Windows-11-Stick von Amazon: die Nummer im Paket war die Falle

Veröffentlicht am 14. Oktober 2026 · Von Marvin Mörsberger · So prüfen wir

Ein USB-Stick, bestellt bei Amazon, darauf ein Windows-Medium. Im Paket lag eine Telefonnummer für den Fall, dass es Probleme gibt. Das sah nach Support aus, nach einem Callcenter, das für solche Fälle bereitsteht. Diese Nummer wurde angerufen.

Am anderen Ende saß kein Support. Dort wurde erzählt, das Bankkonto sei gehackt worden. Man werde das Geld zurückholen, und dafür brauche man die TANs. Es wurde überwiesen, eine Menge. Eine der beteiligten Banken hat von sich aus blockiert, bei der anderen war das Geld nicht mehr zu retten.

Danach waren die Betroffenen bei der Polizei. Deren Auswertungswerkzeug lief auf dem Medium nicht, weil darauf ein Administrator-Passwort hinterlegt war. Der Rechner wurde anschließend neu aufgesetzt.

Dieses Passwort zeigt, dass der Stick nicht einfach schlampig bespielt war. Ein echtes Windows-Installationsmedium enthält kein Benutzerkonto und kein Passwort. Das Konto entsteht erst während der Einrichtung, auf dem Rechner, vor dem Sie sitzen. Wer auf einem gekauften Stick ein fertiges Administrator-Passwort findet, hat kein Installationsmedium bekommen, sondern ein fertiges Abbild, und wer es erstellt hat, kannte dieses Passwort.

Ich schreibe das auf, weil die Masche zwei Dinge verbindet, die man getrennt kennt: den gefälschten Support-Anruf und den gekauften Datenträger. Der Anruf musste hier nicht einmal kommen, die Nummer dafür lag schon im Paket.

Warum ein Anruf, der nach TANs fragt, immer Betrug ist

Eine TAN gibt etwas frei. Sie holt nichts zurück. Jede einzelne ist die Unterschrift unter genau einen Auftrag, den die Bank in diesem Moment ausführen soll, und der Betrag steht dabei. Wer Sie am Telefon um TANs bittet, um Geld zurückzubuchen, bittet Sie darum, Überweisungen zu unterschreiben.

Rückbuchungen laufen über die Bank, nicht über den Kunden. Ihre Bank ruft Sie an, wenn ihr etwas auffällt, und dann fragt sie nach gar nichts: keine PIN, keine TAN, kein Passwort, kein Fernzugriff. Das gilt für die Betrugsabteilung genauso wie für die Filiale, und es gilt für die Polizei. Genau so hat eine der beiden Banken in diesem Fall gehandelt und ohne Zutun der Betroffenen blockiert.

Wirksam war die Masche, weil die Nummer selbst gewählt wurde. Bei einem eingehenden Anruf wird misstrauisch geprüft, wer da eigentlich spricht. Bei der Nummer, die man selbst aus dem Paket abgetippt hat, prüft niemand mehr. Dasselbe Muster steckt hinter gefälschten Rechnungen mit Hotline, bei QR-Codes und bei Störungsmeldungen im Browser. Wer den ersten Schritt macht, glaubt dem Gegenüber mehr. Wie die klassische Variante mit dem eingehenden Anruf abläuft, steht im Beitrag über den falschen Microsoft-Anruf.

Woran Sie ein vorbereitetes Medium erkennen

Für ein Windows-Medium gibt es keinen Telefonsupport, der im Paket liegt. Microsoft verkauft keine Sticks mit Hotline, und wenn eine Nummer beiliegt, ist das die Stelle, an der Sie nicht anrufen. Das ist das deutlichste Zeichen, und es liegt schon im Paket, bevor irgendetwas gestartet ist.

Nach dem Start gibt es vier weitere:

• Ein Passwort ist schon gesetzt. Dann ist das, was Sie sehen, die Installation von jemand anderem. Ein Konto, dessen Passwort Sie nicht kennen, kann jeder benutzen, der an den Rechner kommt, und aus der Ferne jeder, für den ein Fernzugang eingerichtet wurde.
• Es startet ein fertiger Schreibtisch statt die Einrichtung. Ein echtes Medium fragt nach Sprache und Tastatur, danach bei Bedarf nach einem Produktschlüssel, und Ihr Konto legen Sie erst am Ende der Einrichtung an. Wer direkt im laufenden Windows landet, hat ein Abbild vor sich.
• Programme, die Sie nicht ausgesucht haben. Virenschutz, Aufräumwerkzeuge, ein Browser mit Lesezeichen, Treiberpakete. Jedes davon hat jemand ausgewählt, und Sie wissen nicht, warum.
• Der Artikeltext verspricht Bequemlichkeit. „Sofort startklar“, „alle Treiber enthalten“, „Lizenz inklusive“. Ein fertiges Abbild ist für den Verkäufer bequem, und für Sie klingt es nach gesparter Zeit. Das ist der Vorwand, unter dem fremde Software auf Ihren Rechner kommt.

