#17 Zahlungsbetrug: Wenn Geld digital verschwindet

0:00 Dieser Podcast wurde inhaltlich von Nikolaus Stapels zusammengestellt. In dieser Reihe erzählen wir wahre Geschichten aus der Welt der Cyberkriminalität, der IT-Sicherheit und digitaler Risiken. Es sind Geschichten die zeigen wie schnell Unternehmen verwundbar werden können und wie wichtig es ist aus den Fehlern anderer zu lernen bevor man selbst betroffen ist.

0:22 Stell dir vor du hast gerade eine richtig große Lieferung für dein Unternehmen bekommen Und du überweist sagen wir mal fünfzigtausend Euro an deinen langjährigen Lieferanten. Jemand, mit dem du echt seit Jahren zusammenarbeitest und die Rechnung dieser wirklich perfekt aus also das Logo, die Rechnungsnummer alles hat gepasst.

0:41 aber dann Drei Wochen später ruft genau dieser Lieferant bei dir an und fragt in einem ziemlich ernsten Ton, wann du eigentlich gedenkst diese offene Summe zu begleichen. Du schaust auf dein Konto und das Geld ist definitiv weg! Ja und das absolut schlimmste an dieser Situation – wenn wir uns die rechtliche Realität ansehen und wenn dieser Fall später vor Gericht landet wird ihr der Richter mit sehr hoher Wahrscheinlichkeit sagen dass du selbst an den Verlust schuld bist.

1:10 Wahnsinn Und genau damit willkommen zu unserer heutigen Untersuchung. In dieser Analyse der Quellen widmen wir uns einem Verbrechen, das in der Regel völlig lautlos abläuft – nämlich dem Rechnungs- und Zahlungsbetrug! Wir reden hier halt nicht von maskierten Tätern, die Tresore knacken oder von spektakulären Ransom-Währangriffen wo dann alle Bildschirme in der Firma plötzlich rot blinken.

1:52 Und um das direkt mal behördlich einzuordnen nach offiziellen Angaben des BSI also des Bundesamts für Sicherheit in der Informationstechnik wird der Betrug mit manipulierten Rechnungen mittlerweile als eine hochgefährliche und extrem weit verbreitete Angriffsmethode eingestuft. Das ist also echt kein Nischenproblem mehr.

2:12 Absolut nicht, das ist eine reale tägliche Bedrohung. Eine die komplett ohne Vorwarnungen die Existenz von sagen wir mal einem Handwerksbetrieb oder einer Agentur gefährden kann gerade weil diese Betriebe oft keine eigene große Finanzbuchhaltung haben die alles doppelt und dreifach prüft. Bevor wir uns gleich ansehen, warum die Gerichte in solchen Fällen oft so unerbittlich gegen die betrogenen Unternehmen urteilen, müssen wir klären wie das technisch überhaupt abläuft.

2:40 Denn wenn ich mir die polizeilichen Ermittlungsberichte aus unseren Quellen ansähe, dann fällt auf dass es kein spontaner Gelegenheitstiebstahl ist. Nein, überhaupt nicht! Die Täter gehen da nach einem sehr brützriesen vierstufigen Plan vor Und wenn wir diese Anatomie des Verbrechens mal setzieren, dann sehen wir dass die erste Stufe fast immer die sogenannte Infiltration ist.

3:03 Meistens passiert das durch Fishing? Ja und hier müssen wir kurz definieren wie fatal dieses Fishing wirklich ist oder... Weil das ist ja nicht mehr diese schlecht übersetzte E-Mail von einem angeblichen Prinzen, über die wir alle lachen. Genau das ist der Punkt! Die Täter fälschen laut den technischen Berichten beispielsweise eine Microsoft-Dreifemundsechzig Anmeldemaske und die ist so perfekt gemacht dass ein Mitarbeiter in der Buchhaltung wirklich glaubt er müsse sich nur mal kurz neu einloggen.

3:30 Er gibt sein Passwort ein klickt auf bestätigen Und zack Ja und in genau diesem Bruchteil einer Sekunde haben die Angreifer die vollständigen Zugangsdaten. Sie haben quasi den digitalen Fuß in der Tür deines Unternehmens. Aber sie schlagen da nicht sofort zu, oder? Weil laut den kriminologischen Analysen aus unseren Quellen folgt auf diese Infiltration erst mal die sogenannte Reconnaissance – also das Ausspähen.

