Der unsichtbare Feind in deinem Posteingang: Wie Business Email Compromise dein Unternehmen lahmlegen kann
Ein Albtraum wird wahr – Ein fiktives Beispiel
Stell dir vor, du bist der Geschäftsführer eines mittelständischen Unternehmens. Eines Tages erhältst du eine E-Mail von deinem langjährigen Lieferanten, in der steht, dass sich die Bankverbindung für zukünftige Zahlungen geändert hat. Die E-Mail sieht professionell aus, enthält das Logo des Lieferanten und ist sogar von der E-Mail-Adresse des Lieferanten signiert, mit der du schon seit Jahren kommunizierst. Ohne zu zögern, informierst du die Buchhaltung, die die neuen Zahlungsinformationen mit neuem Bankkonto im System aktualisiert. Einige Wochen später stellst du fest, dass der Lieferant seine Zahlungen nicht erhalten hat. Nach einer schnellen Überprüfung wird klar: Du bist Opfer eines Business Email Compromise (BEC) geworden. Tausende, wenn nicht gar Zehntausende von Euro sind unwiederbringlich verloren.
Dieses Szenario ist keine Science-Fiction, sondern eine reale Bedrohung, die jedes Unternehmen treffen kann. Laut dem Verizon 2023 Data Breach Investigations Report sind BEC-Angriffe für einen erheblichen Anteil der Cyberangriffe verantwortlich. Daher ist es höchste Zeit, sich intensiv mit diesem Thema auseinanderzusetzen.
Phishing & Pretexting: Die Wölfe im Schafspelz
Phishing: Der Köder im digitalen Ozean
Phishing ist eine der bekanntesten Methoden, um an sensible Daten zu gelangen. Die E-Mail enthält oft einen Link zu einer gefälschten Website, die der echten Website täuschend ähnlich sieht.
Pretexting: Die Kunst der Täuschung
Pretexting ist eine andere Form des Social Engineering, bei der der Angreifer eine erfundene Geschichte oder einen Vorwand (Pretext) verwendet, um an Informationen zu gelangen.
Die zwei Hauptwege eines Business Email Compromise-Angriffs
BEC-Angriffe können auf verschiedene Weisen ablaufen, aber im Wesentlichen gibt es zwei Hauptpfade, die die Angreifer verfolgen. Beide haben ihre eigenen Tücken und erfordern unterschiedliche Abwehrstrategien.
Weitere Informationen anfordern: der Spion in deinem Posteingang
In dieser Variante geht es den Angreifern darum, mehr Informationen zu sammeln, die sie für weitere schädliche Aktivitäten nutzen können. Sie könnten beispielsweise versuchen, an Login-Daten für das Unternehmensnetzwerk zu gelangen.
Beispiel: Stell dir vor, du erhältst eine E-Mail, die scheinbar von deiner IT-Abteilung kommt. Die E-Mail informiert dich über ein wichtiges Sicherheitsupdate und bittet dich, dich auf einer verlinkten Seite einzuloggen, um das Update zu bestätigen. Du klickst auf den Link und gibst deine Zugangsdaten ein, ohne zu wissen, dass du gerade einem Angreifer den Schlüssel zu deinem Unternehmensnetzwerk übergeben hast.
Sofortige Aktion erzwingen (meist finanziell): der schnelle Coup
Hier ist die durch den BEC-Angriff inspirierte Aktion das eigentliche Ziel. Oft handelt es sich um finanzielle Transaktionen, wie das Umleiten von Zahlungen auf ein Konto, das den Angreifern gehört.
Beispiel: Du bist in der Finanzabteilung tätig und erhältst eine E-Mail vom CEO deines Unternehmens. Die E-Mail ist dringend und fordert dich auf, eine Überweisung für einen vertraulichen Deal durchzuführen. Der CEO ist gerade auf einer Geschäftsreise und nicht erreichbar, aber die E-Mail sieht authentisch aus, und die Bankdaten sind angehängt. Du führst die Überweisung durch, nur um später herauszufinden, dass die E-Mail von einem Betrüger stammte und das Geld nun weg ist.
Weitere Angriffsformen
E-Mail-Spoofing: Der Doppelgänger in deinem Posteingang
E-Mail-Spoofing ist eine Technik, bei der der Angreifer die Absenderadresse so manipuliert, dass sie wie eine vertrauenswürdige Quelle aussieht. Diese Methode wird oft in BEC-Angriffen verwendet, um den Empfänger zu täuschen.
