Unter den Betrugsformen, die Schweizer Betriebe treffen, ist die Rechnungsmanipulation die unauffälligste und eine der teuersten. Sie kommt ohne Schadprogramm aus, löst keine Warnung aus und wird von Sicherheitssoftware nicht als Angriff erkannt — weil technisch gesehen keiner stattfindet. Was stattfindet, ist eine E-Mail aus einem echten Postfach, die an einen echten Verlauf anschliesst und eine plausible Rechnung mit einer anderen Kontonummer enthält.
Der Ablauf
Am Anfang steht ein übernommenes Postfach, oft nicht das eigene, sondern eines beim Lieferanten, beim Treuhänder oder bei einem Handwerker. Der Zugang wird meist über abgefangene Zugangsdaten erlangt, gelegentlich über eine schwache Wiederherstellungsfrage. Wichtig ist: Der Angreifer verändert zunächst nichts. Er liest mit.
Dieses Mitlesen dauert Tage oder Wochen. Gesucht wird ein Vorgang mit drei Eigenschaften: Es geht um Geld, der Betrag ist so hoch, dass er lohnt, aber nicht so hoch, dass er eine Sonderprüfung auslöst, und eine Rechnung ist angekündigt oder gerade unterwegs. Ist der Vorgang gefunden, antwortet der Angreifer im laufenden Verlauf — mit korrekter Anrede, im Ton der bisherigen Korrespondenz, unter Bezug auf die richtigen Personen und Termine. In dieser Antwort steht der einzige veränderte Punkt: eine neue Kontoverbindung, meist mit einer harmlosen Begründung wie einem Bankwechsel oder einer Umstellung im Konzern.
Die Zahlung geht anschliessend an den Angreifer. Die eigene Buchhaltung sieht einen ordentlichen Vorgang: passende Rechnung, passender Betrag, passende Freigabe. Auffällig wird nichts, weil nichts auffällig ist. Entdeckt wird der Betrug erst, wenn der echte Lieferant mahnt — und das dauert typischerweise Wochen. Genau diese Verzögerung ist der Grund, warum das Geld selten zurückkommt.
Warum die üblichen Regeln nicht greifen
Die verbreiteten Verhaltensregeln zielen auf andere Angriffe. «Prüfe die Absenderadresse» hilft nicht, wenn die Adresse echt ist. «Öffne keine unerwarteten Anhänge» hilft nicht, wenn die Rechnung erwartet wurde. «Achte auf schlechtes Deutsch» hilft nicht, wenn der Text aus dem bisherigen Verlauf abgeleitet ist. Und «klicke auf keine Links» hilft nicht, weil kein Link nötig ist.
Auch die Zwei-Faktor-Authentisierung, sonst die wirksamste einzelne Massnahme, schützt hier nur indirekt: Sie erschwert die Übernahme des Postfachs am Anfang der Kette — aber eben nur die des eigenen. Ist das Postfach beim Lieferanten kompromittiert, ändert die eigene Absicherung am Ablauf nichts. Das ist der unangenehme Kern dieser Angriffsform: Ein Teil des Risikos liegt ausserhalb des eigenen Einflussbereichs.
Die zwei Kontrollen, die wirken
Weil der Angriff auf einen Vorgang zielt und nicht auf Technik, muss die Gegenmassnahme am Vorgang ansetzen. Zwei Kontrollen genügen in der Praxis.
Die erste ist die Rückfrage über einen zweiten Kanal, ausgelöst durch ein einzelnes Ereignis: eine geänderte Kontoverbindung. Wer eine neue Bankverbindung mitgeteilt bekommt, ruft an — und zwar an die Nummer, die im eigenen System hinterlegt ist, nie an eine Nummer aus der betreffenden E-Mail. Diese Regel ist billig, braucht keine Software und stoppt den Angriff an der einzigen Stelle, an der er sich von einem normalen Vorgang unterscheidet.
Die zweite ist ein Vier-Augen-Prinzip, das nicht nur an den Betrag gekoppelt ist, sondern an die Änderung der Zahlungsdaten. Viele Betriebe prüfen doppelt, sobald eine Summe einen Schwellenwert überschreitet. Angreifer kennen diese Logik und bleiben darunter. Wird die Doppelprüfung stattdessen bei jeder Änderung einer Kontoverbindung ausgelöst, greift sie unabhängig vom Betrag.
Was Echtzeitzahlungen verändern
Mit der Verbreitung von Echtzeitüberweisungen verkürzt sich das Zeitfenster für eine Rückholung erheblich. Früher war eine Zahlung nach der Freigabe noch Stunden unterwegs, und eine schnelle Reaktion konnte sie manchmal stoppen. Bei Gutschrift in Sekunden entfällt diese Möglichkeit praktisch. Damit verschiebt sich die Kontrolle zwangsläufig nach vorne: Was nach der Ausführung nicht mehr korrigierbar ist, muss vor der Ausführung geprüft werden.
Das ist die eigentliche organisatorische Folge der Entwicklung im Zahlungsverkehr, und sie wird in vielen Betrieben noch nicht abgebildet. Freigabeprozesse, die auf eine Korrekturmöglichkeit im Nachgang gebaut sind, verlieren ihre stille Rückfallebene.
Im Verdachtsfall
Der erste Schritt ist der Anruf bei der eigenen Bank mit der Bitte um Rückholung; bei sehr schnellem Handeln ist sie gelegentlich noch möglich. Parallel gehört das betroffene Postfach in der Lieferkette informiert, weil dort weitere Kunden betroffen sein dürften und der Zugang noch offen ist. Danach die eigenen Zugänge prüfen: Wurden Weiterleitungsregeln angelegt? Gibt es unbekannte Anmeldungen? Und schliesslich die Meldung — für Betriebe ohne eigene Forensik ist sie der schnellste Weg zu einer Einschätzung, ob eine Welle bekannt ist. Was in dieser Situation nicht hilft, ist die Suche nach dem Fehler bei einer einzelnen Person. Der Angriff ist darauf ausgelegt, von aufmerksamen Menschen nicht erkannt zu werden; deshalb braucht es eine Regel, die nicht von Aufmerksamkeit abhängt.