3:53 und das finde ich persönlich den unheimlichsten Teil unserer ganzen Analyse. Definitiv! Weil die Angreifer lesen teilweise wochenlang lautlos im E-Mail-Postfach mit ohne dass der eigentliche Besitzer des Kontos irgendetwas davon merkt. Da frage ich mich, wie ist das technisch überhaupt möglich? Ich meine wenn jemand in meinem Postfach eine E-Mail liest dann wird die doch als gelesen markiert.

4:18 Das muss doch irgendwann mal auffallen! Das würde auffahlen ja absolut. aber genau deshalb arbeiten die Täter im Hintergrund mit unsichtbaren Postfachregeln. Sobald sie Zugriff haben richten sofort automatische Weiterleitungen ein. Sie programmieren das Postfacht eines Mitarbeiter so dass jeder eingehende E-mail die bestimmte Signalwörter enthält Also sowas wie Rechnung oder Überweisung.

4:41 Genau, Rechnungen, Überweisungen, E-Bahn, Vertrag solche Sachen! Diese Mails werden sofort in einen versteckten Ordner verschoben oder als Kopie direkt an die Täter weitergeleitet und oft wird die Email im Posteingang des Opfers auch direkt ungelesen in den Papierkorb verschoben. Krass! Das heißt der echte Mitarbeiter bekommt das gar nicht mit?

5:03 Richtig Der echte Mitarbeiter sieht diese Kommunikation mit dem Kunden oder Lieferanten einfach gar nicht mehr. Die Täter isolieren die Opfer quasi voneinander, während sie ganz in Ruhe die Kommunikationsmuster und den Schreibstil studieren. Okay – Sie warten also im Grunde auf den perfekten Moment! Und wenn dann eine große Rechnung verschickt oder erwartet wird….

5:24 Dann startet Stufe drei Die Manipulation. Technisch belegt ist das in unseren Dokumenten als sogenannte man-in the middle Angriff und dabei fangen die Täter eine echte PDF Rechnung ab, alles an diesen Dokument bleibt identisch – Das Logo, Datum, Artikel, Umsatzsteuer… Alles echt! Sie öffnen einfach das PDF, tauschen exakt eine einzige Zeile aus nämlich die IBAN und schicken es weiter Und damit leiten sie dann direkt Stufe IV ein, die Monetarisierung.

5:58 Der ahnungslose Kunde erhält diese perfekt gefälschte Rechnung – er überweist das Geld im guten Glauben seine Schulden ganz normal zu begleichen und die Summe fließt direkt auf Konten im Ausland. Nach Angaben der Ermittlungsbehörden aus den Dokumenten sind das oft Transit-Konten oder? Genau die Behörden stellen fest, dass hier oft Transit-Konten in Belgien oder Spanien genutzt werden.

6:20 Von dort wird das Geld dann sofort in Kryptowährungen getauscht oder auf Konten außerhalb Europas weitergeleitet. Für die Strafverfolgung ist es danach – also wenn das Geld einmal dort ist so gut wie unmöglich diese Gelder wieder zurückzuholen Um das vielleicht mal mit realen Fällen aus unseren Quellen zu untermauern damit man sich das besser vorstellen kann.

6:38 Wie aus Medienberichten hervorgeht traf genau dieses Vorgehen beispielsweise eine Maschinenfabrik aus Österreich, aus Sankt Fait. Da entstand ein immenser Schaden von fünfzigtausend Euro und zwar nur weil die Täter über vier Wochen hinweg diese Kommunikation gekapert hatten und täuschend echte Rechnungskopin eines tatsächlichen Partners geschickt haben.

7:02 Wahnsinn! Ja oder einen Fall auf ihrer privater Ebene der uns vorliegt? Polizeiliche Erkenntnisse belegen den Fall eines Hausbesitzers in Altenholz. Da reichten schon zweitausend, zweihundert Euro Schaden weil eine ganz einfache Handwerkerrechnung unterwegs abgefangen und halt die Kontonummer ausgetauscht wurde.

