956.000 Euro gewonnen, ohne mitzuspielen? Die Oxfam-E-Mail-Lotterie im Scam-Check

956.000 Euro gewonnen, ohne auch nur einen Tippschein auszufüllen? Was andere Menschen für außerordentliches Glück halten würden, nennt man bei uns einen ganz normalen Blick in den Spam-Ordner.

Eine angebliche Gemeinschaftsspende soll per E-Mail verlost worden sein. Hinter dem Geldsegen stünden laut Absender gleich mehrere große Hilfsorganisationen. Belege dafür gibt es keine, dafür aber wechselnde Ansprechpartner, inzwischen vier verschiedene E-Mail-Adressen und überraschend großes Interesse an persönlichen Daten.

Die erste E-Mail: 956.000 Euro aus dem Nichts

Die erste Nachricht wurde von bakymenko.i.k@oocl.org.ua verschickt, forderte für die weitere Kommunikation aber zur Kontaktaufnahme mit info@share2community.com auf. Mit Nebensächlichkeiten wie Teilnahmebedingungen, Veranstalter oder einem überprüfbaren Gewinnspiel hielt sie sich nicht lange auf:

Herzlichen Glückwunsch. Ihre E-Mail-Adresse hat Sie für eine Summe von 956.000,00 € im Rahmen einer organisierten Gemeinschaftsspende (Verlosung per E-Mail) qualifiziert!!!! Ihre Qualifikationsnummer lautet {477/OXF/461/AID}. Bitte kontaktieren Sie uns für weitere Informationen zur Geltendmachung Ihres Anspruchs. Leitung der Operationsabteilung. Kontakt für den Kundenservice. E-Mail: info@share2community.com .

Vier Ausrufezeichen, eine amtlich aussehende Qualifikationsnummer und fast eine Million Euro: Da bleibt eigentlich nur eine Frage offen – wo genau haben wir mitgemacht?

Also antworteten wir kurz:

Hallo, ich hab nirgendwo mitgemacht.

Eine berechtigte Frage. Bei einer echten Lotterie ist die Teilnahme schließlich keine lästige Formalität, die man nach dem Gewinn noch schnell nachholt.

Die Antwort: plötzlich Oxfam, UNICEF und ein Offshore-Konto

Daraufhin meldete sich nicht mehr die erste Adresse, sondern customersservicesonline@gmail.com. Aus der knappen Gewinnmitteilung wurde nun eine ausführliche Geschichte über Oxfam-Aid Spanien, Oxfam International, UNICEF, Armutsbekämpfung und Arbeitsplätze. Die komplette Antwort lässt sich hier aufklappen:

Unsere nächste Antwort: Fake-Daten für den Fake-Gewinn

Wir haben das Formular mit erfundenen Angaben beantwortet und sinngemäß geschrieben, dass wir die Sache zwar ausprobieren, aber noch nicht so recht an den Geldsegen glauben. Echte persönliche Daten, Telefonnummern oder Dokumente haben wir selbstverständlich nicht verschickt.

Dabei zeigte sich die nächste Besonderheit: Eine normale Antwort auf die Gmail-Nachricht landet gar nicht bei customersservicesonline@gmail.com. Im technischen Kopf der E-Mail ist eine andere Zieladresse hinterlegt:

From: Customers Services <customersservicesonline@gmail.com>
Return-Path: <customersservicesonline@gmail.com>
Reply-To: info@privatetalku.online

Das Feld From bestimmt, welchen Absender das Mailprogramm zunächst anzeigt. Return-Path wird vor allem für technische Rückläufer verwendet. Für unsere Antwort ist dagegen Reply-To entscheidend: Beim Klick auf „Antworten“ setzt das Mailprogramm automatisch info@privatetalku.online als Empfänger ein.

Damit sind in diesem kurzen Austausch bereits vier Adressen beteiligt:

1. bakymenko.i.k@oocl.org.ua verschickte den ursprünglichen Köder.
2. info@share2community.com wurde im Text als Kontaktadresse genannt.
3. customersservicesonline@gmail.com verschickte die lange Antwort.
4. info@privatetalku.online soll die nächste Nachricht erhalten.

Das ist kein belastbarer Nachweis dafür, wer hinter den einzelnen Konten steckt. Es zeigt aber, dass die Kommunikation bewusst von Adresse zu Adresse weitergereicht wird.

