Oberster Gerichtshof fordert Schutzmaßnahmen von WhatsApp gegen Betrug und Entschädigung durch Banken für Opfer von Digital Arrest

WhatsApp und Banken sollen Betrug verhindern, bevor Geld fließt

WhatsApp hat dem Obersten Gerichtshof Indiens mitgeteilt, dass das Unternehmen gegen 9.400 Konten vorgegangen sei und eine Software entwickle, um verdächtige Konten zu erkennen und Nutzer zu warnen. Die Richter drängen Technologieplattformen und Banken, Betrugsmaschen mit sogenanntem Digital Arrest zu verhindern. Bei der Anhörung am 29. Oktober 2026 verlangte das Gericht zudem einen stärkeren finanziellen Schutz der Opfer. Vorgeschlagene Bankenvorschriften müssten eine Entschädigung vorsehen, wenn eine Institution durch mangelnde Sorgfaltspflicht einen Betrug ermöglicht habe.

Das Richtergremium unter Vorsitz des Obersten Richters Indiens, Surya Kant, und mit den Richtern Joymalya Bagchi und V Mohana wies WhatsApp und andere Online-Dienste an, ihre geplanten Schutzmaßnahmen sowohl dem Gericht als auch dem Indian Cybercrime Coordination Centre, kurz I4C, vorzulegen. Die nächste Anhörung ist für den 23. November angesetzt.

Im Verfahren werden mehrere Aspekte desselben Verbrechens zusammengeführt: das Nachrichtenkonto, über das ein Opfer bedroht wird, die Banküberweisung, durch die dessen Ersparnisse verschwinden, die Konten, auf denen das Geld eingeht, und die Ermittlungen, die zu seiner Rückholung nötig sind. Die Richter wollen, dass die Institutionen in jeder Phase Verantwortung übernehmen.

Bei Betrugsmaschen mit sogenanntem Digital Arrest geben sich Kriminelle als Polizei oder andere Behörden aus. Mit gefälschten Dokumenten und langen Videoanrufen setzen sie Menschen unter Druck, damit diese Geld überweisen. Opfer, darunter ältere Menschen, können stundenlang eingeschüchtert und mit einer angeblich drohenden Festnahme konfrontiert werden. Die vorgetäuschte Inhaftierung ist Teil der Täuschung.

Das Gericht stellte fest, dass Opfer im Jahr 2026 bisher rund 800 Crore Rupien durch Cyberkriminalität verloren hätten, obwohl die Zahl der Cyberstraftaten um etwa 50 Prozent gesunken sei. Frühere Zahlen aus einem Beschluss vom August zeichnen ein genaueres Bild der Beschwerden, die sich ausdrücklich auf Betrugsmaschen mit Digital Arrest beziehen.

Was WhatsApp erklären muss

Der Senior Advocate Kapil Sibal, der WhatsApp vertritt, erklärte dem Richtergremium, das Meta-Unternehmen sei vorbeugend gegen 9.400 Konten vorgegangen. Es werde eine eidesstattliche Erklärung zu den ergriffenen Maßnahmen einreichen und entwickle eine Software, die verdächtige Konten erkennen und Nutzer warnen solle.

Das Gericht verlangt Angaben zu den Maßnahmen, die Plattformen ergreifen wollen. Damit geht die Prüfung über die Zahl bereits gesperrter Konten hinaus. Werden dieselben Vorschläge auch dem I4C vorgelegt, kann die nationale Koordinierungsstelle prüfen, wie die Schutzmaßnahmen der Plattformen mit Bankenkontrollen und polizeilichen Ermittlungen zusammenpassen.

Wie WhatsApps geplante Warnsoftware verdächtige Konten erkennen soll, wann Nutzer Warnungen erhalten und wann das System verfügbar sein wird, ist noch nicht bekannt. Diese praktischen Einzelheiten sind für jemanden wichtig, der einen Drohanruf erhält und zugleich aufgefordert wird, sofort Geld zu überweisen.

Entschädigung soll von Versäumnissen einer Institution abhängen

Der Oberste Gerichtshof wies an, dass die geplanten regulatorischen Maßnahmen der Reserve Bank of India eine Entschädigung vorsehen müssen, wenn eine Untersuchung ergibt, dass ein Finanzinstitut bei der Verhinderung oder Meldung eines Betrugs seiner Sorgfaltspflicht nicht nachgekommen ist. Sorgfaltspflicht bedeutet, die Prüfungen und Vorsichtsmaßnahmen zu treffen, die von der jeweiligen Institution vernünftigerweise erwartet werden können.

