Latest / IT ohne Drama – der kjello-Podcast / Phishing: Warum Ihre Buchhaltung das Hauptziel ist

Transcript

Phishing: Warum Ihre Buchhaltung das Hauptziel ist · IT ohne Drama – der kjello-Podcast

• 0:04
  Lena: Wenn bei uns eine Betrugsmail kommt, denke ich an den Paketdienst oder an die Bank.
• 0:09
  Lena: Warum soll ausgerechnet die Buchhaltung das Hauptziel sein?
• 0:13
  Jonas: Weil dort jemand sitzt, der Geld bewegen darf.
• 0:16
  Jonas: Wer eine Überweisung auslösen kann, ist für Betrüger wertvoller als jeder Laptop.
• 0:20
  Lena: Und wie groß ist das Problem wirklich?
• 0:23
  Lena: Ich höre die Warnungen seit Jahren.
• 0:25
  Jonas: Das Bundeskriminalamt hat für zweitausendfünfundzwanzig rund dreihundertvierunddreißigtausend Fälle von Internetkriminalität gezählt.
• 0:33
  Jonas: Phishing, also das Abfischen über gefälschte Nachrichten, bleibt dabei ein beliebter Einstieg.
• 0:39
  Jonas: Eine Zahl zum Schaden kommt vom FBI, der amerikanischen Bundespolizei.
• 0:43
  Jonas: Allein zum Betrug mit gefälschten Geschäftsmails wurden ihm zweitausendfünfundzwanzig gut drei Milliarden Dollar Schaden gemeldet.
• 0:50
  Lena: Drei Milliarden.
• 0:51
  Lena: Ist das nicht ein amerikanisches Thema?
• 0:53
  Jonas: Die Masche ist dieselbe, nur die Sprache wechselt.
• 0:56
  Jonas: Und mit Programmen, die Texte schreiben, klingen die Mails inzwischen glaubwürdig und offiziell.
• 1:01
  Lena: Und wer ist im Haus dafür zuständig?
• 1:03
  Lena: Die IT?
• 1:04
  Jonas: Die IT kann Filter einschalten und Konten absichern.
• 1:06
  Jonas: Aber wie Zahlungen freigegeben werden, legt nur die Geschäftsführung fest, und genau dort entscheidet sich, ob ein Angriff Geld kostet.
• 1:13
  Lena: Was nehme ich aus dieser Folge mit?
• 1:15
  Jonas: Drei typische Fälle aus der Buchhaltung, jeweils mit dem Fehler und dem besseren Ablauf.
• 1:20
  Jonas: Und am Ende drei Regeln, die Sie morgen im Haus festlegen können.
• 1:24
  Lena: Fangen wir mit dem Klassiker an.
• 1:25
  Lena: Wie sieht so ein Angriff aus?
• 1:27
  Jonas: Ein typischer Fall: Freitagnachmittag, die Geschäftsführerin ist laut Abwesenheitsnotiz auf einer Messe.
• 1:32
  Jonas: Bei der Buchhalterin kommt eine Mail von ihr an.
• 1:35
  Jonas: Darin steht: Wir übernehmen gerade eine Firma im Ausland, das ist streng vertraulich.
• 1:40
  Jonas: Bitte heute noch eine Anzahlung überweisen, sprechen Sie mit niemandem darüber.
• 1:44
  Lena: Das würde bei uns niemand machen.
• 1:46
  Lena: Die Kollegen kennen mich doch.
• 1:48
  Jonas: Genau darauf setzen die Täter.
• 1:50
  Jonas: Die Polizei beschreibt, dass sie vorher recherchieren: im Handelsregister, auf der Firmenseite, in Broschüren und in den sozialen Netzwerken der Beschäftigten.
• 1:59
  Jonas: Die Mail kennt also Namen, Tonfall und den Messetermin.
• 2:02
  Jonas: Und die Absenderadresse weicht oft nur um einen Buchstaben ab, etwa r und n statt m.
• 2:07
  Lena: Woran soll meine Buchhalterin das dann erkennen?
• 2:10
  Jonas: Vor allem am Muster, weniger an der Adresse.
• 2:12
  Jonas: Großer Zeitdruck, Geheimhaltung und ein Weg, der am üblichen Ablauf vorbeiführt.
• 2:17
  Lena: Eilig ist es bei mir aber auch manchmal wirklich.
• 2:20
  Lena: Wie soll sie das unterscheiden?
• 2:22
  Jonas: Eilig darf es sein, geheim vor der eigenen Buchhaltung nie.
• 2:25
  Jonas: Eine echte Chefin hat nichts dagegen, dass man sie kurz zurückruft.
