tausend Euro.

Das Opfer Horst Rodelmaier wird geboren

Meist sind solche E-Mails schon auf den ersten Blick zu erkennen, das gilt auch für Howards Nachricht. Merkwürdig ist etwa, dass die Absenderadresse unter einem anderen Namen läuft oder dass der angebliche Bankangestellte in die Betreffzeile 15 Dollarzeichen schreibt. Auch das Englisch wirkt für einen Londoner Bankmitarbeiter recht holprig. Dennoch antworten wir auf die Nachricht und erschaffen dafür ein glaubhaftes Opfer: "Horst Rodelmaier". Rodelmaier ist 67 Jahre alt, Ingenieur, seit zwei Jahren Rentner – und am Erbe interessiert.

Schlechtes Englisch, allgemein holprige Sprache oder eine unglaubliche Geschichte sind Eigenschaften, die viele solcher Betrugs-E-Mails gemein haben. Laut Sicherheitsexperten habe beides Kalkül. Mithilfe holpriger Sprache und auch absurder Geschichten wollen Betrüger sicherstellen, dass nur leichtgläubige Nutzer auf ihre Nachrichten antworten. Denn das erhöht die Erfolgschance für den Betrug.

Im Fall von Howard wird klar: Solange alles wie geplant läuft, ist das Englisch in den E-Mails okay. Tut Rodelmaier aber etwas Unvorhergesehenes, verschlechtert sich die Sprache drastisch. Das zeigt sich vor allem gegen Ende des Betrugs.

Horst Rodelmaier heißt plötzlich anders

Seine erste Nachricht versendet Rodelmaier von einer neu erschaffenen Gmail-Adresse, die der Betrüger überhaupt nicht kennen dürfte: Dennoch reagiert Howard auf die E-Mail. Um die Testamentsdokumente besorgen zu können, brauche der angebliche Banker von Rodelmaier persönliche Details wie Name und Adresse.

Im E-Mail-Austausch fällt auf: Howard spricht sein Opfer stets als "Dear Rodelmaier" an – offenbar hält der Kriminelle "Rodelmaier" für den Vornamen seines Opfers, weshalb der angeblich verstorbene Verwandte später konsequenterweise "Horst" mit Nachnamen heißen wird. Die versprochenen Testamentsdokumente liefert Betrüger Howard drei Tage später. Auf die Frage, wer der verstorbene Verwandte sei, schweigt Howard – vorerst.

Die Dokumente des Betrügers können Sie in dieser Fotoshow anschauen. Diese Dokumente soll Horst Rodelmaier unterschreiben und an die E-Mail-Adresse eines bulgarischen Providers schicken. Damit das Ganze schnell passiert, übt Howard auf Rodelmaier moralischen Druck aus: Um an die Dokumente zu gelangen, zahlte Howard angeblich rund 1.500 Pfund für Notar und Stempel. Mit Sätzen wie "Ich habe eine Menge Geld investiert" wird er im zukünftigen E-Mail-Verlauf immer wieder darauf hinweisen.

Horst Rodelmaier zweifelt am Erbe

Bisher lief für Howard alles wie gewünscht, darum wird es nun Zeit für etwas Unvorhergesehenes: "Ich brauche Hilfe, um die Dokumente zu scannen, da ich mit Computern sehr unerfahren bin", schreibt Rodelmaier dem angeblichen Bankmitarbeiter. "Können Sie mir bitte noch etwas Zeit geben?"

Es wird nicht das letzte Mal sein, dass wir mit Ausreden den Betrugsprozess verzögern. Im Verlauf der Konversation werden die Geschichten aber immer unglaubwürdiger. Doch Howard lässt sich nie davon beirren. Auch diesmal reagiert der falsche Bankberater sofort und rät Rodelmaier, ein "Business Center" aufzusuchen. Da soll der Rentner die Unterlagen drucken, unterschreiben und scannen.

