Freitagnachmittag, kurz vor Feierabend. Phishing im Unternehmen beginnt nicht immer mit einer verdächtigen Datei oder einer offensichtlich gefälschten Nachricht. In der Buchhaltung trifft eine E-Mail des vermeintlichen Geschäftsführers ein. Eine vertrauliche Übernahme müsse noch heute abgeschlossen werden, die Zahlung sei dringend und dürfe intern zunächst nicht besprochen werden. Absender, Schreibstil und Signatur wirken plausibel. Wenige Minuten später sind 48.000 Euro überwiesen.
Erst am Montag stellt sich heraus: Der Geschäftsführer hat die Nachricht nie geschrieben. Der Vorfall zeigt eine Seite von Cyberkriminalität, für die Angreifer nicht zwingend Server hacken müssen. Beim Phishing und Social Engineering wird stattdessen der Mensch zum Angriffspunkt. Für Unternehmen stellt sich anschließend eine schwierige Frage: Wer trägt den Schaden, wenn ein Mitarbeiter die Überweisung selbst freigegeben hat?
Foto von Markus Winkler auf Unsplash
Wenn nicht die Technik, sondern Vertrauen angegriffen wird
Bei einem klassischen Phishing-Angriff versuchen Kriminelle häufig, Zugangsdaten abzugreifen. Eine täuschend echte E-Mail führt beispielsweise auf eine nachgebaute Anmeldeseite. Dort eingegebene Benutzername-Passwort-Kombinationen landen unmittelbar beim Angreifer.
Social Engineering geht noch einen Schritt weiter. Hier steht die gezielte Manipulation einer Person im Mittelpunkt. Die Täter versuchen, Vertrauen aufzubauen, Autorität vorzutäuschen oder künstlichen Zeitdruck zu erzeugen. Dafür können sie sich als Geschäftsführer, Kollege, Lieferant, Bankmitarbeiter oder IT-Dienstleister ausgeben.
Die Qualität solcher Angriffe sollte nicht unterschätzt werden. Kriminelle können sich vorab über ein Unternehmen informieren. Namen von Führungskräften, Positionen, Geschäftspartnern oder Abwesenheiten lassen sich teilweise bereits über Unternehmenswebsites, soziale Netzwerke und andere öffentlich zugängliche Informationen ermitteln.
Damit entsteht eine Nachricht, die nicht mehr wie die klassische schlecht übersetzte Phishing-Mail aussieht. Sie passt zum Arbeitsalltag des Empfängers.
Woran lässt sich Social Engineering erkennen?
Warnsignale können ungewöhnlicher Zeitdruck, die Aufforderung zur Geheimhaltung, eine kurzfristig geänderte Bankverbindung, ungewohnte Zahlungswege oder die Umgehung etablierter Freigabeprozesse sein. Besonders kritisch ist die Kombination mehrerer dieser Merkmale.
Fake President Fraud: Wenn der vermeintliche Chef persönlich schreibt
Eine besonders perfide Variante ist der sogenannte Fake President Fraud, auch CEO-Fraud genannt. Ein Mitarbeiter mit Zahlungsbefugnis erhält dabei eine Nachricht, die scheinbar von der Geschäftsleitung stammt.
Der Inhalt ist bewusst so konstruiert, dass normale Kontrollmechanismen ausgehebelt werden. Eine Transaktion sei streng vertraulich. Ein Anwalt oder Berater werde sich zusätzlich melden. Der Empfänger dürfe mit Kollegen nicht darüber sprechen. Vor allem müsse das Geld schnell überwiesen werden.
Psychologisch ist das wirkungsvoll. Autorität trifft auf Zeitdruck und Geheimhaltung.
Für den Mitarbeiter entsteht eine ungewöhnliche Situation: Eine Rückfrage könnte wie Misstrauen gegenüber der Geschäftsführung wirken, während eine schnelle Umsetzung als pflichtbewusst erscheint. Genau diesen Konflikt nutzen Täter aus.
Das Sicherheitsproblem liegt deshalb nicht zwangsläufig bei einem unaufmerksamen Mitarbeiter. Häufig fehlt ein Unternehmensprozess, der auch bei scheinbaren Anweisungen der Geschäftsleitung eine unabhängige Kontrolle erzwingt.
Manipulierte Rechnungen funktionieren nach einem ähnlichen Prinzip
Nicht immer gibt sich ein Betrüger als Geschäftsführer aus. Eine weitere Variante beginnt mit einer scheinbar gewöhnlichen Nachricht eines Lieferanten.
Die Bankverbindung habe sich geändert, heißt es beispielsweise. Künftige Rechnungen seien auf ein neues Konto zu überweisen. Layout, Ansprechpartner und Signatur wirken vertraut.
Wird die Änderung ungeprüft im Buchhaltungssystem hinterlegt, können auch mehrere Zahlungen an Betrüger gehen, bevor der tatsächliche Geschäftspartner nach einer offenen Rechnung fragt.
