Wir können deinen Namen nicht schützen
TL;DR
- Der Betrüger brauchte 17 Minuten von der ersten Mail bis zur Bitte um zehn Apple-Karten zu je 100 Euro. Jeden Einwand hat er sofort aufgefangen.
- Die IT kann den Namen nicht schützen. Wer eine Freemail-Adresse anlegt und einen fremden Namen einträgt, berührt die Firma nie. Absender sperren hilft kaum.
- Schützen kann nur, wer die Mail bekommt: erkennen, nicht antworten, melden. Genau das hat die Mitarbeiterin getan.
Montagmorgen, 08:38. Eine Mitarbeiterin bekommt eine Mail von einem Namen aus der Führung ihrer Firma. Die Adresse ist ein Freemail-Konto, zusammengesetzt aus dem Firmenkürzel und dem echten Namen. Auf dem iPhone sieht sie davon nichts, dort steht oben nur der Name.
Hast du kurz Zeit? Ich brauche dich für eine Aufgabe. Ich kann nicht telefonieren, da ich mehrere Termine habe. Schreib mir einfach hier zurück.
Sie antwortet freundlich und bietet sogar WhatsApp an.
17 Minuten
08:43. Er möchte, dass sie ein paar Geschenkkarten besorgt. Welches Produkt und welcher Betrag, sage er ihr gleich. Sie schreibt zurück, dass sie gerade zwei Wochen im Ausland ist, im Praktikum.
08:48. Kein Problem: Sie könne die Karten auch dort kaufen. Sie müsse nur ein Foto machen und es ihm schicken. Sie antwortet, dass sie erst morgen Nachmittag in die Stadt kommt, dass die Karten dort vielleicht nicht auf Deutsch sind, und fragt, wie viele es sein sollen.
08:55. Zehn Apple-Karten zu je 100 Euro, also 1.000 Euro. Dazu nennt er Läden, in denen es sie gibt, und zwar Ketten aus genau dem Land, in dem sie gerade ist. Sie solle die Rückseite freirubbeln, die Codes fotografieren und schicken. Es sei dringend. Und sie solle schreiben, wie sie ihr Geld zurückhaben möchte.
Jeder Einwand wurde in fünf Minuten zum nächsten Schritt. Sie ist im Ausland? Dann eben dort. Die Karten sind nicht auf Deutsch? Hier sind Läden vor Ort. Das ist kein Serienbrief mehr, da sitzt jemand und antwortet.
Sie hat es richtig gemacht
Irgendwann wurde es ihr „ganz komisch“. Sie hat nicht gekauft. Sie hat den Verlauf an die echte Adresse der Person geschickt, deren Name im Absender stand, und die Mails danach gelöscht. Die Firma hat es uns gemeldet.
Kein Schaden. Aber die Frage, die danach kam, war die eigentlich schwierige.
„Was könnt ihr dagegen tun?“
Ehrlich: fast nichts, solange niemand das echte Konto benutzt.
Die Mail kam nicht von der Firma. Kein Postfach wurde geknackt, kein Server berührt. Jemand hat sich bei einem Freemail-Anbieter ein Konto angelegt und einen Namen eingetragen. Den Namen kann sich jeder ausleihen, der ihn kennt, und Namen aus der Führung stehen auf jeder Firmenseite.
Absender sperren? Das sperrt genau diese eine Adresse. Die nächste kostet eine Minute.
Was wir daraus mitgenommen haben, gilt in zwei Richtungen:
Wer für die Firma schreibt, schreibt von der Firmenadresse. Ein privates Freemail-Konto liegt außerhalb der verwalteten Umgebung. Dort greifen keine Richtlinien, wir sehen nichts, und wir können nicht eingreifen. Und wer dienstlich ab und zu vom privaten Konto schreibt, gewöhnt die Kollegen daran, dass der Chef auch mal von einer Freemail-Adresse kommt. Genau darauf baut die Masche.
Auch die Firmenadresse verhindert Namensmissbrauch nicht. Aber dort lässt sich mehr absichern, etwa ein sichtbarer Hinweis auf externe Absender oder ein Abgleich der Anzeigenamen.
Am Ende entscheidet der Empfänger
Technik verschiebt die Grenze, sie schließt sie nicht. Die Mitarbeiterin hat den Fall beendet, nicht ein Filter. Dafür reichen drei Dinge: erkennen, nicht antworten, melden. Woran man die Masche erkennt, steht in Könntest du mir bei einer Aufgabe helfen? . Dort war es ein Verein, hier eine Firma, die Bauart ist dieselbe.
Für Kunden, die es weitergeben wollen, haben wir dazu ein Hinweisblatt mit zwei Seiten. Es geht bewusst von uns raus und nicht von der Geschäftsführung, damit niemand fragen muss, ob dieser Hinweis selbst echt ist.