Zum Artikel: Die Untersuchung wurde von PWN-ALL durchgeführt – einem kommerziellen Unternehmen im Bereich der Informationssicherheit. Der Artikel basiert auf einer eigenen Analyse des Unternehmens und stellt keine offizielle Mitteilung der Strafverfolgungsbehörden dar. Domains, IP-Adressen, Bankdaten, Anmeldedaten, Tokens und personenbezogene Daten wurden zum Schutz der Betroffenen, zur Aufbewahrung der Unterlagen für die Überprüfung durch die zuständigen Behörden sowie zur Verhinderung des Zugriffs Dritter auf sensible Daten unkenntlich gemacht.

Anruf von der Nummer +882

Der eingehende Anruf kam von einer Nummer, die mit +882.

Dies ist keine Vorwahl eines bestimmten Landes. Nach der Klassifizierung der Internationalen Fernmeldeunion wird diese Vorwahl +882 für internationale Netzwerke verwendet. Die Vorwahl selbst ist kein Hinweis auf Betrug und lässt keine Rückschlüsse auf den physischen Standort des Anrufers zu.

Der Gesprächspartner stellte sich als Mitarbeiter einer großen Investmentgesellschaft vor und bot eine Rendite von 20 bis 40 % pro Jahr an.

Das Gespräch begann in etwa so:

„Guten Tag, Alina? Mein Name ist Avram, ich vertrete einen Investmentfonds aus Großbritannien …“

Es folgte das typische Szenario eines Anlagebetrugs. Banken würden ihren Kunden angeblich absichtlich niedrige Zinsen zahlen, Überweisungen an Investmentfonds behindern und den Menschen nicht erlauben, selbst über ihr Geld zu verfügen.

Solche Vorgehensweisen werden oft als „Pig Butchering“ oder „Schweineschlachtung“ bezeichnet. Der Anrufer verlangt nicht sofort einen großen Betrag. Zunächst baut er ein Vertrauensverhältnis auf, lotet die finanzielle und emotionale Verfassung der Person aus, erreicht eine erste kleine Überweisung und beginnt erst danach, seine Forderungen zu erhöhen.

Wir beschlossen, das Gespräch fortzusetzen, um herauszufinden, welche technische Infrastruktur mit diesem Anruf verbunden ist.

Wie der Betrüger nach einer Schwachstelle suchte

Für die Kommunikation wurde ein vorab erstelltes Profil verwendet:

  • eine Frau, 38 Jahre alt;
  • geschieden und alleinerziehend;
  • kein festes Einkommen;
  • Besitzerin einer Wohnung.

In den ersten 50 Minuten sprach der Telefonverkäufer fast gar nicht über konkrete Anlageinstrumente. Stattdessen stellte er Fragen zur Familie, zum Einkommen, zu den Plänen und zu finanziellen Schwierigkeiten.

Die erhaltenen Antworten wurden sofort im Gespräch aufgegriffen. Das Angebot verwandelte sich nach und nach von einer abstrakten Verdienstmöglichkeit in eine vermeintlich persönliche Lösung: das Kind abzusichern, ein regelmäßiges Einkommen zu schaffen und Unabhängigkeit von Banken zu erlangen.

Zunächst wertete der Mitarbeiter traditionelle Finanzinstrumente ab. Anschließend schuf er das Gefühl einer einmaligen Gelegenheit, fand ein emotional heikles Thema und verknüpfte dessen Lösung mit der ersten Einzahlung.

Für das ausgewählte Profil waren ein unregelmäßiges Einkommen und die Zukunft des Kindes die wichtigsten Druckpunkte.

Ein britischer Fonds, der in keinem Register verzeichnet ist

Unter dem Vorwand, das Angebot genauer prüfen zu wollen, baten wir um die Zusendung von Unterlagen.

