Kapitel 33: Der transparente Geschäftspartner — Identitätsdiebstahl bei Lieferanten

In der modernen Geschäftswelt ist Vertrauen die wichtigste Währung. Es ist das Schmiermittel in den Getrieben des internationalen wie auch des lokalen Handels. Wenn wir eine Bestellung an einen Lieferanten senden, mit dem wir seit langem zusammenarbeiten, oder wenn wir eine Rechnung von einem regelmäßigen Dienstleister erhalten, halten wir nicht jedes Mal inne, um die Identität des Absenders zu überprüfen. Wir vertrauen auf die bekannte E-Mail-Adresse, den Schreibstil und die gemeinsame Geschichte. Doch genau hier, innerhalb des Komfortbereichs des gewohnten Geschäftsalltags, lauert eine der raffiniertesten und zerstörerischsten Bedrohungen des digitalen Zeitalters: Der BEC-Betrug (Business Email Compromise), der sich auf die Täuschung innerhalb der Lieferkette konzentriert.

Dies ist kein gewöhnlicher Virus, der den Computer sperrt und ein Lösegeld in Bitcoin fordert. Es ist eine Kunstform des Social Engineering, die präzise Informationsbeschaffung, die Geduld eines Jägers und die Fähigkeit zur virtuosen Fälschung kombiniert. In diesem Kapitel werden wir den Mechanismus analysieren, durch den Betrüger in die sensibelsten Beziehungen des Unternehmens eindringen, die komplexen rechtlichen Konsequenzen klären, wenn die Frage lautet: 'Wer trägt die Schuld, wenn das Geld unterwegs verschwindet?', und die Verteidigungslinien skizzieren, die jeder Geschäftsinhaber und Finanzmanager kennen muss.

Das folgende Szenario ist ein lehrreiches Beispiel, das auf gängigen Betrugsmustern basiert. Die Figuren und Ereignisse dienen lediglich der Veranschaulichung.

Der stille Sturm bei der Firma "Techno-Logistics"

Amir war stolz auf das Unternehmen, das er aufgebaut hatte. "Techno-Logistics" war stabil und lieferte komplexe elektronische Komponenten an Produktionsanlagen in Israel, wobei es sich auf ein engmaschiges Lieferantennetzwerk in Taiwan und Deutschland stützte. Das schlagende Herz der Beziehung zu den Lieferanten war Dana, die Einkaufsleiterin, die über Jahre hinweg mit "Hans", dem Verkaufsleiter ihres wichtigsten deutschen Lieferanten, zusammengearbeitet hatte.

Alles begann an einem gewöhnlichen Dienstag im Oktober. Dana erhielt eine E-Mail von Hans. "Liebe Dana", stand in der Nachricht in seinem gewohnt höflichen Englisch, "wir durchlaufen derzeit ein jährliches Wirtschaftsprüfungsverfahren und haben unsere Bankverbindung für den Empfang von Zahlungen in Fremdwährung zugunsten der Effizienz geändert. Anbei die Rechnung für die letzte Lieferung (Nummer 8892-G) mit den neuen Bankdaten in Frankfurt. Bitte bestätigen Sie den Erhalt."

Dana schöpfte keinen Verdacht. Die E-Mail-Adresse erschien identisch mit der von Hans. Das Logo des deutschen Unternehmens prangte oben auf der Rechnung, und die Details zur Lieferung – die Menge der Komponenten, der Stückpreis und das Lieferdatum – waren verblüffend präzise. Sie leitete die Zahlungsfreigabe an Amir weiter, der diese digital unterzeichnete, und das Geld – 120.000 Euro – wurde auf das neue Konto überwiesen.

Zehn Tage vergingen. Das Telefon in Amirs Büro klingelte. Es war Hans aus Deutschland. "Amir, mein Freund, was ist mit der Zahlung für Lieferung 8892? Wir sind bereits eine Woche über dem Fälligkeitsdatum, und mein System blockiert neue Lieferungen."

"Was soll das heißen?", fragte Amir mit einem beklemmenden Gefühl. "Wir haben euch vor zehn Tagen bezahlt. Dana hat von dir eine E-Mail mit den neuen Bankdaten in Frankfurt erhalten."