Dort trifft der Rentner auf weitere Widrigkeiten: "Der Inhaber des Copyshops war neugierig und darum erzählte ich ihm die Geschichte vom Erbe", antwortet Rodelmaier einen Tag später. "Er sagte mir, dass ich aufpassen soll, da es sich um einen Betrug handeln könne." Rodelmaier fordert außerdem zum dritten Mal – und mit Nachdruck – mehr Infos zum toten Verwandten.

Frank Howard antwortet diesmal schneller als sonst: Der verstorbene "Mr. Richard Horst" sei ein "Rohöl-Händler hier in England" gewesen, der bei einem Autounfall starb. Auch mahnte er Rodelmaier an, Dritten nichts vom Erbe zu erzählen, und fügt hinzu: "Gehen Sie bitte nie mehr in diesen Copyshop."

Horst Rodelmaier kommt ins Krankenhaus

Die Antwort überzeugt Rodelmaier, er schickt die unterschriebenen Dokumente an die angebliche E-Mail-Adresse der Lloyds Bank. Nur eine Stunde später antwortet ein Antonio D. Perres. Er bestätigt den Eingang der Dokumente und schickt zwei neue Formulare, die Rodelmaier ausfüllen soll. Hier verlangen die Betrüger deutlich mehr Informationen: unter anderem Kontodaten sowie eine Ausweiskopie. Für eine Rückmeldung bekommt Rodelmaier nur drei Werktage Zeit. Sonst werde die Bank das Geld als "unbeansprucht" zurückzuschicken.

Es wird sich aber zeigen, dass der Kriminelle länger als drei Tage warten kann. Einige Tage und vier unbeantwortete E-Mails von Howard später liefert Rodelmaier dem Betrüger eine Erklärung für die Verzögerung: "Ich schreibe Ihnen aus dem Krankenhaus. Leider fiel ich die Treppe runter und habe mich verletzt", schreibt Rodelmaier. "Die Ärzte wollen mich zur Beobachtung noch hierbehalten, darum konnte ich die Dokumente nicht zurücksenden."

Howard wünscht gute Besserung und drängt darauf, die Dokumente alsbald zurückzusenden. Von nun an beginnt er fast jede E-Mail mit Worten wie: "Mein guter Freund, wie ist Ihre Gesundheit heute?" Auf den Vorschlag Rodelmaiers, dass doch sein bester Freund die Dokumente zurückschicken könnte, antwortet Howard: "Lassen Sie aus Sicherheitsgründen nicht einmal Ihren besten Freund über all das wissen (…) gehen Sie auch zu keinem Copyshop." Außerdem wird aus dem eben noch legalen Erbe plötzlich eine Mauschelei: "Bei meiner Bank weiß niemand von dieser Transaktion, bitte behalten Sie es darum auch für sich."

So sieht Frank Howard angeblich aus

Rodelmaier lässt sich dennoch von einem Freund helfen. Doch auch der warnt den Rentner vor Betrug. Das schreibt Rodelmaier dem falschen Bankberater Howard an einem Samstag. Wie immer, wenn der Betrug in Gefahr zu sein scheint, reagiert Howard umgehend. Schon nach zwei Stunden schickt der vermeintliche Bankmitarbeiter einen Arbeitsausweis: "Der angehängte Ausweis soll meine Legitimität in dieser Transaktion beweisen", schreibt Howard. "Ich möchte, dass beide Seiten ehrlich zueinander sind. Und ich rate Ihnen, nicht auf Dritte zu hören, ehe das Geld auf Ihrem Konto in Deutschland angekommen ist." Und fast schon flehend: "Ich möchte, dass Sie mir glauben, dass das kein Betrug ist."

Das Foto auf dem "Ausweis" zeigt Stephan Engels, den Chief Financial Officer (CFO) der Commerzbank. Das ergibt eine Rückwärtsbildersuche mit der Website TinEye. Auf Anfrage von t-online.de schreibt eine Pressesprecherin der Commerzbank, dass man bei falschen Social-Media-Profilen oder betrügerischen Websites im Namen der Commerzbank "umgehend deren Abschaltung" einleite. Da der Betrug in diesem Fall aber per E-Mail erfolge, lasse sich wenig machen.