Nach einiger Zeit erhielten wir von einer britischen WhatsApp-Nummer eine Broschüre im Namen von Delegmed Investment Fund Limited. Praktisch zeitgleich rief der Mitarbeiter erneut an und setzte das Gespräch fort, wobei er darauf bedacht war, uns keine Zeit für eine eigenständige Überprüfung zu lassen.

Die Broschüre enthielt die angegebenen Renditewerte und eine Beschreibung der Anlageprodukte. Die Abbildungen wiesen visuelle Merkmale generativer Inhalte auf, und eine Überprüfung der angehängten Rasterbilder bestätigte dies auf der Ebene der Metadaten: In den PNG-Dateien war ein C2PA-Manifest vorhanden, das darauf hinwies, dass die Bilder am 14. Juli 2026 mit ChatGPT generiert worden waren. C2PA ist ein offener Standard zur Herkunftsangabe digitaler Inhalte: Das Manifest wird bei der Erstellung der Datei durch ein Tool hinzugefügt und dokumentiert, womit und wann das Bild erstellt wurde. Metadaten können gelöscht oder gefälscht werden, daher beweisen sie für sich genommen nichts, aber in diesem Fall stimmten sie mit den visuellen Merkmalen überein.

Das Unternehmen gab sich als britischer Investmentfonds aus, daher haben wir den genauen Namen in zwei öffentlichen Quellen überprüft:

  • dem Handelsregister „Companies House“;
  • im Financial Services Register der britischen Finanzaufsichtsbehörde (FCA).

Zum Stand vom 2. August 2026 konnten wir weder bei „Companies House“ – einschließlich der Angaben zu aktiven und liquidierten Unternehmen – noch im „Financial Services Register“ der britischen Finanzaufsichtsbehörde (FCA) eine exakte Übereinstimmung mit dem Namen Delegmed Investment Fund Limited weder bei „Companies House“ – einschließlich der Angaben zu aktiven und liquidierten Unternehmen – noch im „Financial Services Register“ der FCA gefunden.

Companies House stellt öffentlich zugängliche Informationen über in Großbritannien registrierte Unternehmen bereit, darunter deren Status, Anschrift, Geschäftsführer und Dokumentenhistorie.

Die FCA weist darauf hin, dass fast jede Tätigkeit zur Erbringung regulierter Finanzdienstleistungen in Großbritannien einer Zulassung oder Registrierung bedarf und die entsprechenden Unternehmen über das Financial Services Register überprüft werden müssen.

Das Fehlen eines Namens in den Registern beweist an sich noch nicht das Vorliegen eines kriminellen Betrugs. Es stand jedoch in direktem Widerspruch zu der Aussage des Betreibers, er vertrete einen britischen Investmentfonds.

Wir haben zwei weitere Szenarien geprüft.

Das erste ist eine sogenannte „Clone Firm“: ein Betrugsmodell, bei dem der Name, die Registrierungsnummer oder die Adresse eines tatsächlich zugelassenen Unternehmens verwendet wird, während lediglich die Kontaktdaten geändert werden. Wir haben die Angaben aus der Broschüre mit den Einträgen zugelassener Unternehmen im Financial Services Register abgeglichen: Es wurden keine Übereinstimmungen festgestellt. Und zweitens die FCA Warning List, eine öffentliche Liste von Unternehmen, vor deren Tätigkeit ohne Zulassung die Aufsichtsbehörde die Verbraucher warnt. Am 2. August 2026 war der Name Delegmed Investment Fund Limited darin nicht aufgeführt.

Ein vorab eingerichtetes Kundenkonto

Auf die Frage, wo genau die Investitionen getätigt werden sollen, schickte der Mitarbeiter einen Link zu einer Website in der Domain .com.

Die Domain wurde am 27. Juni 2026 registriert, weniger als einen Monat vor der Analyse.

Benutzername und Passwort waren bereits im Voraus angelegt worden. Nach der Anmeldung wurden im Profil bereits Name, Telefonnummer und E-Mail-Adresse angezeigt.

