Themen
Tipp des Monats
Machen Sie in nur zehn Minuten den IT-Sicherheitscheck von Deutschland sicher im Netz. Der Test liefert Handlungsempfehlungen, mit denen Sie die eigene IT-Sicherheitslage verbessern können.
Newsletter
Um neue Beiträge regelmäßig zu erhalten, können Sie hier unseren Newsletter abonnieren:
Warum es sinnvoll sein kann kritisch nachzufragen, wenn sich der Chef meldet
Abzocke vom vermeintlichen Chef
Warum es sinnvoll sein kann kritisch nachzufragen, wenn sich der Chef meldet
Eine Betrugsmaschine macht Karriere. Der verbreitete Enkeltrick, bei dem ältere Menschen um Ihre Rente gebracht werden indem man sich als Verwandter ausgibt, erlebt eine Auferstehung. Betrüger geben sich als Chefs aus, um Geld von Unternehmen zu ergaunern.
Eine E‑Mail vom angeblichen Chef mit der Aufforderung Geld für einen extrem wichtigen und zeitkritischen Geschäftsabschluss auf ein Konto ins Ausland zu überweisen – so funktioniert kurz zusammengefasst die „Chef-Masche” oder auch „CEO-Fraud” genannt. Das hierbei nicht nur große Unternehmen oder Konzerne im Mittelpunkt der Betrüger stehen, zeigt ein Warnhinweis der Polizei Unterfranken. Denn in letzter Zeit wurden auch kleinere Firmen und sogar Ehrenamtliche von Vereine in das Portfolio der Betrüger aufgenommen.
Achtung ist hier geboten: Denn mit Zufall und ohne Hintergrundwissen erfolgen solche Angriffe nicht. Zuerst verschaffen sich die Täter Informationen über die internen Strukturen des Unternehmens, um einen überweisungsberechtigten Mitarbeiter ausfindig zu machen. Im Name des vermeintlichen Chefs erhält dieser dann per E‑Mail einen „Befehl von oben” eine Überweisung für eine geschäftliche Transaktion durchzuführen. Natürlich hat dabei der Mitarbeiter Stillschweigen zu wahren und sämtliche internen Kontrollen zu ignorieren. Die E‑Mail vom vermeintlichen Chef kommt natürlich ausgerechnet dann, wenn der wahre Chef im Urlaub ist. Dabei wird entweder das private E‑Mail-Konto des Chefs gehackt oder eine E‑Mailadresse verwendet, die zum Verwechseln ähnlich ist. Zusätzlich wird noch Insiderwissen in die E‑Mail eingebaut, die die Kriminellen über die sozialen Netzwerke erhalten. So wird z.B. zum Abschluss sonnige Grüße aus dem Golfurlaub in Spanien gewünscht, weil der Chef auf Facebook die aktuellen Bilder dort bereitgestellt hat.
Warum ist die Masche so gefährlich?
- Technologische Schutzmaßnahmen vor Angriffen von außen bleiben in diesem Fall wirkungslos. Denn die Lücke im System ist der Mitarbeiter.
- Es erfolgt ein gezieltes Ansprechen der Person, die im Unternehmen Überweisungen tätigen darf.
- Den Betrügern gelingt es häufig eine Vertrautheit herzustellen. Hierzu werden bspw. Informationen aus Pressemitteilungen oder dem Website-Auftritt verwendet, um den internen Sprachgebrauch zu adaptieren.
- Das psychologische Geschick der Betrüger ist beachtlich. Auf der einen Seite schmeicheln sie Mitarbeitern, indem sie deren Verlässlichkeit und Vertrauenswürdigkeit hervorheben. Auf der anderen Seite bauen Sie Druck auf, weil die Überweisung sofort, ganz schnell und ganz geheim zu erfolgen hat.
- Durch technische Verschleierung ist es schwer auf den ersten Blick die Fälschung der E‑Mail zu erkennen. Denn die Betrüger fälschen im Regelfall die Adresse und tauschen einzelne Buchstaben. So wird aus @firma.com schnell mal @firma.c0m.
- Die gesamte Geschichte hört sich schlüssig an. So wird in der vermeintlichen E‑Mail vom Chef darauf hingewiesen, dass aufgrund der hohen Vertraulichkeit lediglich per E‑Mail kommuniziert werden darf oder es wird eine Telefonnummer von einer Anwaltskanzlei angegeben, die sich um die Transaktion kümmert. Nur befindet sich hinter der Telefonnummer keine Anwaltskanzlei, sondern die Betrüger selber.
Wie kann man sich vor der Betrugsmasche schützen?
Ein perfekter und hundertprozentiger Schutz ist schwierig. Aber mit ein paar klaren Regeln und Hinweisen kann ein Unternehmen es den Betrügern deutlich schwerer machen:
- Achten Sie darauf, was das Unternehmen und die Mitarbeiter im Internet veröffentlichen.
- Für Abwesenheiten sollte klare Abwesenheitsregelungen und interne Kontrollmechanismen vorhanden sein, die auch zwingend eingehalten werden.
- Informieren Sie Mitarbeiter im Unternehmen über die neue Betrugsmasche.
- Im Falle von ungewöhnlichen Zahlungsanweisungen sollten vor Veranlassung der Zahlung folgende Punkte beachtet werden:
- Überprüfung der E‑Mail auf Absenderadresse und korrekter Schreibweise
- Verifizieren der Zahlungsaufforderungen durch Rückruf oder Rückfrage
- Kontaktaufnahme mit dem Chef, egal was in der E‑Mail steht
- Bei Auffälligkeiten oder Fragen wenden Sie sich an die Polizei oder an das zuständige Landeskriminalamt

Seit 2003 bei der DATEV eG tätig. Zuerst als IT-Revisor, beschäftigt er sich nunmehr schwerpunktmäßig mit dem Informationssicherheits- und Notfallmanagement der DATEV eG. Daneben ist er noch als Referent für die ibs Schreiber GmbH zu unterschiedlichen Themen tätig.

Neueste Kommentare