Der Urlaub ist die Zeit, in der wir unsere Wachsamkeit verringern. Betrüger wissen das seit Jahren.
Es gibt eine Statistik, die in den Broschüren der Reisebüros direkt unter dem Flugpreis stehen sollte: Über 4,3 Millionen Italiener sind während der Urlaubsplanung Opfer eines Betrugs oder Betrugsversuchs geworden, mit einem wirtschaftlichen Gesamtschaden von über 195 Millionen Euro, so die von Facile.it durchgeführte Untersuchung des EMG-Instituts. Es handelt sich nicht um den klassischen Marktstand-Betrug: Es ist ein saisonaler Kriminalitätssektor, der ebenso produktiv ist wie der Tourismus, den er ausnutzt.
Der Grund ist einfach und keineswegs rätselhaft: Wer eine Reise bucht, befindet sich bereits in einem psychologischen Zustand, der dem Betrüger entgegenkommt. Man ist aufgeregt, hat es eilig, möchte den Vorgang abschließen, bevor der Preis steigt, und steht vor allem kurz davor, seine gewohnte Umgebung zu verlassen, in der die mentalen und digitalen Kontrollen entspannter sind. Aus der Sicht eines Betrügers ist der Tourist das ideale Ziel: motiviert, abgelenkt und vorübergehend ohne Sicherheitsnetz.
Das Ferienhaus, das es nicht gibt
Die häufigste Betrugsmasche bleibt die der nicht existierenden Unterkunft, von der in den letzten 12 Monaten mehr als 3,4 Millionen Italiener betroffen waren. Der Mechanismus ist fast immer derselbe: eine verlockende Anzeige, ein etwas zu guter Preis, die Forderung nach einer Anzahlung per Überweisung, um den Termin zu blockieren. Nicht immer wird der Betrug rechtzeitig entdeckt: 31 % der Opfer gelingt es, den Betrug vor der Abreise zu erkennen, aber über eine Million Italiener entdecken ihn erst nach Erreichen des Reiseziels, mit all den Konsequenzen, die Koffer in der Hand und kein Schlafplatz mit sich bringen. Etwa 440.000 Reisende fanden sich in einer völlig anderen Unterkunft wieder als in der Anzeige angegeben, während fast 389.000 die Unterkunft bereits von anderen Gästen belegt vorfanden – ein Zeichen dafür, dass derselbe Betrug oft an mehrere Opfer parallel verkauft wird.
Besonders gut funktioniert dies auch bei Kreuzfahrten und Pauschalangeboten, die eine Anzahlung und eine spätere Restzahlung vorsehen: Die Zeit zwischen den beiden Zahlungen ist genau der Zeitraum, in dem der Betrüger verschwinden kann. Es ist keine ausgefeilte Technologie erforderlich, sondern lediglich Social Engineering, angewandt auf die Logistik der Ratenzahlung.
Die von Betrügern bevorzugten Kanäle
Urlaubsbuchungsportale, ob echt oder gefälscht, bleiben der am häufigsten genutzte Kanal: Über 1,7 Millionen Urlauber sind über diese Tools in die Falle getappt. Es folgen Betrügereien über soziale Netzwerke, die 39,3 % der Fälle ausmachen, und solche auf Immobilienportalen oder allgemeinen Anzeigenportalen mit 23,2 %. Auch das gute alte Straßenschild fordert weiterhin Opfer, wenn auch in geringerem Maße.
Es gibt zudem ein Detail, das ein gängiges Vorurteil widerlegt: Nicht ältere Menschen sind das häufigste Ziel. Laut der Postpolizei ist die am stärksten betroffene Altersgruppe die der 18- bis 24-Jährigen, während die über 65-Jährigen nur einen kleinen Teil der Opfer ausmachen, etwa 5 % der Gesamtzahl. Die Erklärung liegt nicht in altersbedingter Naivität, sondern in der Gewohnheit: Wer damit aufgewachsen ist, alles per Smartphone zu buchen, neigt dazu, Kontrollen zu überspringen, eben weil der Vorgang zu vertraut geworden ist, um riskant zu erscheinen.
