CEO-Fraud und geänderte IBAN: So schützen Sie die Buchhaltung

Wie schützen Sie ein Unternehmen vor CEO-Fraud?

Der wirksamste Schutz ist eine feste Regel, die niemand umgehen darf: Keine Zahlung an eine neue oder geänderte Bankverbindung und keine außergewöhnliche Überweisung ohne Bestätigung über einen zweiten, unabhängigen Kanal. Dazu kommen das Vier-Augen-Prinzip ab einem festgelegten Betrag, technische Filter im Mailsystem und Beschäftigte, die die typischen Merkmale kennen. Technik allein reicht nicht, weil die gefährlichsten Nachrichten oft aus echten, übernommenen Postfächern kommen.

Zwei Maschen, ein Ziel

Beide Varianten zielen auf dieselbe Stelle, verlaufen aber unterschiedlich.

Der klassische CEO-Fraud: Eine Mitarbeiterin der Buchhaltung erhält eine Nachricht, scheinbar von der Geschäftsführung. Es gehe um eine vertrauliche Übernahme oder einen dringenden Auftrag im Ausland, sie solle heute noch einen Betrag überweisen und mit niemandem darüber sprechen. Oft folgt eine zweite Nachricht von einem angeblichen Anwalt. Absender ist eine Domain, die der eigenen zum Verwechseln ähnlich sieht, oder ein privates Mailkonto mit dem Namen der Chefin.

Die geänderte IBAN: Hier wird ein echter Lieferant ausgenutzt. Angreifer übernehmen dessen Postfach, lesen wochenlang mit und schicken dann, im laufenden Mailverlauf, eine Rechnung mit dem Hinweis auf eine neue Bankverbindung. Formulierungen, Rechnungsnummern und Beträge stimmen, nur das Konto nicht. Diese Variante ist besonders tückisch, weil technische Filter nichts Verdächtiges sehen.

Ein durchgespieltes Beispiel

Angenommen, ein Sanitärgroßhandel in Klagenfurt beschäftigt drei Personen in der Buchhaltung und zahlt monatlich rund 400 Eingangsrechnungen. Ein langjähriger Lieferant aus Deutschland meldet per Mail, man habe die Hausbank gewechselt, die offene Rechnung über 38.000 € sei bitte auf das neue Konto zu überweisen. Die Mail kommt aus dem bekannten Postfach, der Ton passt, sogar die Signatur des Vertriebsmitarbeiters ist korrekt.

Ohne festen Ablauf wird die Stammdatenänderung erfasst und die Zahlung freigegeben. Mit festem Ablauf passiert Folgendes: Die Buchhaltung ändert nichts, sondern kontaktiert den Lieferanten über die Nummer, die seit Jahren in den Stammdaten steht, und fragt nach. Dort weiß niemand von einem Bankwechsel. Das Geld bleibt, wo es hingehört, und der Lieferant erfährt, dass sein Postfach kompromittiert ist.

Organisatorische Regeln, die wirken

Die folgenden Punkte kosten fast nichts, müssen aber schriftlich festgehalten und von der Geschäftsführung vorgelebt werden:

1. Änderungen von Bankverbindungen werden nur nach Rückbestätigung über einen bekannten Kanal erfasst und von einer zweiten Person freigegeben.
2. Vier-Augen-Prinzip für Zahlungen ab einem Betrag, der zu Ihrem Unternehmen passt, etwa 5.000 € oder 10.000 €. Im Onlinebanking lässt sich das meist über getrennte Erfassungs- und Freigaberechte abbilden.
3. Keine Ausnahmen aus Zeitdruck: Die Geschäftsführung erklärt ausdrücklich, dass sie niemals per Mail eine geheime Sofortüberweisung verlangt. Wer nachfragt, handelt richtig.
4. Erstzahlung an neue Lieferanten nur nach Prüfung von Firmenbuch oder UID-Nummer und eines unabhängigen Kontakts.
5. Meldeweg: Jede verdächtige Nachricht geht an eine feste Stelle, intern oder beim IT-Dienstleister, ohne dass sich jemand rechtfertigen muss.

