Phishing: Warum Ihre Buchhaltung das Hauptziel ist

Lena

Wenn bei uns eine Betrugsmail kommt, denke ich an den Paketdienst oder an die Bank. Warum soll ausgerechnet die Buchhaltung das Hauptziel sein?

Jonas

Weil dort jemand sitzt, der Geld bewegen darf. Wer eine Überweisung auslösen kann, ist für Betrüger wertvoller als jeder Laptop.

Lena

Und wie groß ist das Problem wirklich? Ich höre die Warnungen seit Jahren.

Jonas

Das Bundeskriminalamt hat für zweitausendfünfundzwanzig rund dreihundertvierunddreißigtausend Fälle von Internetkriminalität gezählt. Phishing, also das Abfischen über gefälschte Nachrichten, bleibt dabei ein beliebter Einstieg.

Jonas

Eine Zahl zum Schaden kommt vom FBI, der amerikanischen Bundespolizei. Allein zum Betrug mit gefälschten Geschäftsmails wurden ihm zweitausendfünfundzwanzig gut drei Milliarden Dollar Schaden gemeldet.

Lena

Drei Milliarden. Ist das nicht ein amerikanisches Thema?

Jonas

Die Masche ist dieselbe, nur die Sprache wechselt. Und mit Programmen, die Texte schreiben, klingen die Mails inzwischen glaubwürdig und offiziell.

Lena

Und wer ist im Haus dafür zuständig? Die IT?

Jonas

Die IT kann Filter einschalten und Konten absichern. Aber wie Zahlungen freigegeben werden, legt nur die Geschäftsführung fest, und genau dort entscheidet sich, ob ein Angriff Geld kostet.

Lena

Was nehme ich aus dieser Folge mit?

Jonas

Drei typische Fälle aus der Buchhaltung, jeweils mit dem Fehler und dem besseren Ablauf. Und am Ende drei Regeln, die Sie morgen im Haus festlegen können.

Lena

Fangen wir mit dem Klassiker an. Wie sieht so ein Angriff aus?

Jonas

Ein typischer Fall: Freitagnachmittag, die Geschäftsführerin ist laut Abwesenheitsnotiz auf einer Messe. Bei der Buchhalterin kommt eine Mail von ihr an.

Jonas

Darin steht: Wir übernehmen gerade eine Firma im Ausland, das ist streng vertraulich. Bitte heute noch eine Anzahlung überweisen, sprechen Sie mit niemandem darüber.

Lena

Das würde bei uns niemand machen. Die Kollegen kennen mich doch.

Jonas

Genau darauf setzen die Täter. Die Polizei beschreibt, dass sie vorher recherchieren: im Handelsregister, auf der Firmenseite, in Broschüren und in den sozialen Netzwerken der Beschäftigten.

Jonas

Die Mail kennt also Namen, Tonfall und den Messetermin. Und die Absenderadresse weicht oft nur um einen Buchstaben ab, etwa r und n statt m.

Lena

Woran soll meine Buchhalterin das dann erkennen?

Jonas

Vor allem am Muster, weniger an der Adresse. Großer Zeitdruck, Geheimhaltung und ein Weg, der am üblichen Ablauf vorbeiführt.

Lena

Eilig ist es bei mir aber auch manchmal wirklich. Wie soll sie das unterscheiden?

Jonas

Eilig darf es sein, geheim vor der eigenen Buchhaltung nie. Eine echte Chefin hat nichts dagegen, dass man sie kurz zurückruft.

Jonas

Wenn alle drei zusammenkommen, ist das kein Auftrag, sondern ein Alarmzeichen. Dann wird nicht überwiesen, sondern nachgefragt.

Lena

Und wie fragt sie nach? Antworten auf die Mail?

Jonas

Auf keinen Fall, die Antwort landet beim Täter. Sie ruft die Geschäftsführerin unter der Nummer an, die sie schon kennt, nicht unter der aus der Mail.

Lena

Und wenn sie mich nicht erreicht? Die Mail sagt ja, es muss heute raus.

Jonas

Dann geht die Zahlung heute eben nicht raus. Das ist die Regel, die Sie als Geschäftsführung vorher festlegen und selbst einhalten.

Jonas

Die Polizei rät zum Vier-Augen-Prinzip: Ungewöhnliche Zahlungen prüfen mindestens zwei Menschen. Dazu klare Regeln, wer während einer Abwesenheit freigeben darf.

Lena

Mal ehrlich: Hat eine Buchhalterin den Mut, die Chefin wegen jeder Mail anzurufen?

Jonas

Nur, wenn Sie es ausdrücklich erlauben. Das Bundesamt für Sicherheit in der Informationstechnik empfiehlt genau das: Die Buchhaltung soll wissen, dass sie bei einer fragwürdigen Zahlung jederzeit nachfragen darf.

