Irgendwann erhält ein großer Teil der Internetnutzer eine E-Mail, in der der Absender behauptet, kompromittierendes Material zu besitzen, den Computer des Empfängers gehackt oder ihn über die eigene Webcam aufgezeichnet zu haben, und eine Kryptowährungszahlung verlangt, um zu verhindern, dass dieses Material mit Kontakten, der Familie oder der Öffentlichkeit geteilt wird. Dies ist eine der häufigsten Formen kryptowährungsbezogenen Betrugs, und sie funktioniert, weil sie darauf ausgelegt ist, Panik auszulösen, bevor ein Opfer klar denken kann. Dieser Leitfaden erklärt, wie diese Betrügereien tatsächlich funktionieren, warum fast immer Bitcoin als Zahlung verlangt wird, und was Sie wirklich tun sollten, wenn Sie eine solche E-Mail erhalten.
Die grundlegende Struktur einer Krypto-Erpressungs-E-Mail
Trotz unzähliger Variationen folgt die überwältigende Mehrheit dieser Nachrichten einer nahezu identischen Vorlage, was selbst ein nützlicher Hinweis darauf ist, wie sie in großem Maßstab produziert und verbreitet werden.
- Die Behauptung, der Absender habe Malware auf Ihrem Gerät installiert, oft unter Nennung eines Passworts, das Sie tatsächlich einmal verwendet haben, als Beweis – typischerweise aus einem alten, unabhängigen Datenleck stammend
- Die Behauptung, sie hätten Sie über Ihre Webcam aufgenommen, während Sie eine Erwachsenenwebsite besucht haben, oder auf private Fotos, Nachrichten oder Dateien zugegriffen
- Eine Drohung, dieses Material an Ihre gesamte Kontaktliste zu senden, öffentlich zu posten oder Ihren Arbeitgeber oder Ihre Familie zu benachrichtigen, sofern nicht innerhalb einer kurzen Frist gezahlt wird, oft 24 bis 48 Stunden
- Eine Zahlungsforderung speziell in Bitcoin, gesendet an eine direkt in der E-Mail enthaltene Wallet-Adresse
- Sprache, die vom Melden abschrecken soll, etwa die Behauptung, sie würden Ihre Reaktion überwachen oder die Einschaltung der Polizei würde die sofortige Veröffentlichung des Materials auslösen
In der überwältigenden Mehrheit der dokumentierten Fälle handelt es sich um einen vollständigen Bluff. Es gibt keine echte Malware, keine Webcam-Aufnahme und kein kompromittierendes Material. Die E-Mail wird massenhaft an riesige Verteilerlisten versendet, und das als Beweis angeführte alte Passwort stammt aus einem zuvor durchgesickerten, unabhängigen Datenleck, das nichts mit Ihrem aktuellen Gerät zu tun hat.
Ein Beispiel, Zeile für Zeile kommentiert
Eine typische Nachricht beginnt mit einer Zeile wie: Ich kenne Ihr Passwort [ein altes, echtes Passwort], ich habe vollen Zugriff auf Ihr Gerät. Diese Zeile setzt vollständig auf den Schock des Empfängers beim Anblick eines echten Passworts und stammt fast immer aus einem Datenleck bei einer irgendeiner unabhängigen Website Jahre zuvor, nicht aus tatsächlichem aktuellem Zugriff. Sie geht weiter mit etwas wie: Ich habe über eine von Ihnen besuchte Erwachsenenwebsite einen Trojaner installiert und Video über Ihre Webcam aufgezeichnet. Diese Behauptung ist absichtlich generisch gehalten, damit sie auf möglichst viele Empfänger zutrifft, und wird mit selbstsicherer, spezifisch klingender technischer Sprache präsentiert – Malware, Trojaner, Fernzugriffstool –, um glaubwürdiger zu wirken, als sie tatsächlich ist.