Diese Informationen waren den Betreibern bereits vor Beginn des inhaltlichen Gesprächs bekannt. Die Quelle dieser Daten konnte nicht ermittelt werden. Sie könnten aus einem Datenleck, einer zuvor zusammengestellten Datenbank, einer kommerziellen Quelle oder einer anderen Kampagne stammen.

Äußerlich ahmte die Website eine Investitionsplattform nach: Sie zeigte den Kontostand, die Transaktionshistorie, Renditekennzahlen und ein Formular zur Kontoaufladung an.

Der Großteil der Seiten war statisch. Anders funktionierte der persönliche Bereich: Er erfasste Browser- und Gerätedaten, unterhielt eine WebSocket-Verbindung und rief einzelne Werte dynamisch von einem anderen Server ab.

Beim Klicken auf die Schaltfläche „Einzahlung“ sendete JavaScript Informationen zum Konto und zum digitalen Fingerabdruck des Nutzers an den Server. Als Antwort wurde eine Zeichenfolge mit den Bankdaten und dem aktuellen Kontostand erwartet, zum Beispiel:

GB...IBAN...|0.00$

Der Server konnte für verschiedene Nutzer unterschiedliche Bankdaten ausgeben. Dies ermöglichte es den Mitarbeitern, das Konto direkt während des Gesprächs zu ändern, ohne die Hauptwebsite aktualisieren zu müssen.

Nach der Anmeldung griff das Benutzerkonto ebenfalls auf die Route /me. Zum Zeitpunkt der Analyse lieferte diese 404, doch der Client-Code deutete darauf hin, dass die Antwort zum Laden der Parameter eines bestimmten Kontos und zum Speichern der Werte im lokalen Speicher des Browsers genutzt werden konnte.

Der Dynamic-DNS-Server

Die Hauptdomain war fast vollständig statisch, doch die dynamischen Funktionen des Kundenbereichs griffen auf einen separaten Server für Dynamic DNS zu.

Eine erste Analyse ergab mehrere verfügbare Netzwerkdienste. Ein Teil davon schien nur als Platzhalter oder einfache Falle zu dienen, doch auf zwei nicht standardmäßigen Ports liefen separate Webanwendungen mit eigenen Startseiten und Fehlerbehandlungsroutinen.

Zu diesem Zeitpunkt war der Zweck der Anwendungen noch unklar.

Der Durchbruch gelang am nächsten Tag, als der Mitarbeiter fragte, ob die Überweisung erfolgt sei. Wir ließen durchblicken, dass wir eine Überweisung in Erwägung zögen, woraufhin der Gesprächspartner darum bat, eine Bankbestätigung im PDF-Format hochzuladen.

Dazu schickte er uns einen direkten Link zur Seite in folgender Form:

site.com/my/statements/upload-form

Ein Link dazu war weder im Menü noch im Kundenbereich zu finden.

Das Formular leitete das Dokument nicht an die Hauptwebsite weiter, sondern an einen Dynamic-DNS-Dienst. Bei der Überprüfung der Verarbeitung einer großen Test-PDF-Datei gab die Anwendung eine detaillierte PHP-Fehlermeldung zurück.

Auf dem Server war der Debug-Modus des Yii-Frameworks aktiviert. Anstelle der üblichen Meldung erhielt der Nutzer einen Trace mit internen Informationen:

  • den Versionen von Nginx und Yii;
  • Verzeichnisstruktur;
  • dem Namen des lokalen Benutzers;
  • Server-Routen;
  • dem Pfadmuster für hochgeladene Dokumente;
  • einem Teil der Umgebungsvariablen.

Die Dokumente wurden in Verzeichnissen gespeichert, die nach Jahr, Monat und Tag unterteilt waren. Der Name eines der Pfade enthielt die folgende Struktur debildocument.

