Dubuque Co. verliert 524.000 US-Dollar durch Betrug, was zu politischen Schuldzuweisungen und unbeantworteten Fragen führt

DUBUQUE, Iowa – Ein komplexes Netz aus Cyberbetrug, menschlichem Versagen und Fehlkommunikation hat dazu geführt, dass Dubuque County über eine halbe Million Dollar für das „Field of Dreams“ der Stadt Dyersville zahlen muss. Die Gelder, die im Dezember 2023 durch einen E-Mail-Betrug gestohlen wurden, sind seitdem verschwunden, was Kreisbeamte, Anwohner und Cybersicherheitsexperten mit unbeantworteten Fragen und wachsender Frustration zurücklässt.

Nachdem das Geld nun weg ist, sagt die Versicherungsgesellschaft des Landkreises, dass die Police des Landkreises den Verlust nicht decken wird, da es sich nicht um einen Hackerangriff handelte und das Geld direkt überwiesen wurde.

Nach Angaben von Bezirksbeamten gaben sich die Betrüger als Mitarbeiter der Stadt Dyersville aus und brachten Mitarbeiter des Dubuque County dazu, 524.283,88 US-Dollar auf ein betrügerisches Konto zu überweisen. Das Geld, Bundesmittel aus dem American Rescue Plan Act (ARPA), war für Renovierungsarbeiten am legendären Baseballgelände Field of Dreams vorgesehen. Die Gelder wurden jedoch nie zurückgefordert, und widersprüchliche Darstellungen darüber, was genau passiert ist – und wer dafür verantwortlich ist – haben die Angelegenheit in einen wirbelnden politischen und administrativen Streit gestürzt, der noch beigelegt werden muss.

Eine Reihe roter Flaggen

Der Diebstahl ereignete sich im Dezember 2023, als die Stadt Dyersville dem Dubuque County eine Rechnung über etwa 524.000 US-Dollar als Teil der für das Field of Dreams-Projekt zugewiesenen ARPA-Mittel vorlegte.

Nach Angaben von Dubuque County Supervisor Wayne Kenniker war die Rechnung legitim, doch kurz darauf forderte ein betrügerisches E-Mail-Konto, das sich als Beamte von Dyersville ausgab, die Überweisung des Geldes auf ein neues Bankkonto an. Das Rechnungsprüfungsbüro von Dubuque County überwies das Geld unter der Leitung des Rechnungsprüfers Kevin Dragotto per Automated Clearing House (ACH)-Überweisung auf ein Konto, das später in Georgia ansässig war, ohne die Anfrage per Telefonanruf oder auf andere Weise zu überprüfen .

„Es gab keinerlei telefonische Kommunikation mit der Stadt Dyersville, um zu überprüfen, ob das Geld dorthin geschickt werden sollte“, sagte Kenniker in einem Interview mit News Now aus Iowa. Er sagte, der Landkreis sei am besten in der Lage, den Verlust zu verhindern, habe es jedoch versäumt, auf mehrere Warnzeichen zu reagieren, darunter Unstimmigkeiten in der E-Mail-Adresse, einschließlich fehlender oder hinzugefügter Buchstaben in der Schreibweise „Dyersville“ und den Kontodaten des Empfängers. „Sie wussten nicht unbedingt, dass es sich um ein betrügerisches Konto handelte, aber sie wussten genau, wohin es gesendet wurde.“

Kenniker sagte, dass das Geld mit Ausnahme von 536 US-Dollar fast sofort von dem betrügerischen Konto abgebucht und dann auf verschiedene Konten aufgeteilt wurde, bevor es in Kryptowährung umgewandelt wurde, was es „sehr, sehr schwierig machte, es weiter zurückzuverfolgen“.

Verzögerte Entdeckung und Fragen der Rechenschaftspflicht

Was folgte, war eine monatelange Tortur voller Verzögerungen, Anschuldigungen und politischer Untertöne. Der Betrug wurde erst im Februar 2024 entdeckt, als die Betrüger eine zweite betrügerische Überweisung versuchten. Erst dann stellten die Beamten des Dubuque County fest, dass die erste Zahlung auf das falsche Konto geflossen war.

Diese mehr als zweimonatige Verzögerung bei der Entdeckung des Diebstahls ist ein großer Streitpunkt. Laut Kenniker könnten zwar die Ferienzeit und andere Faktoren zu dem Versehen beigetragen haben, „es dauerte jedoch sehr lange, bis festgestellt wurde, dass das Geld tatsächlich an die Bank in Georgia überwiesen wurde.“ Er wies auch darauf hin, dass der Aufsichtsrat trotz laufender Ermittlungen sowohl des Sheriffs des Dubuque County, Joe Kennedy, als auch der Versicherungsgesellschaft des Countys vom Bezirksstaatsanwalt Scott Nelson und dem Versicherungsberater angewiesen wurde, die Situation nicht öffentlich zu diskutieren.