Warum verwenden die Absender so viele E-Mail-Adressen?

Das Adresskarussell kann mehrere praktische Gründe haben. Die erste Adresse dient nur zum massenhaften Versand, während Antworten in einem separaten Postfach gesammelt werden. Wird eine Adresse wegen Spam gesperrt oder vom Anbieter abgeschaltet, bleibt der Rest der Infrastruktur bestehen. Außerdem lassen sich Kampagnen, Opfergruppen oder einzelne Arbeitsschritte auf verschiedene Konten verteilen.

Eine weitere Möglichkeit sind missbrauchte oder übernommene Postfächer. Ob das hier tatsächlich der Fall ist, lässt sich aus dem Header allein nicht belegen. Sicher ist nur: Keine der vier Adressen gehört erkennbar zu Oxfam oder UNICEF. Der Wechsel erschwert außerdem die Nachverfolgung und sorgt dafür, dass eine gesperrte Adresse nicht sofort die gesamte Unterhaltung beendet.

SPF, DKIM und DMARC bestanden – warum ist die Mail trotzdem Betrug?

Der Header enthält für die Gmail-Nachricht bei SPF, DKIM und DMARC jeweils ein pass. Das klingt zunächst amtlich, bedeutet aber lediglich, dass die Nachricht tatsächlich über Googles Mailserver verschickt wurde und der sichtbare Gmail-Absender technisch dazu passt.

Diese Prüfungen bestätigen nicht, dass „Richard Simon“ oder „Frank Hassan“ existieren, für Oxfam arbeiten oder 956.000 Euro verteilen dürfen. Auch Betrüger können ein reguläres Gmail-Konto eröffnen und darüber technisch korrekt signierte Nachrichten versenden. Die Authentifizierung schützt hier vor einer gefälschten Gmail-Absenderdomain – nicht vor einer erfundenen Geschichte im Inhalt.

Auch die Zeichenfolgen wie =C3=BC oder =E2=82=AC im Rohtext sind kein geheimer Scam-Code. Sie stammen von der üblichen Quoted-Printable-Kodierung, mit der unter anderem Umlaute und das Eurozeichen in E-Mails übertragen werden. Verdächtig ist nicht die Kodierung, sondern das Zusammenspiel aus fremden Adressen, umgeleiteter Antwort und unbelegtem Millionengewinn.

Warum braucht eine Lotterie Alter, Beruf und Telefonnummer?

Die kurze Antwort lautet: Für die Auszahlung eines echten Gewinns braucht niemand diesen bunten Datenstrauß per Antwortmail. Besonders Alter, Beruf und Telefon- beziehungsweise Faxnummer erklären nicht, warum eine E-Mail-Adresse angeblich 956.000 Euro gewonnen haben soll.

Für Betrüger sind solche Angaben dagegen ausgesprochen nützlich. Sie erfahren, wer hinter der Adresse steckt, wo die Person wohnt, wie sie telefonisch erreichbar ist und ob ihr Beruf auf ein interessantes Einkommen schließen lässt. Die Daten können für weitere, persönlich zugeschnittene Betrugsversuche verwendet werden. Je mehr ein Opfer preisgibt, desto glaubwürdiger klingt später der nächste Anruf oder die nächste E-Mail.

Ein weiteres Warnzeichen steckt gleich in der Anrede: Die ursprüngliche Nachricht kannte offenbar nur eine E-Mail-Adresse. Nach unserer Antwort taucht plötzlich ein Name auf. Das macht die Verlosung nicht seriöser, sondern zeigt vor allem, dass die Geschichte während des Kontakts mit persönlichen Informationen ausgeschmückt wird.

Das Offshore-Konto ist keine Auszahlungsmethode, sondern die nächste Kulisse

Besonders interessant ist die angekündigte „Eröffnung eines Offshore-Kontos bei unserer Abwicklungsbank“. Warum sollte eine Hilfsorganisation für einen deutschen Empfänger ein neues Auslandskonto eröffnen, statt den angeblichen Betrag auf ein bestehendes Konto zu überweisen?

