Business-E-Mail-Compromise (BEC) und CEO-Betrug sind raffinierte Betrugsmethoden, die erhebliche finanzielle Verluste verursachen können. Der Artikel erklärt, wie sie funktionieren und welche Massnahmen ergriffen werden können, um sich vor diesen Bedrohungen zu schützen.
Was ist Business-E-Mail-Compromise?
Business-E-Mail-Compromise (BEC) ist eine Form des Cyberbetrugs, bei dem Angreifer sich Zugang zu geschäftlichen E-Mail-Konten verschaffen und diese nutzen, um betrügerische Überweisungen zu erwirken oder sensible Informationen zu erlangen.
Wie funktioniert ein Business-E-Mail-Compromise-Angriff?
Business-E-Mail-Compromise-Angriffe beginnen oft mit Phishing, um Zugang zu einem E-Mail-Konto zu erhalten. Sobald die Angreifer Zugriff auf eine bestehende E-Mail-Kommunikation haben, suchen sie nach existierenden Rechnungen. Anschliessend wird die IBAN-Nummer, auf die der Betrag einbezahlt werden soll, geändert und die Rechnung wird noch einmal an den Empfänger gesendet.
Was ist ein CEO-Betrug?
Während beim Business-E-Mail-Compromise ein unerlaubter Zugriff auf ein E-Mail-Konto eines Mitarbeitenden besteht, beschaffen sich die Angreifer im Falle eines CEO-Betrugs die Daten im Vorfeld aus unterschiedlichen öffentlichen Quellen. In diesem Fall wird das E-Mail-Konto nicht gehackt.
Wie funktioniert ein CEO-Betrug?
Der eigentliche Betrug findet mit einer E-Mail des/der angeblichen CEO an die Finanzabteilung statt. Durch eine glaubwürdige Geschichte soll die angeschriebene Person dazu bewegt werden, angeblich dringende Zahlungen auf das Konto der Betrüger auszulösen.
Schutzmassnahmen gegen Business-E-Mail-Compromise und CEO-Betrug
- Zwei-Faktor-Authentifizierung: Implementieren Sie Zwei-Faktor-Authentifizierung für alle geschäftlichen E-Mail-Konten.
- Verifizierungsprozesse: Etablieren Sie klare Verifizierungsprozesse für finanzielle Transaktionen und sensible Informationen. Dies können auch alternative Möglichkeiten wie zum Beispiel Rücksprache via WhatsApp sein.
- Schulung der Mitarbeitenden: Schulen Sie Ihre Mitarbeitenden, verdächtige E-Mails zu erkennen und zu melden. Besondere Vorsicht ist bei Anfragen geboten, in denen eine schnelle Änderung der Kontodaten von Zulieferern oder Kundinnen beziehungsweise Kunden unter Druck gefordert werden. In solchen Fällen sollten die Mitarbeitenden sofort alarmiert sein.
- Verifizierung von Bankverbindungen: Neue Bankverbindungen sollten immer noch einmal vom Partner oder Lieferanten überprüft werden. Ein Griff zum Telefon hilft, Falschzahlungen zu vermeiden.
- Schutz von Mitarbeiterdaten in der Finanzbuchhaltung: Namen, Mailadressen und Kontaktdaten von Mitarbeitenden aus der Buchhaltung gehören nicht auf die Webseite des Unternehmens. Diese Informationen machen es dem Täter beziehungsweise der Täterin einfacher, potenzielle Opfer als Einfallstor zu finden.
- Keine internen Informationen preisgeben: Mitarbeitende sollten kritisch sein, wenn sich jemand per E-Mail oder telefonisch als Mitglied der Geschäftsleitung ausgibt.
- Sensibilisierung der Mitarbeitenden: Alle Mitarbeitenden, insbesondere in den Finanzabteilungen, sollten für mögliche Angriffsweisen sensibilisiert werden.
Wie äussert sich das Risiko von Business-E-Mail-Compromise und CEO-Betrug mit Rechnungsmanipulationen in der Praxis?
