Katrin Eggert

Geschäftsführerbetrug

Heute, 30.06.2016, haben wir eine Sonderausgabe unseres INES IT Security-Newsletters veröffentlicht.

Basis dafür waren Hinweise aus verschiedenen Quellen (bayme, LKA, Kanzlei WBS) auf eine aktuelle, hoch professionelle Betrugsmasche.

Dabei werden durch Angreifer E-Mails des Unternehmenschefs gefälscht und den Prokuristen zugespielt. Über einen frei erfundenen Grund werden diese in der E-Mail angewiesen, hohe Geldsummen zu überweisen.

In einem aktuellen Fall der Kanzlei WBS (www.wbs-law.de) ging es um die Summe von 380.000 €. Begründet wurde die Überweisung durch besondere Kaufoptionen in Zusammenhang mit dem Brexit. Parallel zur E-Mail meldete sich telefonisch eine vermeintliche Rechtsanwaltskanzlei “Luther” aus Luxemburg, die auf den Prokuristen zusätzlich Druck ausübte.

Laut Rechtsanwaltskanzlei WBS erhielt der Prokurist die fristlose Kündigung. Der Geschäftsführer sah es als fahrlässig, dass der Mitarbeiter keinen Verdacht geschöpft hatte, als dieser in der E-Mail gesiezt und nicht wie üblich geduzt wurde.

Wie hätten Sie reagiert?

Wie hätten Sie reagiert wäre die vermeintliche Anwaltskanzlei in CC gewesen? Könnte hier ein “Sie” statt dem üblichen “Du” nicht eine berechtigte Ausnahme sein?

Die Kanzlei WBS legte dem Artikel wichtige Empfehlungen bei

  • Berücksichtigen Sie Details: Klingt die E-Mail wie immer oder werden Sie plötzlich gesiezt und nicht geduzt.
  • Wird ungewöhnlicher Zeitdruck ausgelöst?
  • Achten Sie auf den Zielort der Überweisung. Insbesondere bei Osteuropa oder China sollten Sie skeptisch sein.

In unserem Beitrag haben wir diese Hinweise noch erweitert

  • Sensibilisieren Sie die Mitarbeiter auf Social Engineering Angriffe. Damit sind beispielsweise Anrufe im Vorfeld gemeint, mit denen sich Betrüger wichtige Informationen für die Erstellung der gefälschten E-Mails erschleichen.
  • Informieren Sie betroffene Abteilungen über aktuelle Vorfälle. Wir haben bereits mehrfach positive Rückmeldungen erhalten, dass Aufgrund von aktuellen Hinweisen kritische Klicks nicht ausgeführt wurden.

Speziell für die Geschäftsleitung

  • Schaffen Sie Vertrauen und machen Sie den Mitarbeitern klar, dass eine Rückfrage immer in Ordnung ist.
  • Sorgen Sie dafür, dass betroffene Mitarbeiter Sie erreichen können. Für Social Engineers ist ein genau definierter Zeitpunkt (Geschäftsleiter auf Dienstreise) ein wichtiges Kriterium für einen funktionierenden Angriff.

Technische Absicherung

In einem weiteren uns vorliegenden Fall, wurde das Geschäftsführer-Notebook eines international tätigen Unternehmens am Flughafen gestohlen. Einen Monat später wurde der Leiter der Finanzabteilung eines Tochterunternehmens im Zusammenhang mit einer internen Geschäftsabwicklung gezielt angeschrieben. Die dabei verwendeten vertraulichen Informationen stammten aus dem gestohlenen Notebook.

  • Verschlüsseln Sie mobile Geräte und Datenträger, um einen unberechtigten Zugriff zu verhindern.

Fazit

Fortlaufende Sensibilisierung auf Basis von Rundmails, Intranet-Beiträgen und Präsenzschulungen sind wichtige Abwehrmechanismen für diese Form von Angriffen. Installieren Sie parallel dazu technische Lösungen in einem ausgewogenen Verhältnis zwischen Sicherheit, Komfort und Kosten.

…und wenn im Zweifelsfall der Ansprechpartner nicht klar sein sollte, wenden Sie sich an Ihren Datenschutzbeauftragten.

Stefan Bachmann