Kapitel 72: Änderung von Lieferantendaten: Die gefälschte E-Mail, die die Buchhaltung täuscht

Willkommen zum 11. Teil des Buches. Während wir uns bisher hauptsächlich mit Privatpersonen befassten — dem Rentner, dessen Ersparnisse gestohlen wurden, dem jungen Menschen, der auf eine fingierte Krypto-Investition hereinfiel, oder demjenigen, dessen Bankkonto gehackt wurde —, steigen wir hier in eine höhere Liga auf. Wir begeben uns in eine Welt, in der Geldsummen nicht in Tausenden, sondern in Hunderttausenden und Millionen gemessen werden. Dies ist die Geschäftswelt, ein Ort, an dem Effizienz oberstes Gebot ist, Geschwindigkeit eine Notwendigkeit darstellt und das Vertrauen zwischen Geschäftspartnern der Klebstoff ist, der das System zusammenhält. Genau in die Risse dieses Vertrauens dringen die raffiniertesten Betrüger ein.

Betrug gegen Unternehmen ist eine andere Art der digitalen Kriminalität. Sie erfordert Geduld, eingehende Recherche (Intelligence Gathering) und oft auch ein tiefes Verständnis für organisatorische Arbeitsabläufe. In diesem Kapitel eröffnen wir den Teil über Unternehmen und konzentrieren uns auf eine der häufigsten und schmerzhaftesten Betrugsmaschen: den Betrug bei der "Änderung von Lieferantendaten". Es ist die Geschichte einer kleinen, auf den ersten Blick harmlosen E-Mail, der es gelingt, Firewalls, teure Sicherheitssysteme und starre Verfahren zu umgehen, nur um dem Cashflow des Unternehmens einen tödlichen Schlag zu versetzen.

Das folgende Szenario ist ein lehrreiches Beispiel, das auf gängigen Betrugsmustern basiert. Die Charaktere und Ereignisse dienen lediglich der Veranschaulichung.

Die Ruhe vor dem Sturm: Die Geschichte der Firma "Gal-Or Logistics"

Maya saß in ihrem klimatisierten Büro im 14. Stock eines luxuriösen Bürogebäudes in Ramat Gan. Als Buchhalterin von "Gal-Or Logistics", einem Unternehmen, das Elektronikkomponenten aus China und Deutschland importiert, war sie an Stress gewöhnt. Das Monatsende nahte und der Stapel an Rechnungen auf ihrem Schreibtisch wurde immer höher. Maya ist eine kompetente, gründliche Fachkraft, eine, die keine Abstriche macht. Sie kennt die Lieferanten des Unternehmens seit Jahren und weiß genau, wer auf Zahlungsbedingungen von 60 Tagen besteht und wer bereits nach zwei Wochen anfängt anzurufen.

An jenem Dienstagmorgen landete ein Brief von "Hans", dem Finanzleiter von 'Nordic Steel' — einem langjährigen deutschen Lieferanten von Gal-Or — in ihrem Posteingang. "Liebe Maya", hieß es in der E-Mail in fließendem Geschäftsenglisch, "wir durchlaufen derzeit eine interne Wirtschaftsprüfung und eine strukturelle Umgestaltung. Infolgedessen müssen ab heute alle Zahlungen zugunsten von Nordic Steel auf unser neues Bankkonto in Polen erfolgen, anstatt auf das alte Konto in Frankfurt. Anbei finden Sie ein vom Vorstand unterzeichnetes offizielles Dokument mit den neuen IBAN-Daten. Bitte bestätigen Sie den Erhalt der E-Mail und aktualisieren Sie Ihr System, um Verzögerungen bei der anstehenden Zahlung von 280.000 Euro zu vermeiden."

Maya warf einen Blick auf die Uhr. Eine Vorstandssitzung sollte in zehn Minuten beginnen. Sie öffnete die angehängte Datei. Das Firmenlogo war vorhanden, das Briefpapier wirkte offiziell, und die Unterschrift von Hans sah genauso aus, wie sie sie von früheren Schreiben in Erinnerung hatte. Sie bemerkte sogar, dass die E-Mail-Adresse völlig korrekt aussah: hans.schmidt@nordic-steel.de. Alles erschien logisch. Viele europäische Unternehmen eröffnen Konten in Ländern wie Polen oder Litauen, um Betriebskosten zu senken. Sie antwortete kurz: "Erhalten, danke Hans. Ich werde es im System aktualisieren und die Überweisung am Donnerstag vornehmen."

