Wie der Betrug mit falschen Meldungen auf Reddit und Discord Konten stiehlt

Ein Fremder schreibt dir auf Reddit eine Nachricht. Er sagt, jemand habe ihn gemeldet, und der Account, von dem die Meldung stammt, sieht deinem sehr ähnlich. Warst du das?

Das war es nicht. Darum geht es in der Nachricht eigentlich gar nicht.

Diese Variante basiert ausschließlich auf Social Engineering. Es gibt weder Malware noch bösartige Links. Es beginnt mit einem Gespräch, doch das Ziel besteht darin, Sie dazu zu bringen, einen Anmelde- oder Bestätigungscode preiszugeben, damit der Betrüger Zugriff auf Ihr Reddit-Konto erhält.

So funktioniert dieser Betrug

Es gibt zwei gängige Varianten dieses Betrugs:

„Jemand hat mich gemeldet, und es sieht so aus, als wärst du es gewesen.“
„Ich habe dein Konto versehentlich gemeldet.“

Jemand behauptet, es habe einen Fehler im Zusammenhang mit einer Meldung gegeben. In einer Version heißt es, jemand habe ihn gemeldet, und es sieht so aus, als wärst du das gewesen. In einer anderen Version behauptet er, er habe versehentlich deinen Account gemeldet und brauche deine Hilfe, um das Problem zu beheben. So oder so gibt es keine Meldung. Es handelt sich um den Auftakt zu einem Social-Engineering-Betrug, der auf Discord, Reddit und anderen Plattformen mittlerweile weit verbreitet ist.

Das Endziel variiert. Bei einigen Varianten wird versucht, Sie dazu zu verleiten, einen Anmelde- oder Bestätigungscode preiszugeben, damit sich der Betrüger in Ihr Konto einloggen, Ihr Passwort ändern und Sie aussperren kann. Bei anderen Varianten werden Sie dazu überredet, die mit Ihrem Konto verknüpfte E-Mail-Adresse durch eine von ihnen kontrollierte Adresse zu ersetzen. Anschließend fordern sie eine Geschenkkarte oder eine andere Zahlung, um das Problem zu „beheben“, und drohen damit, Ihr Konto zu löschen oder es zu nutzen, um andere Menschen zu betrügen, sollten Sie nicht zahlen.

Falls Sie noch mit ihnen in Kontakt stehen, brechen Sie den Kontakt ab und geben Sie keine Codes weiter oder ändern Sie keine Kontodaten. Falls Sie beides bereits getan haben und den Zugriff auf Ihr Konto verloren haben, fahren Sie unten mit dem Abschnitt „So schützen Sie sich“ fort.

Wie sich das entwickelt

Das Gespräch beginnt in der Regel mit einer von zwei Behauptungen. Entweder sagt die Person, dass jemand ihren Account gemeldet habe und es so aussehe, als wärst du das gewesen, oder sie behauptet, sie habe deinen Account versehentlich gemeldet.

Wenn Sie dies bestreiten, widerspricht der Betrüger nicht. Er behauptet, es handele sich wahrscheinlich um ein Versehen, und hält das Gespräch am Laufen. Möglicherweise fragt er, ob Sie wissen, wer ihn gemeldet hat, oder schlägt vor, dass Sie helfen könnten, die Sache aufzuklären. Das Ziel ist schlicht und einfach, Sie weiter im Gespräch zu halten.

Dann senden sie einen „Beweis“: einen Screenshot einer E-Mail, die so gestaltet ist, als stamme sie von Reddit. Sie hat einen formellen Ton, enthält eine Ticketnummer, die Behauptung, dass eine „formelle Untersuchung“ im Gange sei, sowie einen Countdown – meist 12 Stunden – bis zur „Sperrung, Einschränkung der Funktionen oder einem Ausschluss“. In einigen Varianten werden Sie aufgefordert, sich an jemanden auf Discord zu wenden, der vorgibt, ein Reddit-Mitarbeiter oder -Moderator zu sein. Andere enthalten eine gefälschte rechtliche Warnung, in der Gesetze oder Vorschriften angeführt werden, die nichts mit der Situation zu tun haben. Nichts davon ist echt.

Warum Reddit so nicht funktioniert

Reddit fordert die an einer Meldung beteiligten Personen nicht dazu auf, miteinander Kontakt aufzunehmen, und es wird auch nicht verlangt, dass Sie Ihr Konto über eine Direktnachricht an einen Fremden verifizieren. Einsprüche werden nicht über Discord bearbeitet, und Sie werden auch nicht auf das persönliche Discord-Konto eines Mitarbeiters weitergeleitet. Meldungen, Moderation und Einsprüche werden ausschließlich über Reddit selbst abgewickelt.

Der Countdown soll ein Gefühl der Dringlichkeit erzeugen. In Verbindung mit vagen Androhungen wie einer Sperrung, eingeschränkten Funktionen oder einem Ausschluss soll er dich dazu bringen, zu handeln, bevor du Zeit hast, zu hinterfragen, was eigentlich vor sich geht.

