Phishing, gefälschte Rechnungen und Änderungen bei der Lohnabrechnung

Viele E-Mail-Betrugsmaschen, die sich gegen öffentliche Einrichtungen richten, zielen nicht auf Ihren Computer. Sie zielen auf eine Zahlung. Das FBI nennt das Business Email Compromise: Ein Krimineller dringt in einen E-Mail-Verlauf ein oder ahmt ihn nach und verlangt, dass Geld an ein neues Ziel geht.

Im Jahr 2024 erhielt das Internet Crime Complaint Center (IC3) des FBI 21.442 Anzeigen wegen Business Email Compromise mit gemeldeten Schäden von 2,77 Milliarden US-Dollar. Das sind nur die Schäden, die gemeldet wurden.

Die vier Varianten, denen Sie begegnen werden

Geänderte Bankdaten. Ein Dienstleister, den Sie jeden Monat bezahlen, schreibt, seine Bank habe sich geändert. Die Rechnung sieht richtig aus, der Betrag stimmt, und die E-Mail kommt womöglich von der echten Adresse des Dienstleisters, weil sein Postfach übernommen wurde.

Umleitung von Gehältern. Ein „Mitarbeitender“ bittet die Lohnabrechnung oder die Verwaltungsleitung per E-Mail, das Gehalt vor dem nächsten Zahltag auf ein neues Konto zu überweisen. Die echte Person merkt es, wenn ihr Gehalt nicht ankommt.

Die dringende Amtsperson. Eine Nachricht, die scheinbar vom Bürgermeister, einer Vorsitzenden des Gremiums oder der Leitung kommt, verlangt Geschenkkarten, eine Überweisung oder einen vertraulichen Gefallen, sofort, und bittet Sie, niemandem davon zu erzählen.

Die gefälschte Rechnung. Eine Rechnung für eine Domainverlängerung, einen Verzeichniseintrag oder eine „Pflichtmeldung“, die die Einrichtung nie bestellt hat, oft über einen Betrag, der klein genug ist, um durchzurutschen.

Die Absenderadresse beweist nichts

Die Definition dieser Masche durch IC3 umfasst die Übernahme echter E-Mail-Konten. Wenn das Postfach eines Dienstleisters übernommen wird, schreibt der Kriminelle von der echten Adresse des Dienstleisters, innerhalb eines echten Verlaufs, mit Details aus früheren Nachrichten.

In anderen Fällen ist die Adresse eine fast identische Kopie: ein Buchstabe geändert oder eine andere Endung. Auf einem Telefon sehen Sie oft nur den Anzeigenamen.

Die Prüffrage lautet also nicht „Sieht das echt aus?“, sondern „Ändert das, wohin Geld geht?“

Die Rückruf-Regel

Jede Änderung von Zahlungsdaten, Bankverbindungen oder Gehaltskonten wird über einen zweiten Weg bestätigt, bevor sie wirksam wird:

1. Rufen Sie die bereits hinterlegte Nummer an, aus Ihren Lieferantenunterlagen oder dem Mitarbeiterverzeichnis. Niemals eine Nummer aus der E-Mail oder der Rechnung.
2. Lassen Sie die Änderung von einer zweiten Person freigeben. Ein Vier-Augen-Prinzip macht aus einem müden Moment zwei Gelegenheiten, den Betrug zu bemerken.
3. Halten Sie die Regel schriftlich fest, als Vorgabe der Einrichtung, damit sich niemand unhöflich fühlen muss, wenn er sie befolgt.

Der Rat des FBI selbst ist derselbe: Nutzen Sie einen zweiten Kanal, um Anfragen zur Änderung von Kontodaten zu prüfen.

Weitere Warnzeichen

• Dringlichkeit: „heute“, „bevor das Gremium tagt“, „das Konto wird geschlossen“.
• Geheimhaltung: „das bleibt unter uns“, „ich bin in einer Sitzung, erledigen Sie das einfach“.
• Eine Antwort, die an eine andere Adresse geht als die, von der die Nachricht kam.
• Ein Link „Rechnung ansehen“, der Sie zur Anmeldung auffordert.
• Ein Anhang, den Sie nicht erwartet haben, selbst von jemandem, den Sie kennen.

Wenn eine Nachricht Sie drängt, einen Schritt auszulassen, ist genau das der Grund, ihn zu gehen.

Wenn Sie geklickt haben oder Geld geflossen ist

Wenn Sie ein Passwort auf einer merkwürdigen Seite eingegeben haben, ändern Sie es sofort und geben Sie Ihrer IT-Ansprechperson Bescheid. Schnelligkeit zählt mehr als Verlegenheit, und eine rasche Meldung ist genau das, was gute Mitarbeitende tun.

Wenn Geld überwiesen wurde, rufen Sie sofort Ihre Bank an und verlangen Sie den Rückruf der Zahlung. Erstatten Sie dann Anzeige unter ic3.gov. IC3 bittet um Meldungen unabhängig von der Höhe des Schadens.

Sein Recovery Asset Team arbeitet mit Banken zusammen, um Gelder einzufrieren; für 2024 meldete es eingefrorene Gelder von 469,1 Millionen US-Dollar in inländischen Fällen. Das Einfrieren funktioniert am besten, wenn die Meldung schnell eingeht.