Stille trat am anderen Ende der Leitung ein. "Amir", sagte Hans mit leiser Stimme, "ich habe niemals eine solche E-Mail gesendet. Und wir haben in den letzten zehn Jahren kein Bankkonto geändert. Unsere Bank befindet sich außerdem in München, nicht in Frankfurt."

In diesem Moment bebte die Erde unter Amirs Füßen. Er verstand, dass sie Opfer eines Betrugs geworden waren. Der Angriff hatte Monate zuvor begonnen. Hacker hatten ihr E-Mail-Postfach gehackt und gewartet. Sie lasen still jede Korrespondenz, lernten den Sprachstil, kannten die Namen der Akteure und verfolgten den Zeitplan der Lieferungen. Sie warteten auf den Moment, in dem eine Rechnung fällig wurde, die groß genug war, um den "Coup" zu rechtfertigen, aber klein genug, um keine ungewöhnlichen Fragen in der Compliance-Abteilung der Bank Leumi zu wecken.

In solchen Situationen erfolgt der Gang zur Rechtsberatung mit einem Gefühl der Dringlichkeit. Man kann die Haftung der Bank und die rechtlichen Möglichkeiten zur Rückgewinnung der Gelder prüfen, doch es ist wichtig zu verstehen, dass die rechtliche und bankentechnische Realität komplex ist und eine eingehende Analyse der Umstände erfordert.

Anatomie eines Betrugs: So dringen sie in die Geschäftsbeziehung ein

Um die rechtliche Seite zu verstehen, müssen wir zunächst die Mechanik des Betrugs begreifen. Im Gegensatz zu rein technologischen Einbrüchen geht es hier um die Verwendung einer bestehenden Geschäftsidentität, um scheinbar autorisierte Handlungen vorzunehmen. Der Angreifer stiehlt nicht direkt Geld vom Konto, indem er ein Passwort knackt, sondern er überzeugt den Kontoinhaber, das Geld aus freien Stücken an die falsche Adresse zu senden.

Es gibt drei Hauptmethoden, mit denen eine solche Täuschung gegenüber Lieferanten durchgeführt wird:

1. Vollständige Übernahme eines E-Mail-Postfachs (Account Takeover)

Der Angreifer erlangt vollen Zugriff auf die E-Mail eines Mitarbeiters im Unternehmen oder beim Lieferanten, meist durch Phishing. Von diesem Moment an überwacht er die Aktivitäten und richtet automatische Weiterleitungsregeln (Forwarding rules) ein, sodass jede relevante E-Mail an ein externes, von ihm kontrolliertes Postfach weitergeleitet wird. Wenn er die gefälschte Zahlungsaufforderung sendet, kann diese vom echten Server stammen, was beim Empfänger einen absolut glaubwürdigen Eindruck erweckt.

2. Domain-Fälschung (Look-alike Domains)

Der Angreifer registriert eine Domain, die der Original-Domain fast identisch ist, indem er ein Zeichen oder einen Buchstaben ändert. Das menschliche Auge neigt, besonders unter Arbeitsdruck, dazu, die leichte Änderung nicht zu bemerken. Er erstellt ein Benutzerprofil mit dem Namen und dem Foto des bekannten Ansprechpartners und beginnt das Gespräch.

3. "Man-in-the-Middle" in der menschlichen Version

Dem Betrüger gelingt es, sich in die Korrespondenzkette einzuschleichen und E-Mails an beide Seiten zu senden, während er sich als der jeweils andere ausgibt. Er verwaltet den Dialog zwischen ihnen als "Filter", fängt Rechnungen ab, ändert die Bankverbindung und sendet sie an den zahlenden Kunden.

Die rechtliche Arena: Wer trägt die Verantwortung, wenn das Geld verschwindet?

Wenn ein solches Ereignis eintritt, ist eine rechtliche Analyse erforderlich, um zwischen zwei scheinbar unschuldigen Parteien zu entscheiden: dem Lieferanten, der sein Geld nicht erhalten hat, und dem Kunden, der den vollen Betrag gezahlt hat – jedoch an die falsche Stelle.

Die rechtliche Analyse prüft Fragen der Haftung und Fahrlässigkeit. Im Vertrags- und Deliktsrecht wird das Konzept des "kostengünstigsten Schadensvermeiders" untersucht. Das heißt: Welche der beiden Parteien hätte mit zumutbarem Aufwand und einfachen Präventivmaßnahmen das Eintreten des Vorfalls verhindern können?