Was sie eigentlich wollen

Der Bericht und die gefälschte E-Mail sind nur der Auftakt. Der Betrüger teilt Ihnen mit, dass ein Reddit-Mitarbeiter oder „Vorgesetzter“ Ihr Konto verifizieren muss, um nachzuweisen, dass Sie nicht daran beteiligt waren. Dazu, so heißt es, müssen Sie den Code vorlesen, den Reddit Ihnen gleich zusenden wird.

Während Sie mit dem Betrüger chatten, versucht dieser, sich in Ihr echtes Konto einzuloggen oder eine Kontowiederherstellung auszulösen. Reddit reagiert darauf, indem es Ihnen einen echten Anmelde- oder Bestätigungscode zusendet.

Der Zeitpunkt ist kein Zufall. Der Code trifft genau dann ein, wenn man Ihnen mitgeteilt wurde, dass Sie ihn erwarten können. Wenn Sie ihn vorlesen, kann der Betrüger ihn nutzen, um sich in Ihr Konto einzuloggen, Ihr Passwort zu ändern und Sie auszusperren. Der Code selbst ist echt. Die Geschichte drumherum ist der Betrug.

Warum die Menschen darauf hereinfallen

Ganz gleich, ob Ihnen vorgeworfen wird, jemanden gemeldet zu haben, oder Ihnen mitgeteilt wurde, dass Ihr Konto versehentlich gemeldet wurde – dieser Betrug versetzt Sie in eine Situation, in der Sie das Problem beheben möchten. Wenn Sie also aufgefordert werden, Ihr Konto zu „verifizieren“, kann dies eher als Teil der Problemlösung empfunden werden und nicht als Sicherheitsrisiko.

Die gefälschte E-Mail lässt die Geschichte glaubwürdiger erscheinen, vor allem, wenn man nicht inne hält, um zu hinterfragen, ob die Kontaktmethode oder der Ablauf mit der tatsächlichen Funktionsweise von Reddit übereinstimmt. Der Countdown vermittelt ein Gefühl der Dringlichkeit und verleitet dazu, zu handeln, bevor man Zeit hatte, die Sache gründlich zu überdenken.

Hier geht es nicht darum, leichtgläubig zu sein. Es handelt sich um ein gut einstudiertes Social-Engineering-Skript, das darauf abzielt, eine vernünftige Bitte als legitim erscheinen zu lassen.

Es geht nicht nur um Direktnachrichten

Zwar beginnt der Betrug mit falschen Meldungen in der Regel in einer Direktnachricht, doch geben sich Betrüger in Phishing-E-Mails auch als Reddit aus und behaupten, Ihr Konto sei gesperrt worden oder erfordere Ihre Aufmerksamkeit. Wenn Sie eine unerwartete Sicherheits-E-Mail erhalten, klicken Sie nicht auf die darin enthaltenen Links. Melden Sie sich stattdessen direkt über die offizielle Website oder die App bei Reddit an.

Sollte Ihr Konto gehackt worden sein, werden Sie möglicherweise Beiträge, Kommentare oder Nachrichten bemerken, die Sie nicht verfasst haben. Das ist ein Anzeichen dafür, dass jemand anderes Zugriff auf Ihr Konto hat. In diesem Fall sollten Sie Ihr Passwort ändern, die Zwei-Faktor-Authentifizierung aktivieren, falls Sie dies noch nicht getan haben, und die Anweisungen von Reddit zur Kontowiederherstellung befolgen.

Wie Sie sich schützen können

Geben Sie Ihre Reddit-Anmeldedaten oder Ihren Bestätigungscode niemals an Dritte weiter, auch nicht an Personen, die vorgeben, Mitarbeiter oder Supportmitarbeiter von Reddit zu sein.
Ändern Sie niemals auf Aufforderung eines Fremden die mit Ihrem Konto verknüpfte E-Mail-Adresse, auch nicht, um ein gemeldetes Problem zu „beheben“.
Wenn jemand Sie auffordert, eine Geschenkkarte zu kaufen oder Geld zu überweisen, um eine Meldung zu klären, handelt es sich um einen Betrugsversuch.
Reddit fordert Nutzer, die von einer Meldung betroffen sind, nicht dazu auf, miteinander Kontakt aufzunehmen, ihre Konten über Direktnachrichten zu verifizieren oder Einsprüche über Discord zu bearbeiten.
Sollten Sie eine unerwartete Sicherheits-E-Mail von Reddit erhalten, klicken Sie nicht auf die darin enthaltenen Links. Melden Sie sich stattdessen direkt über reddit.com oder die offizielle App bei Ihrem Konto an.
Aktivieren Sie die Zwei-Faktor-Authentifizierung mithilfe einer Authentifizierungs-App und betrachten Sie jede unerwartete Anmeldung oder jeden unerwarteten Bestätigungscode als Anzeichen dafür, dass möglicherweise jemand versucht, auf Ihr Konto zuzugreifen.
Sollten Sie Beiträge, Kommentare oder Nachrichten entdecken, die Sie nicht verfasst haben, sichern Sie Ihr Konto umgehend, indem Sie Ihr Passwort ändern. Falls Sie den Zugriff auf Ihr Konto verloren haben, nutzen Sie das offizielle Verfahren zur Kontowiederherstellung von Reddit unter reddit.com.
Melde den Betrüger und seine Nachrichten mithilfe der in Reddit integrierten Meldefunktionen.