7:22 Weißt du ich stelle mir das so vor? Das ist ja als würde ein Einbrecher in mein Haus einsteigen aber er stielt nicht den Fernseher Ja Sondern er schleicht auf den Dachboden, wartet dort bis ich meine Post auf den Küchentisch lege und tauscht dann nachts heimlich die Rechnungen in dem Briefumschlegen aus.

7:40 Das ist ein gutes Bild! Aber ich würde diese Analogie sogar noch etwas verschärfen wenn man sich die technischen Details ansieht. Der Einbrecher tauszt nicht nur die Briefe aus Er sitzt an deinem Küchendich liest die Briefe deiner Freunde- und Geschäftspartner Und er schreibt ihnen in deine eigenen Handschrift zurück Oh wow Okay Und das Perfide isst ja.

8:00 Weil die Täter direkt aus dem gehackten Postfach des Handwerkers oder Dienstleisters senden, kommt die E-Mail von der völlig korrekten echten Adresse. Es gibt also visuell für den Empfänger überhaupt keinen Grund an der Echtheit zu zweifeln.". Okay das leuchtet ein wenn das Konto tatsächlich gehackt ist Aber unsere Analysen in den Quellen zeigen, dass Kriminelle oft auch ohne einen direkten Heck extrem erfolgreich sind.

8:27 Und zwar indem sie das sogenannte Typosquoting nutzen! Ja, TyposQuoting ist ein enorm wichtiger technischer Punkt, den wir hier beleuchten müssen. Dabei registrieren die Angreifer eine Domain, die der Echten fast identisch sieht – aus. Sagen wir mal, Müller-gmbh.de wird dann Müller-, gnbh.DE Also mit einem N statt einem M?

8:53 Genau! Oder ein kleines L wird durch ein großes I ersetzt – das sieht in vielen Schriftarten exakt gleich aus. und im stressigen Arbeitsalltag überließt das menschliche Auge solche minimalen Abweichungen im Absenderfeld sofort. Das Gehirn vervollständigt das Wort einfach so wie es es erwartet. Das führt uns eigentlich nahtlos zu menschlichen Komponente.

9:13 Denn wenn die technische Fälschung so unauffällig ist, braucht es ja oft noch einen finalen Schubs damit der Mitarbeiter am anderen Ende die Überweisungen auch wirklich frei gibt und die Rechnung nicht einfach auf den Stapel mache ich vielleicht nächste Woche legt Und die Quellen beschreiben hier detailliert das sogenannte Social Engineering bei dem gezielt psychologische Schwachstellen ausgenutzt werden.

9:35 Ja, kriminologische Studien belegen immer wieder das Stress und Autoritätsglaube die stärksten Hebel sind um diese rationalen Kontrollmechanismen im menschlichen Gehirn auszuschalten. Das bekannteste Phänomen ist hier der sogenannte CEO-Froat Also der Chefbetrug. Richtig! Da wird eine E-Mail oder sogar eine Nachricht auf dem Handy fingiert, die angeblich direkt von der Geschäftsführung kommt.

10:00 Das Szenario lautet dann zum Beispiel, ich bin gerade in einer streng verträulichen Firmenübernahme. Ich kann absolut nicht telefonieren aber wir müssen sofort diese dreißigtausend Euro anweisen sonst platzt der ganze Deal und dieser künstlich erzeugte Zeitdruck verhindert einfach dass der Mitarbeiter kritisch nachdenkt oder sich eine zweite Meinung einholt.

10:19 Aber genau da bin ich beim Lesen der Quellen ehrlich gesagt ein bisschen stutzig geworden. Weil wenn wir über KMU sprechen, also über Handwerksbetriebe mit fünfzehn Mitarbeitern oder eine Agentur mit zwanzig Leuten... Da kennt doch wirklich jeder jeden! Eben man sollte doch meinen dass solche Autoritätstricks eher in anonymem Großkonzernen funktionieren.

10:42 Also da wo man den Chef vielleicht zweimal im Jahr auf einer Betriebsversammlung auf der Bühne sieht Aber im Mittelstand sieht man sich doch morgens an der Kaffeemaschine. Fällt so eine völlig selbsame Anweisung da nicht sofort auf? Das ist ein interessanter Gedanke, aber das ist genau der Trugschluss der KMUs oft so verwundbar macht.

