Die Phishing-Mail mit gebrochenem Deutsch und einem nigerianischen Prinzen gibt es noch. Sie ist aber nicht mehr das Problem.
Das Problem ist die Mail, die aussieht wie die Rechnung deines Lieferanten, weil sie eine echte Rechnung deines Lieferanten ist — mit geänderter Bankverbindung.
Wie es heute läuft
Rechnungsbetrug. Der Angreifer sitzt im Postfach eines Geschäftspartners, liest mit und schickt zum richtigen Zeitpunkt eine echte Rechnung mit geänderter IBAN. Kein Rechtschreibfehler, kein verdächtiger Absender, der richtige Betrag, der richtige Vorgang.
Chef-Masche. Eine Mail vom Geschäftsführer an die Buchhaltung: dringende Überweisung, absolute Vertraulichkeit, bin gerade im Termin. Zeitdruck und Autorität, damit niemand nachfragt.
Gefälschte Anmeldeseiten. Ein Link auf eine Seite, die exakt aussieht wie Microsoft 365. Wer sich dort anmeldet, gibt Zugangsdaten und oft auch den Zwei-Faktor-Code weiter.
Warum die alten Merkmale nicht mehr reichen
Rechtschreibung, Anrede, Absenderadresse — all das lässt sich fälschen oder wird von Sprachmodellen inzwischen fehlerfrei erzeugt. Wer Mitarbeitern beibringt, auf Tippfehler zu achten, bringt ihnen etwas Falsches bei.
Die zwei Regeln, die wirklich helfen
Regel 1: Bei Geld und Zugangsdaten immer über einen zweiten Kanal prüfen. Nicht antworten, nicht die Nummer aus der Mail anrufen. Die bekannte Nummer wählen und fragen. Das kostet zwei Minuten und fängt beide Betrugsarten oben ab.
Regel 2: Niemals über einen Link in einer Mail anmelden. Adresse selbst tippen oder das Lesezeichen nehmen. Damit läuft die gefälschte Anmeldeseite ins Leere.
Was technisch hilft
DMARC auf reject. Damit kann niemand mehr in deinem Namen an deine
Kunden schreiben. Das ist der wirksamste Schutz gegen Rechnungsbetrug in
deinem Namen. Wie das geht, steht in
Warum deine Mails im Spam landen.
Ein Filter vor dem Postfach. Wir setzen Hornetsecurity ein: Anhänge und Links werden geprüft, bevor sie ankommen, nicht danach.
Externe Absender kennzeichnen. Ein Hinweis im Betreff bei Mails von außerhalb macht die Chef-Masche sichtbar, weil die angebliche interne Mail plötzlich als extern markiert ist.
Zwei Faktoren. Fängt den Fall ab, in dem doch jemand seine Zugangsdaten eingegeben hat.
Was zu tun ist, wenn es passiert ist
Sofort das Passwort ändern und alle Sitzungen beenden. Prüfen, ob im Postfach eine Weiterleitungsregel eingerichtet wurde — das ist der erste Schritt jedes Angreifers und wird fast immer übersehen. Bei Überweisungen sofort die Bank anrufen; innerhalb weniger Stunden lässt sich manches noch zurückholen.