Der Betrieb hat eine Abschlagsrechnung mit einem nicht unbeträchtlichen Betrag an einen Kunden geschickt, wie das üblicherweise vorkommt. Die Rechnung war als PDF erstellt und in der Anlage mitgeschickt worden. Der Maildienstleister des Versenders, wie auch der des Empfängers waren beides seröse Anbieter mit entsprechender Standard-Transportverschlüsselung.
Der Kunde erhielt jedoch nicht die vom Betrieb original gestellte Rechnung, sondern eine „baugleiche“ Rechnung, in der im Fußtext nur die Bankverbindung abgeändert war. Die Bankverbindung des Malerbetriebs wurde durch eine andere Bankverbindung einer kleinen Internetbank abgeändert; ansonsten war der Rest identisch.
Kunde und Malerbetrieb hatten Glück. Die ausführende Bank bemerkte die Kontoverbindung, die offenbar auf einer „roten Liste“ stand und führte die Buchung nicht aus, bzw. buchte zurück. Damit entstand zum Glück kein Schaden.
Wäre dies der Bank nicht aufgefallen, so wäre der nicht unerhebliche Geldbetrag weg gewesen; der Ärger über die Bezahlung zwischen Kunde und Betrieb wäre zwangsläufig vorprogrammiert gewesen. Dazu muss man wissen: Beim Online-Banking besteht für Banken keine Verpflichtung den angegebenen Empfänger mit der angegebenen Kontoverbindung abzugleichen und das wird in der Regel auch nicht getan. Es reicht unter Umständen eine falsche IBAN aus.
Wie konnte es also dazu kommen, dass die Mail offenbar abgefangen wurde und der Kunde einen veränderten Mailanhang bekam? Vermutlich war Ursache eine Spähsoftware entweder auf dem Rechner (Server oder Client-Rechner) des Malerbetriebs oder beim Kunden. Die Wahrscheinlichkeit (weil lukrativer für die Täter) spricht für den Ausgangsrechner. Die falsche Bank gab es tatsächlich, es handelt sich um eine kleine reine Internetbank.
Was können Sie bestmöglich tun, um sich zu schützen?
- Überprüfen Sie Ihre Rechner ‚(regelmäßig) auf eventuell installierte Schadsoftware. Hierfür gibt es entsprechende Programme. Am besten wenden Sie sich jedoch an einen fachkundigen IT-Dienstleister.
- Kontrollieren Sie sowohl eingehende E-Mails als auch die mitgesandten PDF-Anhänge (Rechnungen etc.) ganz genau. Der Teufel liegt hier oftmals im Detail. Checken Sie auch, ob beispielsweise die angegebene Bankverbindung wirklich korrekt ist und fragen Sie im Zweifel bei Ihren Geschäftspartnern noch einmal telefonisch nach.
- Sensibilisieren Sie auch Ihre Mitarbeiter für einen sicheren Umgang mit eingehenden E-Mails.
- Halten Sie Ihre Software und vor allem Ihren Virenscanner und Firewalls stets auf dem neuesten Stand.
- Achten Sie auf eine ssl-Verschlüsselung bei Ihrem E-Mail-Versand.
Bringen Sie solche Fälle grundsätzlich zur Anzeige.
Sehr gute Tipps zur Cyber-Sicherheit bietet das BSI auf seiner Internetseite unter:
Eine hilfreiche Broschüre der Polizei zu CyberCrime finden Sie unter:
https://www.justiz.bayern.de/static/broschueren/cybercrime/index.html#page=1