FBI warnt vor gezielten Phishing-Angriffen auf Bauherren

Cyberkriminelle nutzen öffentliche Bauakten für perfekt getarnte Rechnungen. Die Warnungen vor den gezielten Angriffen auf Immobilienentwickler nehmen zu.

Bundesbehörden warnen vor einer neuen Woche hochspezialisierter Phishing-Angriffe, die gezielt Bauherren und Immobilienentwickler ins Visier nehmen. Die Betrüger nutzen öffentliche Bauakten für täuschend echte Rechnungen.

Die Methode ist so präzise wie dreist: Cyberkriminelle durchforsten öffentliche Planungsportale von Städten und Landkreisen nach aktuellen Bauanträgen. Aus den Akten filtern sie Namen, Anschriften, Aktenzeichen und sogar die Namen der zuständigen Sachbearbeiter. Mit diesen Daten basteln sie perfekt getarnte E-Mails, die offiziellen Schreiben der Behörden zum Verwechseln ähnlich sehen.

Anzeige

Rekord-Schäden durch Phishing: Warum immer mehr Unternehmen jetzt auf Awareness-Kampagnen setzen. Experten erklären im kostenlosen Anti-Phishing-Paket, wie Ihr Unternehmen sich wirksam schützen kann. In 4 Schritten zur erfolgreichen Hacker-Abwehr

Die perfekte Tarnung aus öffentlichen Daten

„Das ist chirurgisches Phishing“, erklärt ein IT-Sicherheitsexperte. „Die Angreifer haben sich von breit gestreuten Spam-Kampagnen verabschiedet.“ Stattdessen setzen sie auf maßgeschneiderte Täuschung. Die gefälschten E-Mails erscheinen zum psychologisch optimalen Zeitpunkt – oft kurz nach einem Bauausschuss oder einem behördlichen Prüftermin. Dann wirkt die Aufforderung zur Zahlung einer „Bearbeitungsgebühr“ oder „Bauprüfkosten“ völlig plausibel.

Die beigefügten PDF-Rechnungen sind professionell gestaltet, enthalten Stadtwappen und die korrekte Amtssprache. Für den Empfänger ist der Schock perfekt: Da stehen seine eigene Adresse und seine Aktennummer. Das senkt die natürliche Skepsis erheblich. Herkömmliche Spam-Filter, die nach generischen Merkmalen suchen, fallen bei dieser Präzision oft aus.

So erkennen Sie die Falle

Doch trotz der perfekten Tarnung verraten sich die Betrüger an einem entscheidenden Punkt: der Zahlungsmethode. „Keine seriöse Behörde in Deutschland oder den USA verlangt je Zahlungen per Kryptowährung, Wire-Transfer oder Apps wie PayPal Freunde“, stellt ein FBI-Sprecher klar. Genau dazu werden die Opfer aber aufgefordert – angeblich für eine „nachvollziehbare Transaktionshistorie“.

Ein weiteres Alarmsignal ist die Absenderadresse. Zwar steht im „Von“-Feld vielleicht „Stadtplanungsamt“, die dahinterstehende Domain lautet aber oft „@usa.com“ oder ähnlich generisch – nicht die offizielle „.gov“- oder Stadt-Domain. Die Betrüger setzen zudem auf Druck: Die Mails drohen mit sofortiger Antragsaussetzung, Strafgebühren oder langen Verzögerungen, falls nicht umgehend gezahlt wird. Oft wird explizit verboten, telefonisch beim Amt nachzufragen – angeblich aus „Aktenführungsgründen“.

Anzeige

Diese 7 psychologischen Schwachstellen Ihrer Mitarbeiter nutzen Hacker gnadenlos aus. Ein neuer Gratis-Report enthüllt die aktuellen Methoden der Cyberkriminellen – und wie man sie entlarvt. Kostenlosen Anti-Phishing-Report jetzt herunterladen

Auch deutsche Behörden im Visier?

Während die aktuellen Warnungen aus den USA stammen, ist die Gefahr auch für deutsche Bauherren real. Die Transparenz von Bauakten ist hierzulande ähnlich hoch. Namen von Antragstellern und Grundstücksdaten sind oft online einsehbar. IT-Experten sehen einen grundsätzlichen Zielkonflikt: „Bürgertransparenz ist ein hohes Gut, aber sie liefert Kriminellen eine Roadmap für Social Engineering“, so ein Analyst.

Die Angriffe zeigen eine bedenkliche Entwicklung. Cyberkriminelle automatisieren das Abgreifen öffentlicher Daten und skalieren so Attacken, die früher nur Großkonzernen vorbehalten waren. Die Bauphase ist dabei ideal: Fristen sind streng, Gebühren fallen regelmäßig an. Die Erwartungshaltung der Opfer spielt den Tätern in die Hände.

KI macht Betrugsmails perfekt

Besonders beunruhigend ist der technische Fortschritt der Betrüger. Künstliche Intelligenz hilft heute dabei, grammatikalisch einwandfreie, professionelle Texte zu generieren. Die typischen Phishing-Marker wie Rechtschreibfehler oder holprige Formulierungen fehlen. Damit bleibt oft nur die Absurdität der Zahlungsaufforderung – eine Behörde, die Bitcoin verlangt – als Erkennungsmerkmal.

Die US-Behörden raten zu einer „Zuerst-prüfen“-Mentalität. Jede Zahlungsaufforderung sollte durch einen unabhängigen Anruf beim zuständigen Amt verifiziert werden. Die Telefonnummer muss dabei von der offiziellen Website der Behörde stammen, nicht aus der verdächtigen E-Mail. Opfer sollten Vorfälle umgehend melden, etwa beim Bundeskriminalamt (BKA) oder über die Plattform www.internet-beschwerdestelle.de. Nur so können Ermittler die genutzten Domains und Konten verfolgen.