• 2:29
  Jonas: Wenn alle drei zusammenkommen, ist das kein Auftrag, sondern ein Alarmzeichen.
• 2:33
  Jonas: Dann wird nicht überwiesen, sondern nachgefragt.
• 2:36
  Lena: Und wie fragt sie nach?
• 2:37
  Lena: Antworten auf die Mail?
• 2:38
  Jonas: Auf keinen Fall, die Antwort landet beim Täter.
• 2:40
  Jonas: Sie ruft die Geschäftsführerin unter der Nummer an, die sie schon kennt, nicht unter der aus der Mail.
• 2:45
  Lena: Und wenn sie mich nicht erreicht?
• 2:47
  Lena: Die Mail sagt ja, es muss heute raus.
• 2:50
  Jonas: Dann geht die Zahlung heute eben nicht raus.
• 2:52
  Jonas: Das ist die Regel, die Sie als Geschäftsführung vorher festlegen und selbst einhalten.
• 2:56
  Jonas: Die Polizei rät zum Vier-Augen-Prinzip: Ungewöhnliche Zahlungen prüfen mindestens zwei Menschen.
• 3:02
  Jonas: Dazu klare Regeln, wer während einer Abwesenheit freigeben darf.
• 3:06
  Lena: Mal ehrlich: Hat eine Buchhalterin den Mut, die Chefin wegen jeder Mail anzurufen?
• 3:13
  Jonas: Nur, wenn Sie es ausdrücklich erlauben.
• 3:15
  Jonas: Das Bundesamt für Sicherheit in der Informationstechnik empfiehlt genau das: Die Buchhaltung soll wissen, dass sie bei einer fragwürdigen Zahlung jederzeit nachfragen darf.
• 3:24
  Jonas: Sagen Sie es einmal laut in der Teamrunde.
• 3:26
  Jonas: Ein Rückruf zu viel kostet zwei Minuten, eine falsche Überweisung oft das ganze Geld.
• 3:31
  Lena: Und was ist mit der Abwesenheitsnotiz?
• 3:33
  Lena: Die hat den Messetermin ja erst verraten.
• 3:36
  Jonas: Die Polizei rät, sparsam mit dem umzugehen, was die Firma nach außen zeigt.
• 3:40
  Jonas: In die Abwesenheitsnotiz gehören Zeitraum und Vertretung, nicht Ort und Anlass der Reise.
• 3:45
  Lena: Was kostet mich das alles?
• 3:47
  Jonas: Kein Geld, nur eine Entscheidung.
• 3:48
  Jonas: Sie schreiben auf, ab welchem Betrag zwei Menschen freigeben, wer Sie vertritt und dass ein Rückruf nie als Misstrauen gilt.
• 3:55
  Lena: Der zweite Fall ist vermutlich weniger dramatisch?
• 3:59
  Jonas: Leiser, aber teurer.
• 4:00
  Jonas: Ein Lieferant, mit dem Sie seit Jahren arbeiten, schreibt: Wir haben die Bank gewechselt, bitte zahlen Sie ab sofort auf dieses Konto.
• 4:08
  Jonas: Die Rechnung sieht aus wie immer, Logo, Betrag und Bestellnummer stimmen.
• 4:12
  Jonas: Nur die Kontonummer ist neu.
• 4:14
  Lena: Das kommt doch auch wirklich vor.
• 4:16
  Lena: Firmen wechseln ihre Bank.
• 4:18
  Jonas: Ja, und genau deshalb funktioniert es.
• 4:20
  Jonas: Die Polizei nennt die angeblich geänderte Bankverbindung ausdrücklich als typischen Vorwand.
• 4:26
  Lena: Was ist der bessere Ablauf?
• 4:27
  Jonas: Eine neue Bankverbindung gilt erst, wenn jemand beim Lieferanten angerufen hat.
• 4:31
  Jonas: Unter der Nummer aus Ihren eigenen Unterlagen, nicht unter der aus Mail oder Rechnung.
• 4:36
  Jonas: Und wer das Konto in der Buchhaltungssoftware ändert, sollte nicht dieselbe Person sein, die danach die Zahlung freigibt.
• 4:42
  Lena: Hilft mir da nicht inzwischen die Bank?
• 4:45
  Lena: Ich habe von einer neuen Prüfung bei Überweisungen gehört.
• 4:48
  Jonas: Die gibt es.
• 4:49
  Jonas: Seit dem neunten Oktober zweitausendfünfundzwanzig müssen Banken im Euroraum vor jeder Euro-Überweisung prüfen, ob Name und Kontonummer zusammenpassen.
