Die Besprechung, die eine Überweisung verhinderte
Die Mail kam von einer Freemail-Adresse. Im Absendernamen stand der Name der Geschäftsführerin, im Betreff „Sonderauftrag", im Text die Bitte, eine Zahlung sofort auszuführen. Kein Anhang, kein Link, kein Schadcode. Das Muster heißt CEO-Fraud, und es ist so alt wie langweilig.
Eine Mitarbeiterin hatte die Überweisung schon eingegeben. Sie war eine Minute davon entfernt, sie freizugeben.
Was sie gestoppt hat, war keine Warnung im Postfach und kein Filter am Gateway. Eine Kollegin kam gerade aus einer Besprechung mit der echten Geschäftsführerin — die dort eine Stunde lang gesessen und keine Mail geschrieben hatte, schon gar keine über einen Sonderauftrag. Die Kollegin sah die Überweisung, sah den Absender und sagte: Das kann nicht sein.
Der Angriff war nicht gut
Das ist der Teil, der beim Nacherzählen gern verloren geht. Die Mail hatte alle Merkmale, die in jeder Awareness-Schulung auf der zweiten Folie stehen: fremde Absenderdomain, Rechtschreibfehler, ungewohnte Formulierungen, Zeitdruck. Ein Techniker hätte sie in zwei Sekunden aussortiert.
Die Mitarbeiterin hat sie trotzdem nicht aussortiert. Nicht aus Nachlässigkeit, sondern aus dem Gegenteil: Sie wollte helfen. Die Chefin braucht etwas, es ist dringend, ich erledige das. Der Rahmen „Sonderauftrag, sofort" hat jede Prüfung übersprungen, bevor sie anfangen konnte.
Die Geschäftsführerin hat das hinterher selbst auf den Punkt gebracht, und es ist der ehrlichste Satz in dieser Geschichte: Es ehrt sie, dass ihre Leute das für sie tun würden. Und genau das ist gefährlich.
Warum die Technik hier wenig zu melden hatte
Aus Sicht der IT war an dieser Mail wenig kaputt. Sie kam von einem echten Freemail-Konto, wurde sauber zugestellt, enthielt keinen Link und keine Datei. Ein Abgleich des Absendernamens gegen die Namen der Geschäftsführung hätte sie markieren können — eingerichtet war er nicht, und blockieren dürfte er ohnehin nicht, sonst bleibt auch die Mail des Steuerberaters hängen, der von zu Hause schreibt.
Der Angriff zielte nicht auf ein System. Er zielte auf einen Ablauf, den niemand aufgeschrieben hatte: Wer darf eine Zahlung anweisen, und auf welchem Weg?
In dieser Firma lautete die stillschweigende Antwort: Die Chefin, per Mail, wann sie will. Das hat jahrelang funktioniert, weil es nie jemand ausgenutzt hat.
Zufall ist kein Prozess
Der Schaden wäre überschaubar gewesen — ein paar hundert Euro. Aber die Summe ist nicht die Nachricht. Die Nachricht ist, dass es gestoppt wurde, und wodurch.
Wäre die Besprechung eine halbe Stunde später angesetzt gewesen, hätte die Kollegin nichts gewusst. Wäre sie in einem anderen Büro gewesen, hätte sie nichts gesehen. Das Geld wäre weg gewesen — und beim nächsten Mal, das ist bei dieser Masche das übliche Muster, wäre der Betrag höher gewesen, weil der erste Versuch funktioniert hat.
Eine Organisation, die einen Angriff durch Glück überlebt, ist danach nicht sicherer als vorher. Sie weiß nur, dass es funktioniert hätte.
Was danach anders lief
Drei Dinge, alle ohne Technik.
Ein Warnschreiben, noch am selben Tag. Die Geschäftsführerin hat es nicht selbst geschrieben, sondern von ihrem IT-Dienstleister formulieren lassen, mit dessen Absender. Die Begründung des Dienstleisters: Eine Rundmail der Chefin über Phishing wird als Chefsache gelesen und weggeklickt; dasselbe Schreiben vom externen Administrator wird als Fachauskunft gelesen. Sie hat es so gemacht.
Eine Regel für Zahlungen, die keine Ausnahme kennt. Wer eine Zahlung anweist, wird zurückgerufen. Nicht über die Nummer in der Mail, sondern über die, die im Telefon gespeichert ist. Auch wenn es die Chefin ist. Gerade wenn es die Chefin ist — denn genau die Autorität, die eine Prüfung überflüssig erscheinen lässt, ist das, was der Angreifer nachahmt.
Betrugsmails sammeln statt löschen. Was künftig ankommt, wird im Team gezeigt. Nicht als Prüfung, sondern als Übung: Wer die letzten fünf gesehen hat, erkennt die sechste.
Die Frage für den eigenen Laden
Wer in der eigenen Firma eine Zahlung anweisen darf und auf welchem Weg — das steht meistens nirgends. Es steht nirgends, weil es nie ein Problem war.
Der Rückruf kostet eine Minute. Die Besprechung, die hier den Schaden verhindert hat, war Zufall. Man sollte sich nicht darauf verlassen, dass sie beim nächsten Mal wieder stattfindet.