Die Rechnung, die keine war: Rechnungsbetrug erkennen

Der Anruf kam an einem Donnerstagnachmittag. Ob wir mal draufschauen könnten — sei wahrscheinlich nichts, aber die Kollegin in der Buchhaltung habe so ein Gefühl bei einer Rechnung.

Es war nicht nichts. Was da im Postfach lag, war Rechnungsbetrug per E-Mail, und zwar in der Variante, die im Mittelstand inzwischen den meisten Geldschaden anrichtet: Die Mail war die Antwort auf eine Bestellung, die der Betrieb tatsächlich ausgelöst hatte. Richtige Auftragsnummer, richtiger Ansprechpartner, der ganze Verlauf hing sauber darunter, unten die Signatur mit Handynummer und Umsatzsteuer-ID. Alles echt.

Der Lieferant hatte diese Mail nur nicht geschrieben.

Der Angriff fängt nicht bei Ihnen an. Er fängt bei jemandem an, mit dem Sie Geschäfte machen.

Irgendwo wird ein Postfach übernommen — meist über ein Passwort, das in einem der großen Datenlecks gelandet ist und das jemand noch für drei weitere Dienste benutzt hat. Danach passiert erst mal: nichts. Der Angreifer liest mit. Wochenlang. Er lernt, wer mit wem worüber schreibt, wie die Leute dort formulieren, wann Rechnungen rausgehen und wie hoch die üblichen Beträge sind.

Und irgendwann steigt er in einen laufenden Verlauf ein. Keine neue Mail, sondern eine Antwort, mit der kompletten Historie darunter — die liegt ja im Postfach.

Geändert wird genau eine Sache: die Kontonummer. Meist mit einer beiläufigen Begründung, neue Bankverbindung, Umstellung im Konzern, das alte Konto sei gerade gesperrt. Ein Satz, den man beim Lesen kaum bemerkt.

Ab da funktioniert der Angriff nicht mehr über Technik. Er funktioniert über Plausibilität.

Weil es technisch nichts zu beanstanden gibt. Die Mail kommt aus einem legitimen, korrekt eingerichteten Postfach, der Absender ist der, der er zu sein vorgibt, alle Prüfungen laufen sauber durch. Der Filter sieht eine ganz normale Geschäftsmail — und das ist sie ja auch, bis auf den Inhalt.

Das heißt nicht, dass Filter überflüssig sind. Sie nehmen den ganzen Rest weg, und ohne sie wäre ein Postfach im Mittelstand heute unbenutzbar. Nur ist der Filter die erste Schicht und nicht die einzige, und wer das nicht weiß, verlässt sich auf ein Werkzeug außerhalb seines Einsatzbereichs.

Technisch nachlegen lässt sich trotzdem etwas: Prüfungen, die über die einzelne Nachricht hinaussehen. Ob ein Absender neu ist. Ob gerade eine Antwort von außen in einen internen Verlauf gehängt wurde. Ob der Anzeigename zur tatsächlichen Adresse passt. Das fängt einen Teil ab. Nicht alles.

Wenn Sie aus diesem Text eine Sache mitnehmen, dann die:

Eine geänderte Bankverbindung wird nie per E-Mail bestätigt, sondern telefonisch — unter der Nummer, die Sie vorher schon hatten.

Nicht unter der Nummer aus der Mail. Nicht als Antwort auf die Mail. Unter der Nummer aus den Stammdaten oder von der letzten Rechnung, die Sie bezahlt haben.

Das kostet nichts und ist trotzdem der schwierigste Teil. Denn die Regel muss vorher verabredet sein, und sie muss in der Buchhaltung als normal gelten — nicht als Misstrauen gegenüber einem Lieferanten, mit dem man seit fünfzehn Jahren zusammenarbeitet. Genau daran scheitert es meistens. Nicht am Wissen, sondern daran, dass sich niemand traut, wegen so einer Kleinigkeit anzurufen.

Wer die Regel einführt, sollte deshalb dazusagen, dass der Anruf ausdrücklich erwünscht ist. Sonst steht sie im Ordner und wird nicht gelebt.

Aus dem, was wir in den letzten Jahren gesehen haben — keine Checkliste zum Abhaken, eher eine Sammlung:

• Es geht um Geld, und es eilt. Zeitdruck ist bei dieser Masche kein Zufall, sondern das eigentliche Werkzeug.
• Eine Zahlungsangabe ändert sich: Bankverbindung, Empfänger, Zahlungsziel.
• Der Antwortweg ist plötzlich ein anderer.
• Der Ton passt nicht ganz. Jemand, der sonst „Servus" schreibt, schreibt auf einmal „Sehr geehrte Damen und Herren".
• Der übliche Weg wird umgangen: „Machen Sie das bitte direkt, der Kollege ist im Urlaub."
• Und der unterschätzteste: Es ist Freitagnachmittag oder der Tag vor einem Feiertag. Auch das ist kein Zufall.

Keins davon beweist für sich genommen irgendwas. Zwei zusammen sind einen Anruf wert.

Bei dem Betrieb ist nichts passiert. Die Kollegin hatte zum Hörer gegriffen, bevor sie die neue Bankverbindung anlegte — nicht wegen einer Schulung, sondern weil sie den Ansprechpartner kannte und sich wunderte, dass er sowas nicht kurz erwähnt hatte.

Der Lieferant wusste von nichts. Sein Postfach war seit über einem Monat offen, und wir waren nicht der einzige Kunde, der diese Mail bekommen hatte. Wie es bei den anderen ausgegangen ist, wissen wir nicht.

Schaden: null. Wegen eines Telefonats von zwei Minuten.

Dann geht die gefälschte Rechnung in Ihrem Namen an Ihre Kunden — und Sie erfahren davon, wenn der erste anruft. Der unangenehme Teil dieser Geschichte ist ja, dass der Lieferant hier das Opfer war, nicht der Täter. Das kann jeden treffen, der ein Postfach betreibt.

Dagegen hilft vor allem eins, und es ist unspektakulär: Mehrfaktor-Anmeldung auf allen Postfächern. Wenn Sie das noch nicht flächendeckend haben, ist es der Punkt, mit dem wir anfangen würden — vor jedem zusätzlichen Filter und vor jeder Schulung.

Wie sich das mit den übrigen Bausteinen verzahnt — Zugänge, Netz, Sicherung —, steht auf unserer Übersicht zur IT-Sicherheit im Mittelstand.

Und wenn Sie wissen wollen, was bei Ihnen tatsächlich ankommt und was der Filter wegnimmt: Wir werten das für einen Monat aus und gehen es mit Ihnen durch. Die Zahlen überraschen fast jeden — meistens in beide Richtungen.