• 4:57
  Jonas: Das steht in einer Verordnung der Europäischen Union, und die Prüfung ist für alle Kunden kostenlos.
• 5:02
  Jonas: Passt der Name nicht, warnt Sie die Bank, bevor Sie freigeben.
• 5:06
  Lena: Dann ist das Problem doch gelöst.
• 5:07
  Jonas: Nicht ganz, aus zwei Gründen.
• 5:09
  Jonas: Erstens hält die Warnung Sie nicht auf; Sie dürfen trotzdem freigeben, und dann tragen Sie das Risiko in der Regel selbst.
• 5:16
  Jonas: Zweitens dürfen Firmen die Prüfung abschalten, wenn sie mehrere Zahlungen gebündelt einreichen.
• 5:21
  Jonas: Eine Sammelüberweisung aus der Buchhaltungssoftware ist genau so ein Bündel.
• 5:25
  Lena: Woher weiß ich, ob das bei uns abgeschaltet ist?
• 5:28
  Jonas: Fragen Sie Ihre Buchhaltung und im Zweifel Ihre Bank.
• 5:31
  Jonas: Und legen Sie fest: Eine Warnung zum Namen wird nie weggeklickt, sondern führt zu einem Rückruf.
• 5:36
  Lena: Und wenn der Lieferant beim Rückruf sagt, er habe nie etwas geschrieben?
• 5:39
  Jonas: Dann wissen Sie, dass jemand seinen Namen benutzt, vielleicht sogar sein Postfach.
• 5:44
  Jonas: Sagen Sie es ihm sofort, denn seine anderen Kunden bekommen vermutlich dieselbe Mail.
• 5:48
  Lena: Und wenn das Geld schon weg ist?
• 5:50
  Jonas: Dann zählt jede Stunde.
• 5:51
  Jonas: Das FBI rät, sofort die eigene Bank anzurufen und den Rückruf der Zahlung zu verlangen.
• 5:57
  Lena: Wie realistisch ist es, das Geld zurückzubekommen?
• 6:00
  Jonas: Das hängt vor allem am Tempo.
• 6:02
  Jonas: Deshalb gehört die Notfallnummer Ihrer Bank in die Buchhaltung und nicht nur ins Handy der Chefin.
• 6:07
  Jonas: Danach erstatten Sie Anzeige, bei der örtlichen Polizei oder beim Landeskriminalamt.
• 6:11
  Jonas: Halten Sie dafür Mail, Rechnung und Überweisungsbeleg bereit.
• 6:15
  Lena: Im zweiten Fall war die Mail gefälscht.
• 6:18
  Lena: Was, wenn sie wirklich vom Lieferanten kommt?
• 6:21
  Jonas: Das ist der dritte Fall, und er ist der gefährlichste.
• 6:24
  Jonas: Dabei wird zuerst das Postfach einer echten Person übernommen, bei Ihnen oder beim Lieferanten.
• 6:29
  Lena: Wie kommt jemand an ein ganzes Postfach?
• 6:32
  Jonas: Zum Beispiel über eine Mail, die eine angebliche Sprachnachricht ankündigt.
• 6:36
  Jonas: Ein Klick führt auf eine Anmeldeseite, die genau aussieht wie die von Microsoft.
• 6:40
  Lena: Und das merkt niemand?
• 6:42
  Lena: Die Adresse im Browser stimmt dann doch nicht.
• 6:46
  Jonas: Wer genau hinsieht, merkt es.
• 6:47
  Jonas: Aber auf dem Handy ist die Adresszeile kurz, und zwischen zwei Terminen sieht man nur das vertraute Logo.
• 6:53
  Jonas: Dort gibt die Person Kennwort und sogar den Bestätigungscode vom Handy ein.
• 6:57
  Jonas: Die Seite reicht beides an die echte Anmeldung weiter und behält die Sitzung für sich.
• 7:02
  Lena: Moment.
• 7:02
  Lena: Ich dachte, genau dafür haben wir den Code auf dem Handy eingeführt.
• 7:06
  Jonas: Der Code hält sehr viel ab.
• 7:07
  Jonas: Microsoft schreibt, dass er zusammen mit dem Abschalten alter Anmeldewege mehr als neunundneunzig Prozent der gängigen Angriffe auf Konten stoppt.
• 7:15
  Jonas: Gegen diese nachgebaute Anmeldeseite hilft er aber nicht.
• 7:18
  Jonas: Dafür gibt es Anmeldeverfahren, die sich nicht abfangen lassen, etwa einen Sicherheitsschlüssel.
• 7:22
  Lena: Braucht dann jeder im Haus so einen Schlüssel?