Im Code wurde außerdem die Schreibweise balans in /home/pavlo/depositka-2/modul/resp.php:81

debildocument sieht aus wie eine Kombination aus einem umgangssprachlichen russischen Schimpfwort und einem englischen Wort document und stellt einen deutlicheren sprachlichen Hinweis dar als das alleinige balans. Allerdings beweist keiner dieser Namen die Nationalität des Entwicklers oder den Standort des Teams. Der Code könnte von einem Mitglied eines multinationalen Teams geschrieben, aus einem anderen Projekt kopiert worden sein oder absichtlich einen fremdsprachigen Hinweis enthalten.

Wie das Admin-Panel gefunden wurde

Die Debug-Ausgabe enthüllte Umgebungsvariablen, darunter:

  • ADMIN_URL;
  • ADMN_PASS.

Die erste wies auf die Adresse der Verwaltungsschnittstelle hin. Die zweite enthielt den dazugehörigen Zugangswert. Wir beschreiben den Ablauf der weiteren Überprüfung nicht und veröffentlichen die Zugangsdaten nicht, da dies zusätzliche Risiken für die Betroffenen mit sich bringen könnte.

Die Anmeldedaten wurden vom Server selbst in einer Debug-Antwort offengelegt, die bei der normalen Nutzung des vom Betreiber übermittelten Formulars empfangen wurde. Wir haben uns darauf beschränkt, die Struktur des Panels und die Art der gespeicherten Daten in dem Umfang zu erfassen, der erforderlich war, um die Art der Kampagne festzustellen und Benachrichtigungen an die Eigentümer der Infrastruktur vorzubereiten: Wir haben keine Änderungen vorgenommen, keine Datenbank exportiert und nach der Erfassung der für den Bericht an den Hoster und die zuständigen Behörden erforderlichen Informationen keinen weiteren Zugriff genutzt.

Das Panel war selbst programmiert und befand sich in einer separaten Webanwendung auf derselben Infrastruktur. Es handelte sich nicht um eine einzelne Tabelle oder eine versehentlich zurückgelassene Seite: Für verschiedene Arten von Informationen gab es eigenständige Bereiche.

Im Dashboard wurden separat angezeigt:

  • Karten mit potenziellen Opfern;
  • Zahlungen und Bankunterlagen;
  • interne Kommentare der Mitarbeiter;
  • Bearbeitungsstatus der Kontakte;
  • Anweisungen und Gesprächsszenarien;
  • Daten von Telegram-Bots und externen APIs;
  • technische Protokolle;
  • Vorlagen für Investment-Websites.

Die Kontaktkarte einer Person konnte den Namen, die Kontaktdaten, den Familienstand, eine Einschätzung der finanziellen Möglichkeiten, bereits eingezahlte Beträge, Einwände sowie Empfehlungen für das nächste Gespräch enthalten.

Interne Kommentare zeigten, dass verschiedene Nutzer im Admin-Bereich aktiv waren – Mitarbeiter, die nicht nur Zahlungen erfassten, sondern auch die psychologischen Merkmale der Personen: Wem wollte die Person helfen, wovor hatte sie Angst, warum hatte sie Zweifel und welches Argument hatte sich zuvor als wirksam erwiesen?

Die Veröffentlichung von Screenshots des Administrationsbereichs hielten wir für unethisch: Die Bilder hätten personenbezogene Daten, finanzielle Verhältnisse und Dokumente der in der Datenbank erfassten Personen preisgegeben.

Telegram und Kampagnenvorlagen

Die Konfiguration des Panels enthüllte Daten zur Telegram-Bot-API und andere externe Integrationen, die für interne Benachrichtigungen genutzt wurden.

Innerhalb der Infrastruktur entdeckten wir einen separaten Dynamic-DNS-Dienst, der für das zentralisierte Herunterladen von Vorlagen genutzt wurde – darunter auch Komponenten, aus denen neue Varianten von Investitionswebsites zusammengestellt wurden.

