Network
Business (Email) Compromise immer noch erfolgreich
Business Email Compromise (BEC) gilt als eine der erfolgreichsten Angriffsarten. Die Zutaten sind eigentlich immer dieselben: eine Aufforderung, Geld zu überweisen und das schnell, sowie darüber zu schweigen. Helfen klare Richtlinien für Finanztransaktionen?
Save to Folio
Kürzlich widmeten wir uns einer neuen Spielart des Business Email Compromise (BEC), nämlich dem Rechnungsbetrug durch kompromittierte Mail-Konten. Nun wollen wir uns dieses Phänomens etwas genauer annehmen. Die Angriffsmethode zählt in Europa zu den drei häufigsten cyberkriminellen Angriffsarten – genaue Schadenshöhen melden aber weder Europol noch das BKA. Das amerikanische FBI führt BEC als schadensträchtigste Art von Cyberangriff auf Unternehmen überhaupt. Aber was macht BEC so erfolgreich?
Im Kern geht die Masche auf einen gewissen Herrn Voigt zurück. Dieser wurde 1906 der ganzen Welt bekannt, als er als Hauptmann verkleidet das Köpenicker Rathaus besetzte. Er befahl, man möge ihm die Stadtkasse aushändigen, und die dortigen Beamten, eingeschüchtert von seiner Autorität, taten das auch.
Aber wieso ist diese alte Geschichte noch für das 21. Jahrhundert so relevant? Der Schlüssel ist das Auftreten der Täter. Sie „verkleiden“ sich digital als jemand anderes und bitten, befehlen oder überzeugen ihre Opfer, ihnen Geld auszuhändigen. 2024 wurden allein in den USA über zwei Milliarden US-Dollar auf diese Weise erbeutet – und das sind nur die zur Anzeige gebrachten Fälle mit einem Durchschnittswert von etwa 100.000 Dollar pro Unternehmen. Das Gros der Taten wurde den Gesetzeshütern vermutlich nicht einmal mitgeteilt. Und auch das hat seine Gründe.
Momentane Übertragungswege
Die weitaus meisten Angriffe erfolgen noch immer per E-Mail. Andere häufige Übertragungswege sind Messenger wie WhatsApp, Kollaborations-Tools wie Microsoft Teams und auch das gute alte Telefon. Im Kern ist das Vorgehen immer dasselbe: Die Täter fordern ihr Opfer auf, ihnen Geld zu überweisen und setzen es dabei unter Druck: Es soll auf gar keinen Fall mit jemand anderem darüber reden, weil sein Job, der Fortbestand des Unternehmens oder gar die Zukunft der Menschheit davon abhängt. Ein psychologischer Trick, der in den meisten Betrugsverfahren angewendet wird. Erzählt nämlich ein Opfer einem Dritten, was von ihm verlangt wird, kommt es meist von selbst auf die Idee, dass es dabei nicht mit rechten Dingen zugehen kann. Diese Vorgehensweise bringt auch mit sich, dass es bei der Aufarbeitung der Fälle meist nur einen Zeugen gibt – und dieser hat in der Regel das Geld überwiesen. Das macht es für Firmen zumindest … pikant.
Ein Beispiel: Zu den aktuell stark diskutierten Fällen gehören solche, in denen sich die Mitarbeiter am Telefon davon überzeugen ließen, wirklich mit ihrem Chef zu sprechen, dessen Stimme sie erkannt haben wollten. Technisch gesehen ist ein solches Szenario vorstellbar, denn durch sogenanntes „Voice Cloning“ ist das durchaus machbar. Es bedeutet aber verhältnismäßig viel Aufwand für Täter. Noch schwieriger wird es mit dem Einsatz von „Deepfakes“, also gefälschten Gesichtern in Videokonferenzen. Ein entsprechender Fall aus Hongkong sorgte weltweit für Aufsehen. Aber auch hier gibt es streng genommen nur einen einzigen Zeugen und der überwies 25 Millionen Dollar auf kriminelle Konten.
Warum „schlucken“ Firmen die Verluste?
Die Opfer von BEC-Attacken sind normalerweise diejenigen, die ihren Chefs vertrauen und für sie „durchs Feuer gehen“ würden. Denn streng genommen ist die undokumentierte Aufforderung, Geld zu überweisen, bereits in sich ein Compliance-Verstoß – auch wenn die Aufforderung tatsächlich von der Unternehmensleitung geäußert werden sollte. Für geschäftliche Finanztransaktionen gibt es Vorgaben, unter anderem zur Dokumentation. Geschäftsführungen sind zudem verpflichtet, dafür zu sorgen, dass solche Regeln im Unternehmen auch durchgesetzt und eingehalten werden.
Wurde allerdings versäumt, eine interne Richtlinie zu etablieren, oder haben sich Vorgesetzte in belegten Vorfällen selbst „kreativ“ verhalten, lässt sich den Mitarbeitern nur schwer ein Vorwurf machen. Die Tatsache, dass die Opfer von BEC bereit sind, für ihre Chefs die Regeln zu missachten (wenn es diese überhaupt gibt), ist meist auch der Grund, warum Unternehmensleitungen auch andersherum den betrogenen Mitarbeitern glauben. Das gilt selbst dann, wenn die Anweisung über nicht mehr nachprüfbare Medien wie Telefon, WhatsApp oder Video erfolgt.
Schutz vor BEC
Ein BEC-Angriff ist streng genommen eigentlich kein Cybersicherheitsproblem. Wenn Mitarbeitende bereit sind, auf Zuruf Geld zu überweisen, kann sie daran auch keine Cybersicherheitslösung hindern. Das ist vielmehr eine Frage der internen Finanzprozesse. Allerdings kann die Cybersicherheitsabteilung bei der Bewusstseinsbildung dafür helfen und in einigen Fällen auch technisch zum Schutz beitragen.
- E-Mail gehört zu den am besten überwachten Kommunikationsmedien. Dennoch schlüpfen viele BEC-Angriffe durch diesen Schutz, denn technisch gesehen sind sie nur schwer von echten Geschäftsmails zu unterscheiden. Manche Hersteller bieten deshalb spezielle Filter an. Einer der einfacheren Methoden besteht darin, externe Mails als solche zu kennzeichnen. Weisen Sie in Cybersicherheitsschulungen darauf hin und proben Sie auch den Ernstfall!
- Seien Sie sich darüber bewusst, dass die heutige Kommunikationslandschaft auch weitere Optionen bietet: Beispielsweise werden WhatsApp und Microsoft Teams meist nicht auf Cybervorfälle überwacht. Im Falle von MS Teams kann die Cybersicherheitsabteilung zumindest die Kommunikationsmöglichkeiten Externer wirkungsvoll einschränken – machen Sie das! Sollte Ihr Unternehmen die Kommunikation über WhatsApp erlauben (bzw. dulden), schulen Sie Ihr Personal auch auf die dadurch möglichen kriminellen Betrugsmechanismen.
- Wenn ein Unternehmen die Möglichkeit braucht, dass Mitarbeitende „auf Zuruf“ Geld auf fremde Konten überweisen, dann vereinbaren Sie für solche Fälle ein Codewort. Machen Sie ansonsten klar, dass sich alle an geltende Prozesse halten müssen. „Bequeme“ Abkürzungen, weil man die Firmenrichtlinien für unpraktisch hält, darf es auch für Geschäftsführungen und Vorstände nicht geben.
Dieser Beitrag (wie auch schon frühere) ist zuerst im connect professional Security Awareness Newsletter erschienen. Interessenten können sich hier kostenlos für den Newsletter anmelden.