• 7:25
  Lena: Das klingt nach Aufwand.
• 7:27
  Jonas: Nicht sofort jeder.
• 7:28
  Jonas: Fangen Sie bei denen an, die Zahlungen freigeben, und bei den Konten mit Verwaltungsrechten, also mit Zugriff auf die Einstellungen der ganzen Firma.
• 7:36
  Jonas: Für alle anderen ist der Code auf dem Handy die Pflicht.
• 7:39
  Jonas: Den bringt Microsoft 365 ohne Aufpreis mit.
• 7:42
  Lena: Und was passiert dann im Postfach?
• 7:44
  Jonas: Microsoft hat so eine Angriffswelle beschrieben.
• 7:47
  Jonas: Teils vergingen nur fünf Minuten bis zum ersten Betrugsversuch, teils lasen die Angreifer tagelang mit, vor allem Mails zu Rechnungen und Zahlungen.
• 7:55
  Jonas: Dann richteten sie eine Regel ein, die Antworten des Geschäftspartners automatisch ins Archiv schiebt und als gelesen markiert.
• 8:02
  Jonas: Und schließlich antworteten sie in einen laufenden Rechnungsverlauf hinein.
• 8:06
  Lena: Das heißt, die Mail mit der neuen Kontonummer hängt direkt unter meiner echten Anfrage?
• 8:11
  Jonas: Genau.
• 8:11
  Jonas: Deshalb gilt die Regel aus dem zweiten Fall immer: Neue Bankverbindung nur nach Rückruf, auch wenn die Mail echt aussieht.
• 8:18
  Lena: Woran merke ich im eigenen Haus, dass ein Postfach übernommen wurde?
• 8:22
  Jonas: Microsoft nennt einige Zeichen.
• 8:24
  Jonas: Mails fehlen, im Ordner Gesendet liegen fremde Nachrichten, oder es gibt neue Regeln, die Mails nach außen weiterleiten.
• 8:31
  Lena: Und wer kümmert sich dann?
• 8:33
  Lena: Ich, die Kollegin, die IT?
• 8:35
  Jonas: Die Kollegin meldet es sofort, ohne Angst vor Ärger.
• 8:37
  Jonas: Die IT setzt das Kennwort zurück, beendet alle Sitzungen und löscht fremde Regeln und Weiterleitungen.
• 8:43
  Jonas: Das neue Kennwort geht dabei nie per Mail raus, denn das Postfach könnte noch mitgelesen werden.
• 8:48
  Jonas: Und die Geschäftsführung informiert die Geschäftspartner, die betroffen sein könnten.
• 8:53
  Lena: Warum ausgerechnet ich?
• 8:55
  Lena: Das ist doch Sache der IT.
• 8:57
  Jonas: Weil aus Ihrem Postfach vielleicht schon Mails an Kunden rausgegangen sind.
• 9:01
  Jonas: Ob Sie die warnen und wie, ist eine Entscheidung der Führung, keine technische.
• 9:05
  Lena: Dann bitte zum Schluss die drei Regeln.
• 9:09
  Lena: Was lege ich morgen fest?
• 9:11
  Jonas: Erstens: Eine neue Bankverbindung gilt nur nach Rückruf unter der bekannten Nummer.
• 9:15
  Jonas: Ungewöhnliche Zahlungen gibt nie ein Mensch allein frei.
• 9:19
  Jonas: Zweitens: Die Warnung der Bank zum Empfängernamen wird nie weggeklickt.
• 9:23
  Jonas: Prüfen Sie, ob Ihre Buchhaltung die Prüfung für gebündelte Zahlungen abgeschaltet hat.
• 9:28
  Jonas: Drittens: Wer klickt oder zweifelt, meldet es sofort und wird dafür nicht bestraft.
• 9:33
  Jonas: Für jedes Postfach gilt die Anmeldung mit zweitem Faktor.
• 9:36
  Lena: Das klingt nach wenig.
• 9:38
  Lena: Reicht das wirklich?
• 9:39
  Jonas: Es schließt die drei Wege, auf denen in den Fällen heute das Geld verloren ging.
• 9:43
  Jonas: Wichtig ist nur, dass die Regeln auch dann gelten, wenn die Chefin selbst es eilig hat.
• 9:47
  Lena: Und wie lernt die Belegschaft, so eine Mail überhaupt zu erkennen?
• 9:52
  Jonas: Durch Übung, nicht durch einen Vortrag im Jahr.
• 9:54
  Jonas: Mit dem kjello-Paket Schulung und Phishing-Übungen bekommen Sie kurze Schulungen und harmlose Übungsmails und sehen, wie viele im Haus sie melden.