Der falsche Chef legt Mitarbeiter rein. In Deutschland werden zunehmend mittelständische Unternehmen mit einfachsten Mitteln angegriffen, um hohe Geldbeträge per Überweisung zu erbeuten.
Das Vorgehen dabei ist so simpel, wie effektiv und wurde auch in unserem Kundenkreis bereits gesichtet. Eine Mail vom vermeintlichen Firmenchef geht an einen leitenden Mitarbeiter im Bereich Finanzwesen und kündigt eine vertrauliche Transaktion an, bei der auch die Einbeziehung externer Kontakte, im Regelfall einer Anwaltskanzlei, o.ä., avisiert wird. Der Mitarbeiter wird hierbei zur Geheimhaltung angewiesen, weil man möglicherweise eine kurzfristige Übernahme oder Unternehmensbeteiligung tätigen wolle und der Wettbewerb dies nicht erfahren solle.
Nach einigem Mailverkehr, eventuellen Telefonaten mit der einbezogenen „Kanzlei“, kommt dann die Zahlungsanweisung des Chefs und die Transaktion erfolgt auf ein Konto im Ausland (in konkreten Beispielen nach Hong Kong). Dass es sich hier nicht um Einzelfälle handelt, belegt die Statistik des BKA. Seit 2013 habe man 250 Vorfälle registriert und – was kaum zu glauben ist – 120 Millionen Euro Schaden. Aktuellster Fall in der Presse war der Automobilzulieferer Leoni, der einen Schaden in Höhe von 40 Millionen Euro erlitt.
So, wie Schadsoftware weiter entwickelt wird, gibt es auch beim Social Engineering weitere, noch ausgefeiltere Methoden der Beeinflussung von Zielpersonen des anzugreifenden Unternehmens. Wie würden Sie sich denn verhalten, wenn Sie nach einer Mail von Ihrem Chef plötzlich einen Anruf der IT-Security bekommen und darauf hingewiesen werden, dass es sich um einen Betrugsversuch handelt. Die Security bittet Sie, auf die Mail einzugehen, weil man den falschen Chef auf frischer Tat ertappen will – und schon ist schlimmstenfalls wieder eine Überweisung auf dem Weg und das Unternehmen erleidet einen Schaden. Mit dieser Masche hat es auch einen börsennotierten Konzern erwischt und um 900.000 Euro erleichtert.
Meist sind jedoch klassische Mittelständler betroffen. Mitarbeiter sind – insbesondere bei familiengeführten Unternehmen – oftmals sehr leicht geneigt, Anweisungen direkt auszuführen und nicht zu hinterfragen. Da die Vorgehensweise in keiner Weise ein Eindringen in das Unternehmensnetz erfordert und keinerlei Schadsoftware erforderlich ist, kann man solchen Angriffen nicht mit technischen Mitteln allein begegnen. Mitarbeiter müssen sensibilisiert werden, für höhere Beträge organisatorisch das Vier-Augen-Prinzip eingeführt werden. Darüber hinaus sollte im Web keine direkte Durchwahl oder Mail der Buchhaltungs-Mitarbeiter veröffentlicht werden.
Unternehmen, die sich gegen „falsche Chefs“ auch finanziell absichern wollen, können dies z.B. über den Kreditversicherer Euler Hermes tun.
Beim Thema Sicherheit für Ihr Unternehmensnetz stehen wir Ihnen gerne zur Seite:
