CEO-Fraud: immer besser, immer erfolgreicher - was aktuell schützt

Eine Welle von CEO-Fraud überschwemmt aktuell die Unternehmen - E-Mails oder sogar Deep-Fake-Anrufe von vermeintlichen Vorgesetzten, Kollegen oder Vertrauenspersonen, die zu dringenden Geldüberweisungen oder Herausgabe vertraulicher Daten auffordern.

Besonders gefährlich: Die Täter setzen gezielt auf Zeit- und Hierarchie-Druck.

Warum KI die Masche "CEO-Fraud" so erfolgreich macht

Waren viele solcher E-Mails in der Vergangenheit oft auf den ersten Blick zu identifizieren, spielt KI auch kriminellen Geistern immer mehr in die Hände: Zielpersonen und deren Beziehungen im Unternehmens-Organigramm oder zu Kunden lassen sich immer besser auskundschaften, Absender-E-Mail-Adressen sind verschleiert oder ähneln dem Original im hohen Maße und das Schreiben ist im perfekten Deutsch verfasst.

All das führt dazu, das Kriminelle auf "Masse" setzen können: das Aufkommen an betrügerischen, gut gemachten E-Mails ist deutlich erhöht, die angeordneten Geldbeträge werden kleiner, die Hemmschwelle bzw. die Achtsamkeit bei den E-Mail-Empfängern sinkt.

Ein Beispiel: So könnte eine CEO-Fraud-E-Mail aussehen

Betreff: Vertraulich: Sofortige Überweisung nötig

Guten Morgen Frau Becker,

wir müssen heute noch eine dringende Zahlung an unseren neuen Lieferanten veranlassen.
Bitte überweisen Sie 8.450 € an die folgende IBAN: DE88 0000 0000 0000 0000 00.
Das ist vertraulich, bitte nicht weiterleiten oder nachfragen – wir müssen den Deal noch vor Feierabend abschließen.

Danke für Ihre Diskretion.
– Dr. Schmidt, CEO

Was können Sie tun, um sich zu schützen?

1. Konkrete Tipps im Umgang mit (ungewöhnlichen) E-Mails

• Ist diese Vorgehensweise üblich?
  Wie oft kommen solche Vorgänge üblicherweise zwischen Ihrem Kollegen/ Vorgesetzten und Ihnen vor?Macht diese Zahlungsaufforderung Sinn? 
  Ist Ihnen der Zahlungsempfänger bzw. sind Ihnen die Kontodaten bekannt?
  Schreibt der Absender in seinem üblichen Stil?

• Absender und Links prüfen
  Überprüfen Sie die Absenderadresse: ist es das Original oder nur sehr ähnlich?
  Beispiel:  m.meier@vectano.de  oder m.meier@vectanoo.de oder m.meier1@vectano.de?

  Beim Spoofing werden Absender-Adressen mit echten Namen verschleiert / überdeckt.
  Lösung: fahren Sie mit Ihrem Cursor / Ihrer Maus über die Absender-E-Mail-Adresse oder auch über Links (ohne anzuklicken!), und die dahinterliegende echte Adresse wird sichtbar (Mouse-Over-Check). Googeln Sie im Zweifel die sichtbar gewordene Domain (z.B. vectanoo.de)
  
• Keine Angst nachzufragen
  Lieber einmal mehr rückversichern als einmal zu wenig, aber bitte nicht per Antwort-E-Mail!
  Besprechen Sie die Situation am besten persönlich oder per Telefon / Teams.
  
  Und vor allem: bewahren Sie die Ruhe, auch wenn der Tag noch so stressig ist.

2. Technische Schutzmaßnahmen

Sprechen Sie Ihre(n) IT-Verantwortliche(n) darauf an, ob folgende Einstellungen in Ihrem System eingerichtet sind:

• DKIM (DomainKeys Identified Mail): stellt sicher, dass eine E-Mail unverändert vom Absender stammt
• SPF (Sender Policy Framework): regelt, wer befugt ist, von einer Domain E-Mails zu versenden
• DMARC (Domain-based Message Authentication, Reporting and Conformance): baut auf DKIM und SPF auf; regelt darüber hinaus für eine Absender-Domain, wie das Empfänger-Mailsystem die Authentifizierung von E-Mails durchführen soll und wie im Falle eines Fehlers zu verfahren ist
  
  

3. Sensibilisierung aller Mitarbeiter

Menschen sind das stärkste Glied in der Sicherheitskette, wenn sie gut vorbereitet sind.
Mit unserem Security Awareness Training stärken sie das Know-How und die Achtsamkeit im Umgang mit betrügerischen Bedrohungen in Ihrem Unternehmen. Das Training umfasst regelmäßig versendeten Test-E-Mails, praxisnahe Trainings und kurzweiligen Lehr-Videos zur Sensibilisierung für aktuelle Betrugsarten sowie Wissen, was im Fall der Fälle sofort zu tun ist.

Wir beraten Sie ganz unverbindlich

Wenn Sie Fragen haben oder sich über unsere Lösungen informieren möchten,
buchen Sie ganz einfach hier Ihren Termin für ein unverbindliches Beratungsgespräch.