Horst Rodelmaier kommt erneut ins Krankenhaus

Horst Rodelmaier überzeugt der falsche Ausweis. Doch um Howards Geduld zu testen, schicken wir den Rentner erneut ins Krankenhaus – wegen Spätfolgen seines Sturzes. Außerdem lassen wir nun seinen Freund "Frank Pfalzbauer" antworten – jedoch vom selben E-Mail-Account: "Ich muss Sie darüber informieren, dass mein Freund seit Samstag wieder im Krankenhaus ist", schreibt Pfalzbauer. "Ich kann die nötigen Dokumente an seiner statt unterschreiben."

Das schreibt Pfalzbauer Mitte November. Ursprünglich sollte Rodelmaier die Dokumente innerhalb von drei Tagen zurückschicken. Nun sind mehr als zwei Wochen vergangen. Spätestens jetzt sollte Howard bemerken, dass er selbst betrogen wird. Vor allem, da uns ein Fehler unterlaufen ist: In all der Verwirrung stellen wir uns zwar als "Frank Pfalzbauer" vor, unterzeichnen die E-Mail aber mit "Manfred Pfalzbauer".

Auch Howard fällt das auf. In den kommenden E-Mails springt er zwischen den beiden Namen hin und her. Dennoch scheint er die Geschichte zu glauben. Denn zwei Tage später antwortet er "Frank Pfalzbauer". Standardgemäß fragt er nach der Gesundheit Rodelmaiers und erneut weist er darauf hin, dass er "viel Geld aufgewendet habe, um die Dokumente zu besorgen". Rodelmaier solle sich darum bemühen, sie alsbald unterschrieben zurückzuschicken.

Rodelmaier soll 10.000 Pfund überweisen – als Gebühr

Nach einigem Hin und Her schickt Rodelmaier schließlich die ausgefüllten Dokumente an Howards Bankkollegen Antonio. D. Perres. Die verlangte Ausweiskopie sparen wir uns, den Betrüger scheint das aber nicht zu stören. Er geht nun zum eigentlichen Zweck des E-Mail-Austauschs über – dem Vorschussbetrug: Damit das Erbe endlich überwiesen werden könne, müssten vorher "SWIFT-Gebühren" beglichen werden: etwa 11.000 Pfund (circa 13.000 Euro). Vorab vom Erbe abziehen ließe sich das leider nicht, bedauert Perres. "Es ist gegen unsere Bankrichtlinien."

Rodelmaier stimmt den Vereinbarungen zu und erhält von Perres die Daten eines Kontos der Metro Bank in London. Gleichzeitig meldet sich Howard und liefert ein sechsseitiges Dokument zur "Vermögensverwaltung". Klicken Sie hier, um sich das Dokument anzuschauen. Auch das soll Rodelmaier unterschreiben. Überraschenderweise soll Frank Pfalzbauer ebenfalls unterzeichnen – als Zeuge. Auch soll Rodelmaier sein E-Mail-Konto plus Passwort im Dokument angeben. Als Grund sagt Howard: "Das ist so die Richtlinie."

Die Metro Bank erfährt vom Betrug

Auf diese Weise möchte der Betrüger wohl das Konto Rodelmaiers übernehmen. Zusammen mit den anderen Informationen hätte er genug Daten für einen Identitätsdiebstahl. Vermutlich ist er auf diese Weise auch an das Konto bei der Metro Bank gekommen. Denn bei dessen Inhaber handelt es sich sicher nicht um den Betrüger, wie sich zeigen wird. Howard macht aber den Fehler, dass er von Rodelmaier die Unterschrift eines Zeugen verlangt. So können wir in den kommenden Wochen den Prozess mit Ausreden wie "Mein Freund Frank ist derzeit sehr beschäftigt" beliebig lang hinauszögern.