11:00 Paradoxerweise sind genau diese informellen Kommunikationswege und dass hohe gegenseitige Grundvertrauen in kleinen Betrieben oft die größte Schwachstelle. Wie meinst du das? Naja – In einem internationalen Ursprungsherm gibt es ganz starre Compliance-Regeln! Das System lässt es technisch schlichtweg nicht zu, dass eine einzelne Person auf Zuruf eine hohe Summe überweist.

11:22 Da greifen automatische Prüfprozesse. Im Mittelstand aber gibt es diese harten systemischen Schranken oft gar nicht – man ist dort gewohnt flexibel, pragmatisch und vor allem schnell auf Bitten der Geschäftsführung zu reagieren! Die Angreifer wissen das ganz genau und nutzen dieses familiäre Vertrauen als Waffe.

11:39 Verstehe, wie aus den Quellen hervorgeht? Nutzen sie nicht nur das interne Vertrauen sondern auch den Respekt vor externen Autoritäten! Wir haben hier offizielle Warnungen der IHK Lan Dill in den Unterlagen die belegen dass kriminelle massenhaft Fishingmails im Namen des Transparenzregisters oder der Industrie- und Handelskammer selbst verschicken.

11:59 Oh ja, das ist ein riesiges Thema. oder auch so gefälschte Zahlungsaufforderungen, die aussehen als kämen sie von einem Amtsgericht. Die Täter borgen sich sozusagen die Seriosität dieser Institutionen um Zahnungen regelrecht zu erzwingen. Exakt! Das nennt sich die Vortäuschung externer Legitimität. Wenn auf der Rechnung Großamtsgerichts steht – am besten noch verbunden mit der Androhung von irgendwelchen Säumnisszuschlägen – dann neigen viele Leute dazu lieber schnell zu zahlen, einfachum rechtlichen Ärger zu vermeiden?

12:31 Der Stress blockiert in dem Moment den analytischen Blick auf die verdächtige E-Bahn. Okay, angenommen diese psychologische Manipulation funktioniert! Der Mitarbeiter klickt auf Überweisen und das Geld ist weg. Im Film wäre das jetzt wahrscheinlich der Moment für so eine dramatische Polizeijagd. Ja schön wär's...

12:49 Aber in der Realität der KMU beginnt hier ein juristischer Albtraum, der teilweise Jahre dauert. Und lass uns genau darüber über diese zivilrechtliche Lage sprechen Denn die Frage, wer am Ende den Schaden zahlt wird vor deutschen Gerichten extrem hart verhandelt wie wir gesehen haben. Das kannst du laut sagen.

13:08 Wenn wir auf die Rechtslage blicken ist der Bundesgerichtshof da wirklich sehr eindeutig. das ganze basiert auf Paragraach dreihundertzechzig des bürgerlichen Gesetzbuches. Die Regel dort ist so simpel wie brutal. eine Schuld gilt erst dann als Beglichen wenn das Geld tatsächlich beim rechtmäßigen Gläubige ankommt.

13:26 Ja überweist Du Auf Ein falsches Konto. Völlig egal, ob du getäuscht wurdest oder nicht hast du deine Schuld nicht befreiend geleistet. Das heißt der Handwerker, der dir das Dach gedeckt hat, hat weiterhin das volle Recht sein Geld erneut einzufordern und du als Kunde der vielleicht gerade zehntausende Euro an Kriminelle verloren hat stehst plötzlich vor einer existenzbedrohenden Doppelzahlung.

13:53 Und um zu zeigen, wie komplex und teilweise absurd diese Streitigkeiten vor Gericht werden können, müssen wir uns einen ganz bestimmten Fall aus unseren Dokumenten ansehen. Den sogenannten Gartenzaunfall! Oh ja der ist ein perfektes Beispiel. Wie aus den Gerichtsakten in unseren Quellen hervorgeht wurde dieser Fall vor dem Langgericht Koblenz verhandelt?

14:14 Das war unter dem Aktenzeichen acht o zwei sieben eins zwei eins – und die Geschichte dahinter ist eigentlich recht simpel. Ein Handwerker baut für einen Kunden einen Gartenzaun im Wert von rund elf Tausend Euro. Nach Abschluss der Arbeiten verschickt er die Rechnung ganz normal per E-Mail, was er aber nicht weiß – sein E-Meh-Konto wurde gehackt!