CEO-Betrug (CEO-Fraud): Wenn der Boss plötzlich zum Risiko wird
Beim CEO-Betrug gibt sich der Angreifer als Geschäftsführer oder eine andere hochrangige Führungskraft aus. Ziel ist es, den Empfänger zu einer dringenden Überweisung oder Informationsweitergabe zu bewegen.
Spam: Mehr als nur lästige Werbung
Spam-E-Mails können auch als Träger für BEC-Angriffe dienen. Sie enthalten oft Links oder Anhänge, die zu einer Kompromittierung des E-Mail-Kontos führen können.
Malware: Der versteckte Feind
Malware ist eine Software, die darauf ausgelegt ist, deinem System Schaden zuzufügen. In einem BEC-Kontext kann Malware dazu verwendet werden, Zugang zu sensiblen Informationen zu erhalten.
E-Mail-Konto gehackt: der Insider-Angriff
Wenn dein E-Mail-Konto gehackt wurde, hat der Angreifer vollen Zugriff auf alle deine E-Mails und Kontakte. Dies ermöglicht eine Vielzahl von BEC-Angriffen.
Ransomware: Deine Daten als Geisel
Ransomware ist eine Art von Malware, die deine Daten verschlüsselt und ein Lösegeld für deren Freigabe fordert. In einem BEC-Szenario könnte dies als Druckmittel verwendet werden.
Spear Phishing: Der gezielte Angriff
Spear Phishing ist eine spezialisierte Form des Phishing, bei der der Angreifer bereits im Vorfeld Informationen über sein Opfer gesammelt hat, um den Angriff so authentisch wie möglich erscheinen zu lassen.
Social Engineering: Die Kunst der Manipulation
Social Engineering ist die Praxis, Menschen dazu zu bringen, bestimmte Aktionen auszuführen oder vertrauliche Informationen preiszugeben. In BEC-Angriffen wird dies oft verwendet, um das Opfer zur Herausgabe von Informationen oder Geld zu bewegen.
Scareware: Angst als Waffe
Scareware sind gefälschte Sicherheitswarnungen oder andere Pop-up-Nachrichten, die den Benutzer erschrecken und ihn dazu bringen sollen, eine bestimmte Aktion auszuführen, die dem Angreifer zugutekommt.
Spyware: Der stille Beobachter
Spyware ist eine Software, die dazu dient, Informationen über einen Benutzer oder ein System ohne dessen Wissen zu sammeln. In einem BEC-Kontext könnte dies verwendet werden, um wertvolle Unternehmensinformationen zu stehlen.
Wer wird angegriffen und wer sind die Angreifer? – Ein Blick hinter die Kulissen
Personen mit Finanzbefugnissen und Führungskräfte
Diese Gruppe ist besonders attraktiv für Angreifer, da sie direkten Zugriff auf Unternehmensgelder hat. Ein erfolgreicher Angriff kann hier schnell zu hohen finanziellen Verlusten führen.
Beispiel: Der CFO eines Unternehmens erhält eine E-Mail, die scheinbar vom CEO kommt und eine dringende Überweisung für einen neuen, geheimen Vertrag fordert. Da der CFO die Befugnis hat, große Summen zu überweisen, könnte ein erfolgreicher Angriff das Unternehmen Zehntausende von Euro kosten.
HR und Gehaltsabteilungen
Diese Abteilungen verfügen über eine Fülle von sensiblen Informationen, die für Betrüger von Wert sein können, etwa Sozialversicherungsnummern, Gehaltsinformationen und persönliche Kontaktdaten.
Beispiel: Ein Mitarbeiter der Personalabteilung erhält eine E-Mail, die scheinbar von einem Kollegen aus der Rechtsabteilung kommt und um eine Liste aller Mitarbeiter mit ihren Gehaltsdaten bittet. Mit diesen Daten könnten Betrüger Identitätsdiebstahl begehen oder gezielte Phishing-Angriffe starten.
Täter: Die Meister der Täuschung
Die Angreifer geben sich oft als Personen aus, denen im Unternehmen ein hohes Maß an Vertrauen entgegengebracht wird. Das können Lieferanten, CEOs oder sogar Anwälte sein. Ihre Identität wird sorgfältig ausgewählt, um die Wahrscheinlichkeit einer erfolgreichen Täuschung zu erhöhen.