Am Donnerstag, wie versprochen, führte Maya die Überweisung durch. 280.000 Euro (über eine Million Schekel) verließen das Unternehmenskonto bei einer großen israelischen Bank in Richtung eines Kontos in Warschau. Sie empfand Befriedigung — eine weitere Aufgabe erledigt, der Lieferant würde zufrieden sein und die Ware würde weiter fließen. Sie wusste nicht, dass sie in diesem Moment die Tür zum größten Raub in der Geschichte des Unternehmens geöffnet hatte.

Die erschütternde Entdeckung und der gähnende Abgrund

Drei Wochen vergingen. Maya hatte die Angelegenheit fast vergessen, bis das Telefon auf ihrem Schreibtisch klingelte. Auf dem Display erschien der Name von Hans aus Deutschland. "Hey Maya", seine Stimme klang besorgt, "wir warten auf die Zahlung für die letzte Lieferung. Sie ist bereits zwei Wochen überfällig. Gibt es ein Problem mit dem Cashflow?"

Ein kalter Schauer lief Maya über den Rücken. "Hans, wovon redest du? Ich habe das Geld auf euer neues Konto in Polen überwiesen, wie du in der E-Mail gebeten hast."

Es herrschte langes Schweigen am anderen Ende der Leitung. "Polen? Wir haben kein Konto in Polen, Maya. Und ich habe dir niemals eine solche E-Mail geschickt. Unser Konto war und bleibt in Frankfurt."

In diesem Moment fühlte es sich an, als würde Mayas klimatisiertes Büro in sich zusammenbrechen. Sie rannte zum Computer, öffnete jene E-Mail. Sie schaute wieder auf die Absenderadresse. Diesmal, mit der imaginären Lupe der Angst, sah sie es. Die Adresse lautete nicht @nordic-steel.de. Sie lautete @nordic-stee1.de. Das kleine 'l' wurde durch die Ziffer '1' ersetzt. Ein Unterschied von einem einzigen Pixel. Ein Unterschied von einer Million Schekel.

Dies ist der Moment, in dem aus dem geschäftlichen Drama ein juristisches und menschliches Drama wird. Der CEO wurde gerufen, die Anwälte wurden alarmiert und die Bank wurde gebeten, die Überweisung zu stoppen — doch unter diesen Umständen stellt sich in ähnlichen Szenarien oft heraus, dass das Geld bereits vom Konto abgehoben und auf mehrere Strohmannkonten weltweit verteilt wurde.

Analyse der Taktik: Wie funktioniert der "Business Email Compromise" (BEC)-Betrug?

Der Betrug bei der Änderung von Lieferantendaten ist eine Unterart dessen, was in der Welt der Informationssicherheit als BEC bekannt ist. Im Gegensatz zu Massen-Phishing-Betrügereien, bei denen ein Betrüger eine Vielzahl von E-Mails versendet und hofft, dass jemand klickt, handelt es sich hier um "Spear Phishing" — Speerfischen. Die Betrüger wählen ihre Ziele sorgfältig aus.

In der ersten Phase führen die Betrüger eine Nachrichtengewinnung durch. Sie verfolgen die sozialen Netzwerke der Mitarbeiter des Unternehmens, erfahren, wer sich um die Finanzen kümmert und wer die wichtigsten Lieferanten sind. Manchmal dringen sie Monate im Voraus in das E-Mail-Postfach einer der Parteien ein, nur um die Korrespondenz zu "belauschen". Sie lernen den Schreibstil des CEO, die Arbeitszeiten der Buchhalterin und die festen Zahlungstermine kennen.

In der zweiten Phase erzeugen sie den "Trigger". Sie warten auf den Moment, in dem eine große Zahlung ansteht. Dann senden sie die gefälschte E-Mail. Sie verwenden die Technik des "Typosquatting" (Registrierung einer Domain, die dem Original sehr ähnlich ist) oder "Email Spoofing" (Fälschung der E-Mail-Kopfzeile, sodass sie identisch mit dem Original aussieht). Die angehängten Dokumente sind meist Meisterwerke der Grafik, einschließlich gescannter Unterschriften, die aus früheren Schreiben entnommen wurden.

Dieser Betrug ist erfolgreich, weil er zwei Faktoren ausnutzt: Hierarchie und Verfahren. Mitarbeiter auf mittlerer Ebene zögern manchmal, Anweisungen in Frage zu stellen, die "von oben" oder von strategischen Lieferanten kommen. Zudem besteht in der digitalen Welt die Tendenz, dem, was auf dem Bildschirm erscheint, als reiner Wahrheit zu vertrauen.

Der juristische Aspekt: Wer trägt die Verantwortung für den Schaden?