Haftung des Kunden (Zahlers)

Man kann prüfen, ob der Kunde verpflichtet war, die Details zu verifizieren, und ob es "Warnsignale" gab. Eine plötzliche Änderung der Bankdaten, insbesondere wenn sich das Konto in einem anderen Land befindet, kann als Warnsignal (Red Flag) gewertet werden. Wenn ein Unternehmen eine Überweisung tätigt, ohne die Änderung über einen separaten und verifizierten Kommunikationskanal zu bestätigen, könnte der Grad der Fahrlässigkeit je nach Umständen geprüft werden.

Haftung des Lieferanten (des vermeintlichen)

Umgekehrt kann geprüft werden, ob der Einbruch auf den Servern des Lieferanten erfolgte und ob sein Sicherheitsniveau angemessen war. Sollte sich herausstellen, dass der Lieferant keine grundlegenden Vorsichtsmaßnahmen getroffen hat, die die Erstellung der täuschenden Darstellung ermöglichten, könnte eine Haftung seinerseits entstehen.

Das Problem der "scheinbaren Bevollmächtigung"

In einigen Fällen wird die Doktrin der "scheinbaren Vollmacht" geprüft – ob eine Partei einen Anschein erweckt hat, wonach eine bestimmte Person ihr Bevollmächtigter sei. Gerichte tendieren jedoch zu großer Vorsicht bei der Anwendung dieser Doktrin auf Cyberkriminalität, da es meist keinen tatsächlichen Willen des Geschäftsinhabers gibt, den Hacker zu bevollmächtigen.

Haftung der Banken

Bei der Prüfung der Verantwortung der Bank Hapoalim und anderer Finanzinstitute ist zwischen der sendenden und der empfangenden Bank zu unterscheiden. Das Zahlungsdienstegesetz regelt einige dieser Aspekte, doch bei Banküberweisungen, die der Kunde selbst autorisiert hat, kann die sendende Bank argumentieren, dass sie gemäß einer ausdrücklichen Anweisung gehandelt hat. Eine Haftung kann entstehen, wenn nachgewiesen wird, dass die Bank ihre beruflichen Pflichten oder ordnungsgemäße Bankverfahren bei der Prüfung des Empfängerkontos missachtet hat.

Der dreiseitige Tanz: Täter, Opfer und Geschäftspartner

Bei der rechtlichen Vertretung in Fällen dieser Art ist die Herausforderung oft strategisch. Normalerweise sind beide Unternehmen daran interessiert, ihre geschäftliche Zusammenarbeit fortzusetzen, und langwierige Rechtsstreitigkeiten könnten die Beziehung belasten.

Daher führt die rechtliche Analyse in vielen Fällen zu Risikomanagement und Schadensaufteilung. Eine Prüfung des Grades der Fahrlässigkeit beider Parteien kann zu Kompromisslösungen und einer Aufteilung der Verantwortung führen.

Das folgende Szenario ist ein lehrreiches Beispiel, das auf gängigen Betrugsmustern basiert.

In einem Lehr-Szenario, das auf ähnlichen Fällen basiert, zahlte ein Unternehmen an einen Lieferanten einen erheblichen Betrag auf ein Bankkonto, das den Betrügern gehörte. Nach der Prüfung stellte sich heraus, dass, obwohl der Einbruch beim Lieferanten stattgefunden hatte, die gefälschte E-Mail verdächtige Anzeichen enthielt, die die Aufmerksamkeit des Zahlers hätten erregen müssen. In solchen Fällen können die Parteien im Rahmen des Risikomanagements einen Kompromiss erzielen, der die Verantwortung beider Akteure ausgleicht und die Fortführung der Geschäftstätigkeit ermöglicht.

Mehrschichtiger Schutz: Den nächsten Betrug verhindern

Im Laufe der beruflichen Arbeit zeigt sich, dass die effektivste Lösung menschliche Verfahren mit digitalen Werkzeugen kombiniert.

Überprüfung außerhalb des Kanals (Out-of-Band Verification)

Dies ist eine professionelle eiserne Regel. Bestätigen Sie niemals eine Änderung der Zahlungsdaten allein auf Basis einer E-Mail-Bestätigung. In jedem Fall einer Änderung der Bankverbindung ist eine telefonische Verifizierung bei einer bekannten Person durchzuführen, unter Verwendung verifizierter Telefonnummern, die nicht in der verdächtigen E-Mail selbst stehen.