Beispiel: Ein Betrüger gibt sich als Anwalt aus, der angeblich im Auftrag des Unternehmens arbeitet. Er kontaktiert die Finanzabteilung mit einer dringenden und vertraulichen Angelegenheit, die eine sofortige Überweisung erfordert. Da Anwälte oft in sensible Geschäftsprozesse involviert sind, könnte die Finanzabteilung dem Anliegen ohne weitere Überprüfung nachkommen.
Die Auswahl der Zielgruppen und der Täteridentität ist kein Zufall, sondern das Ergebnis einer sorgfältigen Planung und Recherche durch die Angreifer. Daher ist es wichtig, dass alle Mitarbeiter, unabhängig von ihrer Position, über die Risiken und Anzeichen von BEC-Angriffen informiert sind.
Wie kannst du dich schützen? – Dein Rüstzeug gegen BEC-Angriffe
Menschliche Prävention: Bildung ist der Schlüssel
Schulung der Mitarbeiter
Die erste Verteidigungslinie gegen BEC-Angriffe sind die Mitarbeiter. Regelmäßige Schulungen zu Phishing, Pretexting und anderen Formen des Social Engineering sind unerlässlich. Mitarbeiter sollten lernen, wie sie verdächtige E-Mails erkennen und wie sie im Falle eines Angriffs reagieren sollten.
Beispiel: Ein Mitarbeiter erhält eine E-Mail, die ihn auffordert, ein Passwort zurückzusetzen. Dank der Schulung erkennt er die roten Flaggen – etwa Rechtschreibfehler und eine seltsame E-Mail-Adresse – und meldet die E-Mail an die IT-Abteilung.
Einführung einer BEC-Reaktionsrichtlinie
Jedes Unternehmen sollte eine klare BEC-Reaktionsrichtlinie haben, die Schritte für den Fall eines Angriffs vorgibt. Diese Richtlinie sollte auch einen Kommunikationsplan enthalten, der festlegt, wie und an wen verdächtige Vorfälle gemeldet werden sollten.
Technologische Prävention: Deine digitale Festung
Stärkung der Zugangskontrolle: Dein erster Schutzwall
Mehrere gängige Cybersicherheits-Verteidigungspraktiken können auch eine weitere Verteidigungsebene bieten. Beginnen Sie mit der Stärkung der Zugangskontrolle zu Ihrem Netzwerk:
- Multi-Faktor-Authentifizierung (MFA): MFA bietet eine zusätzliche Sicherheitsebene, indem sie die Eingabe eines zusätzlichen Codes erfordert, der an ein anderes Gerät gesendet wird.
- Deaktivierung nicht verwendeter Konten: Alte oder nicht mehr benötigte Konten sind ein Einfallstor für Angreifer. Deaktivieren Sie diese, um das Risiko zu minimieren.
- Überprüfung der Berechtigungsstufen: Gewähren Sie einem Benutzer niemals mehr Zugriff auf ein System, als er benötigt. Überprüfen Sie regelmäßig die Berechtigungsstufen und passen Sie sie bei Bedarf an.
- Netzwerksegmentierung: Durch die Aufteilung des Netzwerks in verschiedene Segmente können die Bewegungsmöglichkeiten eines Angreifers eingeschränkt werden. So könnte etwa der Zugriff auf finanzielle Systeme nur von bestimmten Netzwerksegmenten aus möglich sein.
- Aktualisierung aller Betriebssysteme und Software: Veraltete Software kann Sicherheitslücken enthalten, die von Angreifern ausgenutzt werden können. Regelmäßige Updates schließen diese Lücken und bieten einen besseren Schutz.
Zusätzliche Software-Tools: Dein digitaler Wachhund
- Endpunktsicherheitssoftware: Diese Software überwacht alle Endpunkte, die mit dem Netzwerk verbunden sind, und kann verdächtige Aktivitäten erkennen und blockieren.
- Anti-Phishing-Software: Diese Tools können Phishing-Versuche erkennen und blockieren, bevor sie den Empfänger erreichen.
- E-Mail-Filtersoftware: Durch das Filtern eingehender E-Mails können potenziell schädliche Nachrichten erkannt und isoliert werden, bevor sie Schaden anrichten können.
Die Kombination aus menschlicher Prävention und technologischer Absicherung bietet den besten Schutz gegen BEC-Angriffe. Es ist wichtig, dass diese Maßnahmen nicht nur einmalig, sondern kontinuierlich durchgeführt werden, um mit der sich ständig verändernden Bedrohungslandschaft Schritt zu halten.