Von außen lässt sich ein Stick nicht prüfen. Niemand sieht einem Datenträger an, was beim Einrichten im Hintergrund mitläuft, und die Prüfsumme eines fremden Abbilds können Sie gegen nichts vergleichen. Deshalb ist die einfachste Regel, das Medium selbst zu erstellen.

Windows holt man bei Microsoft, und es kostet nichts

Das Installationsmedium für Windows 11 gibt Microsoft kostenlos heraus, auf der Seite Windows 11 herunterladen. Sie brauchen einen leeren USB-Stick mit mindestens 8 GB und etwa eine halbe Stunde. Das Medienerstellungstool schreibt den Stick fertig, alternativ laden Sie die ISO-Datei und schreiben sie selbst. Kaufen können Sie in diesem Vorgang genau eine Sache sinnvoll ein, nämlich den leeren Stick.

Der Lizenzschlüssel ist etwas anderes als das Medium, und hier entsteht die Verwechslung, von der die Angebote leben. Wenn auf dem Rechner schon einmal Windows 10 oder 11 aktiviert war, ist die Lizenz an das Gerät gebunden und wird bei der Neuinstallation wiedererkannt, bei Markengeräten über einen Schlüssel im BIOS, sonst über die Aktivierung bei Microsoft. Dann brauchen Sie keinen Schlüssel zu kaufen. Was auf Marktplätzen für wenige Euro als Schlüssel verkauft wird, stammt häufig aus Mengenverträgen, die für Privatleute nicht gedacht sind, und kann später stillgelegt werden.

Ob der Rechner Windows 11 überhaupt annimmt, klärt vorher der Kompatibilitäts-Check. Was beim Umstieg von Windows 10 zu beachten ist, steht im Ratgeber zum Windows-11-Upgrade. Beides ist in einer Stunde erledigt und kostet nichts.

Wenn schon überwiesen wurde

Die Reihenfolge entscheidet, wie viel zu retten ist. Punkt eins ist zeitkritisch, alles andere können Sie heute noch erledigen.

1. Bank anrufen, sofort. Telefonisch, nicht per E-Mail, und noch heute. Sagen Sie, dass Sie TANs an einen Anrufer weitergegeben haben und welche Beträge betroffen sind. Den Online-Zugang können Sie sich selbst sperren, indem Sie die PIN mehrfach falsch eingeben; verlassen Sie sich aber auf die Sperre durch die Bank. Karten sperrt der Notruf 116 116, sofern Ihr Institut daran teilnimmt. Nach der Freigabe lässt sich ein Auftrag nur noch in Ausnahmefällen stoppen, und nur wenn es schnell geht. Das BSI beschreibt die Schritte für diesen Fall unter Was tun im Ernstfall. Fragen Sie ausdrücklich nach, ob die Empfängerbank angesprochen wird.
2. Den Rechner nicht weiterbenutzen. Kein Online-Banking, keine Mails, keine Bestellungen. Wenn ein fremdes Abbild lief, wissen Sie nicht, was darin eingerichtet ist. Fahren Sie das Gerät herunter und lassen Sie es stehen, bis es neu aufgesetzt ist.
3. Stick, Paket und Beilage aufbewahren. Nicht formatieren und nichts darauf überschreiben, das ist Beweismittel. Notieren Sie Bestellnummer, Verkäufernamen, die beiliegende Rufnummer, Datum und Uhrzeit der Anrufe und was am Telefon gesagt wurde. Wenn Sie das Administrator-Passwort kennen, geben Sie es der Polizei mit. Genau daran scheiterte die Auswertung bei der Polizei.
4. Anzeige erstatten. In den meisten Bundesländern online möglich. Die Anzeige hilft gegenüber der Bank und ist für Versicherungen meist Voraussetzung, wenn sie später etwas übernehmen sollen.
5. Passwörter von einem anderen Gerät ändern. Mit dem E-Mail-Konto anfangen, weil darüber alles andere zurückgesetzt werden kann. Die Reihenfolge dafür steht in E-Mail-Konto gehackt: was in der ersten Stunde zählt. Danach Banking, Zahlungsdienste, Online-Shops.
6. Rechner neu aufsetzen, mit einem selbst erstellten Medium. Was auf der alten Platte bleiben soll, vorher auf eine externe Platte kopieren und später geprüft zurückholen, nicht einfach mitschleppen. Soll das Laufwerk weitergegeben werden, gehört es sicher gelöscht, siehe Festplatte sicher löschen.
7. Das Angebot melden. Über die Händlerbewertung und den Kundenservice des Marktplatzes, mit Bestellnummer und Fotos der Beilage, damit das Angebot nicht beim nächsten Käufer landet.

