Der teuerste Cyberangriff im KMU braucht oft keine Schadsoftware. Eine E-Mail der scheinbaren Geschäftsleitung, eine dringende Zahlung, eine neue Bankverbindung eines Lieferanten: Das Geld ist überwiesen, bevor jemand nachfragt. Phishing und CEO-Betrug zielen auf Menschen und Abläufe, nicht auf Technik. Entsprechend liegt der beste Schutz in Abläufen.
Wie ein CEO-Betrug abläuft
Die Angreifer recherchieren zuerst: Wer ist Geschäftsführer, wer löst Zahlungen aus, welche Lieferanten gibt es, wann ist die Chefin auf Reisen? Vieles davon steht auf der Website, im Handelsregister und in sozialen Netzwerken. Dann folgt eine Nachricht, scheinbar von der Geschäftsleitung oder einem Anwalt: eine vertrauliche Übernahme, eine Zahlung, die heute noch raus muss, bitte niemandem davon erzählen. Manchmal stammt die Nachricht tatsächlich vom echten Postfach eines Lieferanten, das zuvor übernommen wurde, und enthält eine neue Bankverbindung für die nächste Rechnung.
Warum Schulungen allein nicht reichen
Moderne Betrugsnachrichten sind sprachlich fehlerfrei, gut getimt und auf die Person zugeschnitten. Auch geschulte Mitarbeitende fallen darauf herein, wenn Druck, Autorität und ein plausibler Anlass zusammenkommen. Security-Awareness ist wichtig, aber sie ist die letzte Verteidigungslinie, nicht die erste.
Abläufe, die schützen
- Rückbestätigung bei Bankverbindungen: Jede Änderung einer Bankverbindung wird telefonisch über eine bereits bekannte Nummer bestätigt, nie über Kontaktdaten aus der Nachricht selbst.
- Vier-Augen-Prinzip bei Zahlungen: Zahlungen über einem Schwellenwert und alle Zahlungen an neue Empfänger brauchen eine zweite Freigabe (Vier-Augen-Prinzip).
- Keine Ausnahmen per E-Mail: Anweisungen, die übliche Abläufe umgehen sollen, werden grundsätzlich auf einem zweiten Kanal überprüft, auch wenn sie von der Geschäftsleitung kommen.
- Ausdrückliche Rückendeckung: Die Geschäftsleitung erklärt schriftlich, dass niemand dafür kritisiert wird, eine ihrer Anweisungen zu überprüfen.
Technische Massnahmen
Mehrfaktor-Authentifizierung verhindert, dass gestohlene Passwörter zur Übernahme von Postfächern führen. DMARC, SPF und DKIM verhindern, dass Angreifer die eigene Domain als Absender verwenden. Markierungen für E-Mails von externen Absendern und Warnungen bei ähnlich aussehenden Domains helfen beim Erkennen. Und eine Regel, die automatische Weiterleitungen aus Postfächern nach aussen meldet, deckt übernommene Konten früh auf.
Wenn es passiert ist
Sofort die eigene Bank anrufen und den Rückruf der Zahlung verlangen; je schneller, desto grösser die Chance. Die Empfängerbank wird über die eigene Bank informiert. Strafanzeige bei der Polizei erstatten und betroffene Konten sichern, insbesondere Passwörter ändern und Weiterleitungsregeln prüfen. War ein Postfach übernommen, sind möglicherweise Personendaten abgeflossen; dann ist die Meldepflicht an den EDÖB zu prüfen (Data-Breach-Meldung). Betreiberinnen kritischer Infrastrukturen prüfen zusätzlich die ISG-Meldepflicht.
Einordnung
CEO-Betrug ist kein Zeichen von Nachlässigkeit, sondern professionelle Kriminalität. Unternehmen, die feste Zahlungsprozesse haben und deren Mitarbeitende sich trauen nachzufragen, sind deutlich schwerer zu treffen. Die technische Grundkonfiguration prüft unsere Checkliste zur Microsoft-365-Sicherheit; alle Cyber-Inhalte bündelt die Themenwelt Cybersecurity.