Warum Rechnungen ein attraktives Angriffsziel sind.
Rechnungsprozesse verbinden E-Mail, Dateien, Lieferanteninformationen und Zahlungsfreigaben. Angreifer müssen deshalb nicht zwingend Schadsoftware einschleusen. Manchmal genügt eine glaubwürdige Nachricht mit einer neuen Bankverbindung.
Besonders riskant sind kurzfristige Änderungen, ungewöhnliche Dringlichkeit und Nachrichten, die eine bestehende Kommunikation imitieren.
Bankdaten nie nur per E-Mail ändern.
Eine einfache organisatorische Kontrolle ist der Rückruf über eine bereits bekannte Telefonnummer. Die Kontaktdaten sollten nicht aus der verdächtigen Nachricht übernommen werden.
Bei größeren Zahlungen kann zusätzlich ein Vier-Augen-Prinzip sinnvoll sein. Entscheidend ist, dass die Kontrolle als fester Prozess definiert ist und nicht vom Bauchgefühl des einzelnen Mitarbeiters abhängt.
Technische Signale unterstützen, ersetzen aber nicht.
Mailfilter, SPF, DKIM und DMARC können viele Fälschungen erschweren. Ein kompromittiertes echtes Postfach kann jedoch technisch legitim versenden. Deshalb bleibt die inhaltliche Prüfung ungewöhnlicher Zahlungsanforderungen notwendig.
Technik und Organisation müssen an dieser Stelle zusammenarbeiten.
Training sollte echte Arbeitsabläufe abbilden.
Allgemeine Warnungen vor unbekannten Links reichen für das Rechnungswesen nicht aus. Eine wirksame Security Awareness greift typische Situationen des Unternehmens auf, etwa Rechnungsänderungen, Geschäftsführeranweisungen oder Lieferantenkommunikation.
Dadurch lernen Mitarbeiter nicht nur verdächtige Nachrichten zu erkennen, sondern auch den richtigen internen Prüfweg.
Geschäftsführer-Betrug nutzt Hierarchie.
Angreifer geben sich häufig als Geschäftsführer oder Vorgesetzter aus und verlangen eine schnelle, vertrauliche Zahlung. Der soziale Druck soll verhindern, dass der Empfänger den normalen Freigabeweg nutzt.
Ein klarer Prozess schützt Mitarbeiter, weil sie sich bei ungewöhnlichen Zahlungen auf eine verbindliche Regel berufen können, statt eine vermeintliche Autorität persönlich infrage stellen zu müssen.
Echte Kommunikationsdaten erhöhen die Glaubwürdigkeit.
Wenn Angreifer Informationen aus Webseiten, sozialen Netzwerken oder kompromittierten Postfächern kennen, können sie Ansprechpartner, Projekte und Lieferanten korrekt benennen. Rechtschreibfehler sind deshalb längst kein zuverlässiges Erkennungsmerkmal.
Entscheidend sind Abweichungen vom üblichen Prozess, ungewöhnliche Zahlungswege und Änderungen kritischer Stammdaten.
Verdächtige Nachrichten nicht weiterleiten wie normale Post.
Beim internen Melden sollte die IT möglichst die ursprüngliche Nachricht mit technischen Kopfzeilen erhalten. Ein Screenshot zeigt zwar den sichtbaren Inhalt, verliert aber wichtige Informationen über den tatsächlichen Versandweg.
Der Meldeprozess sollte deshalb erklären, wie eine verdächtige Nachricht im eingesetzten Mailsystem korrekt übergeben wird.
Nach einem Treffer schnell weitere Empfänger prüfen.
Wenn ein Mitarbeiter eine Phishing-Mail meldet, sollte geprüft werden, ob identische oder ähnliche Nachrichten weitere Postfächer erreicht haben. So kann aus einer einzelnen Meldung eine schnelle Schutzmaßnahme für das gesamte Unternehmen werden.
Eine gute Meldekultur ist deshalb nicht nur Schulungsergebnis, sondern ein praktischer Bestandteil der technischen Abwehr.