Die Nachricht nennt dann typischerweise eine Frist: Senden Sie den Gegenwert von einigen hundert Dollar in Bitcoin an die folgende Adresse innerhalb von 48 Stunden, sonst sende ich dieses Video an alle in Ihrer Kontaktliste. Sowohl die konkrete Dollarsumme als auch die kurze Frist sind bewusste Drucktaktiken. Sie endet meist mit einer Warnung davor, die Polizei zu kontaktieren, mit der Begründung, der Absender überwache den Posteingang – eine Behauptung ohne jede technische Grundlage, da der Absender keinen tatsächlichen Zugriff auf die Geräte oder Konten des Empfängers hat. Liest man die E-Mail und identifiziert jede dieser Taktiken einzeln, ist der Bluff weit leichter zu erkennen, als wenn man sie in einem Moment der Panik liest.
Verbreiteter Irrtum: Einmal zahlen beendet es
Eine erhebliche Anzahl von Menschen, die eine Massenerpressungsforderung bezahlen, tun dies in der Überzeugung, die Situation dauerhaft zu lösen. In der Praxis bestätigt eine Zahlung dem Absender zwei Dinge: dass die E-Mail-Adresse des Ziels aktiv und überwacht wird, und dass das Ziel unter Druck bereit ist zu zahlen. Beide Tatsachen machen ein wiederholtes Ziel wertvoller, nicht weniger, und es ist üblich, dass dieselbe oder eine andere Erpressungskampagne jemanden erneut ins Visier nimmt, der bereits einmal gezahlt hat, manchmal innerhalb weniger Wochen, oft mit einer höheren Forderung beim zweiten Mal. Es gibt keinen Verifizierungsschritt, keine Bestätigung und keine tatsächliche Übersicht darüber, wer gezahlt hat und wer nicht, außer dem, was die eigene Bitcoin-Wallet des Absenders zeigt – und selbst das bietet dem Absender keine echte Möglichkeit, eine Zahlung als endgültig von einer Zahlung als Einladung zu einem weiteren Versuch zu unterscheiden.
Warum speziell Bitcoin
Bitcoin ist bei diesen Kampagnen bei Weitem die bevorzugte Währung, aus praktischen Gründen und nicht wegen einer besonderen Verbindung zur Drohung selbst. Es kann weltweit ohne Bankintermediär versendet werden, erfordert keine Identitätsprüfung des Absenders, wie es bei einer Überweisung der Fall wäre, und eine Wallet-Adresse kann sofort erzeugt und über eine enorme Menge identischer, an unterschiedliche Ziele gesendeter E-Mails hinweg verwendet werden. Untersuchungen zu Sextortion-Kampagnen haben ergeben, dass praktisch in allen dokumentierten Fällen Bitcoin genutzt wird, genau weil diese Eigenschaften es zum Weg des geringsten Widerstands für einen im großen Maßstab operierenden Betrüger machen, statt eine einzelne Person gezielt anzugreifen.
Wie verbreitet und wie kostspielig das tatsächlich ist
Erpressung gehört in den FBI-Daten durchgängig zu den am häufigsten gemeldeten Kategorien von Internetkriminalität, mit jährlich Zehntausenden Meldungen allein in den Vereinigten Staaten, und gemeldeten finanziellen Verlusten, die sich jährlich auf zweistellige Millionenbeträge belaufen. Einzelne Zahlungen sind nach den Maßstäben von Kryptowährungsbetrug tendenziell relativ bescheiden, oft im Bereich weniger hundert bis ein paar tausend Dollar, was selbst eine bewusste Wahl ist, da eine kleinere Forderung von einem panischen Empfänger eher schnell gezahlt wird, ohne innezuhalten, um die Drohung zu überprüfen.
Eine ernstere Variante: gezielte Sextortion
Eine eigenständige und wesentlich ernstere Kategorie betrifft Fälle, in denen die Drohung kein Bluff ist, meist gerichtet gegen Minderjährige oder junge Erwachsene, die zuvor durch eine erfundene Online-Beziehung dazu manipuliert wurden, echte Bilder oder Videos zu teilen, manchmal aufgebaut über ein gefälschtes Dating-Profil oder einen Social-Media-Kontakt über einen längeren Zeitraum. Diese Variante, manchmal finanzielle Sextortion genannt, wurde mit international operierenden organisierten kriminellen Gruppen in Verbindung gebracht und hat zu dokumentierten tragischen Folgen geführt. Existiert echtes Material tatsächlich aufgrund einer früheren Online-Beziehung, sollte dies als ernste Straftat behandelt und umgehend den Strafverfolgungsbehörden gemeldet werden, bei Fällen mit Minderjährigen zusätzlich dem National Center for Missing and Exploited Children, statt es wie eine routinemäßige Spam-E-Mail zu behandeln.
