Dienstag, halb elf Uhr vormittags. Das Telefon klingelt, auf dem Display erscheint der Name der Bank, bei der Ihr Unternehmen sein Konto führt. Die Stimme am anderen Ende ist ruhig und sachlich. Sie stellt sich als Abteilung für Betrugsprävention vor und teilt mit, dass soeben versucht wird, 23.000 Euro von Ihrem Geschäftskonto abzubuchen. Sie kennt das Datum Ihrer letzten Lieferantenzahlung. Und ungefähr auch den Betrag.
„Wir müssen die Transaktion sofort stoppen. Sie erhalten gleich eine Mitteilung auf Ihr Smartphone - bitte bestätigen Sie diese.“
Die Mitteilung erscheint. Sie sieht vollkommen korrekt aus, denn sie ist korrekt: Sie stammt aus der echten App Ihrer Bank. Nur stoppt sie keine Überweisung. Sie gibt sie frei.
Dieses Szenario ist nicht zugespitzt, um dramatisch zu wirken. Es gehört heute zu den häufigsten und erfolgreichsten Angriffsmustern gegen Unternehmen. Es trifft keine unaufmerksamen Menschen, sondern erfahrene, beschäftigte Fachleute, für die der Angriff so geplant ist, dass er im entscheidenden Moment vollkommen schlüssig klingt.
Die Illusion auf dem Display: Warum die Rufnummer kein Identitätsnachweis mehr ist
Die meisten von uns haben gelernt, dass die angezeigte Nummer verrät, wer anruft. Diese Regel gilt nicht mehr.
Telefonate laufen heute überwiegend über das Internet (VoIP), und die übertragenden Systeme erlauben es dem Absender, selbst festzulegen, welche Nummer beim Empfänger angezeigt wird. Diese Funktion hat legitime Gründe - etwa damit Mitarbeitende eines Unternehmens unter der zentralen Rufnummer anrufen können. Betrüger nutzen sie auf dieselbe Weise, tragen jedoch eine fremde Nummer ein. Man spricht von Call ID Spoofing.
Ist diese Nummer in Ihrem Adressbuch als „Bank“ gespeichert, zeigt Ihr Telefon genau diesen Namen an. Das Gerät prüft nicht, ob der Anruf tatsächlich von der Bank kommt - es gleicht lediglich die Nummer mit Ihren gespeicherten Kontakten ab.
Gleiches gilt für SMS: Eine gefälschte Nachricht kann im selben Verlauf erscheinen wie echte Nachrichten Ihrer Bank, da sich auch der Absendername fälschen lässt.
Woher Betrüger Ihre Zahlungsdaten kennen
Am stärksten überzeugt nicht die Nummer auf dem Display, sondern das Detailwissen. Wer weiß, an wen Sie zuletzt gezahlt haben, scheint Einblick in Ihr Konto zu haben. Für diese Informationen ist jedoch kein Zugriff auf die Bank nötig.
- Kompromittierte E-Mail-Konten. Wer Zugang zu einem einzigen geschäftlichen Postfach hat - Ihrem, dem Ihrer Buchhaltung oder dem eines Lieferanten - sieht Rechnungen, Beträge und Zahlungsfristen.
- Datenlecks. Kunden- und Lieferantendatenbanken gelangen regelmäßig ins Netz und werden dort gehandelt, oft samt Namen, Telefonnummern und Adressen.
- Öffentlich zugängliche Informationen. Handelsregister, Website, soziale Netzwerke und Stellenanzeigen zeigen, wer die Geschäftsführung innehat, wer die Finanzen verantwortet und mit wem das Unternehmen zusammenarbeitet.
- Plausible Annahmen. Unternehmen zahlen Miete, Energie, Treuhand und Lieferanten jeden Monat zu ähnlichen Zeitpunkten. Ein überzeugendes Detail muss nicht stimmen - es muss nur wahrscheinlich sein.
Der Angreifer muss nicht alles wissen. Ein einziges Detail, das nach Insiderwissen klingt, genügt.
Die psychologische Falle: Panik, die das Urteilsvermögen ausschaltet
Der Satz „Gerade werden 23.000 Euro abgebucht“ ist bewusst gewählt. Wer glaubt, in diesem Moment eine hohe Summe zu verlieren, schaltet in einen Notfallmodus. Die Aufmerksamkeit verengt sich auf ein Ziel - den Schaden zu stoppen -, und die Frage „Ist das wirklich meine Bank?“ tritt in den Hintergrund.
Deshalb lassen Angreifer niemals Zeit. Bleiben Sie in der Leitung. Legen Sie nicht auf. Jede Minute zählt. Auch auf Zweifel haben sie eine Antwort: „Ihre Vorsicht ist absolut richtig - genau deshalb rufen wir Sie an.“
Es sei klar gesagt: Mit Naivität hat das nichts zu tun. Der Angriff ist darauf ausgelegt, bei klugen und erfahrenen Menschen zu funktionieren - gerade dann, wenn sie unter Zeitdruck stehen.
Der Angriff in fünf Schritten
1. Vorbereitung. Der Angreifer sammelt Informationen - aus einem kompromittierten Postfach, aus Datenlecks oder öffentlichen Quellen - und wählt eine Person mit Kontozugriff aus.