14:37 Und ab da nimmt das Unheil seinen Lauf? Genau…. Die Täter fangen die Rechnung ab, tragen ihre neue I-Bahn ein und senden sie – und das ist wichtig – vom echten Konto des Handwerkers an den Kunden. Der Kunde überweist die elftausend euro. Als der Handwerker dann später sein Geld anmahnt, fliegt dieser ganze Betrug auf.

14:57 Wie hat das Landgericht hier die Schuldfrage gelöst? Das Gericht hat sich die Details wirklich sehr genau angesehen und am Ende die Haftung aufgeteilt – was am Ende für beide Seiten sehr schmerzhaft war. Dem Kunden wurde eine Mitschuld von seventy-fünf Prozent zugewiesen. Die juristische Begründung der Richter war «Er hat gravierende Warnsignale grob fahrlässig ignoriert».

15:20 Welche Wahnsignale? Nun, die Täter hatten auf der Rechnung zwar die E-Bahn geändert aber die neue Bankverbindung lief auf einen völlig fremden Namen. Also nicht mehr auf den Handwerksbetrieb und das Landgericht argumentierte dass der Kunde bei einer solchen Unstimmigkeit zwingend hätte nachfragen müssen beispielsweise durch einen kurzen Telefonanruf.

15:40 Okay... Kann ich irgendwo noch nachvollziehen? Man muss als Kunde schon auf die Konto-Details achten, wenn da plötzlich ein spanischer Name bei einem lokalen Zaunbauer steht. Aber jetzt kommt der Teil des Urteils – der finde ich für jeden Handwerker oder Dienstleister – ein absolutes Warnsignal sein sollte!

15:58 Der Handwerka selbst, dessen Konto ja gehackt wurde und er eigentlich das erste Opfer des Angriffs war, blieb auf ca. Wie ist das rechtlich überhaupt möglich? Er wurde doch gehackt. Das ist genau der Moment, in dem das Datenschutzrecht – genauer gesagt die DSGVO ihre Zähne zeigt! Das Gericht zog hier Artikel zweiundachtzig der Datenschurz-Grundverordnung heran.

16:24 Das Argument der Richter Der Handwerker hatte seine IT-Infrastruktur im Betrieb nicht ausreichend gesichert. Er hat Rechnungen wie personenbezogen Daten enthalten einfach unverschlüsselt über das offene Internet verschickt. Dieser Verstoß gegen die technischen und organisatorischen Maßnahmen, die die DSGVO vorschreibt hat den Datenabfluss und damit die Manipulation ja erst ermöglicht.

16:46 Wahnsinn! Er wurde also im Klartext für die mangelnde IT-Sicherheit in seinem eigenen Betrieb haftbar gemacht... Und wir haben gerichtliche Urteile in den vorliegenden Quellen, die belegen dass diese Rechtsprechung sogar noch drastischer ausfällt. Ein Urteil des Oberlandesgerichts Schlässrich-Holstein aus dem Dezember.

17:02 hier geht noch einen massiven Schritt weiter. Richtig. Dort wurde entschieden, dass all der einfache Transportverschlüsselung beim E-Mail versandt – also das was die meisten Email-Provider wie GMX oder Gmail standardmäßig machen vor Gerichten nicht mehr ausreicht! Das Gericht urteilte, dass für sensible Dokumente eine echte Ende zu Ende Verschlüsselungen zwingend nötig sei.

17:28 Fehlt diese muss das versendende Unternehmen unter Umständen sogar hundert Prozent des Schadens tragen. Das ist doch Wahnsinn! Es ist definitiv ein hartes Urteil für den Mittelstand. Wenn ich mir das bildlich vorstelle, dass es in etwa so als würde ich einen wichtigen Brief ganz normal per Post schicken Der Postbote wird dann draußen auf der Straße überfallen und ausgeraubt Und der Richter verurteilt mich später zu Schadenersatz weil mein Briefumschlag aus Papier und nicht aus Panzerstahl war.

