Wallisellen – Der falsche Chef bekommt Konkurrenz. Neben der „Fake President“-Betrugsmasche sind in den letzten Jahren vor allem auch der Besteller- („Fake Identity“) und Zahlungsbetrug („Payment Diversion“) auf dem Vormarsch. Diese drei Täuschungsdelikte haben nach Analysen des weltweit führenden Kreditversicherers Euler Hermes vor allem bei Unternehmen in Deutschland, Schweiz und Österreich seit 2014 zu Schäden von insgesamt über 190 Millionen Euro geführt. Einen starken Anstieg bei den Fallzahlen gab es 2018 mit +35% im Vergleich zum Vorjahr vor allem beim Bestellerbetrug sowie mit +24% beim Zahlungsbetrug.
„Für Betrüger haben die beiden Betrugsmaschen Besteller- und Zahlungsbetrug durchaus ihren Reiz“, sagt Stefan Ruf, CEO von Euler Hermes Schweiz. „Beide sind wesentlich einfacher durchzuführen als Fake President.“
Ein Fake-President-Betrug erfordert relativ viel strategische Planung sowie eine zeitintensive Vorbereitung, beispielsweise zum Ausspähen der Gepflogenheiten. Zudem müssen die Täter fit sein im „Social Enginering“, um die Mitarbeiter dazu zu bringen, die gewünschten Zahlungen zu veranlassen und dies gleichzeitig geheim halten.
„Um Zahlungsströme umzuleiten oder eine abweichende Lieferadresse anzugeben, reicht in der Regel jedoch eine kurze E-Mail aus“, sagt Ruf. „Die Beträge sind zwar meist geringer, aber dafür geht es ratzfatz – sogar bei mehreren Firmen gleichzeitig. Die Zahlen sprechen hier Bände.“
Betrug wird meist erst bei Mahnlauf entdeckt: Täter und Beute längst über alle Berge
Beim Bestellerbetrug geben sich Hacker als Kunden aus. Sie lösen eine Bestellung aus und geben dann per E-Mail eine abweichende Lieferadresse für eine Bestellung an. So werden zum Beispiel Schuhe zu einem leerstehenden Gebäude geordert, die Rechnung geht an den bestehenden Kunden. Da dieser die Ware nie bestellt und vor allem auch nicht erhalten hat, bezahlt er die Rechnung nicht.
„Der Betrug kommt in der Regel erst mit dem Mahnlauf ans Licht – also je nach Zahlungsziel mehrere Wochen später. Bis dahin sind die Betrüger mit der Beute allerdings längst über alle Berge“, sagt Rüdiger Kirsch, Betrugsexperte bei Euler Hermes. „Die Fallzahlen sind bei beiden Täuschungsdelikten zuletzt stark gestiegen. Damit machen sie langsam aber sicher dem ‚grossen Bruder‘ Fake President Konkurrenz.“
Hackerbetrug: Ein Fall für die Vertrauensschadenversicherung
Die Ware oder das Geld sind weg und im schlimmsten Fall ist die Bilanz ruiniert – meist auch dann, wenn das Unternehmen eine Cyber- oder Warenkreditversicherung hat.
„Eine Warenkreditversicherung sichert gegen Zahlungsausfälle der Abnehmer – allerdings nur bei echten Unternehmen, wenn diese zum Beispiel insolvent sind. Auf einen Betrüger kann ich jedoch kein Versicherungslimit haben“, sagt Kirsch. „Wenn also ein Betrug zugrunde liegt und sich ein Hacker für ein Unternehmen ausgibt, die Ware an eine andere Adresse liefern lässt und dadurch ein finanzieller Schaden entsteht, ist dies kein Fall für die reguläre Warenkreditversicherung, sondern für eine Vertrauensschadenversicherung (VSV). Eine Cyberversicherung zahlt übrigens bei solchen Betrugsfällen durch Hacker meistens auch nicht.“
Cyberversicherungen beinhalten in der Regel schwerpunktmässig Bausteine zum Schutz vor Haftpflichtrisiken sowie vor Schäden aus einer durch einen Cyberangriff entstandene Betriebsunterbrechung oder auch Schäden wegen fahrlässiger Falschbedienung. Umfangreiche Assistance-Dienstleistungen, bei Reputationsrisiken oder z.B. zur schnellen Wiederherstellung der IT-Infrastruktur oder des Webshops nach Cyberangriffen sind ebenfalls wichtige Elemente, zusammen mit Bausteinen aus Rechtschutz- und D&O-Versicherung. Kriminelle Handlungen sind – wenn überhaupt – nur zu einem sehr kleinen Bruchteil abgedeckt.
Die Vertrauensschadenversicherung versichert hingegen primär gegen zielgerichtete, kriminelle Handlungen gegen ein Unternehmen. Unerlaubte Handlungen wie z.B. Betrug oder Veruntreuung durch die eigenen Mitarbeiter sowie durch externe Dritte – insbesondere Hacker – stehen bei der VSV im Vordergrund. Entsprechend sind finanzielle Schäden durch Fake President, Besteller- oder Zahlungsbetrug ebenso versichert wie Phishing, Keylogging oder „Man in the middle“ und „Man in the cloud“.
Übersicht Betrugsmaschen und jeweilige Vorgehensweise
Fake President / Chefbetrug
Vortäuschung einer falschen Identität: Der Betrüger gibt sich als CEO eines Unternehmens aus und veranlasst mittels „Social Engineering“ (z.B. durch besondere Wertschätzung sowie strenge Geheimhaltung und Druckausübung) Mitarbeiter (meist per E-Mail, z.T. auch telefonisch), Zahlungen zu tätigen, meist für als sehr dringend deklarierte, streng vertrauliche Unternehmenskäufe im Ausland
Fake Identity / Bestellerbetrug
Vortäuschung einer falschen Identität: Der Betrüger gibt sich als Kunde aus (oft als bestehender) bestellt Waren und lässt diese anschliessend an eine abweichende Lieferadresse senden
Payment Diversion / Zahlungsbetrug Vortäuschung einer falschen Identität: Der Betrüger gibt sich für einen Lieferanten aus und gibt eine abweichende Kontoverbindung durch für die Bezahlung der bereits erfolgten Lieferung
Phishing
Der Betrüger versendet gefälschte E-Mails an Mitarbeiter eines Unternehmens zu reellen Themen. Ziel ist es, über den Link in der E-Mail Trojaner oder Keylogger einzuschleusen, um an sensible Unternehmensdaten zu gelangen
Keylogging
Der Betrüger schleust eine Software ins System ein, die Anmeldedaten und Passwörter aufzeichnet und speichert, z.B. von Kontodaten, Cloud-, Serverzugänge etc.
Man in the middle
Der Betrüger hackt sich in die Kommunikation zwischen zwei Kommunikationspartnern ein und besitzt so Zugriff auf den Datenverkehr. Er kann diese Daten einsehen und zu seinen Zwecken beliebig manipulieren
Man in the cloud
Der Betrüger hackt sich in eine Cloud, in der Unternehmensdaten ausgelagert sind (z.B. durch Keylogging) und kann diese Daten einsehen und beliebig manipulieren oder löschen bzw. Schadsoftware einschleusen
(Euler Hermes/mc/ps)