Über 117 Millionen an Schaden durch Abfischen („phishing“) von Bankdaten

Die Kantonspolizei Wallis warnte wiederholt. Doch es gibt sie immer noch: Leute, die auf gefälschten Bank-Webseiten ihre Geheim-Kodes eintippen weil sie die Domain (URL) nicht überprüfen, bevor sie sensible Daten eingeben.

Die Bundesanwaltschaft (BA) führte seit 2022 ein Strafverfahren aufgrund einer großangelegten Daten-Abfischen-Serie (Phishing-Serie) mittels gefälschten E-Bänking-Login-Seiten.

Zahlreiche Schweizer Bankkunden wurden dadurch um rund CHF 2.4 Millionen betrogen, weltweit entstand ein Schaden von über 100 Millionen britischen Pfund.

In dem Zusammenhang damit hat die BA rund 30 Schadfälle aus den Kantonen übernommen.

Im Zuge der Ermittlungen von BA und Fedpol konnte der Entwickler und Vertreiber des „phishing kits“ identifiziert und in England lokalisiert werden.

Das Strafverfahren wurde von den britischen Behörden übernommen, die bereits ein ähnlich-gelagertes Verfahren gegen die Person führten.

7 Jahre Freiheitsstrafe (bedingt?) für 2,4 Millionen Schaden

Am 23. Juli 2025 wurde der Beschuldigte nun von einem Gericht in Großbritannien zu einer Freiheitsstrafe von sieben Jahren verurteilt.

Dieser Erfolg zeige die Bedeutung der internationalen Zusammenarbeit bei der Bekämpfung von Cyberkriminalität, so die Bundeanwaltschaft.

Ob die Freiheitsstrafe überhaupt angetreten werden mußte oder bedingt ausgesprochen wurde, teilt

Umfangreiche Abfisch-Serie (phishing)

Im Juli 2022 eröffnete die Bundesanwaltschaft (BA) ein Strafverfahren gegen Unbekannt wegen des Verdachts des betrügerischen Mißbrauchs einer Datenverarbeitungsanlage (Art. 147 Abs. 1 i.V.m. Abs. 2 Strafgesetzbuch, StGB) im Zusammenhang mit einer umfangreichen Phishing-Serie.

Im Vorfeld hatten bereits mehrere kantonale Staatsanwaltschaften im gleichen Zusammenhang in rund 30 Fällen Verfahren eröffnet, welche die BA in der Folge übernahm und in ihrem Verfahren vereinigte.

Im August 2023 wurde das Strafverfahren infolge der erfolgreichen Identifikation des Entwicklers und Vertreibers des Phishing-Kits auf diese Person ausgedehnt.

Echtzeit-Daten-Abfischen (Realtime-Phishing) im großen Stil

Von Mai 2022 bis September 2022 erstellte und verwendete eine unbekannte Täterschaft mehrere gefälschte Login-Webseiten (Phishing-Seiten) verschiedener Schweizer Banken.

Dabei verwendete sie ein sogenanntes Phishing-Kit.

Geschädigt wurden die Bankkunden, indem sie über eine Google-Suche auf die dort als Anzeige geschalteten Phishing-Seiten gelangten und versuchten, sich in ihr vermeintliches E-Bänking-Konto einzuloggen.

In der Folge wurden ihre E-Bänking-Zugangsdaten im Hintergrund abgefangen, was es der Täterschaft ermöglichte, sich mit den gestohlenen Zugangsdaten in das E-Bänking-Konto der Geschädigten einzuloggen und die Zwei-Faktor-Authentifizierung auszulösen.

Da die Geschädigten nach wie vor im Glauben waren, sich auf der echten Webseite der Bank zu befinden, authentifizierten sie das Login mittels Eingabe des per SMS zugestellten Authentifizierungscodes auf der Phishing-Seite, wodurch die Täterschaft auch den Authentifizierungskode erhielt.

Damit gelang es ihr, sich erfolgreich in das E-Bänking-Konto der Geschädigten einzuloggen und bei der Bank ein zusätzliches Gerät für die Bestätigung der Zwei-Faktor-Authentifizierung zu registrieren.

Anschließend konnte sich die Täterschaft ohne weitere Aktionen seitens der Geschädigten in deren E-Bänking-Konto einloggen und Zahlungen ohne deren Wissen und Einverständnis auslösen. Die dadurch entstandene Deliktsumme im Schweizer Strafverfahren beträgt rund CHF 2.4 Millionen.

Kooperation mit Großbritannien, Europol und Eurojust

Dank intensiven Ermittlungen der BA und fedpol konnte im Verlaufe des Verfahrens ein britischer Staatsangehöriger als Entwickler und Vertreiber des Phishing-Kits identifiziert und lokalisiert werden.

Die darauffolgende enge Zusammenarbeit von BA und fedpol mit Europol, Eurojust und den britischen Strafverfolgungsbehörden ermöglichte es, den Entwickler und Verkäufer des verwendeten Phishing-Kits in Grossbritannien zu verhaften und zur Rechenschaft zu ziehen.

Da die britischen Behörden ein ähnlich gelagertes Verfahren gegen diese Person führten, übernahmen sie auf entsprechendes Ersuchen der BA das Schweizer Verfahren und führten dieses gegen den Entwickler und Vertreiber in Grossbritannien fort.

Die BA stellte ihr Strafverfahren in der Folge ein. Am 23. Juli 2025 wurde der Beschuldigte in Großbritannien nun wegen seiner Taten zu einer Freiheitsstrafe von sieben Jahren verurteilt (Medienmitteilung des Crown Prosecution Services).

Dieser Erfolg zeigt die Effektivität und Wirksamkeit internationaler Zusammenarbeit im Kampf gegen die stetig zunehmende Cyberkriminalität.

Die englischen Strafverfolgungsbehörden schreiben zum Fall: 

Nach erster Verhaftung unbeeindruckt weitergemacht

(pd, rm)