Damit kann aus einem einzelnen Manipulationsversuch eine Serie von Fehlüberweisungen werden.
Wer trägt den Schaden nach einer Fehlüberweisung?
Genau an dieser Stelle wird die Situation kompliziert. Das Unternehmen hat die Überweisung technisch betrachtet häufig selbst ausgeführt. Ein berechtigter Mitarbeiter hat den Zahlungsvorgang angestoßen oder freigegeben.
Das unterscheidet den Fall beispielsweise von einem Täter, der gestohlene Onlinebanking-Zugangsdaten verwendet und selbst auf das Konto zugreift.
Ob und in welchem Umfang eine Bank, ein Versicherer oder ein anderer Beteiligter für den entstandenen Schaden einstehen muss, lässt sich deshalb nicht pauschal beantworten. Entscheidend sind der konkrete Angriff, der Zahlungsablauf, vereinbarte Sicherheitsverfahren und der vorhandene Versicherungsschutz.
Auch bei einer Cyberversicherung ist die Bezeichnung allein nicht ausreichend. Cyberdeckungen können Computerbetrug durch Phishing oder Identitätsmissbrauch einschließen und unmittelbare Vermögensschäden durch irrtümliche Überweisungen berücksichtigen. Entscheidend bleibt jedoch die konkrete Definition des versicherten Ereignisses und der vereinbarte Umfang.
Gerade bei Social Engineering sollte deshalb geprüft werden, ob manipulierte Zahlungsanweisungen tatsächlich erfasst sind und unter welchen Voraussetzungen Versicherungsschutz besteht.
Eine Cyberversicherung ist nicht automatisch eine Geld-zurück-Garantie
Cyberversicherungen werden häufig mit Hackerangriffen, Ransomware, Datenverlust und Betriebsunterbrechung verbunden. Tatsächlich können moderne Absicherungen deutlich mehr Cyberrisiken berücksichtigen.
Das bedeutet aber nicht, dass jede durch Täuschung verursachte Zahlung automatisch versichert ist.
Ein wichtiger Unterschied liegt bereits im Schadenmechanismus. Werden Onlinebanking-Daten gestohlen und vom Täter eingesetzt, unterscheidet sich das technisch und rechtlich von einer Situation, in der ein Mitarbeiter aufgrund einer gefälschten E-Mail selbst eine Zahlung ausführt.
Hinzu kommen mögliche Ausschlüsse, Entschädigungsgrenzen, Selbstbehalte und Voraussetzungen für den Versicherungsschutz. Auch vorsätzliches betrügerisches Handeln eigener Betriebsangehöriger ist etwas anderes als ein Mitarbeiter, der selbst Opfer einer Täuschung durch einen externen Täter wird.
Für Unternehmen ergibt sich daraus eine wichtige Erkenntnis: Nicht der Produktname entscheidet darüber, ob ein Schaden abgesichert ist, sondern die konkrete Definition von Computerbetrug, Phishing, Identitätsmissbrauch und den daraus entstehenden Vermögensschäden.
Was ist nach einer betrügerischen Überweisung zu tun?
Sobald der Betrug erkannt wird, sollte unverzüglich die Bank kontaktiert und ein möglicher Rückruf oder eine Sperrung der Zahlung geprüft werden. Gleichzeitig sollten E-Mails und andere Beweise gesichert, interne Verantwortliche informiert und Strafanzeige erstattet werden. Schnelles Handeln kann die Chance erhöhen, Geldströme noch zu stoppen.
Warum technische IT-Sicherheit allein nicht genügt
Firewalls, Virenschutz und regelmäßige Updates bleiben wichtige Bestandteile der Cyberprävention. Gegen eine perfekt formulierte Zahlungsanweisung helfen sie jedoch nur begrenzt.
Deshalb rückt der organisatorische Schutz stärker in den Vordergrund.
Eine der wirksamsten Maßnahmen ist ein verbindlicher Freigabeprozess. Beispielsweise können Zahlungen ab einer bestimmten Größenordnung grundsätzlich eine zweite Freigabe benötigen. Änderungen von Bankverbindungen können über einen bereits bekannten Kommunikationsweg beim Geschäftspartner verifiziert werden.
Wichtig ist dabei, dass diese Regeln ausnahmslos gelten. Eine vermeintliche E-Mail des Geschäftsführers darf kein Grund sein, den Prozess zu umgehen. Im Gegenteil: Je ungewöhnlicher und dringlicher eine Zahlungsanforderung erscheint, desto wichtiger wird die unabhängige Kontrolle.
Auch regelmäßige Mitarbeiterschulungen spielen eine Rolle. Die Sensibilisierung für Cyberrisiken gehört inzwischen zu den grundlegenden organisatorischen Schutzmaßnahmen. Phishing-Simulationen können zusätzlich zeigen, wie Mitarbeiter auf realistisch gestaltete Angriffsversuche reagieren.
