Phishing & Social Engineering · PHI-04
CEO-Fraud oder Rechnungsbetrug
Eine Zahlung soll ausgelöst oder eine Bankverbindung geändert werden. Die Anweisung kommt scheinbar von der Geschäftsführung oder von einem bekannten Lieferanten, wirkt dringend und bittet um Vertraulichkeit oder darum, den üblichen Weg abzukürzen.
Erste 15 Minuten
Sofortmaßnahmen.
- Geschäftsführung bittet um eine eilige Überweisung
- Lieferant meldet eine neue Kontonummer
- Rechnung mit geänderter IBAN bei bekanntem Betrag
- Bitte um Gutscheinkauf oder Barauslage
- 01
Zahlung anhalten. Nichts freigeben und nichts vorbereiten, solange die Anweisung nicht über einen zweiten Weg bestätigt ist.
- 02
Bei bekannter Rufnummer aus dem eigenen Verzeichnis rückfragen, nie über Kontaktdaten aus der Nachricht oder der Rechnung.
- 03
Ist die Überweisung schon draußen: sofort die Bank anrufen und den Rückruf der Zahlung verlangen. Das ist zeitkritisch.
- 04
Geschäftsführung und Buchhaltung unmittelbar informieren, auch wenn der Betrug nur vermutet wird.
- 05
Nachricht, Rechnung und Kontodaten unverändert sichern, inklusive vollständigem Absender.
Melden
Wen informieren, und wie.
Wen
Geschäftsführung und Buchhaltung sofort, parallel die IT-Verantwortlichen. Bei erfolgter Zahlung zusätzlich die Hausbank.
Wie
Telefonisch, nicht per Mail. Läuft der Betrug über ein übernommenes Postfach, lesen die Täter mit.
Was bereithalten
- Betrag, Empfängerbank und IBAN der verlangten Zahlung
- Über welchen Kanal die Anweisung kam
- Ob die Zahlung bereits freigegeben oder ausgeführt wurde
- Wer im Haus sonst noch kontaktiert wurde
- Welche Frist oder Begründung genannt wurde
Häufige Fehler
Nicht tun.
-
Auf die Bitte um Vertraulichkeit eingehen. Sie dient allein dazu, die Vier-Augen-Kontrolle auszuhebeln.
-
Über den Kanal der Anweisung rückfragen, auch nicht auf eine mitgeschickte Telefonnummer.
-
Die geänderte Bankverbindung im Lieferantenstamm speichern, bevor sie telefonisch bestätigt ist.
-
Aus Zeitdruck teilweise zahlen oder eine Anzahlung leisten.
Nach der Meldung
Was danach passiert.
Ab hier übernehmen IT, Datenschutz und Geschäftsführung. Für dich ist der Vorfall mit der Meldung abgeschlossen.
-
Die Geschäftsführung entscheidet über Anzeige bei der Polizei und die Einbindung der Versicherung. Beides ist zeitkritisch.
-
Die IT prüft, ob ein Postfach im Haus oder beim Lieferanten übernommen wurde und seit wann mitgelesen wird.
-
Der Freigabeprozess für Zahlungen und Stammdatenänderungen wird überprüft und wo nötig nachgeschärft.
Zum Aushängen
Dieses Playbook als PDF.
Eine A4-Seite, gebrandet und druckbar, ohne Anmeldung. Für die Ablage im Team, das Onboarding oder den Aushang neben dem Arbeitsplatz.
PDF · 1 Seite · ohne Anmeldung
Hintergrund
Der Angriff zielt auf den Prozess, nicht auf die Technik
Bei CEO-Fraud wird nichts gehackt und nichts installiert. Die Nachricht kommt an einer Stelle an, an der eine einzelne Person eine Zahlung auslösen kann, und sie liefert die Begründung mit, warum die übliche Kontrolle diesmal nicht greifen soll: Zeitdruck, Vertraulichkeit, eine laufende Akquisition, eine Anweisung von ganz oben.
Deshalb hilft hier kein Filter, sondern eine Regel. Eine Zahlungsanweisung oder eine geänderte Bankverbindung wird über einen zweiten, unabhängigen Kanal bestätigt, und zwar immer. Wenn die Anweisung echt ist, kostet das einen Anruf. Wenn nicht, verhindert derselbe Anruf den Schaden vollständig.
Die geänderte IBAN ist der häufigere Fall
Die spektakuläre Variante ist die angebliche Anweisung der Geschäftsführung. Die häufigere und leisere Variante läuft über eine echte Lieferantenbeziehung: Ein Postfach beim Lieferanten wurde übernommen, der Zahlungsverkehr wochenlang mitgelesen, und die Rechnung kommt zum gewohnten Zeitpunkt, mit dem erwarteten Betrag und einer neuen Kontonummer.
Genau diese Stimmigkeit macht sie gefährlich. Der einzige verlässliche Prüfpunkt ist der Anruf bei der bekannten Nummer aus dem eigenen Lieferantenstamm, nicht bei der Nummer im Briefkopf der aktuellen Rechnung.
Die ersten Stunden entscheiden über das Geld
Ist die Überweisung ausgeführt, hängt die Rückholung daran, wie schnell die Bank reagieren kann. Solange der Betrag beim Empfängerinstitut noch nicht abgehoben oder weiterverteilt ist, besteht eine reale Chance auf Rückruf. Diese Phase ist kurz, oft nur Stunden.
Deshalb steht der Anruf bei der Bank in den Sofortmaßnahmen vor jeder internen Aufarbeitung. Die Frage, wie es passieren konnte, ist wichtig und kann warten. Der Rückruf der Zahlung kann das nicht.
Erstgespräch
Sicherheit braucht ein Gegenüber, kein Tool.
Im 30-Minuten-Erstgespräch klären wir, wo dein Unternehmen steht und welcher nächste Schritt sinnvoll ist.