Das Richtergremium unter Vorsitz von Oberstem Richter Surya Kant legte in seinem Beschluss vom 29. Oktober die vorgeschriebene Mindestzahlung fest:

eine angemessene Entschädigung zu zahlen, die mindestens dem vom Kunden verlorenen Betrag entspricht

Entscheidend ist die an diese Zahlung geknüpfte Bedingung: Ermittler müssen feststellen, dass der Betrug auf das Versäumnis der Institution zurückzuführen war. Wenn ein Opfer Ersparnisse verliert, weil eine Bank vorgeschriebene Prüfungen versäumt hat, würde der geplante Schutz dieses Versäumnis unmittelbar mit einer Entschädigungspflicht verknüpfen.

Die geplanten Änderungsrichtlinien der RBI zu Know Your Customer für 2026 sollen bis zum 30. November bekannt gegeben und bis zum 31. Dezember umgesetzt werden. Das Richtergremium erklärte, es werde die Vorschläge zunächst prüfen. Know Your Customer, meist mit KYC abgekürzt, bezeichnet Prüfungen, mit denen Banken die Identität ihrer Kunden verifizieren und Informationen zu deren Konten pflegen.

Die Anweisungen des Gerichts betreffen somit sowohl den Inhalt der anstehenden Regeln als auch die Durchsetzung der Verantwortung. Der Entschädigungsrahmen wird noch ausgearbeitet; als Grundlage für eine Zahlung ist das Versäumnis einer Institution festgelegt.

Warum ungewöhnliche Überweisungen im Fokus stehen

Oberster Richter Surya Kant fragte, warum Banken nicht eingreifen könnten, wenn ein Kunde plötzlich eine ungewöhnlich hohe Summe überweisen wolle, die nicht zu seinen bisherigen Transaktionen passe. Banken verfügen bereits über Informationen zu ihren Kunden und deren Kontoverläufen. So können sie solche Veränderungen erkennen, bevor das Geld das Konto verlässt.

Das Gericht nannte als mögliche Schutzmaßnahmen die vorübergehende Aussetzung verdächtiger Transaktionen, eine automatische Benachrichtigung der nächstgelegenen Polizeidienststelle und eine persönliche Überprüfung gemeldeter Transaktionen, um festzustellen, ob sie echt sind. Generalstaatsanwalt R Venkataramani teilte dem Richtergremium mit, es seien umfangreiche Arbeiten zur besseren Erkennung verdächtiger Transaktionen und zur Stärkung des Schutzes im Bankensektor erfolgt.

Eine frühere Anweisung ging noch näher auf den Zahlungsvorgang ein. In seinem Beschluss vom 4. August gab der Oberste Gerichtshof der RBI vier Wochen Zeit, ein Standardverfahren für vorübergehende Belastungssperren bei Betrugsfällen im Internet und Aktivitäten von Finanzkurieren formell zu verabschieden und zu verbreiten. Die Sperren sollen für betroffene Beträge oder Konten gelten.

Eine Belastungssperre verhindert vorübergehend, dass Geld abgehoben oder überwiesen wird. Ein Konto eines Finanzkuriers ist ein Konto, über das kriminell erlangte Gelder empfangen oder weitergeleitet werden. Der Beschluss vom August wies die RBI außerdem an, Schutzmaßnahmen mit verzögerter Transaktionsausführung und eine zeitversetzte Gutschrift umzusetzen. Dadurch soll Zeit für Prüfungen entstehen, bevor verdächtige Zahlungen weiterverarbeitet werden.

Bei der Anhörung im Oktober verlangte das Gericht von der RBI bis zum 23. November eine Liste aller zugelassenen Finanzinstitute, um den Kreis der von den Anweisungen betroffenen Institutionen festzulegen.

Beschwerden gingen stark zurück, die Verluste bleiben jedoch beträchtlich

Der vierte Statusbericht des I4C vom 3. August verzeichnete 123.672 Beschwerden wegen Digital Arrest auf dem National Cybercrime Reporting Portal für das Jahr 2024. 2025 sank die Zahl auf 58.239. Das entspricht einem Rückgang von etwa 53 Prozent, berechnet anhand der beiden Jahreswerte.

Bis zum 30. Juni 2026 kamen laut Bericht weitere 16.377 Beschwerden hinzu. Diese Zahl umfasst sechs Monate, während die früheren Werte jeweils ein ganzes Jahr abdecken. Der Beschluss vom August hielt fest, dass auch die gemeldeten Verluste deutlich zurückgegangen seien, und forderte eine fortgesetzte Beobachtung.

Die bei der Anhörung im Oktober genannten Verluste von rund 800 Crore Rupien bezogen sich auf die Cyberkriminalität im Jahr 2026 bis dahin. Die Zahlen machen zwei Aufgaben für die Behörden zugleich deutlich: neue Beschwerden zu verhindern und die Geldbeträge zu begrenzen, die Menschen entzogen werden, die weiterhin ins Visier geraten.