17:58 Ich verstehe vollkommen, dass Unternehmer bei solchen Urteilen den Kopf schütteln Aber wir müssen hier die technische Realität betrachten und da baut deine Analogie mit dem Brief eigentlich perfekt die Brücke. Juristisch und technisch gesehen ist eine normale, unverschlüsselte E-Mail eben kein Brief im Umschlag.

18:16 Sondern! Sie ist eine Postkarte. Jeder wirklich jeder der auf dem Transportweg durch das Internetzugriff auf die Serverknotenpunkte hat kann diese Postkate mitlesen den Text radieren und neue Zahlen drauf schreiben. Diastit stellt durch diese Urteile klar Wenn der Mittelstand das Internet für Finanztransaktionen nutzt, dann wird pro aktive IT-Sicherheit vom Gesetzgeber erwartet.

18:39 Man kann sich vor Gericht heute nicht mehr damit herausreden dass man von Technik keine Ahnung hat Wobei man der Vollständigkeit Heiber erwähnen muss, weil wir ja alle Aspekte der Quellen beleuchten. Dass das OLG Karlsruhe im Jahr und in einem ähnlichen Fall noch etwas milder geurteilt hat. Dort musste der Kunde den vollen Schaden tragen, weil die Fälschung in der E-Mail offensichtlich amateurhaft war Das stimmt, ja.

19:04 Aber die Grundtendenz ist unübersehbar! Die Gerichte nehmen die Unternehmen extrem in die Pflicht und das bringt uns zu der Frage, die sich jetzt wahrscheinlich jeder Zuhörer stellt, der einen kleinen Betrieb ohne große IT-Abteilung führt. Wenn die Gerichte so hart urteilen und die Hacker gleichzeitig so unauffällig agieren, bin ich dem einfach ausgeliefert?

19:26 Wie kann sich ein zehnköpfiges Unternehmen –das Dächer deckt oder Gärten plant– effektiv absichern ohne dass das Tagesgeschäft völlig blockiert wird. Die gute Nachricht aus all diesen kriminellologischen Auswertungen ist, du brauchst kein IT-Studium um dich davor zu schützen! Es gibt sehr pragmatische aber extrem wirksame organisatorische und technische Hürden.

19:48 Fangen wir mit dem Wichtigsten an was nicht mal ein Cent kostet die Etablierung einer unumstößlichen Rückrufregel. Okay wie genau sieht die aus? Ganz einfach jede Änderung einer Bankverbindung Absolut ohne Ausnahme, muss telefonisch verifiziert werden. Das bedeutet aber auch dass ich nicht die Telefonnummer anrufe, die da unten in dieser verdächtigen neuen E-Mail steht richtig?

20:12 Weil sie haben die Kriminellen ja im Zweifel einfach ausgetauscht! Ganz genau das wären fataler Fehler. Du rufst die Nummer an, die in deinem eigenen Kassensystem, deinem CRM oder deinem alten Adressbuch hinterlegt ist. Dazu kommt bei größeren Überweisungen das Vier-Augenprinzip Ein Mitarbeiter erfasst die Zahlung im System – ein Zweiter gibt sie finalfrei!

20:33 Solche simplen Prozessänderungen brechen genau den Handlungsdruck, den die Täter durch ihr Social Engineering ja künstlich aufbauen wollen. Okay, das ist die menschliche, die organisatorische Seite. Ein zweiminütiger Anruf tut nicht weh! Aber was ist mit der technischen Absicherung? Wenn ich verhindern will dass diese manipulierten Postkarten überhaupt in den Briefkästen meiner Kunden landen... ...welche technischen Werkzeuge fordert die aktuelle Sicherheitslage?!

20:58 In den Dokumenten fallen immer wieder Begriffe wie TwoFA, D-Mark und S-Mime. Das klingt für Leyen erst einmal nach einer kompletten Fremdsprache. Lass uns das mal entzaubern! Gerne. Also. Der absolute Standard, ohne den heute wirklich gar nichts mehr geht ist die Zwei-Faktor-Authentifizierung. Kurz zwei FA.

21:19 Das bedeutet simpel gesagt Dein Passwort ist nicht mehr der einzige Schlüssel zur Tür Wie beim Online Banking? Exakt Selbst wenn die Täter beim Fishing dein Passwort erbeuten brauchen sie zusätzlich einen generierten Code Den nur auf deinem Firmen Smartphone erscheint. Ohne dein physisches Handy nützt ihnen das Passwort einfach gar nichts.

