Ein Fake-Gewinnspiel ist eine Social-Engineering-Methode, bei der Angreifer mit einem fingierten Gewinnversprechen etwa per Brief, E-Mail, SMS oder Messenger versuchen, Nutzer zur Preisgabe von Zahlungsdaten, Passwörtern oder einer angeblichen Gebühr zu bewegen.
Auf einen Blick
Ob eine Gewinnbenachrichtigung echt oder unseriös ist, lässt sich oft nur schwer erkennen.
Häufig ist die Zahlung einer angeblichen Versand- oder Freischaltgebühr oder die Preisgabe persönlicher Daten das eigentliche Betrugsziel, nicht der vorgetäuschte Gewinn selbst.
Anders als beim klassischen Phishing auf ein bestehendes Konto knüpft die Täuschung an einen angeblich neuen Vorteil an und zielt auf eine Zahlung oder Dateneingabe.
Was ist Fake-Gewinnspiel?
Ein Fake-Gewinnspiel bezeichnet eine Social-Engineering- und Phishing-Methode, bei der Angreifer Nutzer mit einem fingierten Gewinnversprechen zur Preisgabe sensibler Daten verleiten. Die Täuschung erfolgt etwa über Briefe sowie über E-Mail, SMS oder Messenger-Nachrichten, die eine offizielle Lotterie, ein bekanntes Unternehmen oder eine vertraute Marke nachahmen. Betroffene sollen zur angeblichen Freischaltung ihres Gewinns persönliche oder finanzielle Daten eingeben oder eine vermeintliche Gebühr entrichten. Ein gefälschter Absendername kann die Nachricht glaubwürdiger erscheinen lassen. Anders als bei einem klassischen Phishing-Angriff auf ein bestehendes Konto zielt die Täuschung hier auf eine Zahlung oder Dateneingabe im Zusammenhang mit einem angeblich neuen Vorteil.
Versicherer kontaktieren ihre Kunden auch per E-Mail und SMS; eine gefälschte Gewinnbenachrichtigung kann in diesem Umfeld unauffällig wirken, sofern der Absender nicht geprüft wird. Ein fingiertes Gewinnversprechen kann so Mitarbeiter oder Kunden eines Versicherers dazu verleiten, Zahlungsdaten oder Passwörter preiszugeben oder eine angebliche Gebühr zu überweisen. Gerade im Kundenkontakt eines Versicherers, wo Benachrichtigungen zu Verträgen oder Auszahlungen zum Alltag gehören, lässt sich eine zusätzliche Gewinnmitteilung oft nur schwer allein am äußeren Erscheinungsbild als Fälschung erkennen.
Wie funktioniert Fake-Gewinnspiel?
Ein Fake-Gewinnspiel funktioniert typischerweise über drei Elemente: eine glaubwürdige Kontaktaufnahme, ein attraktives Gewinnversprechen und eine Handlungsaufforderung, oft mit Zeitdruck. Die Kontaktaufnahme ist so gestaltet, dass die Nachricht glaubwürdig wirkt und sich oft nur schwer von einer echten Gewinnbenachrichtigung unterscheiden lässt.
Das Gewinnversprechen bezieht sich etwa auf ein Smartphone, einen Gutschein oder einen Geldbetrag und wird häufig an eine scheinbar zufällige Auswahl geknüpft, etwa als tausendster Besucher einer Webseite. Die Handlungsaufforderung verlangt typischerweise eine schnelle Reaktion und leitet Empfänger auf eine gefälschte Formularseite oder fordert eine direkte Antwort mit persönlichen Daten. Eine angebliche Versand- oder Freischaltgebühr dient als Zahlungsauslöser: Werden Kontodaten für die Gebühr eingegeben, bleibt der versprochene Gewinn in der Regel aus, und die eingegebenen Daten können für weiteren Missbrauch verwendet werden. Die Gebühr wird oft per Gutscheinkarte oder in Kryptowährung verlangt. Kontaktdaten aus vorangegangenen Datenlecks können Angreifern zusätzlich die Auswahl plausibler Empfänger erleichtern.
Woran erkenne ich Fake-Gewinnspiel?
| Signal | Woran erkennbar |
|---|---|
| Unaufgeforderte Gewinnbenachrichtigung | Nutzer hat an keinem entsprechenden Gewinnspiel teilgenommen |
| Zahlung einer Gebühr vor Erhalt des Gewinns | Seriöse Gewinnspiele verlangen keine Vorauszahlung |
| Zeitdruck mit kurzer Reaktionsfrist | Nachricht droht mit Verfall des Gewinns innerhalb weniger Stunden |
| Abfrage von Konto- oder Ausweisdaten | Für die angebliche Gewinnübergabe werden sensible Daten wie Kontoverbindung oder Ausweisnummer verlangt |
Schutz im Ernstfall
Vorbeugen
- Gewinnbenachrichtigungen ohne eigene Teilnahme grundsätzlich als Betrugsversuch behandeln
- Keine Zahlungs- oder Ausweisdaten über Links aus unaufgeforderten Nachrichten eingeben
- Absenderadresse und Rufnummer direkt beim vermeintlichen Unternehmen verifizieren
Was tun im Ernstfall
- Nachricht nicht beantworten und keine Links oder Anhänge öffnen
- Bereits eingegebene Zahlungsdaten der Bank melden und die Karte sperren lassen
- Vorfall bei der internen Sicherheitsstelle oder der Polizei melden
Beispiele aus der Praxis
- Nutzer erhalten eine SMS, die vorgibt, von einem bekannten Paketdienstleister zu stammen, und behauptet, sie hätten ein Smartphone gewonnen, das nach Eingabe von Kreditkartendaten für eine symbolische Versandgebühr zugestellt werde.
- Eine E-Mail im Corporate-Design eines großen Supermarktkonzerns informiert Empfänger über einen angeblichen Einkaufsgutschein und leitet sie auf eine Phishing-Seite weiter, die Bankdaten abgreift.
- Über WhatsApp werden Nachrichten verbreitet, die behaupten, der Empfänger sei als tausendster Nutzer ausgewählt worden und müsse zur Gewinnauszahlung seine Personalausweisnummer und Kontoverbindung angeben.
- Mitarbeiter oder Kunden eines Versicherers erhalten eine gefälschte Gewinnbenachrichtigung und geben daraufhin Zahlungsdaten oder ein Passwort preis oder überweisen eine angebliche Gebühr.
Häufiger Irrtum
Mythos „Ein Fake-Gewinnspiel ist leicht an schlechter Sprache oder unseriösem Design erkennbar.“
Richtig Ob eine Gewinnbenachrichtigung echt oder unseriös ist, lässt sich laut Verbraucherzentrale oft nur schwer erkennen; ein wichtiges Warnsignal ist die fehlende eigene Teilnahme: Die Benachrichtigung kommt, ohne dass man an einem Gewinnspiel teilgenommen hat.