Die Rückholung des Geldes ist eine eigene Aufgabe

Der Statusbericht vom August verzeichnete über den Money Restoration Mechanism 36.290 abgeschlossene Rückerstattungen in Höhe von insgesamt 18,05 Crore Rupien. Das Portal deckte 57 Banken sowie alle 36 Bundesstaaten und Unionsterritorien ab.

Ein separates Portal für ein Beschwerdeverfahren erfasste 123.590 Filialen von 69 Banken. Am 11. Mai 2026 wurde eine Vereinbarung zum Datenaustausch zwischen dem Reserve Bank Innovation Hub und dem I4C geschlossen. Damit entstand ein formeller Kooperationskanal.

Die beiden Verfahren betreffen miteinander verbundene Probleme. Opfer brauchen eine schnelle Rückerstattung ihres Geldes; Menschen, deren Bankkonten eingefroren wurden, benötigen eine Möglichkeit, Beschwerde einzulegen. Das Gericht wies Bundesstaaten, Unionsterritorien und Strafverfolgungsbehörden an, beide Module gemäß dem Standardverfahren des Innenministeriums vom 2. Januar 2026 zu nutzen.

Die Kanzleien der Obergerichte wurden angewiesen, Gerichte und andere Behörden, die mit Kontosperren befasst sind, auf das Beschwerdeverfahren hinzuweisen. Der Oberste Gerichtshof erklärte, Betroffene sollten grundsätzlich zunächst dazu ermutigt werden, dieses Verfahren zu nutzen. Ihr Zugang zu verfassungsrechtlichen, gesetzlichen und sonstigen Rechtsmitteln bleibe jedoch bestehen.

Das Gericht verlangte außerdem, dass künftige Zahlen die eingegangenen und bearbeiteten Beschwerden, erteilten Rückerstattungsanordnungen, abgeschlossenen Rückzahlungen und erstatteten Beträge aufgeschlüsselt nach Bundesstaat und Bank ausweisen. Diese Angaben würden zeigen, wo Geld zurückgezahlt wird und wo Fälle noch offen sind.

Ermittlungen decken Netzwerke in zahlreichen Bundesstaaten auf

Das Central Bureau of Investigation (CBI) hatte bis zur Prüfung im August zehn Fälle zu Digital Arrest sowie mehrere damit verbundene Verfahren aufgenommen. In einer Ermittlung wurden 238 Opfer, 67 Konten als erste Empfänger des Geldes und Transaktionen von rund 80 Crore Rupien festgestellt. Durchsuchungen fanden an 93 Orten in 16 Bundesstaaten statt.

Das Ausmaß erklärt, warum das Gericht der Koordinierung so viel Bedeutung beimisst. Opfer, erste Empfängerkonten und spätere Überweisungen können sich über verschiedene Zuständigkeitsbereiche verteilen. Ermittler müssen diese Teile miteinander verknüpfen, um das Netzwerk aufzudecken und das Geld aufzuspüren.

Der ressortübergreifende Ausschuss zur Koordinierung der Maßnahmen bat das CBI zu prüfen, ob die derzeitige Schwelle von 10 Crore Rupien für die Übernahme von Ermittlungen gesenkt werden könne. Außerdem sollte die Behörde Fälle prüfen, in denen dasselbe organisierte Netzwerk beteiligt war und der Gesamtschaden den Schwellenwert überschritt. Das Gericht wies das CBI an, diese Vorschläge zu prüfen und Bericht zu erstatten.

Zum Zeitpunkt der Anhörung im August war die elektronische Registrierung von Zero FIR in 19 Bundesstaaten möglich; 14 Bundesstaaten hatten staatliche Koordinierungszentren für Cyberkriminalität eingerichtet. Eine Zero FIR ermöglicht die Aufnahme einer Anzeige, bevor der Fall an den für die Ermittlungen zuständigen Polizeibezirk weitergeleitet wird. Die übrigen Bundesstaaten und Unionsterritorien erhielten vier Wochen Zeit, ihre Koordinierungszentren einzurichten und in Betrieb zu nehmen.

Im Oktober wies das Gericht die Polizei in allen Bundesstaaten und Unionsterritorien an, über registrierte Fälle von Digital Arrest, die daraus hervorgegangenen Ermittlungen sowie Vorschläge zur Prävention, Aufdeckung und Strafverfolgung zu berichten. Die Polizeichefs wurden für die Umsetzung verantwortlich gemacht; die Berichte müssen auch dem ressortübergreifenden Koordinierungsausschuss vorgelegt werden.

Anrufbeschränkungen und SIM-Missbrauch werden ebenfalls geprüft

Der Beschluss vom August bat das Ministerium für Elektronik und Informationstechnologie, das Telekommunikationsministerium und das I4C, in Abstimmung mit den betroffenen Plattformen einen vorgeschlagenen zeitgesteuerten Notausschalter für Audio- und Videoanrufe zu prüfen.