Jonas

Sagen Sie es einmal laut in der Teamrunde. Ein Rückruf zu viel kostet zwei Minuten, eine falsche Überweisung oft das ganze Geld.

Lena

Und was ist mit der Abwesenheitsnotiz? Die hat den Messetermin ja erst verraten.

Jonas

Die Polizei rät, sparsam mit dem umzugehen, was die Firma nach außen zeigt. In die Abwesenheitsnotiz gehören Zeitraum und Vertretung, nicht Ort und Anlass der Reise.

Lena

Was kostet mich das alles?

Jonas

Kein Geld, nur eine Entscheidung. Sie schreiben auf, ab welchem Betrag zwei Menschen freigeben, wer Sie vertritt und dass ein Rückruf nie als Misstrauen gilt.

Lena

Der zweite Fall ist vermutlich weniger dramatisch?

Jonas

Leiser, aber teurer. Ein Lieferant, mit dem Sie seit Jahren arbeiten, schreibt: Wir haben die Bank gewechselt, bitte zahlen Sie ab sofort auf dieses Konto.

Jonas

Die Rechnung sieht aus wie immer, Logo, Betrag und Bestellnummer stimmen. Nur die Kontonummer ist neu.

Lena

Das kommt doch auch wirklich vor. Firmen wechseln ihre Bank.

Jonas

Ja, und genau deshalb funktioniert es. Die Polizei nennt die angeblich geänderte Bankverbindung ausdrücklich als typischen Vorwand.

Lena

Was ist der bessere Ablauf?

Jonas

Eine neue Bankverbindung gilt erst, wenn jemand beim Lieferanten angerufen hat. Unter der Nummer aus Ihren eigenen Unterlagen, nicht unter der aus Mail oder Rechnung.

Jonas

Und wer das Konto in der Buchhaltungssoftware ändert, sollte nicht dieselbe Person sein, die danach die Zahlung freigibt.

Lena

Hilft mir da nicht inzwischen die Bank? Ich habe von einer neuen Prüfung bei Überweisungen gehört.

Jonas

Die gibt es. Seit dem neunten Oktober zweitausendfünfundzwanzig müssen Banken im Euroraum vor jeder Euro-Überweisung prüfen, ob Name und Kontonummer zusammenpassen.

Jonas

Das steht in einer Verordnung der Europäischen Union, und die Prüfung ist für alle Kunden kostenlos. Passt der Name nicht, warnt Sie die Bank, bevor Sie freigeben.

Lena

Dann ist das Problem doch gelöst.

Jonas

Nicht ganz, aus zwei Gründen. Erstens hält die Warnung Sie nicht auf; Sie dürfen trotzdem freigeben, und dann tragen Sie das Risiko in der Regel selbst.

Jonas

Zweitens dürfen Firmen die Prüfung abschalten, wenn sie mehrere Zahlungen gebündelt einreichen. Eine Sammelüberweisung aus der Buchhaltungssoftware ist genau so ein Bündel.

Lena

Woher weiß ich, ob das bei uns abgeschaltet ist?

Jonas

Fragen Sie Ihre Buchhaltung und im Zweifel Ihre Bank. Und legen Sie fest: Eine Warnung zum Namen wird nie weggeklickt, sondern führt zu einem Rückruf.

Lena

Und wenn der Lieferant beim Rückruf sagt, er habe nie etwas geschrieben?

Jonas

Dann wissen Sie, dass jemand seinen Namen benutzt, vielleicht sogar sein Postfach. Sagen Sie es ihm sofort, denn seine anderen Kunden bekommen vermutlich dieselbe Mail.

Lena

Und wenn das Geld schon weg ist?

Jonas

Dann zählt jede Stunde. Das FBI rät, sofort die eigene Bank anzurufen und den Rückruf der Zahlung zu verlangen.

Lena

Wie realistisch ist es, das Geld zurückzubekommen?

Jonas

Das hängt vor allem am Tempo. Deshalb gehört die Notfallnummer Ihrer Bank in die Buchhaltung und nicht nur ins Handy der Chefin.

Jonas

Danach erstatten Sie Anzeige, bei der örtlichen Polizei oder beim Landeskriminalamt. Halten Sie dafür Mail, Rechnung und Überweisungsbeleg bereit.

Lena

Im zweiten Fall war die Mail gefälscht. Was, wenn sie wirklich vom Lieferanten kommt?

Jonas

Das ist der dritte Fall, und er ist der gefährlichste. Dabei wird zuerst das Postfach einer echten Person übernommen, bei Ihnen oder beim Lieferanten.

Lena

Wie kommt jemand an ein ganzes Postfach?

Jonas

Zum Beispiel über eine Mail, die eine angebliche Sprachnachricht ankündigt. Ein Klick führt auf eine Anmeldeseite, die genau aussieht wie die von Microsoft.