Wie man einen Bluff von einem echten Fall unterscheidet
Die Unterscheidung läuft in der Regel auf eine einfache Frage hinaus: Gab es tatsächlich eine vorherige Beziehung, ein Gespräch oder einen Austausch von Bildern mit der Person, die die Drohung ausspricht, selbst wenn sich diese Beziehung als auf einer falschen Identität aufgebaut herausstellt. Eine Massenerpressungs-E-Mail trifft aus dem Nichts ein, ohne vorherigen Kontakt, und bezieht sich auf nichts Spezifisches zum Empfänger außer einem wiederverwendeten Passwort. Ein gezielter Fall folgt auf Wochen oder Monate echter Konversation, oft über eine Dating-App, eine Social-Media-Plattform oder eine Messaging-App, während derer tatsächlich Bilder oder Videos geteilt wurden, und die Person, die Forderungen stellt, kann dieses echte Material vorlegen, weil sie es tatsächlich besitzt. Gab es nie eine vorherige Beziehung oder einen Austausch, behandeln Sie die Drohung als so gut wie sicher einen Bluff. Gab es sie, behandeln Sie sie als echte und ernste Angelegenheit, die die Einbindung der Strafverfolgungsbehörden erfordert, statt eine Entscheidung, die Sie allein treffen sollten.
Was Sie tatsächlich tun sollten, wenn Sie eine solche erhalten
- Zahlen Sie nicht. Eine Zahlung lässt die Drohung nicht verschwinden, und sie bestätigt dem Absender, dass Ihre E-Mail-Adresse jemandem gehört, der bereit ist zu zahlen, was häufig zu wiederholten Forderungen führt
- Antworten Sie nicht auf die E-Mail und gehen Sie in keiner Weise auf den Absender ein, da dies ebenfalls bestätigt, dass die Adresse aktiv und überwacht ist
- Ändern Sie das in der E-Mail genannte Passwort, falls Sie es noch irgendwo verwenden, und prüfen Sie mit einem seriösen Datenleck-Prüfdienst, ob dieses Passwort in einem bekannten Datenleck auftaucht
- Aktivieren Sie die Zwei-Faktor-Authentifizierung für Ihre wichtigen Konten, insbesondere E-Mail, da eine kompromittierte E-Mail häufig als Einfallstor für eine Vielzahl unabhängiger Betrugsformen dient
- Melden Sie die E-Mail dem Internet Crime Complaint Center des FBI unter ic3.gov, einschließlich der vollständigen Nachricht und der Bitcoin-Adresse, falls eine angegeben wurde, was Behörden hilft, diese Kampagnen nachzuverfolgen und gelegentlich zu stören
Haben Sie einen echten, von den Behauptungen in der E-Mail selbst unabhängigen Grund zu der Annahme, dass Ihr Gerät tatsächlich kompromittiert ist, etwa unerklärliche Kontoaktivität oder nicht von Ihnen installierte Software, behandeln Sie dies als eigenen Sicherheitsvorfall und lassen Sie das Gerät professionell prüfen, statt anzunehmen, dass die Behauptungen der Erpressungs-E-Mail zutreffen, nur weil etwas anderes verdächtig erscheint.
Wenn Sie bereits gezahlt haben
Haben Sie eine Erpressungsforderung gezahlt, prüfen Sie zunächst, ob weitere Forderungen folgen, da eine einmalige Zahlung häufig zu einer zweiten, größeren Forderung führt statt zu einer Lösung. Melden Sie die Zahlung über IC3, und bewahren Sie die ursprüngliche E-Mail sowie die Transaktionsdetails auf, einschließlich Wallet-Adresse und Transaktions-Hash. Die Wiederbeschaffung von an einen Erpresser gesendeten Geldern ist schwierig, da diese Operationen gezielt darauf ausgelegt sind, eine Identifizierung zu vermeiden, doch die Transaktion kann manchmal im Rahmen einer breiteren Untersuchung nachverfolgt werden, ähnlich dem in unserem Leitfaden zu wie man gestohlene Bitcoin nachverfolgt beschriebenen Prozess, auch wenn ein bestimmtes individuelles Wiederbeschaffungsergebnis nicht versprochen werden kann.
