Warum und wie sollten Sie Ihre Mitarbeiter für „CEO-Fraud“ sensibilisieren?

Es handelt sich um eine Form von Überweisungsbetrug. Dabei wird die Überweisung meist von den Mitarbeitern eines Unternehmens getätigt, ohne dass diese überhaupt erkennen können, dass sie einem Betrugsszenario zum Opfer gefallen sind. Hierzu manipuliert der Betrüger einen Mitarbeiter so, dass dieser schließlich eine Überweisung initiiert. Diese ungerechtfertigte Überweisung wird anschließend von anderen Mitarbeitern, die über eine Vollmacht für das Konto verfügen, wenn nicht gar von den Geschäftsführern des Unternehmens bestätigt und unterzeichnet. Es wird also eine Überweisung ausgelöst, die zwar legitim aussieht, es aber nicht ist.

Der Betrug läuft in zwei Phasen ab:

Mit einer gut durchdachten Strategie nehmen die Betrüger sodann per Telefon oder E-Mail Kontakt zu ihrer Zielperson auf, um sie zur Veranlassung von Zahlungen auf ein Konto mit einer geänderten Nummer zu verleiten. Hierbei betonen sie, dass es sich um eine überaus dringende und streng vertrauliche Ausnahmesituation handele. Oft wird zu einem mit Bedacht gewählten Zeitpunkt zu diesem Angriff übergegangen, etwa dann, wenn ein Vorgesetzter abwesend oder ein Geschäftspartner krankgeschrieben ist. So sind alle Voraussetzungen dafür gegeben, um die Zielperson dazu zu bewegen, der Aufforderung Folge zu leisten.

Betrüger können sich auch in ein E-Mail-Postfach einhacken, um Daten wie Adressbuchkontakte zu sammeln, Informationen aus dem Schriftverkehr als Aufhänger zu verwenden oder schlicht das e-Mail-Konto zur Kontaktaufnahme zu nutzen. So geben sie sich als den vermeintlichen Absender einer e-Mail aus und verwenden gefälschte Dokumente wie Überweisungsaufträge, Rechnungen etc. als Belege, um betrügerische Transaktionen auszulösen.

Es gibt auch klassischere Varianten, die auf dem Versand einer gefälschten Rechnung beruhen. Diese wird im Namen eines tatsächlichen Auftragnehmers des Unternehmens ausgestellt und in Papierform (Post) oder elektronisch (E-Mail) verschickt und unterscheidet sich nur in der geänderten Kontonummer von authentischen Rechnungen.

Mitarbeiter, die über die Arten der grassierenden Betrugsmaschen Bescheid wissen, sind für Ihr Unternehmen ein großer Vorteil. Denn Ihre Mitarbeiter sind die ersten, die bei dieser Art von Betrug ins Visier genommen werden. Deshalb ist es wichtig, dass sie jene Situationen erkennen, die ihnen seltsam oder ungewöhnlich erscheinen (Beispiel: Ein Lieferant versendet seine Rechnungen üblicherweise per Post, doch die letzte Rechnung ist per E-Mail eingetroffen). Derlei Situationen sollten hellhörig machen, wenn auf äußerste Dringlichkeit oder höchste Vertraulichkeit hingewiesen wird oder ein Vorgang ungewöhnlich ist.

Allzu starre Verfahrenswege sind Ihnen womöglich ein Dorn im Auge. Dennoch sollten Sie sich darüber bewusst sein, dass sie im Hinblick auf Ihre Sicherheit ein echtes Betrugshindernis darstellen. Schon ein stringenter Freigabeprozess kann Sie besser vor betrügerischen Machenschaften schützen. Warum nicht zum Beispiel ein Verfahren mit verschiedenen Freigabeebenen einführen, von denen vielleicht eine zwingend dem Vieraugenprinzip unterliegen muss, um sicherzustellen, dass Rechnungen authentisch sind? Oder einfach eine begrenzte Liste mit Nummern von Girokonten führen, die als Empfänger zu verwenden sind, und für Änderungen dieser Liste ein internes Freigabeverfahren vorschreiben? Ebenso wichtig ist es, stets die Herkunft einer E-Mail zu überprüfen. Die Adresse oder der Absender einer E-Mail werden oft verschleiert. Wenngleich auf den ersten Blick alles in Ordnung zu sein scheint, ist bei genauerem Hinsehen zu erkennen, dass es sich um eine Nachahmung handelt, die mit der bereits bekannten Adresse nahezu übereinstimmt.

Schon mit diesen wenigen Möglichkeiten, die Kontrolle über Überweisungen zu verstärken, verfügen Sie über einen ersten Filter, der Fehler aus Unachtsamkeit zu vermeiden hilft. 

Sobald eine Rechnung nicht mit früheren Rechnungen übereinzustimmen scheint (neues Bankkonto, unbekannte Telefonnummer etc.), ist die volle Aufmerksamkeit des Empfängers gefragt. Bestehen die Zweifel des Unternehmens an der Echtheit des Dokuments auch nach dieser Kontrolle fort, so empfiehlt es sich außerdem, sich an seinen Bankberater zu wenden, der seinerseits die Echtheit des Dokuments überprüfen kann. Der Bank wird es stets lieber sein, einem Betrugsrisiko vorzugreifen, als den Kunden darüber informieren zu müssen, dass er einem Betrug zum Opfer gefallen ist.

Spuerkeess würde sich freuen, Sie zu seinem nächsten Workshop einladen zu dürfen. Um über das Datum informiert zu werden, füllen Sie bitte das folgende Formular aus.