Gefälschte Rechnung per E-Mail:
fünf Anzeichen

Es gibt zwei übliche Wege, und es lohnt sich, beide zu kennen. Beim ersten ist jemand in das E-Mail-Postfach Ihres Lieferanten eingedrungen, meist mit einem gestohlenen Passwort, und liest von dort die echten Unterhaltungen mit: Er weiß, was Sie dort kaufen, wann Sie zahlen und wie die Rechnungen aussehen. Damit genügt es ihm, eine echte Rechnung zu nehmen, die Kontonummer zu ändern und sie von der Adresse des Lieferanten selbst zu verschicken, manchmal sogar als Antwort im selben E-Mail-Verlauf, den Sie schon hatten. Beim zweiten ist das kompromittierte Postfach Ihres oder das einer Person in Ihrem Büro, und der Angreifer fängt die echte Rechnung ab, bevor Sie sie sehen. In beiden Fällen ist das Dokument bis auf eine Angabe echt, und deshalb bringt es nichts, auf Logo, Format oder Signatur zu achten. Was den Betrug verrät, steckt nicht im PDF, sondern in der Bitte, das Konto zu ändern.

Nicht unbedingt, und das ist der Punkt, der am meisten verwirrt. Eine korrekte Adresse beweist nur, dass die Nachricht aus diesem Postfach stammt, nicht, dass die Person sie geschrieben hat, die Sie kennen. Wurde das E-Mail-Konto des Lieferanten kompromittiert, kommt die gefälschte Nachricht genau von seiner echten Adresse, mit seiner Signatur, seinem Ton und sogar dem bisherigen E-Mail-Verlauf darunter. Umgekehrt kommt es auch vor: Manchmal ist die Adresse sehr ähnlich, aber nicht dieselbe, mit einem vertauschten Buchstaben, einem zusätzlichen Bindestrich oder einer anderen Endung, und auf dem Smartphone ist das auf den ersten Blick schwer zu sehen. Deshalb ist die Adresse ein nützliches Signal, wenn sie nicht passt, aber keine Garantie, wenn sie passt. Für eine Änderung der Bankverbindung zählt als Bestätigung nur ein Anruf unter einer Nummer, die Sie schon vorher hatten, von Ihnen selbst getätigt, ohne eine Telefonnummer aus dieser E-Mail zu verwenden.

Es ist ein Header der E-Mail, der angibt, an welche Adresse Ihre Antwort geht, wenn Sie auf „Antworten“ klicken. Normalerweise stimmt er mit dem Absender überein und niemand achtet darauf, er lässt sich aber auf eine andere Adresse setzen. Bei diesem Betrug wird er genutzt, damit die Nachricht vom Lieferanten zu kommen scheint, Ihre Rückfrage, ob der Bankwechsel stimmt, aber beim Angreifer landet, der natürlich mit Ja antwortet. Um ihn zu sehen, genügt es in den meisten E-Mail-Programmen, auf „Antworten“ zu klicken und vor dem Schreiben darauf zu achten, welche Adresse im Empfängerfeld steht, oder die Details der Nachricht zu öffnen. Ist die Antwortadresse nicht die des Lieferanten, müssen Sie nicht weiter nachforschen: Es ist Betrug. Und selbst wenn sie übereinstimmt, antworten Sie nicht auf diese E-Mail, um die Änderung zu überprüfen. Eine Überprüfung über denselben Kanal, über den die Bitte kam, überprüft gar nichts; rufen Sie an.

Die IBAN hat eine Struktur, die man auch ohne Fachwissen lesen kann. Die ersten beiden Buchstaben sind das Land, in dem das Konto eröffnet wurde: ES steht für Spanien, und ein langjähriger spanischer Lieferant, der plötzlich auf ein Konto mit anderen Anfangsbuchstaben zahlen lassen will, verdient einen Anruf vor der Zahlung. Bei spanischen Konten folgen nach den zwei Buchstaben und den zwei Prüfziffern vier Ziffern, die die Bank kennzeichnen; heißt es in der E-Mail, man sei zu einer bestimmten Bank gewechselt, und dieser Code gehört zu einer anderen, passt es ebenfalls nicht. Außerdem zeigen immer mehr Banken beim Vorbereiten der Überweisung an, ob der Name des Empfängers mit dem Kontoinhaber übereinstimmt. Meldet dieser Hinweis keine Übereinstimmung, halten Sie an. Keine dieser Prüfungen ersetzt den Anruf: Ein sorgfältiger Angreifer kann ein spanisches Konto verwenden. Sie dienen dazu, die plumpen Fälle zu erkennen, nicht dazu, den Rest für gut zu befinden.