Es lohnt sich außerdem, auf eine vorhersehbare Folgeerscheinung zu achten: dass Sie anschließend von jemandem kontaktiert werden, der anbietet, das bereits gezahlte Geld wiederzubeschaffen, was häufig selbst ein Wiederbeschaffungsbetrug ist, behandelt in unserem Leitfaden zu Kryptowährungs-Wiederbeschaffungsbetrug.
- Die vollständige ursprüngliche E-Mail, einschließlich der Header falls möglich, da Header-Daten manchmal die versendende Infrastruktur offenlegen können, selbst wenn die sichtbare Absenderadresse gefälscht ist
- Die Bitcoin-Adresse, an die die Forderung gesendet wurde, sowie der Transaktions-Hash, falls eine Zahlung geleistet wurde
- Jegliche Screenshots oder Anhänge, die der Absender als angeblichen Beweis mitgeschickt hat
- Eine Notiz mit dem genauen Datum und der genauen Uhrzeit des Eingangs der E-Mail sowie, falls eine Zahlung geleistet wurde, dem genauen Datum und der genauen Uhrzeit dieser Transaktion
Häufig gestellte Fragen
Fast immer aus einem alten, unabhängigen Datenleck bei einer anderen Website oder einem anderen Dienst, bei dem Ihre Kombination aus E-Mail und Passwort offengelegt und später massenhaft auf kriminellen Marktplätzen weiterverbreitet oder verkauft wurde. Das bedeutet nicht, dass Ihr aktuelles Gerät oder Ihre Konten tatsächlich kompromittiert sind, aber es bedeutet, dass Sie aufhören sollten, dieses Passwort irgendwo weiterzuverwenden.
Das ist beunruhigend, aber meist immer noch Teil desselben Bluffs, da persönliche Details wie eine Adresse oder Telefonnummer oft in denselben durchgesickerten Datensätzen enthalten oder separat aus Datenbroker-Leaks gekauft sind und für sich genommen nicht darauf hindeuten, dass der Absender tatsächlich kompromittierendes Material besitzt oder anhaltenden Zugriff auf Ihr Gerät hat.
Diese Kampagnen werden typischerweise von organisierten, im Ausland operierenden Gruppen betrieben, die speziell Bitcoin nutzen, weil es die Rückverfolgung erschwert, was einzelne Verhaftungen bei routinemäßigen Massenkampagnen selten macht. Das Melden ist dennoch wichtig, da aggregierte Meldungen umfassendere Maßnahmen der Strafverfolgungsbehörden gegen die größere kriminelle Infrastruktur hinter diesen Kampagnen unterstützen.
Eine Massenerpressungs-E-Mail ist ein Bluff, der an eine riesige Zahl von Empfängern gesendet wird, ohne tatsächlichen Zugriff auf irgendein Gerät. Ransomware ist eine echte Malware-Infektion, die tatsächlich die Dateien oder Systeme eines Opfers verschlüsselt, und die Erpressungsforderung folgt auf eine echte, überprüfbare technische Kompromittierung, was unser Leitfaden zu Ransomware-Zahlungen ausführlich behandelt.
Die Transaktion selbst kann in der Regel On-Chain nachverfolgt werden, genau wie jede andere Kryptowährungszahlung, indem die Wallet-Adresse über nachfolgende Sprünge verfolgt wird. Ob diese Spur zu etwas Verwertbarem führt, hängt davon ab, wohin die Gelder letztlich geflossen sind, da Betreiber von Massenerpressung kleinere Zahlungen typischerweise schnell waschen, aber das Melden von Transaktions-Hash und Wallet-Adresse trägt dennoch zu umfassenderen Ermittlungsbemühungen bei.
Quellen und weiterführende Informationen
- Sextortion Scams · Chainabuse
- Scam Alert: Beware of sextortion emails · Better Business Bureau
- Cryptocurrency Crime Information · Internet Crime Complaint Center, Federal Bureau of Investigation