Donnerstag, 16.40 Uhr. In einem Erdbauunternehmen im Westen von Lausanne öffnet die Buchhalterin eine E-Mail des Betonwerks, mit dem die Firma seit acht Jahren zusammenarbeitet. Gleiche Signatur, gleiche Monatsrechnung, mit einem zusätzlichen Satz: Aufgrund eines Bankwechsels bitte die neue Bankverbindung verwenden.
Der Betrag stimmt auf den Rappen. Die Referenz auch. Die Zahlung geht am Freitag mit den anderen raus. Drei Wochen später mahnt das Betonwerk eine offene Rechnung über CHF 38’600.
Diese Geschichte ist zusammengesetzt, aber sie entspricht fast Zeile für Zeile dem, was das Bundesamt für Cybersicherheit (BACS) beschreibt. Rechnungsmanipulation gehört zu den Betrugsformen, die in den Meldungen von Unternehmen am häufigsten auftauchen. Und die Baubranche erfüllt fast alle Kriterien, nach denen ein Betrüger sucht.
Warum die Baubranche diese Art von Betrug anzieht
Ein Bauunternehmen bezahlt viele Leute, oft, und Beträge, die niemanden überraschen. Das Betonwerk, die Kiesgrube, die Maschinenvermietung, den Armierungslieferanten, die Subunternehmer, die von Baustelle zu Baustelle wechseln. Eine Rechnung über vierzigtausend Franken fällt im Büro niemandem auf. Das ist ein gewöhnlicher Dienstag.
Das Büro ist ohnehin klein. Zwei oder drei Personen erledigen Buchhaltung, Löhne, Submissionen und Telefon, während der Rest des Teams auf den Baustellen ist. Zahlungen gehen ein- oder zweimal im Monat gesammelt raus, und oft erfasst und gibt dieselbe Person frei. Dazu kommen Lieferanten, mit denen seit Jahren alles per E-Mail läuft, und schon hat der Betrüger genau das Terrain, das er sucht.
Wie der Betrüger an die richtige Rechnung kommt
Niemand errät den Betrag einer Betonrechnung. Um eine glaubwürdige Fälschung zu schicken, muss man die echten gelesen haben. Das häufigste Szenario beginnt deshalb lange vor der gefälschten E-Mail, mit einem gestohlenen Passwort.
Eine gefälschte Anmeldeseite von Microsoft 365, ein Passwort, das auch auf einer anderen Website verwendet wurde, und ein Postfach fällt. Manchmal das des Lieferanten, manchmal Ihres. Der Betrüger macht nichts kaputt. Er liest, wochenlang, und richtet oft eine unauffällige Regel ein, die bestimmte Antworten umleitet oder versteckt. Er lernt, wer was wann bezahlt und wie jeder seine Nachrichten unterschreibt.
Die QR-Rechnung hält ihn nicht auf. Eine QR-Rechnung ist ein PDF und ein Code, der aus ein paar Feldern erzeugt wird. Echte Rechnung nehmen, IBAN ersetzen, Code neu erzeugen. Das Ergebnis lässt sich im E-Banking problemlos scannen, und auf dem Bildschirm verrät nichts die Änderung.
Die Details, die die Fälschung verraten
Wenn der Betrüger von einer Adresse schreibt, die der des Lieferanten ähnelt, sind ein paar Hinweise sichtbar, vorausgesetzt, man weiss, wo man hinschauen muss.
Diese Liste hat ein Problem, und man sagt es besser offen: Wurde das Postfach des Lieferanten selbst gehackt, verschwinden die ersten beiden Hinweise. Die E-Mail kommt von der echten Adresse, mit dem echten Verlauf darunter. Es bleiben die Dringlichkeit und die neue IBAN, und das ist ungefähr alles. Deshalb liegt die wirksame Abwehr nicht in der E-Mail.
Die Regel, die fast genügt: zurückrufen
Jede Änderung einer Bankverbindung wird telefonisch geprüft, bei einer Person, die Sie kennen, unter einer Nummer, die Sie schon vor der Nachricht hatten. Die aus dem Vertrag oder von einer alten Rechnung, nie die aus der E-Mail, die die Änderung ankündigt.
Der Anruf dauert zwei Minuten. Er funktioniert sogar dann, wenn der Betrüger von der echten Adresse und mit der echten Rechnung schreibt. Damit daraus ein Reflex wird und nicht ein guter Vorsatz bleibt, schreiben Sie die Regel auf, notieren Sie jedes Mal, wer wen wann angerufen hat, und verlangen Sie für jede erste Zahlung an eine neue IBAN über einem von Ihnen festgelegten Betrag eine zweite Unterschrift.
