Im vergangenen Herbst erhielt eine neu eingestellte Verwaltungsassistentin einer renommierten Anwaltskanzlei an der Ostküste über einen Zeitraum von sechs Monaten drei E-Mails von einem Partner, in denen er sie aufforderte, insgesamt 240 000 US-Dollar an einen externen Berater zu überweisen.
Da sie keinen ihrer Vorgesetzten verärgern wollte, führte die Verwaltungsmitarbeiterin die Überweisungen durch. Alles schien in Ordnung zu sein – bis sich einige Monate später herausstellte, dass sich ein Cyberdieb als der Partner ausgegeben und das Geld entwendet hatte. Das Unternehmen reichte wegen seiner Verluste einen Anspruch im Rahmen seiner Cyberversicherung ein, der jedoch abgelehnt wurde, da sein Mitarbeiter eine interne Richtlinie zur doppelten Authentifizierung nicht befolgt hatte, wonach große Überweisungen von mehreren Verantwortlichen geprüft werden müssen.
„Solche Fälle von E-Mail-Missbrauch durch neue Mitarbeiter kommen leider immer häufiger vor“, sagt Kirsten Bay, Geschäftsführerin von Cysurance, einer Agentur für Cyberversicherungen. „Angreifer halten häufig Ausschau nach neuen E-Mail-Adressen von Unternehmen oder Beiträgen in sozialen Medien, in denen über Personen berichtet wird, die eine neue Stelle antreten.“ Anschließend geben sie sich digital als Führungskräfte des Unternehmens aus und nutzen dabei die Zurückhaltung der Mitarbeiter aus, die Legitimität von E-Mails von Führungskräften anzuzweifeln.“
Während viele Unternehmen Ransomware heute als ihr größtes Problem betrachten, nehmen Angriffe im Rahmen von „Business Email Compromise“ (BEC) (öffnet in einem neuen Tab), die es schon weitaus länger gibt, an Häufigkeit, Komplexität und Schweregrad zu.
„Ransomware steht im Mittelpunkt der Aufmerksamkeit, weil es sich dabei um spektakulärere, coolere Angriffe im Stil von ‚Cloak-and-Dagger‘ handelt“, sagt Eric Gyasi, Vizepräsident für Engagement Management und Rechtsanwalt bei Stroz Friedberg, einem Unternehmen der Aon-Gruppe. „Über den Missbrauch von geschäftlichen E-Mail-Konten hingegen spricht man nicht gerne.“ Das kommt oft vor, wenn sie betrogen wurden und sich deshalb dumm fühlen. Daher hört die Öffentlichkeit nicht so viel von ihnen. „Allerdings ist dieses Problem hinsichtlich des Ausmaßes ebenso weit verbreitet wie die Ransomware-Angriffe von – wenn nicht sogar noch mehr.“
Eine sich still und leise ausbreitende Bedrohung
Tatsächlich führt das „Internet Crime Complaint Center“ (IC3) des FBI BEC als die Internetkriminalitätsform mit dem größten finanziellen Schaden auf. Im Jahr 2021 führten BEC- und EAC-Betrugsfälle (E-Mail-Konto-Missbrauch) laut FBI weltweit zu Cyber-Schäden in Höhe von rund 2,4 Milliarden US-Dollar (wird in einem neuen Tab geöffnet), verglichen mit 49,2 Millionen US-Dollar durch Ransomware. Darüber hinaus sind laut FBI die BEC/EAC-Angriffe zwischen Juli 2019 und Dezember 2021 um 65 % gestiegen und haben Unternehmen seit 2016 (öffnet in einem neuen Tab) Kosten in Höhe von etwa 43,3 Milliarden US-Dollar verursacht, so das FBI.