Rufen Sie sofort Ihre Bank an, nicht morgen und nicht erst, wenn Sie alles überprüft haben. Erklären Sie, dass Sie eine Überweisung auf ein betrügerisches Konto getätigt haben, und bitten Sie darum, sie zu stoppen oder die Rückbuchung bei der Empfängerbank zu beantragen. Je weniger Zeit vergangen ist, desto größer die Chance, dass das Geld noch auf diesem Konto liegt; bei Echtzeitüberweisungen ist der Spielraum sehr knapp, und es gibt keine Garantie, es zurückzubekommen, aber ohne diesen schnellen Anruf sinken die Chancen deutlich. Erstatten Sie danach Anzeige bei der Policía Nacional oder der Guardia Civil oder, wenn Sie in Katalonien sind, bei den Mossos d'Esquadra, mit der E-Mail, der Rechnung und dem Überweisungsbeleg: Die Bank verlangt die Anzeige meist, um weiterzumachen. Informieren Sie auch den Lieferanten telefonisch, denn sein E-Mail-Konto ist wahrscheinlich kompromittiert, und er hat sein eigenes Problem. Und wenn Sie Orientierung zu den Schritten brauchen: Die 017 von INCIBE beantwortet Fragen zur Cybersicherheit kostenlos und vertraulich.

Nein, im Gegenteil: Bewahren Sie sie unverändert auf. Diese Nachricht ist das wichtigste Beweisstück für die Anzeige und für das, was die Bank verlangt, und wichtig ist daran nicht nur der sichtbare Text, sondern auch die technischen Header, die zeigen, über welche Server sie tatsächlich verschickt wurde und an welche Adresse die Antworten gingen. Löschen Sie sie oder leiten Sie sie weiter und entfernen das Original, geht ein Teil dieser Informationen verloren. Empfehlenswert ist, sie im Posteingang zu lassen, ohne zu antworten und ohne weitere Anhänge zu öffnen, und sie, wenn Sie sie beiseitelegen möchten, in einen eigenen Ordner zu verschieben. Es bringt auch nichts, dem Angreifer Vorwürfe zu machen oder ihn zur Rückzahlung zu bewegen: Das bestätigt nur, dass Ihre Adresse aktiv ist und jemand liest. Bewahren Sie auch das PDF der Rechnung, den Überweisungsbeleg und alle anderen E-Mails desselben Verlaufs auf. Mit all dem zusammen kann, wer den Fall prüft, rekonstruieren, was passiert ist und von wo.

Das ist möglich, und es muss ausgeschlossen werden. Hat der Angreifer Ihre E-Mails gelesen, kennt er Ihre Lieferanten, Ihre Kunden und Ihre Zahlungsfristen und kann den Betrug nach außen wiederholen, indem er Ihren Kunden Ihre Rechnungen mit einem anderen Konto schickt. Typische Anzeichen sind E-Mail-Regeln, die niemand angelegt hat, etwa eine, die Nachrichten an eine externe Adresse weiterleitet oder alles mit dem Wort „Rechnung“ in einen versteckten Ordner verschiebt, Anmeldungen von ungewöhnlichen Orten oder gesendete Nachrichten, an deren Verfassen sich niemand erinnert. Zuerst ändern Sie das Passwort dieses Kontos von einem sauberen Gerät aus und aktivieren die Zwei-Faktor-Authentifizierung, falls sie nicht aktiv war; danach prüfen Sie diese Regeln und die offenen Sitzungen. Hängt Ihr Unternehmen bei der Rechnungsstellung von der E-Mail ab, sollte jemand mit Administratorzugang sie gründlich prüfen. Das ist eine der Prüfungen, die wir im Rahmen des IT-Service für Unternehmen durchführen.

Mit einem kurzen, schriftlich festgehaltenen Ablauf, der nicht davon abhängt, dass jemand „ein gutes Auge“ hat. Erstens: Keine Änderung der Bankverbindung eines Lieferanten wird per E-Mail akzeptiert; man ruft den gewohnten Ansprechpartner an, unter der Nummer, die bereits im Lieferantenstamm stand, und notiert, wer es wann bestätigt hat. Zweitens: Das Anlegen oder Ändern einer IBAN genehmigen zwei Personen, eine erfasst, die andere prüft, sodass eine einzelne gut gemachte E-Mail nicht genügt, um Geld zu bewegen. Drittens: Jede Eile bei einer Zahlung auf ein neues Konto ist ein Grund, langsamer zu machen, nicht schneller. Und viertens: Zwei-Faktor-Authentifizierung für alle E-Mail-Konten des Unternehmens – das verhindert, dass der Betrug aus Ihrem eigenen Postfach kommt. Das ist keine teure Technik, sondern Gewohnheit. Es kostet ein paar Minuten pro Änderung und stoppt den Betrug genau an der Stelle, an der er funktioniert.