Die SIM-Karte, die Sie nicht am Bahnhof kaufen sollten
Wer ins Ausland reist und Roaming-Gebühren vermeiden möchte, kauft oft eine lokale SIM-Karte, vielleicht direkt vor dem Flughafen oder in der Nähe des Bahnhofs. Genau dort sind SIM-Karten im Umlauf, deren Datenvolumen fast aufgebraucht ist, die kurz vor dem Ablaufdatum stehen oder im schlimmsten Fall gestohlen oder auf andere Personen registriert sind. Die sinnvollste Lösung, sofern das Telefon dies zulässt, ist die eSIM eines zuverlässigen Anbieters, die bereits vor der Abreise aktiviert werden kann: Sie macht den physischen Austausch überflüssig und damit einen Großteil des Risikos.
Das Portemonnaie in der falschen Tasche
Dann gibt es noch das älteste Risiko von allen, das keinen Computer benötigt: Taschendiebstahl. Belebte Bahnhöfe, Gepäckbereiche, Warteschlangen beim Boarding: Dies sind Umgebungen, in denen zufälliger Körperkontakt die Norm ist und somit der perfekte Vorwand für Taschendiebe. Das Portemonnaie in der Vordertasche, die Tasche umgehängt und geschlossen: banale Vorsichtsmaßnahmen, die unglaublich effektiv bleiben, gerade weil sie kaum jemand konsequent anwendet.
Der kopierte Schlüssel, während Sie am Meer waren
Das letzte Szenario ist vielleicht das beunruhigendste, da es den Raum betrifft, der am sichersten sein sollte: das gemietete Haus. Es wurden Fälle dokumentiert, in denen Personen eine Immobilie über Ferienhausplattformen mieten, den physischen Schlüssel kopieren und die Wohnung wieder betreten, wenn die nächsten Gäste unterwegs sind, um die Stadt zu besichtigen. Die Gegenmaßnahme ist nicht ein allgemeines Misstrauen gegenüber Kurzzeitmieten, sondern eine gezielte technische Entscheidung: Unterkünfte mit digitalem Schloss oder einem Code, der sich bei jeder Buchung ändert, zu bevorzugen.
Warum es sich lohnt, auch diejenigen zu schulen, die nicht im Büro arbeiten
Es gibt einen Punkt, der denjenigen, die sich im Unternehmen mit IT-Sicherheit befassen, oft entgeht: Die Risikoschulung hört fast immer am Schreibtisch auf, und Technologie wird als ein vom menschlichen Verhalten getrenntes Problem behandelt. Doch der Mitarbeiter, der während der Arbeitszeit eine Phishing-E-Mail erkennt, ist derselbe, der im Urlaub auf einen Buchungsbetrug hereinfallen kann, weil ihm niemand erklärt hat, dass dieselben Dynamiken (Dringlichkeit, falsches Vertrauen, Ablenkung) außerhalb des Büros identisch funktionieren.
Dies ist die Überlegung, auf der wir unseren Ansatz aufbauen: Wir glauben, dass Technologie Malware blockiert, aber der menschliche Faktor der Hauptrisikovektor bleibt und dass beide Ebenen (technischer Schutz und menschliches Verhalten) zusammenarbeiten müssen, nicht parallel. Aus diesem Grund kombiniert unsere Plattform mehrstufigen E-Mail-Schutz, der Phishing-Versuche abfangen kann, bevor sie den Posteingang erreichen, mit kontinuierlicher Schulung, die nicht in einem isolierten Kurs endet, adaptiven Phishing-Simulationen und einem Risk Score, der das Geschehen im E-Mail-Postfach mit dem verknüpft, was die Menschen zu erkennen lernen. Es handelt sich nicht um Awareness auf der einen und technische Sicherheit auf der anderen Seite; es ist eine einzige Infrastruktur, die den Verteidigungsreflex trainiert, sowohl im Büro als auch am Flughafen.
Das operative Fazit
Vor der Abreise drei konkrete Dinge: Aktivieren Sie eine eSIM, anstatt unterwegs eine physische SIM-Karte zu kaufen, überprüfen Sie, ob die gebuchte Unterkunft über ein digitales Schloss oder zumindest einen nicht wiederverwendbaren Code verfügt, und behandeln Sie jede Anzahlungsanfrage für Veranstaltungen oder Kreuzfahrten mit demselben Misstrauen, das Sie einer E-Mail vom „Chef“ entgegenbringen würden, der um eine dringende Überweisung bittet.
Der Urlaub dient dazu, mental abzuschalten, nicht aber dazu, das kritische Urteilsvermögen auszuschalten: Dieses muss eingeschaltet bleiben, besonders wenn die Koffer bereits gepackt sind.