Beispiel für eine BEC-Reaktionsrichtlinie: Dein Notfallplan
Ziel der Richtlinie
Diese Richtlinie soll sicherstellen, dass alle Mitarbeiter wissen, wie sie im Falle eines Business Email Compromise (BEC)-Angriffs reagieren sollen. Sie legt die Verantwortlichkeiten und Schritte fest, die im Falle eines solchen Vorfalls zu befolgen sind.
Verantwortlichkeiten
- IT-Abteilung: Überprüfung der Sicherheitsvorkehrungen, Untersuchung des Vorfalls, Kommunikation mit externen Experten.
- Finanzabteilung: Überprüfung aller finanziellen Transaktionen, die im Zusammenhang mit dem Angriff stehen könnten.
- HR-Abteilung: Schulung der Mitarbeiter und Kommunikation der Richtlinie.
- Geschäftsführung: übergeordnete Verantwortung für die Umsetzung der Richtlinie und Kommunikation mit Stakeholdern.
Schritte im Falle eines BEC-Angriffs
- Identifikation und Meldung: Wenn ein Mitarbeiter einen möglichen BEC-Angriff erkennt, sollte er dies sofort der IT-Abteilung und seinem Vorgesetzten melden.
- Nicht mit der E-Mail interagieren: Befassen Sie sich in keiner Weise mit der E-Mail, um keine weiteren Risiken einzugehen.
- Authentizität überprüfen: Versuchen Sie, die Authentizität des Absenders zu überprüfen, indem Sie ihn über einen anderen, direkten Kontaktkanal erreichen. Vermeiden Sie allgemeine Hotlines und nutzen Sie stattdessen direkte Kontaktnummern.
- Eingrenzung des Schadens: Die IT-Abteilung sollte sofort alle Systeme überprüfen und gegebenenfalls den Zugriff auf sensible Bereiche einschränken.
- Finanzielle Transaktionen überprüfen: Die Finanzabteilung sollte alle kürzlich getätigten oder anstehenden Transaktionen überprüfen und gegebenenfalls stoppen.
- Externe Kommunikation: In Absprache mit der Geschäftsführung sollte entschieden werden, ob und wie externe Stakeholder, wie Kunden oder Partner, informiert werden müssen.
- Dokumentation: Alle Schritte und Kommunikationen sollten dokumentiert werden, um eine spätere Analyse zu ermöglichen.
- Analyse und Nachbereitung: Nach Beendigung des Vorfalls sollte eine gründliche Analyse durchgeführt werden, um Schwachstellen zu identifizieren und zukünftige Angriffe zu verhindern.
- Sofortige Benachrichtigung: Wenn ein Mitarbeiter eine Transaktion durchgeführt oder Informationen gesendet hat und sich Sorgen macht, ist eine sofortige Benachrichtigung der zuständigen Stellen im Unternehmen erforderlich.
- Überprüfung der Unternehmensverfahren: Sehen Sie sich die Verfahren zur Verwaltung von Rechnungen, zur Aktualisierung von Finanzinformationen und zur Weitergabe persönlicher Daten an. Überlegen Sie, wo zusätzliche Kontrollpunkte oder Schutzmaßnahmen eingeführt werden könnten.
- Standardantworten für sensible Anfragen: Bei Anfragen zur Aktualisierung von Bankdaten oder ähnlichen sensiblen Informationen sollte die Standardantwort darin bestehen, die Anfrage über einen anderen Kommunikationskanal zu bestätigen.
- Schulung: Abhängig von den Erkenntnissen der Analyse sollten gezielte Schulungen für Mitarbeiter durchgeführt werden.
Diese Richtlinie sollte regelmäßig überprüft und aktualisiert werden, um sicherzustellen, dass sie den aktuellen Bedrohungen und Best Practices entspricht. Sie sollte auch Teil der allgemeinen Sicherheitsschulung für alle Mitarbeiter sein.
Blitzschnelle Reflexe: Wenn der Cyberfuchs bereits im digitalen Hühnerstall schnüffelt
Sekunden zählen – und können deine Finanzen retten
Was also tun, wenn der Cyberfuchs bereits im digitalen Hühnerstall seine Runden dreht? Ein Silberstreifen am Horizont bei BEC-Finanzangriffen besteht darin, dass du möglicherweise keinen Cent verlierst, wenn du geistesgegenwärtig handelst, sobald die betrügerische Überweisung in die Wege geleitet wurde.