21:39 Das verhindert schon mal einen absoluten Großteil der Infiltration. Und was verbirgt sich hinter dieser Abkürzung DMARC? Das wird ja auch von BSI in den Quellen ständig erwähnt, um die eigene Mail-Infrastruktur abzusichern! Um mal in einem Bezug bleiben – DMARG und die dazugehörigen Standards also SPF und DKIM funktionieren wie ein strenger Türsteher am Eingang eines Clubs, der eine VIP-Gästeliste abgleicht.

22:03 Wenn eine E-Mail irgendwo im Internet auftaucht und behauptet, sie komme von deinem-firma.de dann fragt der empfangende Mailserver beim Kunden diesen Türsteher. Darf dieser Absender überhaupt unter diesem Namen Mails verschicken? Steht er auf der Liste? Und wer nicht? Wenn Kriminelle versuchen Mails in Deinem Namen von völlig fremden Servern zu senden sagt der Türsteer ganz klar nein und die Mail wird direkt gelöst oder beim Empfänger tief im Spam Ordner markiert.

22:31 Die Einrichtung dieser Protokolle ist eine einmalige Aufgabe für deinen IT-Dienstleister. Aber sie bietet einen enormen Schutz gegen diese Art von Fälschungen. Bleibt noch die Ende zu Ende Verschlüsselung, die das OLG Schließweg Holstein so vehement gefordert hat – dieses SMMI? Wenn die unverschlüsselte Mail die Postkarte war, ist das dann der gepanzerte Geldtransporter aus meiner Analogie?

22:54 Richtig! Bei einer echten Ende-zu-Ende Verschlüsselung wird das PDF noch bevor es deinen Rechner verlässt in einen mathematischen Code umgewandelt. Nur der Empfänger, der den passenden digitalen Schlüssel besitzt kann diesen Code wieder in eine lesbare Rechnung verwandeln Wer die Mail auf dem Transportweg abfängt sieht nur unleserlichen Datensalat.

23:13 Das ist technisch zwar etwas aufwendiger in der Einrichtung, aber für sensible Rechnungsdaten laut der aktuellen Rechtsprechung fast schon Pflicht. im Team, kurz zusammen und schaut sich gemeinsam zwei-, drei reale Fishing-Mails an die tatsächlich im Postfach der Firma gelandet sind. Man trainiert also den analytischen Blick am lebenden Objekt.".

23:53 Das ist der effektivste Weg! Sicherheit muss einfach zur Routine werden – wenn die Rückrufregel und der skeptische Blick auf eine neue E-Bahn genauso selbstverständlich werden wie das morgendliche Kaffeekochen oder das Abschließen der Firmentür am Abend dann haben Angreifer es enorm schwer... Wenn wir all diese Fakten und Analysen zusammenfassen.

24:17 Vertrauen ist die absolute Basis für Geschäfte im Mittelstand, aber unverschlüsselte Emails sind definitiv der falsche Ort um dieses Vertrauen zu beweisen. Die Gerichte senden klare Signale. IT-Sicherheit ist kein Nischenthema für die Technikabteilung mehr. Es ist ein massives rechtliches Risiko für die Geschäftsführung Und wir haben in dieser Untersuchung primär über manuelle Manipulation gesprochen über Täter, die PDFs händisch abändern.

24:45 Aber als abschließenden Gedanken. Überleg einmal wie die Bedrohungslage aussieht wenn künstliche Intelligenz in naher Zukunft diese mänende Mittelangriffe völlig automatisiert in Millisekunden ausführt? Wenn Kriminelle für jede abgefangenen Rechnung eines KMU Perfekt personalisierte, stimmgeklonte Anrufe generieren können die sich mit der vertrauten Stimme deines Lieferanten melden um neue E-Bahn kurz zu bestätigen.

25:10 Sind unsere aktuellen Kontrollprozesse darauf wirklich vorbereitet? Schreibe uns auch gerne deine Gedanken zufolge oder deine Ideen für eine der nächsten Episoden. Bis zur nächsten Folge, bleib aufmerksam und digital sicher!