Ziel solcher Maßnahmen sollte nicht sein, Mitarbeiter für Fehler zu bestrafen. Entscheidend ist, verdächtige Situationen frühzeitig zu erkennen und eine Unternehmenskultur zu schaffen, in der eine Rückfrage ausdrücklich erwünscht ist.
Vier-Augen-Prinzip schlägt Bauchgefühl
Gerade kleinere Unternehmen verlassen sich häufig auf kurze Wege. Die Buchhaltung kennt die Geschäftsführung persönlich, Lieferanten sind seit Jahren bekannt und außergewöhnliche Zahlungen werden unkompliziert abgestimmt.
Diese Nähe ist im normalen Geschäftsalltag ein Vorteil. Bei Social Engineering kann sie jedoch ausgenutzt werden. Deshalb sollten bestimmte Vorgänge unabhängig von Unternehmensgröße und persönlichem Vertrauen standardisiert werden. Dazu gehören insbesondere hohe oder ungewöhnliche Überweisungen sowie Änderungen von Kontodaten.
Ein einfaches Kontrollverfahren kann beispielsweise vorsehen, dass eine geänderte Bankverbindung niemals allein aufgrund einer E-Mail übernommen wird. Stattdessen erfolgt eine Rückbestätigung über eine bereits bekannte Telefonnummer. Bei ungewöhnlichen Zahlungsanweisungen der Geschäftsleitung gilt das gleiche Prinzip.
Das Entscheidende daran: Der Mitarbeiter muss nicht beurteilen, ob eine E-Mail „echt aussieht“. Er muss lediglich den festgelegten Prozess einhalten.
Welche Zahlungsprozesse erschweren CEO-Fraud?
Besonders wirksam sind feste Freigabegrenzen, ein Vier-Augen-Prinzip, die unabhängige Prüfung neuer Bankverbindungen und klare Rückrufverfahren. Zahlungsregeln sollten auch dann gelten, wenn die vermeintliche Anweisung von der Geschäftsführung selbst stammt.
Der Mitarbeiter ist häufig nur das letzte Glied der Angriffskette
Nach einer erfolgreichen Betrugsüberweisung liegt die erste Reaktion nahe: Warum hat der Mitarbeiter das nicht erkannt?
Für das Risikomanagement ist diese Frage allerdings zu kurz gedacht.
Professionelles Social Engineering ist darauf ausgelegt, Menschen zu täuschen. Ein Unternehmen sollte seine Sicherheit deshalb nicht davon abhängig machen, dass jeder Mitarbeiter jede gefälschte Nachricht zuverlässig erkennt.
Ein guter Prozess geht davon aus, dass irgendwann jemand auf eine überzeugende Täuschung hereinfallen kann. Sicherheitsmechanismen müssen verhindern, dass aus diesem einzelnen Fehler unmittelbar ein hoher finanzieller Schaden entsteht.
Das betrifft nicht nur Zahlungsfreigaben. Regelmäßige Information über Cyberrisiken, Zugangskontrollen und weitere technische wie organisatorische Sicherheitsmaßnahmen gehören ebenfalls zu einer belastbaren Cyberstrategie.
Damit verändert sich auch die Rolle des Menschen in der Cybersicherheit. Mitarbeiter sind nicht einfach das „schwächste Glied“. Mit Schulung, klaren Prozessen und der Möglichkeit, verdächtige Vorgänge unkompliziert zu melden, können sie zu einer zusätzlichen Sicherheitsebene werden.
Wenn eine einzige E-Mail fünfstellige Summen bewegt
Für einen erfolgreichen Cyberangriff braucht es nicht immer Schadsoftware, verschlüsselte Server oder hochkomplexe technische Methoden. Manchmal genügt eine Nachricht, die im richtigen Moment bei der richtigen Person landet.
Genau deshalb gehören Phishing, Social Engineering und Fake President Fraud nicht ausschließlich in die IT-Abteilung. Sie sind Themen für Geschäftsführung, Buchhaltung und alle Mitarbeiter mit Zugriff auf sensible Daten oder Zahlungsprozesse.
Technische Schutzmaßnahmen bilden dabei nur eine Ebene. Klare Freigabeprozesse, unabhängige Kontrollen und regelmäßige Sensibilisierung können verhindern, dass eine glaubwürdig wirkende Nachricht unmittelbar zu einer Überweisung führt. Eine passende finanzielle Absicherung kann das verbleibende Risiko ergänzen, muss aber darauf geprüft werden, welche Formen des Computerbetrugs tatsächlich erfasst sind.
Die wichtigste Regel ist erstaunlich analog: Je dringlicher, vertraulicher und ungewöhnlicher eine Zahlungsanweisung erscheint, desto wichtiger ist eine zweite Bestätigung über einen unabhängigen Kommunikationsweg.