Die Verknüpfung aus Admin-Panel, zentralisierten Karten, externen Integrationen und Vorlagen deutet darauf hin, dass es sich nicht um einen einzelnen Betreiber mit einer einzigen Website handelte. Die Infrastruktur war darauf ausgelegt, Kampagnen wiederholt zu starten und das äußere Erscheinungsbild zu ändern, ohne die Serverseite umgestalten zu müssen.

„Einen Fehler auslösen“ und eine Verbindung zum Computer herstellen

In internen Unterlagen wurden RustDesk, TeamViewer und andere legale Fernwartungsprogramme erwähnt.

Die Anweisungen sahen vor, diese erst nach dem Aufbau von Vertrauen einzusetzen. Der Betreiber sollte im persönlichen Konto einen Fehler auslösen, diesen als Problem auf Seiten des Nutzers darstellen und eine Verbindung zur „Konfiguration“ oder „Freigabe des Vorgangs“ anbieten.

Die Logik des WebSocket-Clients entsprach diesem Szenario:

  • ERROR|ERROR er zeigte einen künstlichen Fehler an;
  • ERROR2|https://... leitete den Nutzer auf eine vorgegebene Adresse um.

Eine der Umleitungsvarianten führte zur Installation eines mit hVNC verbundenen Tools. In internen Notizen war ein solches Szenario für besonders vermögende Ziele mit einem geschätzten Vermögen von mindestens 100.000 Dollar vorgesehen.

Separat wurden Android-RATs und „Skripte“ gespeichert – Anleitungen, die dem Operator erklärten, unter welchem Vorwand er die Person davon überzeugen sollte, die App zu installieren und die erforderlichen Berechtigungen zu erteilen.

Wie man ein solches Schema erkennt

Die untersuchte Kampagne wies mehrere charakteristische Merkmale auf:

  • ein unerwarteter Anruf mit einem Investitionsangebot;
  • das Versprechen einer Rendite von 20–40 % pro Jahr;
  • Druckausübung und Kritik an Banken;
  • der Versuch, die Kommunikation schnell in einen Messenger zu verlagern;
  • eine kürzlich registrierte Domain;
  • ein im Voraus erstelltes Benutzerkonto mit persönlichen Daten;
  • Überweisung von Geldern an Privatpersonen oder nicht verbundene Unternehmen;
  • die Aufforderung, einen Bankbeleg hochzuladen;
  • die Aufforderung, RustDesk, TeamViewer oder ein anderes Fernzugriffsprogramm zu installieren;
  • ein plötzlicher „technischer Fehler“ gerade während des Gesprächs;
  • zusätzliche Steuern, Gebühren und Zahlungen für die Auszahlung von Geldern.

Ein einzelnes Anzeichen ist nicht immer ein Beweis für Betrug. Das Zusammentreffen mehrerer Anzeichen ist jedoch Grund genug, die Kommunikation abzubrechen und eine unabhängige Überprüfung über die offiziellen Register und Kontaktdaten der Finanzaufsichtsbehörde durchzuführen.

Was ist nach einer Überweisung oder einer Fernzugriffsverbindung zu tun?

Sie müssen sich unverzüglich mit Ihrer Bank in Verbindung setzen, die betrügerische Transaktion melden und die Stoppung oder Rückabwicklung der Überweisung beantragen, sofern dies noch möglich ist.

Bewahren Sie den Schriftverkehr, Telefonnummern, Dokumente, Website-Adressen und Zahlungsdaten auf. Überweisen Sie unter keinen Umständen zusätzliche Beträge unter dem Vorwand von Steuern, Gebühren, Versicherungen oder der Freischaltung eines Kontos.

Falls sich der Betreiber mit dem Gerät verbunden hat, muss die Fernzugriffssoftware deinstalliert und aktive Sitzungen beendet werden. Bei Verdacht auf die Installation anderer Software sollte das Gerät vom Netzwerk getrennt und zur Überprüfung an Fachleute übergeben werden. Passwörter müssen von einem anderen, bekanntermaßen sicheren Gerät aus geändert werden.

