CEO-Betrug bleibt ein Dauerbrenner für KMU
Der sogenannte CEO-Betrug gehört nach wie vor zu den am meisten dem BACS gemeldeten Betrugsmethoden und hat im vergangenen Jahr verglichen mit 2024 von 719 auf 971 Fälle zugenommen. Auch in der vergangenen Woche gingen beim BACS erneut Meldungen ein, die zeigen, dass die Täter ihre Masche stetig verfeinern. Sie setzen nicht mehr ausschliesslich auf gefälschte E-Mails, sondern auch gezielt auf psychologische Manipulation und künstliche Intelligenz. Wie Sie die subtilen Warnsignale im Arbeitsalltag erkennen, beleuchtet der aktuelle Wochenrückblick.
In der Hektik des Geschäftsalltags sind E-Mails von Vorgesetzten oft der Taktgeber für Prioritäten. Wenn die Geschäftsleitung eine Anweisung gibt, wird diese meist schnell und ohne grosse Rückfragen ausgeführt. Genau diesen Reflex nutzen Cyberkriminelle beim CEO-Betrug aus. Die Angriffe erfolgen oft wellenartig und treffen KMU oder Vereine jeder Grösse. Die Betrüger nutzen dabei vor allem Daten aus öffentlichen Quellen. Im Visier stehen deshalb vor allem Firmen, Vereine oder Gemeinden, die Informationen zu ihren Mitarbeitenden oder ihrem Team auf ihrer Website oder in den sozialen Medien veröffentlichen.
Am Anfang steht die Recherche
Autorität trifft auf Zeitdruck
- Eine dringende Zahlung an einen ausländischen Lieferanten, meist gefolgt von der Frage nach dem offenen oder aktuellen Kontostand;
- Der Kauf von Geschenkkarten oder Gutscheinen für Partner, der sofort erledigt werden muss.
Die Täter bauen dabei psychologischen Druck auf. Formulierungen wie «Ich verlasse mich auf Ihre Diskretion», «Ich bin unglaublich dankbar» oder «Führen Sie die Zahlung sofort aus» sollen den Mitarbeitenden davon abhalten, die üblichen Sicherheitsvorgaben einzuhalten oder Rückfragen zu stellen.
Neue Variante via WhatsApp und mit KI
Immer wieder Anwaltskanzleien
Empfehlungen
Das BACS rät Unternehmen, technische und organisatorische Hürden aufzubauen:
- Vier-Augen-Prinzip: Führen Sie für Zahlungen und für Änderungen an Stammdaten (z. B. neue IBAN eines Lieferanten) zwingend eine Kollektivunterschrift oder eine Freigabe durch eine weitere Person ein.
- Verifizierung über einen zweiten Kanal: Wenn Sie eine Zahlungsaufforderung per E-Mail erhalten – insbesondere, wenn sie «dringend» oder «geheim» ist –, rufen Sie den Auftraggeber an. Nutzen Sie dafür nicht die Nummer in der E-Mail, sondern die Ihnen bekannte Nummer.
- Keine Ausnahmen: Vereinbaren Sie klar, dass Sicherheitsprozesse auch (und gerade) bei Anweisungen der Chefetage nicht umgangen werden dürfen. Eine gesunde Skepsis sollte in der Unternehmenskultur als Stärke, nicht als Ungehorsam gelten.
- Markierung externer E-Mails: Konfigurieren Sie Ihren E-Mailserver so, dass E-Mails von externen Absendern im Betreff oder im Textkörper deutlich markiert werden (z. B. «EXTERNAL»). So fällt es sofort auf, wenn eine E-Mail angeblich vom internen CEO kommt, aber eigentlich von einer externen Adresse gesendet wurde.
Quelle: BACS
(Visited 33 times, 1 visits today)