Lena

Und das merkt niemand? Die Adresse im Browser stimmt dann doch nicht.

Jonas

Wer genau hinsieht, merkt es. Aber auf dem Handy ist die Adresszeile kurz, und zwischen zwei Terminen sieht man nur das vertraute Logo.

Jonas

Dort gibt die Person Kennwort und sogar den Bestätigungscode vom Handy ein. Die Seite reicht beides an die echte Anmeldung weiter und behält die Sitzung für sich.

Lena

Moment. Ich dachte, genau dafür haben wir den Code auf dem Handy eingeführt.

Jonas

Der Code hält sehr viel ab. Microsoft schreibt, dass er zusammen mit dem Abschalten alter Anmeldewege mehr als neunundneunzig Prozent der gängigen Angriffe auf Konten stoppt.

Jonas

Gegen diese nachgebaute Anmeldeseite hilft er aber nicht. Dafür gibt es Anmeldeverfahren, die sich nicht abfangen lassen, etwa einen Sicherheitsschlüssel.

Lena

Braucht dann jeder im Haus so einen Schlüssel? Das klingt nach Aufwand.

Jonas

Nicht sofort jeder. Fangen Sie bei denen an, die Zahlungen freigeben, und bei den Konten mit Verwaltungsrechten, also mit Zugriff auf die Einstellungen der ganzen Firma.

Jonas

Für alle anderen ist der Code auf dem Handy die Pflicht. Den bringt Microsoft 365 ohne Aufpreis mit.

Lena

Und was passiert dann im Postfach?

Jonas

Microsoft hat so eine Angriffswelle beschrieben. Teils vergingen nur fünf Minuten bis zum ersten Betrugsversuch, teils lasen die Angreifer tagelang mit, vor allem Mails zu Rechnungen und Zahlungen.

Jonas

Dann richteten sie eine Regel ein, die Antworten des Geschäftspartners automatisch ins Archiv schiebt und als gelesen markiert. Und schließlich antworteten sie in einen laufenden Rechnungsverlauf hinein.

Lena

Das heißt, die Mail mit der neuen Kontonummer hängt direkt unter meiner echten Anfrage?

Jonas

Genau. Deshalb gilt die Regel aus dem zweiten Fall immer: Neue Bankverbindung nur nach Rückruf, auch wenn die Mail echt aussieht.

Lena

Woran merke ich im eigenen Haus, dass ein Postfach übernommen wurde?

Jonas

Microsoft nennt einige Zeichen. Mails fehlen, im Ordner Gesendet liegen fremde Nachrichten, oder es gibt neue Regeln, die Mails nach außen weiterleiten.

Lena

Und wer kümmert sich dann? Ich, die Kollegin, die IT?

Jonas

Die Kollegin meldet es sofort, ohne Angst vor Ärger. Die IT setzt das Kennwort zurück, beendet alle Sitzungen und löscht fremde Regeln und Weiterleitungen.

Jonas

Das neue Kennwort geht dabei nie per Mail raus, denn das Postfach könnte noch mitgelesen werden. Und die Geschäftsführung informiert die Geschäftspartner, die betroffen sein könnten.

Lena

Warum ausgerechnet ich? Das ist doch Sache der IT.

Jonas

Weil aus Ihrem Postfach vielleicht schon Mails an Kunden rausgegangen sind. Ob Sie die warnen und wie, ist eine Entscheidung der Führung, keine technische.

Lena

Dann bitte zum Schluss die drei Regeln. Was lege ich morgen fest?

Jonas

Erstens: Eine neue Bankverbindung gilt nur nach Rückruf unter der bekannten Nummer. Ungewöhnliche Zahlungen gibt nie ein Mensch allein frei.

Jonas

Zweitens: Die Warnung der Bank zum Empfängernamen wird nie weggeklickt. Prüfen Sie, ob Ihre Buchhaltung die Prüfung für gebündelte Zahlungen abgeschaltet hat.

Jonas

Drittens: Wer klickt oder zweifelt, meldet es sofort und wird dafür nicht bestraft. Für jedes Postfach gilt die Anmeldung mit zweitem Faktor.

Lena

Das klingt nach wenig. Reicht das wirklich?

Jonas

Es schließt die drei Wege, auf denen in den Fällen heute das Geld verloren ging. Wichtig ist nur, dass die Regeln auch dann gelten, wenn die Chefin selbst es eilig hat.

Lena

Und wie lernt die Belegschaft, so eine Mail überhaupt zu erkennen?

Jonas

Durch Übung, nicht durch einen Vortrag im Jahr. Mit dem kjello-Paket Schulung und Phishing-Übungen bekommen Sie kurze Schulungen und harmlose Übungsmails und sehen, wie viele im Haus sie melden.