Fragen Sie auch Ihre Bank, was sie bei neuen Begünstigten anbietet. Je nach Institut kann eine erste Zahlung auf ein unbekanntes Konto eine zusätzliche Bestätigung oder einen Alarm auslösen.
Auf der IT-Seite: was die Tür schliesst
Der Rückruf schützt Ihre Zahlungen. Ihr Postfach bleibt trotzdem angreifbar, und wenn es fällt, erhalten morgen Ihre Kunden eine falsche IBAN mit Ihrem Namen darunter. Vier Einstellungen senken dieses Risiko deutlich:
- Zwei-Faktor-Authentifizierung auf allen Postfächern der Firma, auch auf denen, die nur auf dem Baustellen-Telefon gelesen werden;
- ein Alarm, sobald eine Weiterleitungs- oder Ausblendregel erstellt wird, und eine Sperre für automatische Weiterleitungen nach aussen;
- ein gut sichtbarer Hinweis auf E-Mails von ausserhalb, damit eine ähnliche Domain sofort auffällt;
- korrekte SPF-, DKIM- und DMARC-Einträge für Ihre Domain, damit sich niemand einfach als Sie ausgeben kann.
Keine dieser Einstellungen verlangt einen Wechsel der Tools. In Microsoft 365 wie bei Infomaniak sind sie für ein KMU in etwa einem halben Tag eingerichtet, sofern man weiss, wo sie sich verstecken.
Wenn die Zahlung schon weg ist
Die ersten Stunden zählen mehr als alles andere. Rufen Sie sofort Ihre Bank an und verlangen Sie einen Rückruf der Zahlung. Warnen Sie den Lieferanten telefonisch, denn sein Postfach ist vielleicht kompromittiert. Erstatten Sie Anzeige bei der Kantonspolizei und melden Sie den Fall dem BACS, das die Meldungen abgleicht und andere Opfer warnen kann.
Erst danach schauen Sie bei sich: Passwörter der Buchhaltung ändern, Weiterleitungsregeln jedes Postfachs prüfen, Zwei-Faktor-Authentifizierung überall aktivieren, wo sie fehlt. Wenn der Betrüger wochenlang Ihre E-Mails gelesen hat, kennt er auch Ihre Kunden.
Zu prüfen, dass keine Weiterleitungsregel herumliegt und jedes Postfach eine Zwei-Faktor-Authentifizierung hat, gehört zu den ersten Dingen, die ich bei einer Flash-Diagnose anschaue. Und wenn Sie ein Bauunternehmen führen, erklärt die Seite IT für Bauunternehmen, wie wir uns um den Rest kümmern, vom Büro bis zur Baustelle.
Häufige Fragen
Kann meine Bank das Geld zurückholen?
Manchmal, wenn Sie sehr schnell anrufen und das Geld das Empfängerkonto noch nicht verlassen hat. Nach einigen Tagen werden die Chancen klein: Das Geld wird meist sofort nach Eingang weiterüberwiesen. Da Sie den Zahlungsauftrag selbst erteilt haben, sollten Sie nicht mit einer automatischen Rückerstattung rechnen.
Der Lieferant wurde gehackt, nicht wir. Wer zahlt?
Das ist eine juristische Frage, und die Antwort hängt vom Fall ab: Wer wurde kompromittiert, welche Prüfungen wurden gemacht, was steht in Ihren Geschäftsbedingungen? Sprechen Sie mit Ihrer Versicherung und einer Juristin oder einem Juristen. In der Praxis zahlt das Unternehmen, das auf das falsche Konto überwiesen hat, oft ein zweites Mal.
Deckt eine Cyberversicherung diese Art von Betrug?
Manche Policen decken Zahlungsbetrug, andere schliessen ihn ausdrücklich aus oder begrenzen ihn sehr tief. Suchen Sie in Ihren Bedingungen nach Begriffen wie «CEO-Betrug», «Rechnungsmanipulation» oder «Social Engineering», und fragen Sie Ihren Broker, bevor Sie es brauchen.
Kann man eine IBAN online prüfen?
Ein Online-Prüfer kontrolliert nur, ob die Nummer korrekt aufgebaut ist. Über den Kontoinhaber sagt er nichts. Eine betrügerische IBAN ist vollkommen gültig. Die einzige sinnvolle Prüfung bleibt der Anruf beim Lieferanten, unter einer Nummer, die Sie schon vorher hatten.
Geschrieben von
David Cunha
Gründer · Technische Leitung, AlpenData
Als Informatikingenieur mit über 10 Jahren Erfahrung in der Verwaltung von Systemen, Netzwerken und Infrastrukturen begleitet David Schweizer KMU bei IT, Sicherheit und Konformität.
Mehr über AlpenData →