2. Der gefälschte Anruf. Der Anruf kommt von der gefälschten Nummer der Bank. Der Anrufer gibt sich als Sicherheitsabteilung aus und nennt sofort ein konkretes Detail, um Vertrauen zu schaffen.
3. Künstliche Dringlichkeit. Es folgt die Meldung, dass gerade eine unberechtigte Transaktion über einen hohen Betrag läuft und sofort gestoppt werden muss.
4. Der Trick mit dem „Limit“ oder der „Sperre“. Dem Opfer wird erklärt, zur Stornierung müsse vorübergehend das Limit geändert, Geld auf ein „sicheres Konto“ übertragen oder eine gleich eingehende Anfrage bestätigt werden. Im Hintergrund hat der Angreifer sich bereits im Online-Banking angemeldet - häufig mit zuvor erbeuteten Zugangsdaten - und eine echte Überweisung ausgelöst.
5. Die echte Freigabe. Auf dem Smartphone erscheint eine Push-Mitteilung oder ein SMS-Code. Alles ist echt, denn es kommt von der Bank selbst. Das Opfer bestätigt im Glauben, den Betrug zu stoppen. Tatsächlich hat es die Überweisung soeben persönlich freigegeben.
Die Zwei-Faktor-Authentifizierung (2FA) hat dabei nicht versagt. Sie hat genau das getan, wofür sie gedacht ist: die Bestätigung des Kontoinhabers eingeholt. Der Angriff war erfolgreich, weil der Kontoinhaber bestätigt hat.
Die Regel, die die meisten Fälle verhindert
Keine Bank wird Sie anrufen und dazu auffordern, eine Push-Mitteilung zu bestätigen, einen SMS-Code vorzulesen, ein Limit zu ändern oder Geld auf ein „sicheres Konto“ zu überweisen. Niemals, in keiner Situation.
Wird während eines Gesprächs etwas davon verlangt, wissen Sie bereits, dass Sie mit einem Betrüger sprechen - unabhängig davon, was auf dem Display steht und wie viele Details der Anrufer kennt.
Ebenso wichtig: Es handelt sich nicht um eine Schwachstelle des Online-Bankings oder des Zahlungsdienstes. Das Zahlungssystem funktioniert korrekt. Der Angriff nutzt das Vertrauen von Menschen, nicht einen technischen Fehler der Bank.
Checkliste für Mitarbeitende und die Finanzabteilung
- Bei jedem unerwarteten Anruf „der Bank“: auflegen und selbst die Nummer von der Website der Bank oder der Rückseite der Karte wählen.
- Niemals eine Push-Mitteilung oder einen SMS-Code bestätigen, den Sie nicht selbst ausgelöst haben.
- Niemals Codes oder Passwörter am Telefon weitergeben.
- Jede Limitänderung und jede Überweisung auf ein „neues“ Konto nur nach Prüfung durch eine zweite Person.
- Geänderte Bankverbindungen von Lieferanten über eine bereits bekannte Nummer verifizieren, nicht über eine Nummer aus der E-Mail.
- Klar festlegen, wer im Unternehmen Zahlungen in welcher Höhe freigeben darf.
- Die Zwei-Faktor-Authentifizierung auch für geschäftliche E-Mail-Konten aktivieren, nicht nur für das Online-Banking.
- Diesen Beitrag mit allen teilen, die Zugriff auf Konten haben - das Muster zu erkennen ist der beste Schutz.
Wenn Sie einen laufenden Angriff vermuten
1. Gespräch beenden. Sofort, ohne Erklärung, unabhängig davon, was der Anrufer sagt.
2. Über einen zweiten Kanal prüfen. Rufen Sie die offizielle Nummer Ihrer Bank von deren Website oder der Kartenrückseite an - nicht eine Nummer, die Ihnen jemand genannt oder geschickt hat.
3. Sperre veranlassen. Bei jedem Verdacht die Bank um eine vorübergehende Sperre des Online-Bankings und die Prüfung der letzten Transaktionen bitten. Je früher Sie handeln, desto größer die Chance, eine Überweisung noch aufzuhalten.
4. Geräte und Zugänge prüfen. Rechner auf Schadsoftware untersuchen, Passwörter für Online-Banking und geschäftliche E-Mail ändern und prüfen, wer Zugriff auf die Finanzen hat.
5. Melden. Den Vorfall der Bank und der Polizei melden, auch wenn kein Geld abgeflossen ist. Jede Meldung hilft, das Muster zu erkennen.
Sicherheit ist eine Gewohnheit, keine Software
Kein Virenschutz kann verhindern, dass eine Mitarbeiterin oder ein Mitarbeiter in einem Moment der Panik eine Mitteilung bestätigt. Verhindern kann es eine einfache Regel, die im ganzen Unternehmen bekannt ist: Die Bank verlangt niemals eine Bestätigung am Telefon. Wenn alle wissen, dass die richtige Reaktion darin besteht, aufzulegen und zurückzurufen, verliert der Angriff seinen stärksten Hebel - die Zeit.
Wenn Sie Unterstützung bei der Absicherung von geschäftlicher E-Mail, Zugängen und Konten benötigen, finden Sie Anleitungen im Support-Bereich.