„-Ransomware steht im Mittelpunkt der Aufmerksamkeit, weil es sich dabei um spektakulärere, coolere Angriffe im Stil von ‚Cloak-and-Dagger‘ handelt.“Eric Gyasi, Vizepräsident für Engagement-Management bei Stroz Friedberg
BEC zielt in der Regel auf Unternehmen ab, die regelmäßig Überweisungen tätigen. Betrüger verschaffen sich Zugriff auf das E-Mail-Konto eines Mitarbeiters, um Informationen über die Lieferanten des Unternehmens zu erhalten. Anschließend senden sie eine betrügerische Aufforderung zur Überweisung an einen Lieferanten. Der Verkäufer wird daraufhin dazu verleitet, Geld auf ein vom Täter kontrolliertes Konto zu überweisen.
Früher waren diese Dinge relativ leicht zu erkennen. Der Nutzer könnte in E-Mails nach „ “, schlecht reproduzierten Markenlogos, gebrochenem Englisch oder lächerlichen Werbesprüchen Ausschau halten und davon ausgehen, dass es sich um Phishing-Versuche handelt. Allerdings gelingt es Cyberkriminellen heutzutage besser, ihre Spuren zu verwischen. Sie fälschen die E-Mail-Adressen des Vorstandsvorsitzenden und des Finanzvorstands und versenden gefälschte Nachrichten an die Empfänger, die von den echten nicht zu unterscheiden sind.
Zudem analysieren sie Unternehmensabläufe und Mitarbeiteraktivitäten, um sich in entscheidenden Momenten nahtlos in wichtige Gespräche einzubringen. Wenn sie beispielsweise von einer Fusion erfahren, könnten sie dieses Wissen nutzen, um sich als Teil des Geschäfts auszugeben und Menschen dazu zu verleiten, ihnen Geld zu überweisen.
Dies kommt in fast jeder Branche häufiger vor, als Unternehmen zugeben möchten, darunter:
- Immobilien, , wo Betrüger Hunderttausende Dollar an Geldern von Verkäufern und Käufern abgezweigt haben. Nach Angaben des FBI wurden im Jahr 2020 etwa 13 638 Personen Opfer von Immobilienbetrug per Überweisung, wobei sich die Verluste auf insgesamt mehr als 213 Millionen Dollar beliefen. Ein großer Teil davon ist auf BEC zurückzuführen.
- Gesundheitswesen, – hier haben Cyberkriminelle BEC-Angriffe auf Zahlungsabwickler gestartet, um Zahlungen der Opfer umzuleiten. Im April stellte beispielsweise ein Unternehmen im Gesundheitswesen mit mehr als 175 medizinischen Dienstleistern fest, dass jemand, der sich als Mitarbeiter ausgab, die ACH-Anweisungen (Automated Clearing House) für einen seiner Zahlungsabwicklungsdienstleister geändert hatte, um rund 840 000 US-Dollar an den Räuber statt an die vorgesehenen Dienstleister weiterzuleiten, wie das FBI mitteilte.
- Philanthropie, – eine Plattform, auf der Cyberkriminelle Gelder entwendet haben, die eigentlich dazu bestimmt waren, Menschen auf der ganzen Welt zu helfen. Während der Feiertage im Jahr 2020 beispielsweise fälschten Hacker eine seriös aussehende Rechnung, schickten diese an „ “ (One Treasure Island), eine gemeinnützige Organisation in San Francisco, die sich für Obdachlose einsetzt, und überredeten jemanden, 650 000 Dollar in drei einzelnen Zahlungen auf ein Bankkonto in Odessa, Texas, zu überweisen. Die Organisation konnte 37 000 Dollar von einem gesperrten Konto zurückerhalten, verlor jedoch den Rest.
„. Da die menschliche Natur nun einmal so ist, wie sie ist, lassen sich diese Betrugsmaschen leichter durchführen, als Sie vielleicht denken.“Frank Dickson, Group Vice President und Analyst für Sicherheit und Vertrauen bei IDC
Angesichts des immer ausgefeilteren Vorgehens der Hacker ist klar, dass BEC-Angriffe nicht verschwinden werden. Wenn überhaupt, dann beschleunigen Fortschritte bei automatisierten Technologien wie künstlicher Intelligenz (KI) und maschinellem Lernen (ML) sowie die kontinuierliche Weiterentwicklung von Deepfake-Audio- und -Videomaterial ihre Bemühungen.