Die Antwort wird in der E-Mail noch nicht ausgesprochen. Bei dieser Form des Vorschussbetrugs folgt typischerweise eine angebliche Bank oder Finanzgesellschaft. Auf deren Website erscheint dann womöglich sogar ein Kontostand von 956.000 Euro. Das Geld existiert jedoch nur als Zahl auf dem Bildschirm.

Sobald das Opfer eine Auszahlung versucht, werden erfahrungsgemäß erfundene Kosten verlangt: etwa für die Kontoeröffnung, Aktivierung, Geldwäscheprüfung, Versicherung, Steuerbescheinigung oder internationale Überweisung. Aus dem kostenlosen Millionengewinn wird so eine stetig wachsende Gebührenbaustelle. Wie solche Kulissen funktionieren, zeigen auch unsere Übersicht über Fake-Banken der Scammer und der Fall der angeblichen UN-Entschädigung über ein Onlinekonto.

Wichtig: Die Gebühren sind an dieser Stelle noch nicht gefordert worden. Das Offshore-Konto bereitet diesen möglichen nächsten Schritt aber bereits auffällig sauber vor.

Die Warnzeichen auf einen Blick

Die Nachricht vereint gleich eine ganze Sammlung klassischer Scam-Merkmale:

• Keine Teilnahme: Die E-Mail-Adresse soll gewonnen haben, obwohl weder ein Los gekauft noch ein Antrag gestellt wurde.
• Große Namen ohne Nachweis: Oxfam International und UNICEF werden genannt, aber keine überprüfbare Aktion oder offizielle Kontaktstelle belegt.
• Freemail-Adresse: Die ausführliche Antwort kommt von einem gewöhnlichen Gmail-Konto statt von der Domain einer der genannten Organisationen.
• Wechselnde Identitäten: Zuerst schreibt eine namenlose „Leitung der Operationsabteilung“, dann stellt sich Richard Simon vor, unterschrieben wird die Nachricht jedoch von Frank Hassan.
• Persönliche Daten: Anschrift, Nationalität, Alter, Beruf und Telefonnummer sollen einfach per E-Mail übermittelt werden.
• Geheimhaltung: Angeblich muss die Sache wegen der internationalen Presse diskret bleiben. Tatsächlich soll das verhindern, dass Betroffene Freunde, Familie oder Beratungsstellen fragen.
• Ungewöhnlicher Zahlungsweg: Ein Offshore-Konto ist für die Auszahlung eines Gewinns weder plausibel noch notwendig.

Auch die angebliche Fürsorge ist Teil der Inszenierung. Wer das Geld nicht nur für sich, sondern für Arbeitsplätze, Kinder und die ganze Gemeinde erhalten soll, fühlt sich moralisch ausgewählt. So wird aus Gier ein vermeintlich guter Zweck – und aus gesunder Skepsis soll ein schlechtes Gewissen werden.

Altbekannte Lotterie, neue Dekoration

Die Geschichte ist nicht neu. Beim Free-Lotto-Scam gab es ebenfalls einen Millionengewinn ohne Teilnahme. Die angebliche Dell-Spendenverlosung kombinierte den Geldsegen später ganz offen mit einer Vorabgebühr. Und bei der Google-Glücksfee sollte wieder eine zufällig ausgewählte E-Mail-Adresse reich geworden sein.

Die Namen und Beträge wechseln, der Ablauf bleibt erstaunlich stabil: große Summe versprechen, Vertrauen aufbauen, Daten einsammeln und anschließend eine Hürde erfinden, die sich nur mit echtem Geld überwinden lässt.

Was sollten Empfänger solcher E-Mails tun?

Wer eine vergleichbare Nachricht erhält, sollte nicht antworten, keine persönlichen Daten oder Ausweiskopien verschicken und auf keinen Fall Gebühren bezahlen. Links zu angeblichen Banken oder Formularen sollten ebenfalls geschlossen bleiben. Die Nachricht kann beim Mailanbieter als Spam beziehungsweise Phishing gemeldet und anschließend gelöscht werden.

Wer bereits Daten übermittelt hat, muss mit weiteren Kontaktversuchen rechnen. Dann gilt: Telefonnummern und Absender blockieren, Folgeforderungen ignorieren und besonders misstrauisch bei Nachrichten sein, die bereits bekannte persönliche Angaben enthalten. Wurde Geld überwiesen, sollten umgehend die eigene Bank und die Polizei kontaktiert werden.