Technologischer Schutz von Postfächern

Die Verwendung einer Zwei-Faktor-Authentifizierung (MFA) ist ein wesentlicher Schritt zur Verhinderung von Einbrüchen. Darüber hinaus wird empfohlen, fortschrittliche Sicherheitsprotokolle zu implementieren, die Mailservern helfen, gefälschte Nachrichten zu erkennen.

Schulung der Mitarbeiter

Mitarbeiter in Finanz- und Einkaufsabteilungen sollten Schulungen zur Erkennung von Betrugsmustern durchlaufen und ein gesundes Misstrauen entwickeln. Eine Unternehmenskultur, die zur Überprüfung und zum Hinterfragen ermutigt, ist ein bedeutendes Verteidigungsinstrument.

Vertragliche Vereinbarungen

Es wird empfohlen, in Verträge mit Lieferanten Klauseln aufzunehmen, die im Voraus die autorisierten Kommunikationskanäle für die Änderung von Zahlungsdaten sowie die Haftungsverteilung im Falle eines Cyber-Ereignisses definieren.

Warnsignale (Red Flags)

• Ungewöhnliche Dringlichkeit: Zeitdruck, der ausgeübt wird, um eine gründliche Prüfung zu verhindern.
• Änderung der Bankdaten: Verschiedene Ausreden wie "Wirtschaftsprüfung" oder "technische Probleme", die eine Überweisung auf ein neues Konto erforderlich machen.
• Geringfügige Änderung der E-Mail-Adresse: Eine andere Endung oder ein fehlender Buchstabe in der Absenderadresse.
• Sprache und Stil: Änderung des Anrede-Tons oder ungewöhnliche Grammatikfehler.
• Aufforderung zur Geheimhaltung: Die Anweisung, keine weiteren Akteure in die Korrespondenz einzubeziehen.

Was ist sofort zu tun, wenn der Betrug entdeckt wird?

1. Sofortiger Stopp: Dringende Kontaktaufnahme mit der sendenden Bank mit der Bitte, die Überweisung zu stoppen (Recall).
2. Meldung an die empfangende Bank: Versuch, die empfangende Bank zu lokalisieren und den Betrugsverdacht zur Einfrierung der Gelder zu melden.
3. Polizeianzeige: Einreichung einer offiziellen Anzeige bei der Cyber-Einheit zur Dokumentation des Vorfalls.
4. Dokumentation und Beweissicherung: Speicherung aller Korrespondenzen und begleitender technischer Informationen (Header).
5. Systemüberprüfung: Durchführung einer umfassenden Sicherheitsüberprüfung der Firmencomputer, um sicherzustellen, dass kein aktiver Zugriff durch eine feindliche Partei besteht.

Ein rechtlicher Aspekt zum Abschluss

Bei Fällen von Identitätsdiebstahl gegenüber Lieferanten konzentriert sich die rechtliche Analyse häufig auf die Prüfung der "vertraglichen Schuld". Gerichte könnten von Unternehmen erwarten, dass sie ein Maß an Vorsicht zeigen, das den bekannten digitalen Risiken entspricht.

Es ist wichtig zu verstehen, dass Möglichkeiten zur Rückgewinnung von Geldern geprüft werden können und die Erfolgsaussichten von den spezifischen Umständen jedes Falles abhängen. Wenn nachgewiesen werden kann, dass eine bestimmte Partei ihre Sorgfaltspflicht verletzt hat, könnte sich ein rechtlicher Spielraum für einen Entschädigungsanspruch oder eine Schadensaufteilung eröffnen.

In diesem Lehr-Szenario kann das Ergebnis komplex sein. Nach einer rechtlichen Prüfung der Beweise könnte sich herausstellen, dass die empfangende Bank Warnsignale ignoriert hat, was zu einer bedeutenden Vergleichsvereinbarung führen könnte. Im Laufe der Jahre ist die Kanzlei auf vielfältige Fälle gestoßen, die lehren, dass in der digitalen Welt "Vertrauen und Verifizierung" eine notwendige Strategie zur Wahrung der Geschäftsstabilität sind.