Ein weiteres Risiko ist der Sekundärbetrug. Nach dem Geldverlust kann die betroffene Person Anrufe von angeblichen Anwälten, Vertretern der Aufsichtsbehörde oder Spezialisten für die Rückgewinnung von Vermögenswerten erhalten. Für das Versprechen, das Geld zurückzuerhalten, verlangen sie eine Vorauszahlung. Oft handelt es sich dabei um die Fortsetzung desselben Betrugsmusters oder um die Nutzung von Daten aus einer bereits kompromittierten Datenbank.

Benachrichtigung der Provider

Wir haben Abuse-Meldungen an die Betreiber der betroffenen Infrastruktur

  • an den Hosting-Anbieter der statischen Website;
  • an den Betreiber des DDNS-Dienstes, der den dynamischen Teil des Systems betreute;
  • dem Infrastrukturanbieter, in dessen Netzwerk sich der Server mit dem Administrationsbereich befand.

Jede Benachrichtigung enthielt Indikatoren, eine Beschreibung der Aktivitäten sowie einen Hinweis auf das Vorhandensein personenbezogener Daten Dritter. Am 4. August wurden Informationen über die Kampagne zudem über das Meldeformular für nicht lizenzierte Aktivitäten an die FCA sowie an die Strafverfolgungsbehörden weitergeleitet. Stand zum Zeitpunkt der Veröffentlichung: Es sind keine Antworten eingegangen; die Domain ist aktiv; der Dynamic-DNS-Server antwortet weiterhin; das Benutzerkonto wurde vom Betreiber gesperrt.

Wir haben keinen Kontakt zu den Personen aufgenommen, deren Daten in der Datenbank enthalten waren. Wir haben keine rechtliche Grundlage, diese Daten zu verarbeiten und Kontakt aufzunehmen, und ein Anruf oder ein Schreiben eines unbekannten Unternehmens nach einer Betrugskampagne würde das oben beschriebene Szenario eines Sekundärbetrugs nachstellen. Serveradressen, Domains und andere Identifikatoren werden zum Zeitpunkt der Veröffentlichung nicht offengelegt: Ein Teil der Infrastruktur könnte weiterhin aktiv sein, und eine verfrühte Veröffentlichung würde die Überprüfung behindern.

Anstelle eines Fazit

Diese Geschichte begann mit einem einzigen Anruf und dem Versprechen hoher Renditen.

Hinter der Stimme des „Anlageberaters“ verbarg sich ein System, das eine gefälschte Website, zentralisierte Profilkarten, Zahlungsbelege, interne Skripte, Telegram-Bots, Vorlagen und Fernzugriffstools miteinander verband.

Die wichtigste Erkenntnis lag jedoch nicht in der Anzahl der Server oder der Codezeilen.

Das gefälschte Kundenportal zeigte nicht nur einen erfundenen Kontostand an. Es konnte auf Befehle des Betreibers reagieren, im richtigen Moment einen Fehler erzeugen und ein gewöhnliches Telefongespräch in ein gesteuertes technisches Szenario verwandeln.

Sie verkauften keine Investitionen. Sie verkauften Hoffnung und nutzten dabei die Angst um die Familie, den Wunsch, Schulden abzubauen oder Kindern und Enkeln zu helfen, als Druckmittel.

Seien Sie daher wachsam und überprüfen Sie stets die Informationen, die Sie erhalten – insbesondere, wenn es um Geld geht. Vertrauen Sie nicht auf hohe Renditen, eine ansprechende Website oder einen überzeugenden „Anlageberater“, nur weil alles professionell wirkt. Überprüfen Sie das Alter der Domain, die juristische Person, die Lizenz des Finanzunternehmens und die Angaben dazu in den offiziellen Registern.