Kapitel 74: Der Schatten im Posteingang: Rechnungsbetrug und E-Mail-Kompromittierung (BEC)

Im Laufe der Jahre, bei der professionellen Begleitung von Unternehmen, Firmen und Organisationen, zeigt sich, dass das moderne Schlachtfeld nicht nur in den Gerichtssälen liegt und nicht einmal im rauen geschäftlichen Wettbewerb auf der Straße. Es befindet sich im Posteingang. In den vorherigen Kapiteln haben wir uns mit Betrugsmaschen befasst, die direkt auf die Unternehmensspitze abzielten – den CEO-Betrug – oder mit der Änderung von Lieferantendaten auf technischer Ebene. Das vorliegende Kapitel befasst sich jedoch mit einer raffinierten Bedrohung, die einen stillen technologischen Einbruch mit Social Engineering verbindet: die Kompromittierung der geschäftlichen E-Mail (Business Email Compromise - BEC) und der Betrug mit gefälschten Rechnungen.

Dies ist eine Welt, in der der Kriminelle nicht nur ein Identitätsfälscher ist; er wird zu einem verdeckten „Untermieter“ innerhalb der Organisation. Er liest die Korrespondenzen, lernt den Schreibstil kennen, versteht die Organisationsstruktur und wartet auf den richtigen Moment, in dem eine beträchtliche Geldsumme überwiesen wird, um diese auf seinen eigenen Pfad umzuleiten. Das Ziel dieses Buches, „Sind Sie auf einen Betrug hereingefallen?“, ist es, diesen Mechanismus nicht nur aufzudecken, um zu warnen, sondern auch, um die rechtlichen und praktischen Instrumente vorzustellen, mit denen man den Vorfall am Tag danach bewältigen kann.

Das folgende Szenario ist ein Lernbeispiel, das auf verbreiteten Betrugsmustern basiert. Die Personen und Ereignisse dienen lediglich der Veranschaulichung.

Die Ruhe vor dem Sturm: Ein Lernszenario bei der Firma 'Yisodot Eitanim'

Rina (Name geändert) war Buchhalterin bei einer mittelständischen Baugesellschaft, die auf Infrastruktur spezialisiert war. Sie galt als gründliche Mitarbeiterin, die alle Lieferanten des Unternehmens persönlich kannte.

An einem Dienstag erhielt Rina am frühen Nachmittag eine E-Mail, die vorgab, vom Hauptlieferanten des Unternehmens zu stammen. Die E-Mail war eine direkte Fortsetzung einer bestehenden Korrespondenz bezüglich eines laufenden Infrastrukturprojekts. „Hallo Rina“, hieß es in der Mail, „anbei die aktualisierte Rechnung für die letzte Stahllieferung. Bitte beachten Sie, dass wir aufgrund einer internen Buchhaltungsprüfung vorübergehend das Empfängerkonto auf das Konto unserer Tochtergesellschaft umgestellt haben. Eine offizielle Bestätigung der Bank ist beigefügt. Danke, Gilad.“

Rina öffnete den Anhang. Die Rechnung sah absolut korrekt aus: Das Logo des Lieferanten, die richtige Adresse und die genaue Auflistung der gelieferten Ware. Sogar die interne Bestellnummer des Unternehmens war aufgeführt. Sie sah auch die Bankbestätigung – ein Dokument, das wie ein offizielles Schreiben wirkte, welches die Kontodaten bestätigte. Die E-Mail wurde von einer Adresse gesendet, die identisch mit derjenigen war, über die sie in den letzten Jahren kommuniziert hatten.

Sie gab die Daten in das Bankingsystem der Bank Hapoalim ein. Ein erheblicher Geldbetrag wurde auf das neue Konto überwiesen. Rina schickte eine Bestätigungsmail über die Überweisung ab und erhielt eine fast unmittelbare Antwort, in der man ihr für die schnelle Bearbeitung dankte.

Zwei Wochen später stellte sich in einem routinemäßigen Telefonat mit dem Lieferanten heraus, dass dieser niemals um eine Änderung der Kontodaten gebeten und die Zahlung auch nicht erhalten hatte. Bei einer eingehenden Prüfung der E-Mail, die zwei Wochen zuvor versandt worden war, wurde eine minimale Änderung im Domainnamen des Absenders entdeckt – eine Änderung eines einzigen Zeichens, die die Adresse zu einer Fälschung machte. Die Hacker „saßen“ auf der Leitung, lasen die Korrespondenz mit und lernten genau, wann sie die gefälschte Rechnung senden mussten.