Ob auf dem Gerät nach dem Vorfall noch etwas im Argen liegt, zeigt ein erster Blick mit dem PC-Sicherheitscheck im Browser. Der ersetzt keine Neuinstallation, aber er sagt Ihnen, was offen liegt.

Für Angehörige

Dieser Fall wäre an einer einzigen Absprache gescheitert: Keine Telefonnummer aus einem Paket wird angerufen. Wenn eine Installation hakt, ruft man die Person an, die sonst bei IT-Fragen hilft, und deren Nummer steht in der Kurzwahl. Diese eine Absprache hilft hier mehr als jedes Schutzprogramm.

Der zweite Satz, der hilft, gehört an den Kühlschrank: Am Telefon wird keine TAN vorgelesen, von niemandem, zu keinem Zweck. Wer diesen Satz einmal laut ausgesprochen hat, erkennt den Anruf auch dann, wenn er freundlich ist und man gerade selbst angerufen hat.

Häufige Fragen

Ist jeder Windows-Stick von einem Marktplatz gefährlich?

Nein. Es gibt Verkäufer, die einen leeren Stick mit dem offiziellen Medium bespielen und sonst nichts tun. Das Problem ist, dass Sie es vorher nicht erkennen und hinterher nicht beweisen können. Da das Medium bei Microsoft kostenlos ist und in einer halben Stunde selbst erstellt ist, zahlen Sie beim Kauf vor allem für ein Risiko, das Sie nicht brauchen.

Wie sehe ich, ob auf meinem Rechner ein fremdes Konto liegt?

In den Windows-Einstellungen unter „Konten“ und dort „Andere Benutzer“ stehen die zusätzlichen Konten. Vollständiger ist der Befehl net user in der Eingabeaufforderung, er listet auch Konten, die in den Einstellungen ausgeblendet sind. Alles, was Sie nicht selbst angelegt haben, gehört entfernt. Wenn ein fremdes Konto Administratorrechte hat, setzen Sie den Rechner besser neu auf, weil Sie nicht wissen, was es eingerichtet hat.

Kann die Bank eine Überweisung zurückholen, die ich mit TAN freigegeben habe?

Selten, und nur wenn Sie sofort anrufen. Anders als bei einer Lastschrift gibt es kein einfaches Rückbuchungsrecht. Ob die Bank am Ende haftet, hängt vom Einzelfall ab und klären Verbraucherzentrale oder Anwalt. Was oft hilft: Die eigene Bank bittet die Empfängerbank, den Betrag anzuhalten, solange er dort noch liegt. Bei Beträgen, die noch nicht ausgeführt sind, gelingt das am häufigsten. Deshalb ist der Anruf wichtiger als die Frage, wie es passieren konnte.

Reicht es, den Stick wegzuwerfen und den Rechner weiterzubenutzen?

Nein. Wenn das System von einem fremden Abbild installiert wurde, liegt der Zustand von jemand anderem auf der Platte, mit dessen Konten, Einstellungen und möglicherweise dessen Programmen. Das lässt sich nicht nachträglich aussortieren. Den Stick brauchen Sie für die Anzeige, er gehört nicht in den Müll.

Woher hatten die Täter die Telefonnummer?

Sie brauchten sie nicht. Angerufen wird in dieser Masche von den Betroffenen selbst, mit der Nummer aus dem Paket. Das ist der Grund, warum die Geschichte funktioniert: Es fehlt der unerwartete Anruf, bei dem die meisten Menschen vorsichtig werden.