Betrug durch Firmen-E-Mail: Die geänderte Rechnung und die dringende Bestellung

3 Min. Lesezeit DataRoad

Wenn man von IT-Sicherheit spricht, denkt man an Firewalls und Antivirenprogramme. Aber das meiste Geld, das portugiesische Unternehmen durch Betrug verlieren, verschwindet nicht durch eine technische Schwachstelle – es verschwindet durch eine Überweisung, die von jemandem autorisiert wurde, der dem glaubte, was er las.

Das sind Angriffe, die keine Software ausnutzen. Sie nutzen Eile, Hierarchie und Vertrauen aus. Und genau deshalb löst keine Technologie sie allein.

Die geänderte Rechnung

Es ist das rentabelste und am schwersten zu erkennende System. So funktioniert es.

Jemand kompromittiert das Postfach eines Lieferanten – oder des eigenen Unternehmens – und beobachtet wochenlang im Stillen. Er lernt, wer wem Rechnungen stellt, die üblichen Beträge, den Tonfall der Nachrichten, die Fristen.

Wenn eine echte Rechnung eintrifft, fange sie ab und leite sie mit weiter IBAN geändert. Alles andere ist authentisch: der Wert, die Referenz, der Gesprächsverlauf, die Signatur. Häufig wird sie von einer beiläufigen Notiz begleitet – “wir haben die Bank gewechselt, wir bitten Sie, unsere Daten zu aktualisieren”.

Die Bezahlung erfolgt durch jemanden, der seine Arbeit korrekt erledigt hat. Der Betrug wird erst Wochen später entdeckt, als der echte Lieferant nach der ausstehenden Zahlung fragt.

Die dringende Anfrage der Geschäftsleitung

Dringend & Vertraulich! Bitte veranlassen Sie sofort die angeforderte Überweisung, da ich derzeit auf Reisen bin und telefonisch nicht erreichbar bin.

Die Details variieren, aber die Struktur ist immer dieselbe und greift drei Dinge gleichzeitig an: Dringlichkeit, damit keine Zeit zum Nachdenken bleibt; Behörde, um Fragen zu entmutigen; und Vertraulichkeit, um den Abgleich mit Kollegen zu verhindern.

Diese Angriffe sind heute ziemlich überzeugend: Sie verwenden den richtigen Namen, die richtige Signatur und beziehen sich manchmal auf echte interne Angelegenheiten, die aus früheren E-Mails gesammelt wurden.

Die Verteidigung ist organisatorisch, nicht technisch: Keine Überweisung über einen festgelegten Betrag erfolgt ohne Bestätigung über einen zweiten Kanal. — und die Führung muss dem Team ausdrücklich sagen, dass sie niemals verärgert sein wird, wenn man sie um Bestätigung bittet.

Anmeldediebstahl

Das Einsteigtor für die beiden vorherigen Betrugsmaschen ist fast immer dasselbe: Jemand hat das Passwort auf einer Seite eingegeben, die legitim aussah.

Falsche Authentifizierungsseiten sind heute getreue Kopien. Was sie verrät, ist die Adresse – und genau die überprüft niemand, wenn er in Eile ist.

Drei Maßnahmen verringern dieses Risiko drastisch:

• Zwei-Faktor-Authentifizierung für alle. Das ist die isolierte Maßnahme mit dem besten Verhältnis von Aufwand und Schutz. Ein gestohlenes Passwort reicht nicht mehr aus.
• Passwort-Manager. Neben der Vermeidung von Wiederverwendung hat es einen unterschätzten Vorteil: Es füllt keine Zugangsdaten auf Websites aus, deren Adresse nicht mit der echten übereinstimmt. Es erkennt den Betrug vor dem Menschen.
• Warnungen zur automatischen Weiterleitung. Das Erstellen einer Weiterleitungsregel nach außen ist der erste Schritt von jemandem, der ein Konto kompromittiert – und bleibt monatelang unbemerkt.

Die Verfahren, die funktionieren

Vier einfache, niedergeschriebene und jedermann bekannte Regeln, die die allermeisten Fälle lösen:

• IBAN-Änderungen werden telefonisch bestätigt, unter einer zuvor bekannten Nummer.
• Zahlungen über einem bestimmten Limit erfordern zwei Personen. Wer anfragt, ist nicht derjenige, der genehmigt.
• Keine dringliche Anfrage entbindet von der Überprüfung. Dringlichkeit ist das Werkzeug des Angreifers, kein Grund, Schritte zu überspringen.
• Jeder kann eine Zahlung stoppen ohne Misstrauen rechtfertigen zu müssen. Wenn die Unternehmenskultur den Fragenden bestraft, fragt niemand.

Und kurzes, regelmäßiges Training mit realen Beispielen. Keine zweistündige Sitzung pro Jahr, an die sich niemand erinnert – fünfzehn Minuten pro Quartal mit konkreten Fällen funktioniert besser.

Wenn es bereits passiert ist

Schnelligkeit ist alles. In den ersten Stunden gibt es noch Chancen.

Kontaktieren Sie sofort die Bank, um die Stornierung oder Rückholung der Überweisung zu beantragen – je früher, desto größer ist die Wahrscheinlichkeit. Ändern Sie die Passwörter der betroffenen Konten und beenden Sie alle aktiven Sitzungen. Überprüfen Sie, ob in Ihrem Postfach Weiterleitungsregeln erstellt wurden. Erstatten Sie Anzeige bei den Behörden. Und warnen Sie den Lieferanten oder Kunden auf der anderen Seite, denn wahrscheinlich ist er kompromissuell betroffen – und andere Unternehmen werden dieselben Rechnungen erhalten.

Dann, und erst dann, verstehen Sie, wie sie hineingekommen sind. Ohne das wiederholt es sich.

DataRoad hilft Unternehmen bei der Implementierung IT-Sicherheit und starke Authentifizierung, innerhalb der Verwaltete IT-Dienste.