CEO Fraud

Wenn Hacker Chef spielen

Pascal Cronauer ist Country Manager DACH bei LogPoint und Experte für SIEM-Systeme und Sicherheits-Monitoring sowie Netzwerkanalyse. Er ist an der Umsetzung von Projekten in DACH branchenübergreifend tätig und hält auf wichtigen Kongressen und Messen regelmäßig Vorträge. Der gebürtige Bayer hat Informatik mit Schwerpunkt IT-Sicherheit an den Universitäten Hagenberg und Salzburg studiert.
Was nach Dummejungenstreich klingt, kann für Unternehmen verheerende Auswirkungen haben. Wir verraten Ihnen die Tricks der Hacker und wie Sie sich vor dieser existenzbedrohenden Betrugsmasche schützen.

Stellen Sie sich vor, Sie arbeiten in der Buchhaltung und erhalten plötzlich eine E-Mail von der Privatadresse des CEOs Ihres Unternehmens. Zunächst einmal wirkt das nicht unbedingt verdächtig, Geschäftsführer arbeiten schließlich viel, während sie unterwegs sind. Da kann es durchaus vorkommen, dass nicht jede E-Mail vom Firmen-Account abgeht oder richtig signiert ist. Außerdem kennen Sie Ihren CEO nur vom Namen und hatten bisher noch nicht viel mit ihm zu tun. Eine Aussage über sein Kommunikationsverhalten ist also nur schwer zu treffen. So weit, so unverdächtig. Die E-Mail beinhaltet weiterhin eine Anweisung Ihres Chefs, eine größere Summe Geld auf ein externes Konto im Ausland zu überweisen. Der Grund: Es steht ein Firmenkauf in Asien an. Auch das kommt gelegentlich vor, schließlich arbeiten Sie in der Finanzabteilung und Ihr Unternehmen unterhält eine Niederlassung in Fernost.

Wenn der vermeintliche CEO in Wahrheit ein Hacker ist, kann das für Unternehmen zum existenzbedrohenden Problem werden. Wir sagen Ihnen, wie die Hacker vorgehen und wie Sie sich vor CEO Fraud schützen.
Wenn der vermeintliche CEO in Wahrheit ein Hacker ist, kann das für Unternehmen zum existenzbedrohenden Problem werden. Wir sagen Ihnen, wie die Hacker vorgehen und wie Sie sich vor CEO Fraud schützen.
Foto: Elnur - shutterstock.com

Das Problem dabei ist nur: Die E-Mail entstammt gar nicht der Feder Ihres CEOs. Das merken Sie allerdings erst, als es schon zu spät ist. Die Überweisung ist getätigt und kann nicht mehr rückgängig gemacht werden - das Geld ist weg. Und Sie wurden soeben zum Opfer einer perfiden Hacker-Betrugsmasche namens CEO Fraud.

CEO Fraud und die kostenintensiven Folgen

Die Taktiken, die die kriminellen Hacker dabei einsetzen, sind alles andere als neu, funktionieren aber immer noch ziemlich gut. Der Grund liegt insbesondere im fortwährenden Mangel an Security Awareness. Das eben beschriebene Szenario spielt sich übrigens nicht nur im Finanzwesen ab - Unternehmen aller Branchen sind von CEO Fraud bedroht. Logischerweise haben es die Cyberkriminellen bei dieser Betrugsmasche in erster Linie auf Mitarbeiter aus Buchhaltung oder Rechnungswesen abgesehen. Schließlich verfügen die über die nötigen Berechtigungen, finanzielle Transaktionen durchzuführen.

Fälle von CEO Fraud gibt es viele - auch in Deutschland. Vor knapp einem Jahr erwischte es etwa den Automobilzulieferer Leoni. Wie der Konzern in einer Pressemitteilung berichtet, wurde er dabei um 40 Millionen Euro betrogen. Auch die Hofpfisterei in München wurde bereits zum Opfer von CEO Fraud: Chinesische Hacker konnten die Buchhaltung mit einer vermeintlichen E-Mail des CEOs davon überzeugen, insgesamt 1,9 Millionen Euro auf ihr Konto zu überweisen.

Inzwischen warnen auch das Bundesamt für Sicherheit in der Informationstechnik (BSI) und das Bundeskriminalamt (BKA) vor CEO-Fraud. Allein in den letzten Monaten sind nach Angaben der Behörden durch den Cyber-Trickbetrug Schäden in Millionenhöhe entstanden. Allerdings ist dem BKA nach eigner Aussage zuletzt ein Schlag gegen die kriminellen Hacker gelungen: Eine Liste mit mehr als 5000 möglichen Zielpersonen für CEO Fraud ist den Ermittlern demnach in die Hände gefallen. Die Betroffenen wurden inzwischen vom BSI kontaktiert.

BSI-Präsident Arne Schönbohm hat einige Handlungsempfehlungen für den Ernstfall auf Lager: "CEO-Fraud ist ein einträgliches Geschäftsmodell für die organisierte Kriminalität, auf das wir als nationale Cyber-Sicherheitsbehörde schon seit Jahren hinweisen. Auch in diesem akuten Fall sollten Betroffene in Unternehmen, die bereits eine gefälschte Mail erhalten und daraufhin gegebenenfalls Schritte zur Zahlung eingeleitet haben, diese Vorgänge, wenn möglich stornieren und unverzüglich Anzeige bei der Polizei erstatten. Darüber hinaus sollten alle Mitarbeiterinnen und Mitarbeiter, die zu Zahlungsvorgängen berechtigt sind, auf diese kriminelle Methode hingewiesen und sensibilisiert werden, dass entsprechende Betrugsversuche in näherer Zukunft eingehen könnten."

»

IDG Executive Education - Cybersecurity

IDG Executive Education

Exklusiv-Seminar "Cybersecurity"

COMPUTERWOCHE/CIO und das Fraunhofer AISEC - Institut für Angewandte und Integrierte Sicherheit laden Manager am 7. und 8. März 2018 zu einer Fortbildung in Cybersecurity ein. Lernen Sie aktuelle Risiken kennen und einzuschätzen, stellen Sie den Kontext für Ihr eigenes Business her und entwickeln Sie die passenden Abwehrstrategien.

Mehr Infos unter:

www.idg-executive-education.de

Inhalt dieses Artikels