Darüber hinaus ist BEC jedoch auch deshalb weiterhin erfolgreich, weil es die Vertrauensbereitschaft der Menschen ausnutzt. Den meisten Menschen fällt es schwer, E-Mails zu hinterfragen, die scheinbar von Führungskräften, geschätzten Partnern, Kunden oder den Medien stammen. Und sie prüfen nicht immer jede E-Mail-Adresse genau, um sicherzustellen, dass sie im korrekten Unternehmensformat verfasst ist, denn – seien wir ehrlich – sie haben keine Zeit dafür – und werden diese wahrscheinlich auch nie haben.
Entscheidende Gegenmaßnahmen
Beobachter sind der Ansicht, dass Organisationen menschliche Tendenzen durch die Umsetzung der folgenden bewährten Verfahren in den Bereichen Technologie und Arbeitsabläufe ausgleichen müssen:
Investieren Sie in Aufklärung und Sensibilisierung. Laut dem „Verizon 2022 Data Breach Investigations Report“ ( ) waren bei 82 % der Datenpannen „menschliche Faktoren“ beteiligt, darunter soziale Angriffe, Fehler und Missbrauch. Tatsächlich benötigt BEC – anders als Ransomware oder andere Angriffe – nicht einmal Malware, um erfolgreich zu sein, sagt Frank Dickson, Group Vice President und Analyst für Sicherheit und Vertrauen beim Marktforschungsunternehmen IDC. „Da die menschliche Natur nun einmal so ist, wie sie ist, lassen sich diese Betrugsmaschen leichter durchführen, als Sie vielleicht denken“, sagt er.
Dickson erklärt, dass Investitionen in Schulungsprogramme, die den Mitarbeitern helfen, mögliche BEC-Versuche zu erkennen und darauf zu reagieren, unerlässlich sind.
Implementieren Sie die Multi-Faktor-Authentifizierung (MFA) von „ “ unter. Die Multi-Faktor-Authentifizierung hat dazu beigetragen, Ransomware-Angriffe zu minimieren, und ist mittlerweile eine Grundvoraussetzung in Cyber-Versicherungspolicen. Das hat einen guten Grund: Zusätzliche Sicherheitsmaßnahmen, bevor jemand Zugriff auf ein Netzwerk, ein E-Mail-Konto oder ein Finanzkonto erhält, können einen BEC-Versuch im Keim ersticken. Umgekehrt kann das Fehlen von MFA zu einer Katastrophe führen. Tatsächlich verfügten von allen BEC-Fällen, die das Sicherheitsüberwachungsunternehmen Arctic Wolf in der ersten Jahreshälfte erfasst hat ( ), 80 % der betroffenen Organisationen ( ) über keine MFA.
Setzen Sie auf eine mehrschichtige Verteidigung. Auch wenn BEC-Angriffe technisch nicht unbedingt besonders ausgefeilt sind, können grundlegende Sicherheitsmaßnahmen und regelmäßige Aktualisierungen der IT-Systeme Abhilfe schaffen. Analysten empfehlen den Einsatz von Spamfiltern, die Einführung sicherer Verfahren zur Dateifreigabe sowie die Umsetzung von Zero-Trust-Ansätzen nach dem Prinzip „ “ (), bei denen jede Person oder Maschine, die versucht, auf ein Netzwerk zuzugreifen, so lange als verdächtig gilt, bis das Gegenteil bewiesen ist.
Während Ransomware weiterhin weltweit im Fokus der Aufmerksamkeit steht, weisen Beobachter darauf hin, dass Unternehmen das Problem der Manipulation von Geschäfts-E-Mails nicht auf die leichte Schulter nehmen dürfen. Diese unterschätzte Bedrohung wird nicht verschwinden. Wenn überhaupt, nimmt das Phänomen an Häufigkeit, Komplexität und Schwere zu. Es ist von entscheidender Bedeutung, sich jetzt damit zu befassen.