Wenn das Geld verschwindet, entstehen komplexe Rechtsfragen hinsichtlich der Verantwortung der beteiligten Parteien: Unternehmen, Bank und Lieferant. Der Rechtsstreit in diesen Fällen erfordert eine eingehende Analyse der Sorgfaltspflichten und Verträge zwischen den Parteien.

1. Die Haftung der Bank: Analyse der rechtlichen Möglichkeiten

In der Rechtsordnung gibt es eine Entwicklung hinsichtlich der Rolle der Bank. Über ihre Funktion als "Kanal" für Geldüberweisungen hinaus kann in bestimmten Fällen geprüft werden, ob die Bank eine erhöhte Sorgfaltspflicht hat.

Im Rahmen einer allgemeinen rechtlichen Analyse ist zu prüfen, ob die Bank "rote Flaggen" hätte erkennen können. Beispielsweise könnte die Überweisung eines außergewöhnlichen Betrags an ein neues Ziel die Frage aufwerfen, ob die Bank die Überweisung hätte verifizieren müssen. Ebenso kann geprüft werden, ob eine Übereinstimmung zwischen dem Namen des Begünstigten im System und dem tatsächlichen Kontoinhaber besteht. Unter bestimmten Umständen kann die Haftung der Bank geprüft werden, wenn nachgewiesen wird, dass sie nicht gemäß den im digitalen Zeitalter erwarteten Standards des Risikomanagements gehandelt hat.

2. Der Kunde und die Frage des Mitverschuldens

Andererseits kann ein Argument hinsichtlich der Verantwortung des Unternehmens selbst aufkommen. Wenn das Unternehmen keine grundlegenden Arbeitsverfahren anwendete — wie die telefonische Überprüfung von Änderungen der Kontodaten —, könnte ihm ein erhebliches Mitverschulden angelastet werden. Die juristische Prüfung konzentriert sich auf die Frage, ob das Unternehmen unter den gegebenen Umständen angemessene Maßnahmen zum Schutz seines Geldes ergriffen hat.

3. Die Beziehung zum Lieferanten: Risikoverteilung

Rechtlich gesehen bleibt die Verpflichtung zur Zahlung an den Lieferanten in der Regel bestehen, es sei denn, es kann nachgewiesen werden, dass das Versagen in den Systemen des Lieferanten selbst aufgetreten ist. In Fällen, in denen ein Verschulden des Lieferanten bei der Sicherung seiner Informationen nachgewiesen wird, kann sich die rechtliche Risikoverteilung zwischen den Parteien ändern. Es handelt sich um komplexe vertragliche und kommerzielle Fragen, die von den spezifischen Umständen jedes Einzelfalls abhängen.

Die Psychologie des Betrugs: Warum Mitarbeiter möglicherweise keinen Verdacht schöpfen?

In vielen Fällen professioneller Begleitung von Unternehmen, die Opfer eines solchen Betrugs wurden, stellt sich die Frage, wie der Fehler passieren konnte. Die Antwort liegt oft im Bereich des Social Engineering.

Die Betrüger nutzen Techniken der Autorität, der Dringlichkeit und der Konsistenz. Mitarbeiter, die unter dem Druck der täglichen Arbeit stehen, bemerken möglicherweise keine minimalen Änderungen in den E-Mail-Details. Es handelt sich um einen natürlichen kognitiven Fehler, den die Betrüger gut ausnutzen.

Darüber hinaus herrscht in vielen Organisationen eine Kultur der schnellen Aufgabenerledigung. Ein Mitarbeiter könnte befürchten, dass eine Verzögerung der Zahlung zur zusätzlichen Überprüfung als Beeinträchtigung der organisatorischen Effizienz angesehen wird. Die Betrüger nutzen den Wunsch des Mitarbeiters aus, seine Aufgabe bestmöglich zu erfüllen.

Warnsignale (Red Flags) für Finanzmanager

• Plötzliche Änderung der Bankverbindung: Ein erhebliches Warnsignal, das eine gründliche Überprüfung erfordert.
• Anderes Land: Ein Antrag auf Geldüberweisung in ein Land, das nicht das Ursprungsland des Lieferanten ist, sollte Verdacht erregen.
• Sprache und Stil: Leichte Änderungen im Schreibstil oder bei den üblichen Fachbegriffen.
• Außergewöhnliche Dringlichkeit: Unaufhörlicher Druck zur sofortigen Ausführung der Überweisung.
• Bitte um Vertraulichkeit: Anfragen, die darum bitten, die Überweisung vor anderen Stellen im Unternehmen zu verbergen.

Wie kann man eine organisatorische "Schutzmauer" aufbauen?