Die Spannungen eskalierten, nachdem Wirtschaftsprüfer Kevin Dragotto im Februar eine Pressemitteilung veröffentlichte, in der er im Sinne der Transparenz seine Version der Ereignisse darlegte. In den folgenden Monaten veröffentlichte er weiterhin Aktualisierungen an die Medien, auch wenn der Rest der Bezirksleitung aufgrund der erhaltenen Rechtsberatung weitgehend schwieg.

„Ich war von Anfang an transparent“, sagte Dragotto in einem Telefoninterview mit News Now aus Iowa. „Ich bin derjenige, der die ursprüngliche Pressemitteilung verschickt hat, um die Öffentlichkeit darüber zu informieren. Was also Rechenschaftspflicht und Transparenz betrifft, war ich für all diese Informationen an vorderster Front.“

Aber Kenniker ist anderer Meinung. Er glaubt, dass Dragottos Handlungen zu Fehlinformationen beigetragen und die Öffentlichkeit über die wahre Ursache des Betrugs verwirrt haben. „Transparenz erfordert Genauigkeit“, sagte Kenniker. „Und die Informationen, die er weitergab, waren nicht korrekt und widersprachen dem Rat eines Rechtsbeistands, weil die Möglichkeit eines Rechtsstreits bestand.“

Laut Kenniker bezeichnete Dragotto den Vorfall zunächst als Cyberangriff und nannte ihn einen „Man-in-the-Middle-Angriff“. Spätere Untersuchungen ergaben jedoch, dass es im E-Mail-System des Landkreises zu keinem Cyberverstoß gekommen war. Der Betrug war tatsächlich ein Social Engineering -Angriff, bei dem sich Betrüger als legitime Beamte ausgaben, um Bezirksmitarbeiter dazu zu bringen, die Gelder zu überweisen.

Dragotto verteidigte sein Vorgehen und bestritt die Einstufung als Cyberangriff, sondern als menschlichen Fehler, da keine Beweise für einen Hackerangriff gefunden wurden. „Von Anfang an habe ich erklärt, dass es sich nicht um ein Cybersicherheitsereignis für Dubuque County handelt“, sagte er. „Ich habe zu keinem Zeitpunkt darauf hingewiesen, dass es sich um einen Cybersicherheitsvorfall für den Landkreis handelt.“

Er nannte es stattdessen eine Cyberkriminalität. „Der Schuldige ist die Person, die das Verbrechen begangen hat“, sagte Dragotto. „Die Stadt und der Landkreis sind, wie ich von Anfang an gesagt habe, Opfer eines hochentwickelten Cybersicherheitsverbrechens.“

Brandon Potter, Cybersicherheitsexperte bei ProCircular, erklärte, dass Fälle wie dieser oft in eine Grauzone fallen. „Es war kein Cyberangriff, das war ein menschliches Versagen“, sagte Potter und betonte, dass der Verlust des Landkreises auf einen Social-Engineering-Betrug und nicht auf ein traditionelles Hacking-Ereignis zurückzuführen sei. „Sie haben nicht gegen das System verstoßen, sondern das Vertrauen der beteiligten Personen ausgenutzt.“

Die Rolle der Versicherung: Ablehnung und Streitigkeiten

Zu der Verwirrung kommt noch der anhaltende Streit um den Versicherungsschutz hinzu. Dubuque County hatte bei seinem Versicherer, dem Iowa Communities Assurance Pool (ICAP), einen Anspruch auf Deckung des Schadens eingereicht, der Anspruch wurde jedoch am 2. Oktober abgelehnt. Laut ICAP wurde der Verlust des Countys nicht als Cyberverstoß oder Hackerangriff eingestuft Vorfall, der durch die Cyber-Haftpflichtversicherung des Landkreises für 2023 abgedeckt gewesen wäre.

In einem Ablehnungsschreiben, das News Now aus Iowa erhalten hatte, erklärte ICAP, dass die betrügerische Transaktion als freiwillige Überweisung angesehen wurde, was bedeutet, dass der Landkreis die Gelder aktiv überwiesen hat, auch wenn sie auf das falsche Konto überwiesen wurden. Daher war der Schaden nicht durch die Versicherungsbedingungen gedeckt.

„ICAP hat eine Deckung im Rahmen des Legal Defense and Claims Payment Agreement (LDCPA) für den Haftpflichtanspruch Dritter und im Rahmen des Governmental Property Agreement (GPA) für den Erstanspruch in Betracht gezogen“, heißt es in dem Brief. „Aufgrund des Vorstehenden müssen wir Sie darauf hinweisen, dass ICAP die Deckung verweigert.“

Trotz der Ablehnung der Versicherung prüft der Landkreis nun andere Möglichkeiten, um die verlorenen Gelder zurückzugewinnen, so die Vorsitzende des Aufsichtsrats, Harley Pothoff. Er sagte gegenüber News Now in Iowa, dass der Landkreis nun versuchen werde, die Genehmigung des Versicherungsschutzes unter anderen als den bereits abgelehnten Abschnitten zu erhalten. Er sagte auch, dass der Versicherungsschutz der Stadt Dyersville möglicherweise zur Deckung des Schadens genutzt werden könnte, anstatt den des Landkreises.

