Cyber-Kriminalität

Sicherheitslücke Mensch - Betrüger ergaunern über eine Milliarde US-Dollar

Unternehmen investieren Unsummen in Datensicherheit, um sich vor Cyber-Attacken zu schützen. Doch eine Sicherheitslücke vermag auch das sicherste System der Welt nicht zu schließen: die Nutzer. Genau darauf haben es die Betrüger mittlerweile abgesehen.

Die Finanzchefin der Infront Consulting Group sitzt gerade am ihrem Schreibtisch, als sie eine E-Mail ihres Vorgesetzten erhält, sie möge doch bitte eine Zahlung in Höhe von 169.705 US-Dollar veranlassen. An sich ein durchaus normaler Vorgang und eigentlich nicht der Rede wert. Insofern hätte die Finanzchefin wohl auch nie Verdacht geschöpft. So ist es letztlich einem Zufall zu verdanken, dass die Infront Consulting Group im Februar nicht in die Falle von ausgebufften Trickbetrügern getappt ist.

Denn während sie die Überweisung vorbereitet, klingelt ihr Telefon. Am Apparat: CEO Rory McCaw. Na, wenn ich ihn schon mal an der Strippe habe, kann ich auch gleich fragen, was es mit der Zahlung auf sich hat, denkt sich die Finanzchefin und hakt nach. McCaw reagiert irritiert. Welche Überweisung? Nein, eine E-Mail habe er nicht geschrieben. Spätestens jetzt schrillen alle Alarmglocken.

Alles echt – bis auf einen Buchstaben

Bei genauerem Hinsehen werden die beiden schließlich fündig. Tatsächlich stammt die E-Mail nicht von McCaw, sondern von einer Adresse, die der echten zum Verwechseln ähnlich sieht. Lediglich ein fehlendes l in „consulting“ verrät, dass der Absender nicht der ist, der er vorgibt zu sein. Doch wer schaut schon so genau hin?

Erst im Februar sorgte ein ähnlicher Fall eines amerikanischen Top-Managers für Aufsehen, der versehentlich 17 Millionen US-Dollar an Betrüger überwies. Auch er hatte zuvor eine vermeintliche E-Mail seines Chefs bekommen (siehe: Wie im Film: Top-Manager fällt auf Betrüger rein – und überweist ihnen 17 Millionen Dollar).

Betrüger erbeuten über eine Milliarde US-Dollar

Tatsächlich häufen sich solche Betrugsfälle. Über eine Milliarde US-Dollar sollen sich Betrüger seit Oktober 2013 auf diese Weise schon erschlichen haben, Tendenz steigend. Das berichtet das „Wall Street Journal“ unter Berufung auf Ermittlungen des FBI. Den amerikanischen Behörden lägen Fälle aus über 64 Ländern vor. Betrüger hätten es demnach vor allem auf kleine bis mittelständische Unternehmen abgesehen, da diese aufgrund geringerer Sicherheitsvorkehrungen leichter zu hacken seien.

Bei der beliebten „Business-E-Mail“-Methode wenden sich die Betrüger mit einer täuschend echt aussehenden E-Mail-Adresse direkt an ihr potenzielles Opfer. Wie im Fall der Infront Consulting Group deutet meist nur ein einziger falscher Buchstabe auf den Betrug hin. Häufig geht der Plan auf und die Opfer tappen in die Falle. Das überwiesene Geld sehen sie meist nicht wieder. Denn je mehr Zeit vergeht, bis der Betrug auffliegt, desto größer die Chancen der Diebe. Nach 72 Stunden sei es „extrem schwierig“, das Geld zurückzuholen, so FBI-Agent Patrick Fallon gegenüber dem „WSJ“.

Eine weitere Masche der Betrüger: Sie hacken sich in das E-Mail-System und ändern unbemerkt die Kontodaten. Genau das ist Mega Metals passiert. Das Schrottunternehmen hatte eine Ladung Titanium-Schnipsel bei einem deutschen Lieferanten bestellt und dafür 100.000 US-Dollar gezahlt – dachten sie zumindest. Erst als sich der Lieferant meldete und nachfragte, warum Mega Metals die Ladung noch nicht bezahlt habe, flog der Betrug auf. Hacker waren in das E-Mail-System eines zwischengeschalteten Brokers eingedrungen und hatten unbemerkt die Kontodaten geändert. Weder Mega Metals noch der Broker ahnten, dass sie das Geld nicht wie geplant an den deutschen Lieferanten überwiesen hatten, sondern auf das Konto der Betrüger.

Sicherheitslücke Mensch

Fälle wie diese machen deutlich, wie einfallsreich Betrüger heutzutage vorgehen. Und oftmals leisten ihnen die Unternehmen ohne es zu ahnen Schützenhilfe. Denn die Kriminellen machen sich öffentlich verfügbare Daten zunutze. Sie bereiten sich wochen- oder gar monatelang auf ihren Coup vor und studieren die Geschäftspraktiken ihrer potenziellen Opfer, bevor sie zuschlagen (Lesen Sie hierzu auch: Hacker erbeuten eine Milliarde US-Dollar - und der Bankraub geht weiter!). Beobachter nennen dieses Phänomen „social engineering“-Betrug, weil die Betrüger nicht das System an sich angreifen. Vielmehr nehmen sie andere Schwachstellen ins Visier: die Menschen, die das System bedienen. Das musste zuletzt auch Thomas Merton schmerzlich erfahren (siehe: Wie ein mysteriöser Anruf das Leben eines Finanzchefs zerstörte).