Bei einer Art von Szenario wie diesem wird das Geld meist Minuten nach der Überweisung abgezogen und durch eine Reihe von Strohmanngeschäften geleitet, was eine sofortige Rückholung ohne schnelles Eingreifen sehr erschwert.

Die Anatomie des Einbruchs: Wie man sich in die Geschäftspost „einklinkt“?

Um zu verstehen, wie ein solcher Betrug stattfindet, ist es wichtig zu begreifen, dass technologische kriminelle Organisationen systematisch vorgehen. Der BEC-Betrug gliedert sich im Allgemeinen in vier Phasen:

1. Die Phase der Informationsbeschaffung und des Eindringens (Infiltration)

Die Angreifer wählen ein Ziel – meist ein Unternehmen, das Banküberweisungen in hohen Beträgen tätigt. Das anfängliche Eindringen erfolgt meist über „Phishing“ oder durch den Erwerb von Passwörtern, die geleakt wurden. Sobald sie Zugriff auf ein E-Mail-Postfach in der Organisation (oder in der Organisation des Lieferanten) haben, bleiben sie möglicherweise verdeckt, um Informationen zu sammeln.

2. Die Phase des Lernens und der Überwachung (Monitoring)

Dies ist eine Phase, in der der Angreifer möglicherweise „Routing-Regeln“ im kompromittierten Postfach festlegt. E-Mails, die bestimmte Schlagwörter enthalten, werden automatisch an den Angreifer weitergeleitet, der Verträge, Zeitpläne und den Kommunikationsstil zwischen den Parteien studiert.

3. Erstellung der „Doppelgänger-Domain“ (The Doppelgänger)

Der Angreifer erstellt eine Domain, die fast identisch mit dem Original aussieht. Eine Änderung eines Zeichens oder eine andere Endung kann bei einem ungeübten Auge oder bei hohem Arbeitsaufkommen keinen Verdacht erregen. In einigen Fällen werden fortgeschrittene Techniken eingesetzt, um eine E-Mail von der scheinbar echten Adresse zu senden.

4. Der Moment des „Zuschlagens“ (The Execution)

Der Angreifer „kapert“ die Korrespondenzkette genau zu dem Zeitpunkt, zu dem eine Rechnung fällig ist. Die Kombination aus Kenntnis der Transaktionsdetails und hochwertiger grafischer Fälschung erhöht die Erfolgschancen des Betrugs.

Der rechtliche Aspekt: Prüfungsmöglichkeiten der Haftung

Wenn ein solcher Fall rechtlich geprüft wird, stellt sich die Haftungsfrage zwischen den beteiligten Akteuren: dem geschädigten Unternehmen, dem Lieferanten, der absendenden Bank und der empfangenden Bank. Die rechtliche Analyse konzentriert sich meist auf das Schadensersatzrecht, das Vertragsrecht und das Gesetz über Zahlungsdienste.

Gesetz über Zahlungsdienste, 2019

Dieses Gesetz legt die Haftungsverteilung zwischen dem Kunden und dem Zahlungsdienstleister fest, wie beispielsweise bei internationalen Finanzplattformen wie Wise, im Falle einer „nicht autorisierten Zahlungstransaktion“. Bei BEC-Fällen ergibt sich oft eine rechtliche Schwierigkeit, da der Kunde derjenige ist, der die Autorisierung tatsächlich vorgenommen hat. Daher konzentriert sich die Prüfung des Falls auf die Frage, ob die Autorisierung unter betrügerischen Umständen erlangt wurde, die beim Zahlungsdienstleister hätten Verdacht erregen müssen.

Haftung des Zahlungsdienstleisters (der Bank)

In einigen Fällen lässt sich prüfen, ob die Bank ihre Sorgfaltspflicht gegenüber dem Kunden verletzt hat. Gerichte könnten prüfen, ob es „rote Flaggen“ gab, die ein Finanzinstitut wie die Bank Leumi hätte erkennen müssen, wie etwa eine ungewöhnliche Überweisung auf ein neues Konto oder eine offensichtliche Unstimmigkeit. Die Möglichkeit, eine Haftung zu begründen, hängt von den spezifischen Umständen ab und von der Frage, ob ein konkreter Verdacht auf Betrug bestand, der hätte verhindert werden können.