Zeitgleich informieren wir die Metro Bank, dass eines ihrer Konten von einem Betrüger genutzt wird. Nach nur 20 Minuten meldet sich das Institut zurück. Eine Pressesprecherin bittet um weitere E-Mails und verspricht, die Sache näher zu untersuchen. Die Antwort kommt noch am selben Tag: Die Bank habe Schritte eingeleitet, um das Konto zu schließen, teilt uns eine Sprecherin mit. "Zudem werden wir die jeweiligen Behörden in Großbritannien über den Vorgang informieren."

Rodelmaier konfrontiert Howard mit der Realität

Rentner Rodelmaier und Betrüger Howard bekräftigen unterdessen per E-Mail ihre "Freundschaft". Sie plaudern über das Wetter und der Rentner erzählt, dass er mit dem Erbe eine Weltreise plane. Rodelmaier würde Howard gern in London besuchen und ihn zum Essen einladen. Howard willigt ein. "Du kannst mit deiner Tochter, ihren Kindern und Mann gern kommen", schreibt der Betrüger. "Ich habe auch eine Familie und wir können Familien-Freunde werden."

Mittlerweile läuft der Austausch nun seit mehr als einem Monat – Zeit für den Schlussakt. Rodelmaier ist jetzt endgültig misstrauisch geworden und schreibt Howard, dass er die Gebühr in Höhe von 11.000 Pfund nicht überweisen könne. Ein Bankmitarbeiter habe Rodelmaier aufgeklärt, dass das Ganze ein Betrug sei. Auch sei es ja komisch, dass das Geld an die Metro Bank überwiesen werden soll und nicht an die Lloyds Bank, bei der Howard angeblich arbeite. Und: Ein Freund Rodelmaiers habe auf dem Ausweis von Howard den Commerzbank-CFO Stephan Engels erkannt.

Das alles teilen wir dem Betrüger im Namen Rodelmaiers mit, in der Hoffnung, ihm noch persönliche Informationen zu entlocken: "Weißt du, der Bankangestellte wollte schon die Polizei rufen", schreibt Rodelmaier. "Aber ich wollte erst wissen, warum du das alles machst. Bist du überhaupt aus Großbritannien? Wer bist du wirklich?" Rodelmaier bekräftigt, dass er Howard vertraut habe. Dass er bereits sein ganzes Leben lang versuche, seinen Mitmenschen zu helfen. "Lass mich dir helfen, Frank Howard", bittet Rodelmaier. "Wenn du noch einen kleinen Funken Anstand in dir hast, wirst du mir eine ehrliche Antwort geben – das weiß ich."

Die Geschichte hätte hier zu Ende sein können, schließlich ist der Betrug endgültig durchschaut. Doch erneut überrascht uns Howard: Nur eine halbe Stunde später liegt eine Antwort im Postfach. Sie ignoriert alle gestellten Fragen und das Englisch ist fehlerhafter als sonst. Grob übersetzt steht da:

Der Betrüger sendet ein Konto aus Deutschland

Entweder hat Howard Rodelmaiers E-Mail falsch verstanden oder er ist verzweifelt. Als Rodelmaier zwei Tage schweigt, schickt Howard eine weitere Nachricht – ähnlich der vorherigen, jedoch ein wenig länger und nachdrücklicher.

Nach anfänglichem Zögern lassen wir uns – erneut – auf den Schwindel ein: Jetzt erhalten wir von Perres ein Konto aus Deutschland, von der Sparkasse Schwarzwald-Baar in Villingen-Schwenningen. Diesmal will Howard lästige Nachfragen von vornherein vermeiden und rät: "Wenn die Bank dir Fragen stellt, sag ihnen, dass das Geld für den Kauf eines Autos sei – oder ein Familienprojekt."

Das Sparkassen-Konto läuft unter einem anderen Namen als das bei der Metro Bank. Eine Person mit gleichem Namen steht sogar im Telefonbuch von Villingen-Schwenningen, t-online.de hatte mit ihr Kontakt. Das Ganze belegt, dass der Betrüger wohl durch Identitätsdiebstahl an die Konten kam.