Der Vorschlag betrifft Betrugsmaschen, bei denen Kriminelle ihre Opfer während eines Anrufs festhalten und unter Druck setzen. Das Gericht verlangte zunächst eine Prüfung der technischen Umsetzbarkeit, Wirksamkeit, Schutzvorkehrungen und Alternativen.

Das Telekommunikationsministerium wurde gesondert angewiesen, über Maßnahmen gegen Telekommunikationsanbieter und Vertriebsstellen zu berichten, deren Verhalten zu Betrugsmaschen beigetragen hatte. Außerdem sollte es auf einen Vorschlag für ein einheitliches Dashboard gegen SIM-Missbrauch eingehen, einschließlich doppelter SIM-Karten und des Missbrauchs von KYC-Verfahren zur Beschaffung zusätzlicher Anschlüsse.

Im Statusbericht vom August hieß es, die Telecommunications (Radio Equipment Possession Authorisation) Rules, 2025, seien bekannt gegeben worden; die Telecommunications (User Identification) Rules, 2025, befänden sich in der abschließenden Phase vor ihrer Bekanntgabe. Damit wird der Zugang zu Telefonanschlüssen neben Nachrichtenkonten und Bankkonten Teil der Präventionsmaßnahmen des Gerichts.

Die Termine für die nächste Phase

Das Verfahren mit dem Titel In Re: Victims of Digital Arrest Related to Forged Documents wurde auf eigene Initiative des Obersten Gerichtshofs eingeleitet; ein solches Verfahren wird suo motu genannt. Die Beschlüsse des Gerichts haben sich von Maßnahmen zur Koordinierung und Rückholung zu Forderungen nach konkreten Schutzmaßnahmen der Plattformen und durchsetzbaren Schutzvorkehrungen für Bankkunden entwickelt.

Der Zeitplan umfasst abgeschlossene Verwaltungsschritte, frühere gerichtliche Fristen und die bevorstehende Prüfung:

• 2. Januar 2026: Das Verfahren des Innenministeriums regelte die Verwahrung und Rückerstattung von Geld sowie die Bearbeitung von Beschwerden.
• 11. Mai 2026: Der Reserve Bank Innovation Hub und das I4C schlossen ihre Vereinbarung zum Datenaustausch.
• 4. August 2026: Das Gericht ordnete Maßnahmen zur Koordinierung im Bankensektor und zwischen den Bundesstaaten an, setzte dafür mehrere Fristen von vier Wochen und beraumte eine Prüfung für den 16. September an.
• 29. Oktober 2026: Das Richtergremium verlangte Präventionspläne von Plattformen und Entschädigungsregelungen, die an Versäumnisse von Finanzinstituten geknüpft sind.
• 23. November 2026: Das Gericht will den Fall erneut prüfen. Die RBI muss eine Liste der zugelassenen Finanzinstitute vorlegen.
• 30. November und 31. Dezember 2026: Geplante Termine für die Bekanntgabe beziehungsweise Umsetzung der Änderungsrichtlinien der RBI zu KYC, vorbehaltlich der Prüfung durch das Gericht.

Unmittelbar gefordert sind Plattformen, die ihre Vorschläge ausarbeiten, die RBI, die ihre Regeln und Liste der Institute vorbereitet, sowie die Polizei, die Ermittlungsberichte zusammenstellt. Für die Opfer geht es konkret darum, ob verdächtige Überweisungen unterbrochen, zurückgeholte Gelder schneller erstattet und Entschädigungen durchgesetzt werden können, wenn ein Versäumnis einer Institution den Verlust ermöglicht hat.

Die wichtigsten Punkte

• WhatsApp und andere Online-Dienste müssen dem Obersten Gerichtshof und dem I4C Vorschläge zur Betrugsprävention vorlegen.
• WhatsApps Anwalt erklärte, das Unternehmen sei gegen 9.400 Konten vorgegangen und entwickle eine Software, die Nutzer vor verdächtigen Konten warnen soll.
• Das Gericht will, dass Bankenvorschriften eine Entschädigung von mindestens der Höhe des Kundenverlusts verlangen, wenn ein Versäumnis der Institution den Betrug verursacht hat.
• Das I4C verzeichnete 123.672 Beschwerden wegen Digital Arrest im Jahr 2024, 58.239 im Jahr 2025 und 16.377 bis Juni 2026.
• Der Statusbericht vom August verzeichnete über 36.290 abgeschlossene Rückerstattungen insgesamt 18,05 Crore Rupien.
• Die nächste Anhörung ist für den 23. November 2026 angesetzt.