In Europa: Wichtige Anlaufstellen
In Europa gibt es spezielle Cybercrime-Einheiten bei der Polizei, an die du dich wenden solltest. Diese Einheiten sind spezialisiert auf Cyberangriffe und können dir spezifische Anweisungen für deine Situation geben.
- Kontaktiere dein Finanzinstitut: Versuche, die Transaktion abzubrechen, solange sie noch aussteht. In Deutschland und Österreich gibt es spezielle Verfahren, um Transaktionen zu stoppen, die noch nicht abgeschlossen sind.
- Melde den Vorfall bei der Cybercrime-Einheit der Polizei: In Deutschland ist das das Bundeskriminalamt (BKA), in Österreich das Bundeskriminalamt Österreich (BK). In anderen europäischen Ländern gibt es entsprechende Organisationen. Weitere Informationen findest du dazu auf der Cybercrime Seite von Europol. Diese Einheiten können dir dabei helfen, die Transaktion zu stoppen und den Fall zu untersuchen.
- Unternehmensinterne Kommunikation: Informiere umgehend die IT-Abteilung, die Geschäftsführung, falls vorhanden den Informationssicherheitsbeauftragten und den Datenschutzbeauftragten. Je schneller alle informiert sind, desto schneller können Gegenmaßnahmen ergriffen werden.
Die Wichtigkeit der Schnelligkeit: Ein Blick auf die Zahlen
Nach Angaben des FBI hat die Financial Fraud Kill Chain (FFKC) in den USA 73 % der BEC-Beschwerden zu Inlandstransaktionen erfolgreich blockiert. Die eingefrorenen Transaktionen beliefen sich auf insgesamt 433 Millionen US-Dollar. Leider stellten die anderen 27 % der gemeldeten Transaktionen Verluste in Höhe von 590 Millionen US-Dollar dar.
Aktuelle Zahlen zur Cyberkriminalität und speziell zu BEC in Europa
Die Cyberkriminalität ist ein wachsendes Problem, nicht nur in den USA, sondern auch in Europa. Laut Europol ist Cyberkriminalität eine der Prioritäten der EU im Kampf gegen schwere und organisierte Kriminalität.
Finanzielle Auswirkungen und Trends
Laut einem Bericht von Bitdefender haben BEC-Angriffe in 2022 allein zu Verlusten von 2,7 Milliarden US-Dollar geführt. Die Angriffe sind im Jahr 2022 um 81 % gestiegen. Besonders betroffen sind die Finanz- und Logistikbranche.
Schlusswort: Die Uhr tickt, also zögere nicht!
Jetzt oder nie!
Cyberkriminalität, und insbesondere Business Email Compromise, sind keine Phänomene, die du auf die leichte Schulter nehmen solltest. Die Zahlen sprechen eine deutliche Sprache: Die Risiken sind real, die Verluste enorm und die Täter immer raffinierter. Jede Sekunde, die du zögerst, könnte dich und dein Unternehmen teuer zu stehen kommen oder gar die Existenz kosten.
Wir sind für dich da: Dein Partner in der Cyberwelt
Wenn du Fragen hast oder konkrete Anforderungen zur Verbesserung deiner Cyber-Sicherheit umsetzen möchtest, stehen wir von Digimojo dir gerne zur Verfügung. Wir bieten maßgeschneiderte Lösungen und Konzepte, die dir helfen, dein Unternehmen gegen die ständig wachsenden Bedrohungen im Cyber-Raum zu schützen.
Die Dringlichkeit, jetzt zu handeln
Die Zeit für Aktion ist jetzt. Jeder Tag, an dem du das Thema Cyber-Sicherheit schleifen lässt, ist ein Tag, an dem du potenziell Risiken und Kosten für dein Unternehmen erhöhst. Es ist nicht die Frage, ob ein Angriff passiert, sondern wann. Sei vorbereitet, sei wachsam und sei proaktiv.
Ich hoffe, dieser Blogpost hat dir die Augen geöffnet und dir das Rüstzeug gegeben, um dich und dein Unternehmen besser gegen die Risiken von Business Email Compromise zu schützen. Wenn du Unterstützung brauchst, sind wir nur einen Anruf oder eine E-Mail entfernt. Handle jetzt, bevor es zu spät ist!
