12.05.2017 Verdächtige E-Mails melden

Personalisierte Manipulation nimmt zu

Von: Ina Schlücker

Die personalisierte Manipulation mittels Social Engineering hat bei Cyber-Kriminellen Hochkonjunktur und ergänzt zunehmend rein technische Angriffe, erklärt Markus Schaffrin von Eco.

Markus Schaffrin, Eco

Markus Schaffrin ist Geschäftsbereichsleiter Mitgliederservice im Eco, Verband der Internetwirtschaft e. V.

ITM: Herr Schaffrin, was steckt hinter „CEO-Fraud“ bzw. CEO-Betrug?
Markus Schaffrin:
Beim „CEO-Fraud“ überweisen Mitarbeiter aufgrund gefälschter E-Mails und Telefonanrufe hohe Summen ins Ausland. Dabei nutzen Cyber-Kriminelle menschliche Eigenschaften wie Hilfsbereitschaft, Neugier und Angst aus. Diese Form der personalisierten Manipulation (Social Engineering) hat Hochkonjunktur und ergänzt immer stärker technische Angriffe.

ITM: Inwiefern sind mittelständische Unternehmen in Deutschland von solchen Cyber-Angriffen betroffen?
Schaffrin:
Besonders Mittelständler sind gefährdet, denn viele haben die Sicherheit ihrer digitalen Arbeitswege noch nicht an aktuelle Anforderungen angepasst. Das gilt besonders für Firmen, die sehr schnell gewachsen sind. Bei Mittelständlern fällt es Kriminellen außerdem leichter, die Verantwortlichen in der Buchhaltung inklusive Kontaktdaten zu bestimmen, beispielsweise indem sie über die Unternehmenswebsite oder in Netzwerken wie Linkedin oder Xing recherchieren.

ITM: Welche Betrugsszenarien sind aktuell auf dem Vormarsch? Welcher Schaden kann durch CEO-Fraud angerichtet werden?
Schaffrin:
Im klassischen Beispiel beauftragt der angebliche Chef persönlich die Buchhaltung, einen höheren Betrag ins Ausland zu überweisen. Dabei erscheint die Mail so, als hätten mehrere Verantwortliche sie weitergeleitet, damit sie letztlich zur Ausführung in der Buchhaltung landet. Die E-Mail-Adressen sind dabei gefälscht. Viele Kriminelle nehmen zudem mit dem zuständigen Buchhalter telefonisch Kontakt auf. Dabei geben sie sich als Anwaltskanzlei aus und fordern Vertraulichkeit, etwa weil es um eine Fusion geht. Dadurch trauen sich Mitarbeiter oft nicht, den Fall mit Kollegen zu besprechen. Ist der Chef zudem nur schwer erreichbar oder ist das Klima im Unternehmen von strengen Hierarchien geprägt, dann begünstigt das Betrugsversuche.

ITM: Wie sollten Mitarbeiter beim ersten Verdacht eines solchen Sicherheitsvorfalls reagieren? An wen in den Unternehmen sollten sie sich wenden?
Schaffrin:
Sind die Mitarbeiter sensibilisiert und schöpfen Verdachte, dann sollten sie den Fall mit Kollegen und Vorgesetzten besprechen und gegebenenfalls die IT-Abteilung einbeziehen. Damit Mitarbeiter diesen Prozess anstoßen, brauchen sie ein Bewusstsein für diese Art der Angriffe. Die Zahl der attackierten Firmen ist sehr hoch, dadurch haben die Cyber-Kriminellen auch immer wieder Erfolg und fügen Unternehmen teils hohen Schaden zu.

ITM: Wie sollten die Verantwortlichen im konkreten Schadensfall weiter vorgehen?
Schaffrin:
Auch wenn die zweifelhafte Überweisung schon raus ist, sollten Mitarbeiter sich bei Verantwortlichen sofort mit ihrem Verdacht melden. Je schneller ein erfolgreicher Betrug ans Licht kommt, desto höher ist die Chance, das Geld zurück zu bekommen. In den ersten Stunden nach der Auslandsüberweisung lässt sich diese möglicherweise noch stoppen.

ITM: Welche Maßnahmen oder Technologien haben sich für die Abwehr von Cyber-Betrugsvorfällen bislang am besten bewährt?
Schaffrin:
Rein technische Lösungen für eine umfassende IT-Sicherheit sind nicht mehr ausreichend. Den menschlichen Faktor dürfen Unternehmen bei der Risikobewertung nicht unterschätzen. Die Mitarbeiter müssen wissen, dass sie Anweisungen hinterfragen dürfen und sogar sollen, statt sie einfach umzusetzen. Nur wenn die Mitarbeiter sensibilisiert sind greifen die Abwehrmechanismen. Die IT-Verantwortlichen können dann die Absender-E-Mail-Adresse und gegebenenfalls das S/MIME-Zertifikat überprüfen, um Fälschungen und Betrugsversuche aufzudecken.

ITM: Wie können Mitarbeiter generell vom Risikofaktor zum Verteidiger der Unternehmens-IT werden?
Schaffrin:
Entscheidend ist eine Unternehmenskultur, in der Mitarbeiter sich trauen, verdächtige E-Mails und Vorfälle zu melden und Rücksprache zu halten. Dabei hilfreich ist ein offenes Betriebsklima, in dem sich Mitarbeiter bei Fragen auch an den Geschäftsführer wenden können. Selbst nachdem eine zweifelhafte Überweisung getätigt wurde, sollten die Mitarbeiter keine Scheu haben, ihre Zweifel ihrem Vorgesetzten oder Kollegen mitzuteilen. Klare Verhaltensregeln und Warnungen helfen außerdem dabei, hohen Schäden vorzubeugen.

©2017 Alle Rechte bei MEDIENHAUS Verlag GmbH