Gefälschte Behördenmails: So schützen Unternehmen ihre Daten und Bankverbindungen
Immer wieder versuchen Cyberkriminelle, Unternehmen mit täuschend echt gestalteten E-Mails zur Preisgabe vertraulicher Informationen zu bewegen. Dabei verwenden sie Namen und Logos von Behörden, Banken oder anderen bekannten Institutionen. Besonders wirkungsvoll sind Nachrichten, die eine dringende Handlung verlangen oder mit rechtlichen und finanziellen Konsequenzen drohen. Für Unternehmen ist es deshalb wichtig, verdächtige Nachrichten frühzeitig zu erkennen und klare Abläufe für deren Überprüfung festzulegen.
1. Warum Behördennamen bei Betrügern beliebt sind
Offizielle Stellen geniessen bei vielen Menschen ein hohes Vertrauen. Kriminelle nutzen dies gezielt aus, indem sie bekannte Behördennamen, amtlich wirkende Formulierungen und vertraute Gestaltungselemente verwenden. Ein Logo der Schweizerischen Eidgenossenschaft oder eine professionell formulierte Nachricht beweist jedoch nicht, dass eine Mitteilung echt ist. Auch Absenderadressen können manipuliert oder täuschend ähnlich nachgebildet werden. Wer eine überraschende Aufforderung erhält, sollte deshalb nicht allein nach dem optischen Eindruck entscheiden, sondern die Herkunft der Nachricht unabhängig überprüfen.
2. Zeitdruck und Drohungen sind typische Warnsignale
Viele Phishing-Nachrichten enthalten kurze Fristen. Häufig wird behauptet, ein Zugang werde gesperrt, eine Rechnung müsse sofort bezahlt oder eine gesetzliche Pflicht müsse innerhalb weniger Tage erfüllt werden. Dadurch sollen Empfängerinnen und Empfänger zu einer schnellen Reaktion verleitet werden, ohne die Angaben gründlich zu kontrollieren. Gerade bei unerwarteten Aufforderungen mit weitreichenden Konsequenzen ist Vorsicht angebracht. Unternehmen sollten solche Nachrichten nach einem festgelegten Verfahren prüfen und wichtige Entscheidungen nicht ausschliesslich aufgrund einer einzelnen E-Mail treffen.
3. Eine täuschend echte Website kann trotzdem gefälscht sein
Moderne Phishing-Websites können das Erscheinungsbild offizieller Internetauftritte nahezu vollständig übernehmen. Dazu gehören Farben, Logos, Navigationsleisten und Formulare. Sogar Fortschrittsanzeigen, Referenznummern und automatische Bestätigungen können nachgebildet werden. Entscheidend ist deshalb nicht allein das Aussehen einer Website. Prüfen Sie die vollständige Internetadresse sorgfältig. Eine verschlüsselte Verbindung mit dem Schloss-Symbol beziehungsweise HTTPS bedeutet lediglich, dass die Datenübertragung verschlüsselt ist. Sie ist kein Beweis dafür, dass der Betreiber der Website vertrauenswürdig ist.
4. Auch eine IBAN kann für weitere Betrugsversuche interessant sein
Eine IBAN allein erlaubt normalerweise keinen direkten Zugriff auf ein Bankkonto. Trotzdem können Bankverbindungen zusammen mit Firmennamen, Kontaktangaben und weiteren Personendaten von Kriminellen missbraucht werden. Beispielsweise können die Informationen dazu dienen, gefälschte Rechnungen glaubwürdiger zu gestalten oder spätere Telefonanrufe vorzubereiten. Kennt ein Betrüger bereits den Namen der Bank und bestimmte Angaben zum Unternehmen, kann er sich gegenüber Mitarbeitenden unter Umständen überzeugender als Bank- oder Behördenvertreter ausgeben. Deshalb sollten auch solche Informationen nicht unüberlegt auf unbekannten Websites eingegeben werden.
5. Spear-Phishing: Wenn Betrüger ihre Opfer gezielt auswählen
Beim sogenannten Spear-Phishing werden betrügerische Nachrichten gezielt auf bestimmte Personen oder Unternehmen zugeschnitten. Die Kriminellen verwenden dafür beispielsweise öffentlich verfügbare Handelsregisterangaben, Namen von Geschäftsleitungsmitgliedern oder Informationen über die Tätigkeit eines Unternehmens. Dadurch wirken die E-Mails persönlicher und glaubwürdiger als gewöhnliche Massenmails. Besonders gefährdet sind Mitarbeitende, die Zahlungen auslösen, Unternehmensdaten verwalten oder Zugang zu sensiblen Informationen haben. Eine regelmässige Sensibilisierung dieser Personen ist deshalb besonders wichtig.