- gefälschte Rechnungen per Post: Betrüger senden gefälschte Rechnungen per Post, in der Hoffnung, dass sie ungeprüft bezahlt werden. In stressigen Zeiten werden nicht alle Rechnungen genau geprüft.
- gefälschte Rechnungen per E-Mail: Raffiniertere Betrüger hacken sich in das E-Mail-System eines Lieferanten ein und versenden Rechnungen mit geänderter IBAN von legitimen E-Mail-Adressen. Diese Angriffe sind schwer zu erkennen und führen dazu, dass betrügerische Rechnungen bezahlt werden, bevor es auffällt.
- Änderung der Bankdaten: Betrüger geben sich als Lieferanten aus und bitten Unternehmen, ihre Bankdaten im Buchhaltungssystem zu ändern. So wird jede legitime Rechnung auf das Konto der Betrüger überwiesen.
- mehrere Rechnungen für dieselbe Leistung: Manchmal stellen dreiste Betrüger zwei Rechnungen für dieselbe Bestellung aus, in der Hoffnung, dass zweimal bezahlt wird.
Was tun, wenn Business-E-Mail-Compromise oder ein CEO-Betrug vorliegt?
- Sollten Sie eine Zahlung getätigt haben, wenden Sie sich bitte umgehend an die Bank, über welche Sie die Zahlung getätigt haben. Allenfalls hat diese noch die Möglichkeit, die Zahlung zu stoppen.
- Werden in Ihrem Namen manipulierte Rechnungen versendet, ist davon auszugehen, dass Ihr E-Mail-Konto/-System gehackt wurde. Ändern Sie in diesem Fall unverzüglich das Passwort und kontrollieren Sie die E-Mail-Filter und Weiterleitungsregeln. Oft erstellen die Angreifer eine E-Mail-Weiterleitungsregel, die eine Kopie aller Ihrer empfangenen E-Mails an die Angreifer sendet. Zusätzlich empfiehlt das BACS die Überprüfung des Systems. Sollte das notwendige Fachwissen bei Ihnen nicht vorhanden sein, wenden Sie sich an ein spezialisiertes Unternehmen.
Fallbeispiel eines CEO-Betrugs
Die Muster AG ist ein Unternehmen im Bereich Medizinaltechnik mit 70 Mitarbeitenden.
Ein Mitarbeiter in der Buchhaltungsabteilung erhält eine E-Mail, die aussieht, als stamme sie von der Direktorin des Unternehmens. In der E-Mail wird er gebeten, eine dringende Überweisung in Höhe von CHF 50’000 an einen «wichtigen Lieferanten» zu tätigen, der angeblich eine neue Bankverbindung hat.
Die E-Mail kommt von einer gefälschten Adresse, die nur leicht von der echten CEO-Adresse abweicht (zum Beispiel » wird zu »). Der Mitarbeiter bemerkt den kleinen Unterschied nicht, da die E-Mail sehr überzeugend wirkt und keine anderen Anzeichen auf einen Betrug hindeuten. Ohne weitere Bestätigung oder Rücksprache mit der CEO oder der Finanzabteilung führt er die Überweisung aus.
Zwei Tage später stellt die CEO fest, dass sie keine solche Zahlungsanweisung gemacht hat. Das Unternehmen hat CHF 50’000 verloren, und die Bank konnte die Zahlung nicht rückgängig machen. Der Vorfall führt zu einem erheblichen Vertrauensverlust bei den Kunden und einer intensiven Zusammenarbeit mit den Behörden zur Aufklärung des Angriffs.
Dieses Beispiel zeigt, wie ein CEO-Betrug durch einfache soziale Manipulation und Täuschung zu erheblichen Verlusten führen kann, insbesondere wenn interne Sicherheitsprozesse und die Sensibilisierung der Mitarbeitenden fehlen.
Weiterführende Informationen:
Bundesamt für Cybersicherheit BACS: Rechnungsmanipulationsbetrug (BEC-Betrug)