„Versicherungsverträge decken mehr als ein Risiko ab, und nur weil es in diesem Abschnitt nicht abgedeckt ist, kann es in einem anderen Abschnitt abgedeckt sein“, sagte Martin Grace, Versicherungsexperte an der University of Iowa. „Und es hängt auch davon ab, wie Gerichte diese besonderen Deckungen im Bundesstaat in der Vergangenheit ausgelegt haben.

Politische Untertöne und öffentliche Frustration

Während der Landkreis darüber ringt, wie es weitergehen soll, haben sich die politischen Spannungen nur noch verschärft. Kenniker, der lautstark die Notwendigkeit von Transparenz betonte, warf Dragotto und anderen Beamten vor, die Veröffentlichung wichtiger Informationen zu verzögern, um ihr politisches Ansehen zu schützen.

„In zwei Wochen stehen Wahlen an, und ich glaube, das spielt dabei eine Rolle“, sagte Kenniker während einer Sitzung des Aufsichtsrats von Dubuque County im Oktober. Er wies Vorwürfe zurück, dass er das Thema aus politischen Gründen ansprach, und betonte, dass die Öffentlichkeit es verdiene, die Wahrheit zu erfahren. „Ich sehe nicht, dass es eine politische Anstrengung ist, den Menschen die Wahrheit zu sagen.“

„Es gibt einen Grund, warum es nicht auf der Tagesordnung steht“, sagte Supervisorin Ann McDonough in dieser Sitzung. „Ich verstehe, dass Sie zu diesem Zeitpunkt persönliche, vehemente Themen aus politischen Gründen vorbringen möchten, aber das ist nicht die Aufgabe dieses Gremiums.“

Iowas News Now versuchte, einen Kommentar von McDonough zu erhalten, doch man sagte ihr, „jetzt sei kein guter Zeitpunkt“, bevor sie auflegte.

Dragotto seinerseits hat jegliche politische Motivation bestritten. Er behauptet, dass er von Anfang an im besten Interesse des Landkreises gehandelt und die festgelegten Verfahren befolgt habe.

„Ich denke, ihre Politik ist hier unglücklich“, sagte er. „Ich denke, wir haben den Vorsitzenden der Republikanischen Partei, der sich bei jeder Sitzung beschwert, wir haben Unterstützer von Supervisor Kenniker, die zu jeder Sitzung kommen, und wir haben Supervisor Kenniker und Bezirksstaatsanwalt Nelson, beide von der Gegenpartei, die dies offensichtlich für politische Zwecke ausnutzen.“ Absichten, meine Kampagne zu untergraben. Aber ich habe dies zu keinem Zeitpunkt in irgendeiner Weise politisch gemacht.“

Laut Grace ist es unwahrscheinlich, dass diese Art des öffentlichen Hin und Her und die Veröffentlichung der Informationen die eigentlichen Probleme verschleiern. „Das ist so etwas, es ist nichts Falsches daran, es öffentlich zu machen“, sagte Grace. „Ich denke immer, dass man am Anfang manchmal Geheimhaltung oder Ruhe braucht, nur damit man außerhalb des öffentlichen Drucks verhandeln kann. Aber das ist eine große Zahl und die Leute wissen darüber Bescheid. Und deshalb sollten Sie wahrscheinlich darüber reden.“

Was passiert als nächstes?

Nachdem die 30-Tage-Frist seit Dyersvilles gerichtlichem Mahnschreiben abgelaufen ist, wächst die Besorgnis darüber, was als nächstes passieren wird. Der Staatsanwalt der Stadt Dyersville, Edward Henry, hat in einem Brief, den Iowas News Now erhalten und am 16. Juli an den Landkreis geschickt hat, mit einem Rechtsstreit gedroht, wenn die Stadt die gestohlenen ARPA-Gelder nicht erstattet erhält. Der Aufsichtsrat muss sich noch auf eine Vorgehensweise einigen. Kenniker hat Sondersitzungen einberufen, um das Thema zu besprechen, aber bis zur letzten Vorstandssitzung wurden noch keine Entscheidungen getroffen.

Unterdessen sieht sich der Landkreis einem wachsenden öffentlichen Druck ausgesetzt, Antworten zu erhalten. Anwohner haben bei Vorstandssitzungen wiederholt Bedenken geäußert und bei News Now von Iowa angerufen und um Rechenschaftspflicht und eine klarere Erklärung gebeten, wie eine so große Summe an Steuergeldern so leicht verloren gehen könnte.

Derzeit gibt es auf allen Seiten mehr Fragen als Antworten. Wie mit dem Verlust von 524.283,88 US-Dollar und den politischen, rechtlichen und finanziellen Folgen umgegangen werden soll, bleibt ungeklärt.

Während der Landkreis weiterhin alternative Versicherungsansprüche untersucht und mögliche rechtliche Schritte prüft, scheint die Wahrscheinlichkeit, die Gelder zurückzuerhalten, gering. Wie Potter es ausdrückte, wird es „viel schwieriger“, das Geld zurückzuverfolgen, sobald es in Kryptowährung überwiesen wird, was Dubuque County und die Stadt Dyersville in eine prekäre Finanzlage ohne klaren Lösungsweg zurücklässt.