6. Vishing: Wenn nach dem Phishing-Mail das Telefon klingelt
Cyberkriminelle kombinieren verschiedene Betrugsmethoden. Nach einer E-Mail kann beispielsweise ein Anruf folgen, bei dem sich eine Person als Mitarbeiter einer Behörde, einer Bank oder eines technischen Kundendienstes ausgibt. Dieses Vorgehen wird als Vishing bezeichnet. Die Anrufenden versuchen mitunter, bereits vorhandene Informationen zu bestätigen, zusätzliche Zugangsdaten zu erhalten oder eine Zahlung auszulösen. Auch die angezeigte Telefonnummer kann manipuliert werden. Unternehmen sollten deshalb bei unerwarteten Anrufen niemals allein auf den Namen, die angezeigte Nummer oder bereits bekannte Angaben vertrauen. Eine unabhängige Rückfrage über einen offiziellen Kontaktweg bietet zusätzlichen Schutz.
7. Klare Zuständigkeiten schützen vor betrügerischen Zahlungsforderungen
In Unternehmen sollte eindeutig geregelt sein, wer Bankdaten ändern, Rechnungen freigeben oder vertrauliche Informationen an externe Stellen weitergeben darf. Besonders bei ungewöhnlichen Zahlungsaufforderungen kann ein Vier-Augen-Prinzip helfen. Änderungen von Bankverbindungen sollten über einen bereits bekannten, unabhängigen Kontaktweg bestätigt werden. Auch bei vermeintlich dringenden Anweisungen der Geschäftsleitung ist eine Kontrolle sinnvoll. Wichtig ist eine Unternehmenskultur, in der Mitarbeitende verdächtige Nachrichten offen melden können, ohne negative Konsequenzen befürchten zu müssen.
8. Technische Schutzmassnahmen gegen Phishing
Neben der Aufmerksamkeit der Mitarbeitenden sind technische Sicherheitsvorkehrungen wichtig. Dazu gehören aktuelle Betriebssysteme, regelmässige Sicherheitsupdates, geeignete E-Mail-Filter und eine Mehrfaktor-Authentisierung für geschäftliche Benutzerkonten. Unternehmen sollten ausserdem prüfen, ob ihre E-Mail-Domains mit geeigneten Schutzmechanismen gegen Identitätsmissbrauch abgesichert sind. Dazu zählen SPF, DKIM und DMARC. Solche Massnahmen können bestimmte Formen gefälschter E-Mails erschweren, bieten aber keinen vollständigen Schutz vor Phishing. Auch gut gesicherte Unternehmen benötigen klare Regeln für den Umgang mit verdächtigen Nachrichten.
9. Was Unternehmen nach einer Datenweitergabe tun sollten
Wurden auf einer verdächtigen Website bereits Daten eingegeben, sollten die Verantwortlichen zunächst festhalten, welche Informationen betroffen sind. Bei preisgegebenen Passwörtern müssen die betreffenden Zugänge unverzüglich gesichert und Passwörter geändert werden. Wurden Zahlungsdaten oder Bankverbindungen übermittelt, ist eine Information an die Bank sinnvoll, insbesondere wenn weitere verdächtige Vorgänge auftreten. Besteht der Verdacht, dass ein geschäftliches E-Mail-Konto kompromittiert wurde, sollte die IT-Abteilung oder eine externe Fachperson den Vorfall untersuchen. Bei konkretem Missbrauch oder finanziellem Schaden ist die Polizei zu verständigen. Unternehmen müssen zudem prüfen, ob datenschutzrechtliche Meldepflichten bestehen.
Gut zu wissen: Handelsregisterangaben vieler Schweizer Unternehmen sind öffentlich einsehbar. Kriminelle können solche Informationen verwenden, um betrügerische Nachrichten mit korrekten Firmennamen, Adressen oder Angaben zur Geschäftsleitung zu versehen. Dass eine E-Mail zutreffende Unternehmensdaten enthält, beweist deshalb nicht, dass sie tatsächlich von einer offiziellen Stelle stammt. Besonders bei ungewöhnlichen Aufforderungen sollten Unternehmen den Sachverhalt direkt über den offiziellen Internetauftritt der zuständigen Behörde überprüfen.
Praktischer Tipp: Legen Sie in Ihrem Unternehmen eine einfache Regel fest: Unerwartete Behördenmails, Aufforderungen zur Änderung von Bankverbindungen und dringende Zahlungsanweisungen werden vor jeder Handlung unabhängig überprüft. Statt den Link in der E-Mail zu verwenden, öffnen Mitarbeitende die bekannte Website der betreffenden Organisation selbst oder kontaktieren die zuständige Stelle über eine bereits vorhandene Telefonnummer. Diese zusätzliche Kontrolle kann verhindern, dass vertrauliche Daten an Kriminelle gelangen.
Weitere Informationen: Aktuelle Warnungen vor Phishing, gefälschten Websites und weiteren Internetbetrugsmaschen finden Sie bei Cyberpolice und auf Polizeinews Prävention.