Die Verhinderung solcher Betrügereien basiert weitgehend auf der Implementierung klarer Verfahren in der Organisation:

1. Zwei-Kanal-Verifizierung (Out-of-Band Verification)

Es wird empfohlen, eine Regel aufzustellen, wonach Änderungen der Bankverbindung nicht allein per E-Mail bestätigt werden. Es muss eine telefonische Überprüfung bei einem bekannten und festen Ansprechpartner des Lieferanten erfolgen, unter Verwendung verifizierter Kontaktdaten, die nicht aus der neuen E-Mail stammen.

2. Funktionstrennung

Die Festlegung eines Prozesses, bei dem eine Partei die Details aktualisiert und eine andere die Zahlung genehmigt, kann das Risiko von Fehlern oder Betrug erheblich verringern.

3. Überprüfung des "Namens des Begünstigten" bei der Bank

Man kann die Bank bitten, bei internationalen Überweisungen eine Übereinstimmungsprüfung zwischen dem Namen des Begünstigten und der Kontonummer durchzuführen, sofern die Systeme dies zulassen.

4. Mitarbeiterschulungen

Die Sensibilisierung der Mitarbeiter für das Bestehen solcher Betrügereien ist ein zentrales Instrument zur Prävention.

Empfohlene Maßnahmen bei Verdacht auf Betrug

Bei Befürchtung eines Betrugs kann die Reaktionsgeschwindigkeit von großer Bedeutung sein:

1. Versuch des Zahlungsstopps: Unverzügliche Kontaktaufnahme mit der Bank, um die Möglichkeit einer Stornierung der Überweisung (Recall) zu prüfen.
2. Kontaktaufnahme zur empfangenden Bank: Eine schnelle Anfrage bei der Bank im Ausland kann manchmal dazu beitragen, die Gelder vor deren Abhebung einzufrieren.
3. Meldung an die Behörden: Einreichung einer offiziellen Anzeige bei der Polizei und den relevanten Cyber-Einheiten.
4. Dokumentation: Aufbewahrung aller digitalen Beweise, einschließlich E-Mails und Dokumente.
5. Rechtsberatung: Prüfung der rechtlichen Möglichkeiten gegenüber den verschiedenen an der Kette beteiligten Parteien.

Zusammenfassung und rechtlicher Ausblick

Der Betrug bei der Änderung von Lieferantendaten veranschaulicht, wie Lücken in den Arbeitsverfahren zu schweren wirtschaftlichen Schäden führen können. Im Laufe der Jahre beruflicher Tätigkeit lässt sich beobachten, wie Unternehmen infolge von Sicherheitsmängeln, seien sie noch so klein, in eine rechtliche Spirale geraten können.

Rechtlich gesehen befindet sich die von Finanzinstituten und Unternehmen gleichermaßen erwartete Sorgfaltspflicht in ständiger Prüfung. Es ist davon auszugehen, dass im Falle einer gerichtlichen Auseinandersetzung die Einhaltung ordnungsgemäßer Arbeitsverfahren durch das Unternehmen sowie eine angemessene Corporate Governance im Bereich des Datenschutzes geprüft werden.

In den nächsten Kapiteln werden wir weitere Betrugsmuster gegen Unternehmen untersuchen. Das Ziel ist es, die Wachsamkeit und das berufliche Wissen zu erhöhen, die einen zentralen Pfeiler beim Schutz der Organisation in der digitalen Welt darstellen.

Was kann kurzfristig getan werden?

1. Festlegung eines Verifizierungsverfahrens: Definition der Verpflichtung zur telefonischen Überprüfung bei jeder Änderung von Lieferantenkontodaten.

2. Schulung der Teams: Anleitung zur Identifizierung von Warnsignalen in E-Mail-Adressen und Nachrichteninhalt.

3. Überprüfung der Versicherung: Prüfung des Versicherungsschutzes bei Social-Engineering-Betrug.

4. Abstimmung mit der Bank: Prüfung zusätzlicher Genehmigungsmechanismen für außergewöhnliche Überweisungen.

Rechtlicher Aspekt

Im Rahmen einer rechtlichen Prüfung dieser Fälle kann die Frage der "Verschuldensabwägung" zwischen den Parteien untersucht werden. Das rechtliche Ergebnis hängt von vielen Umständen ab, darunter die Handlungsweise der Bank und die vom Kunden ergriffenen Maßnahmen. Gelegentlich kann eine Aufteilung der Verantwortung zwischen den Parteien (Mitverschulden) festgelegt werden, weshalb Präventivmaßnahmen der effektivste Weg zur Reduzierung der Schadensanfälligkeit sind.