Der Kampf zwischen Unternehmen und Lieferant

Ein weiteres komplexes Thema ist die Frage, bei wem die Verantwortung für den Einbruch selbst liegt. Wenn die E-Mail auf der Seite des Lieferanten kompromittiert wurde, könnte das Argument vorgebracht werden, dass er keine ausreichenden Sicherheitsvorkehrungen getroffen hat. Andererseits könnte der Lieferant dem Unternehmen Fahrlässigkeit vorwerfen, weil es die Kontodaten nicht verifiziert hat. Die Gerichte prüfen in diesen Fällen, wer von den Parteien der „kostengünstigste Schadensvermeider“ war, und könnten eine Haftungsverteilung festlegen, die auf einem „Mitverschulden“ basiert.

Abwehrstrategien und Risikomanagement

Im Laufe der langjährigen Berufstätigkeit eines Anwalts, der in diesem Bereich tätig ist, zeigt sich, dass Prävention das effektivste Instrument ist. Das Risiko von BEC-Betrug lässt sich durch die Annahme klarer Protokolle minimieren:

Multikanal-Verifizierung (Out-of-Band Verification)

Es wird empfohlen, ein Verfahren einzuführen, bei dem man sich nicht allein auf die E-Mail als ausschließliche Quelle für die Änderung von Zahlungsdetails verlässt. In jedem Fall einer Aufforderung zur Änderung eines Bankkontos muss eine telefonische Überprüfung bei einer bekannten Person unter der offiziellen Telefonnummer des Lieferanten durchgeführt werden.

Zwei-Faktor-Authentifizierung (MFA/2FA)

Die Aktivierung einer Zwei-Faktor-Authentifizierung bei allen geschäftlichen E-Mail-Konten ist ein grundlegender und notwendiger Schritt. Ein Unternehmen, das keine solchen Schutzmaßnahmen anwendet, könnte als eines betrachtet werden, das keine angemessenen Vorsichtsmaßnahmen getroffen hat.

Mitarbeiterschulung

Regelmäßige Schulungen zur Sensibilisierung der Mitarbeiter in den Finanzabteilungen können helfen, Warnsignale zu erkennen, wie z. B. leichte Domain-Änderungen oder verdächtige Formulierungen.

Cyber-Versicherung und vertragliche Aspekte

Es kann der Abschluss von Versicherungspolicen geprüft werden, die Cyber-Ereignisse und Social Engineering abdecken. Zudem ist es empfehlenswert, in Lieferantenverträge Klauseln aufzunehmen, die regeln, wie Änderungen an Zahlungsdetails vorzunehmen sind.

Zusammenfassung der rechtlichen Analyse

Das Recht in Israel passt sich dem digitalen Zeitalter an, und die Anforderungen an die Sorgfaltspflicht von Banken und Unternehmen steigen. Während es früher schwierig war, Finanzinstituten Verantwortung zuzuschreiben, kann heute deren Haftung entsprechend ihrer Fähigkeit zur Erkennung von Anomalien in den Zahlungssystemen geprüft werden.

Die Chancen auf eine Rückerstattung oder den Erhalt von Schadensersatz hängen von den Umständen des Einzelfalls, dem Grad der Fahrlässigkeit der Parteien und der Schnelligkeit der Reaktion nach der Entdeckung des Betrugs ab. Fragen wie der Ursprung der Sicherheitslücke, die Identifizierungsverfahren des Kunden bei der empfangenden Bank und die Einhaltung grundlegender Sicherheitsvorschriften sind ausschlaggebend, wenn das Gericht die Haftungsverteilung bewertet.

Zusammenfassend lässt sich sagen, dass BEC-Betrug das Vertrauen und den Wunsch nach Effizienz in der Geschäftswelt ausnutzt. Manchmal ist der richtige Schritt, anzuhalten, zu prüfen und eine einfache menschliche Verifizierung durchzuführen, bevor der Überweisungs-Button gedrückt wird.