Technische Maßnahmen im Mailsystem

Parallel dazu lassen sich in Microsoft 365 oder Google Workspace einige Schrauben anziehen:

• Mehrfaktor-Anmeldung für alle Konten, damit Ihr eigenes Postfach nicht zur Waffe gegen Ihre Kunden wird.
• Kennzeichnung externer Nachrichten, zum Beispiel ein Hinweis „Externer Absender“ oben in jeder Mail von außen. Eine angebliche Chefmail mit diesem Hinweis fällt sofort auf.
• Schutz vor Identitätsvortäuschung: Microsoft Defender for Office 365 kann je nach Lizenz Namen der Geschäftsführung und eigene Domains schützen und warnt bei ähnlich klingenden Absendern.
• SPF, DKIM und DMARC für Ihre Domain, damit Fälschungen mit Ihrem exakten Absender schwerer durchkommen.
• Weiterleitungsregeln überwachen: Angreifer richten in übernommenen Postfächern gern Regeln ein, die Antworten in unauffällige Ordner verschieben oder nach außen weiterleiten. Eine automatische Weiterleitung an externe Adressen sollte gesperrt sein, Ausnahmen gezielt freigegeben.
• Warnungen bei verdächtigen Anmeldungen, etwa aus ungewöhnlichen Ländern oder mit unbekannten Geräten.

Diese Einstellungen sind in wenigen Tagen umgesetzt, sofern jemand weiß, wo sie im Admin-Center liegen. Sie ersetzen die organisatorischen Regeln nicht, sondern fangen den Großteil der plumpen Versuche ab, damit die Aufmerksamkeit für die raffinierten bleibt.

Schulung: kurz, konkret, wiederholt

Die Buchhaltung ist in vielen Betrieben das Ziel, aber nicht die einzige Schwachstelle. Auch das Sekretariat, der Einkauf und die Assistenz der Geschäftsführung sollten die Merkmale kennen: ungewöhnlicher Zeitdruck, Bitte um Verschwiegenheit, Abweichung vom gewohnten Ablauf, neue Bankverbindung. Bewährt haben sich kurze Einheiten von 30 bis 45 Minuten mit echten, anonymisierten Beispielen, einmal jährlich wiederholt und ergänzt durch gelegentliche Testnachrichten.

Wichtig ist der Ton. Wer eine verdächtige Mail meldet, sollte dafür gelobt werden, auch wenn sie sich als harmlos herausstellt. Wer aus Angst vor Kritik schweigt, meldet beim nächsten Mal auch den echten Angriff nicht. Neue Beschäftigte in der Buchhaltung erhalten die Zahlungsregeln am besten schon in der ersten Woche, gemeinsam mit den Zugangsdaten zum Onlinebanking, und nicht erst Monate später in der nächsten Sammelschulung.

Wenn doch überwiesen wurde

Dann zählt jede Stunde. Setzen Sie sich sofort mit Ihrer Bank in Verbindung und verlangen Sie einen Rückruf der Überweisung, je rascher, desto besser stehen die Chancen. Erstatten Sie Anzeige bei der Polizei, sichern Sie die betreffenden Mails samt Kopfzeilen und lassen Sie Postfächer, Weiterleitungsregeln und Anmeldungen prüfen. Waren personenbezogene Daten betroffen, etwa weil ein Postfach übernommen wurde, prüfen Sie, gegebenenfalls mit der oder dem Datenschutzbeauftragten, ob eine Meldung an die Datenschutzbehörde innerhalb von 72 Stunden nötig ist. Informieren Sie außerdem Ihre Versicherung, falls eine Cyberpolizze besteht.

Fazit: Ein fester Ablauf schlägt jede Täuschung

Die beste Nachricht zuerst: Gegen beide Maschen hilft vor allem Disziplin, und die kostet kein Geld. Legen Sie fest, wie Bankverbindungen geändert und hohe Zahlungen freigegeben werden, und sorgen Sie dafür, dass die Regel auch unter Zeitdruck gilt. Technik und Schulung machen es Angreifern zusätzlich schwer.

Bei der Konfiguration von Mehrfaktor-Anmeldung, Anmeldewarnungen und Gerätekontrolle unterstützt unsere Leistung Zugriffskontrolle und Endpoint-Schutz. Die Einstellungen im Mailsystem, von DMARC bis zu Weiterleitungsregeln, gehören zur Betreuung von Geschäfts-E-Mail und Kalender. Und eine praxisnahe Einheit für Buchhaltung und Sekretariat bieten wir als Firmenschulung per Videocall an.