Auch hier informieren wir die Bank über den Betrug. Im Gegensatz zur Metro Bank reagiert die Sparkasse jedoch erst einige Tage später nach telefonischer Nachfrage: "Bitte haben Sie Verständnis, dass wir Ihnen aus datenschutzrechtlichen Gründen keinerlei Auskunft geben können", lautet die Antwort. "Ich kann Ihnen versichern, dass wir die von Ihnen gegebenen Hinweise prüfen und gegebenenfalls entsprechende Maßnahmen einleiten werden." Ob das Konto gesperrt wurde, bleibt unklar.

Rodelmaiers Mutter stirbt überraschend

Da wir das Geld nicht überweisen werden, halten wir Howard und Perres weitere Tage mit verschiedenen Ausreden hin. Erst ist Rodelmaiers Freund Frank im Urlaub und kann deshalb die Erklärung nicht unterschreiben. Dann ist die nächste Bank zu weit weg und Rodelmaier könne sie ohne Auto nicht erreichen. Ein mehrtägiges Schweigen begründete Rodelmaier schließlich mit dem plötzlichen Tod seiner Mutter.

Howard zeigt sich "total schockiert" und bekundet sein Beileid. Schon im nächsten Satz drängt er aber wieder darauf, das Geld schnell zu überweisen. "Das Erbe wird dich bei der Beerdigung deiner Mutter unterstützen", schreibt Howard. "Am besten gehst du heute noch vor Nachmittag zur Bank, damit der Prozess schnell bearbeitet wird."

Howard will sich in Rodelmaiers Konto hacken

Es wird Zeit, die Sache zu beenden. Schließlich schicken wir Howard das geforderte Dokument, inklusive der Log-in-Daten zu Rodelmaiers E-Mail-Account. Einen Überweisungsbeleg bekommt Howard nicht, was ihn ziemlich ärgert:

Auf diese letzte E-Mail antworten wir nicht mehr – und warten. Schließlich hat Howard jetzt auch die Zugangsdaten für Rodelmaiers E-Mail-Konto. Was er allerdings nicht weiß: Das Gmail-Konto ist mit einer Zwei-Faktor-Authentifizierung gesichert. Wenn sich Unbekannte einloggen wollen, muss der Kontobesitzer den Vorgang auf seinem Smartphone bestätigen. Google speichert zudem IP-Adresse und weitere Informationen zum Anmeldevorgang.

Howard kann sich den ganzen Tag gedulden. Dann um kurz vor Mitternacht, 37 Tage nach dem ersten Kontakt, versucht er, sich in Rodelmaiers Konto einzuloggen: Um 23.31 Uhr meldet Google einen unbekannten Anmeldeversuch. Der Log-in soll von einem Gerät mit "Windows NT 6.1" stattfinden. Eine halbe Stunde später liefert Google einen ausführlicheren Bericht: So nutzt der Betrüger als Browser Chrome und die IP lautet 81.171.58.157.

Eine Internetrecherche zeigt, dass diese IP-Adresse oft im Zusammenhang mit Betrugsversuchen auftaucht. Ob der Betrüger wirklich in den USA sitzt, ist anzuzweifeln. Vermutlich nutzt er ein Virtual Private Network, ein System, das den wahren Standort des Nutzers verschleiert.

Wir ändern das Passwort und klären den Schwindel auf. Wir schreiben dem Betrüger nun als Journalisten und bitten ihn, einige Fragen zu beantworten: Wie viele Menschen fallen auf die Masche rein? In welchem Land sitzt Howard wirklich? Seit wann versucht er, Menschen zu betrügen? Arbeiter er allein? Und wie ertragreich ist die Masche?

Doch diesmal schweigt Howard – endgültig. Dafür meldete sich die Metro Bank erneut – mit einer für Howard sicher unerfreulichen Nachricht: "Das Bankkonto in Großbritannien, das Sie uns ursprünglich gemeldet haben, ist derzeit blockiert." Und: "Es dauert für gewöhnlich sieben Tage, bis es formell geschlossen wird – also am Ende dieser Woche."