Wenn ein Cyberangriff völlig unsichtbar bleibt
Nicht jeder Cyberangriff legt Systeme lahm oder hinterlässt verschlüsselte Server. Manche Angriffe bleiben wochenlang unbemerkt und nutzen genau das, worauf Unternehmen täglich vertrauen: E-Mail, Prozesse und bekannte Ansprechpartner. Diese fiktive Geschichte basiert auf typischen Erfahrungen aus Incident-Response-Einsätzen und zeigt, wie Angreifer legitime Kommunikation missbrauchen, um hohe Geldbeträge umzuleiten.
Diese Geschichte hat keinen Knall. Kein Server fällt aus, kein Bildschirm wird schwarz, keine Lösegeldforderung erscheint. Wenn man den Tag sucht, an dem alles begann, muss man zwei Wochen zurückgehen, zu einer E-Mail, die einen Link zu einer gefälschten Anmeldeseite des E-Mail-Anbieters enthielt. Die Finanzchefin des Handelsunternehmens gab an einem hektischen Donnerstag ihr Passwort ein, die Seite meldete einen Fehler, sie versuchte es erneut, es funktionierte, sie dachte nie wieder daran.
Ab diesem Donnerstag las jemand mit. Still, geduldig, professionell. Der Angreifer richtete im Postfach eine unauffällige Weiterleitungsregel ein und lernte das Unternehmen kennen: welche Lieferanten wann Rechnungen stellen, in welchem Ton die Finanzchefin schreibt, wie sie Mails abschliesst, wer Zahlungen freigibt und wer sie ausführt. Er lernte auch, dass demnächst eine grosse Rechnung eines langjährigen Lieferanten aus Übersee fällig würde. 2 Wochen lang tat er: nichts.
Dienstag, 11:05 Uhr. Im Postfach des Buchhalters liegt eine E-Mail des Lieferanten: die echte Rechnung, der echte Betrag, das echte Projekt. Nur ein Detail ist neu: «Bitte beachten Sie unsere geänderte Bankverbindung.» Der Absender stimmt, die Signatur stimmt, die Tonalität stimmt, sogar der Schreibfehler, den der Sachbearbeiter des Lieferanten seit Jahren macht, ist da. Der Buchhalter tut, was Prozesse vorsehen: Er fragt nach. Um 11:22 Uhr schreibt er der Finanzchefin: «Neue Bankverbindung bei [Lieferant], kannst du das bestätigen?» Um 11:28 Uhr kommt die Antwort aus ihrem Konto: «Ist korrekt, habe ich mit ihnen telefonisch verifiziert. Bitte heute noch ausführen, sonst Verzugszinsen.» Nur: Diese Antwort hat nicht sie geschrieben. Der Angreifer hatte Zugriff auf das Postfach und beantwortete die Kontrollfrage selbst. Um 11:31 Uhr gibt der Buchhalter CHF 380’000 frei. Das Vier-Augen-Prinzip hat funktioniert, beide Augenpaare haben nur auf denselben kompromittierten Kanal geschaut.
Zwölf Tage lang bleibt die falsche Überweisung unbemerkt. Dann, an einem Montag, ruft der echte Lieferant an und fragt freundlich, wann mit der Zahlung zu rechnen sei. Es ist der Moment, in dem der Buchhalter kalt wird. Er holt die Zahlungsbestätigung, der Lieferant nennt seine Kontonummer, und die beiden Nummern stimmen nicht überein. Um 16:40 Uhr desselben Tages wählt die Finanzchefin die Nummer des CSIRT von baseVISION, nicht wegen eines Systemausfalls, sondern wegen eines Satzes, der sich nicht mehr wegdiskutieren lässt: «Ich glaube, jemand hat in meinem Namen geschrieben.»
Was dann beginnt ist die forensische Aufarbeitung: Anmeldungen aus Zeitzonen, in denen niemand aus der Firma je war, sauber versteckte Postfachregeln, gelöschte Nachrichten im Ordner «Gesendete Elemente», die nie jemand aus der Firma gesendet hat. Der Forensiker rekonstruiert die 3 Wochen rückwärts und beantwortet dabei die Fragen, an denen jetzt alles hängt: Seit wann? Nur dieses eine Konto, oder mehrere? Wurden weitere Zahlungen vorbereitet? Sind Kundendaten abgeflossen, und was heisst das für Meldepflichten? Die Hausbank wird noch am Abend informiert, die Empfängerbank kontaktiert, leider ist der Betrag schon weiter überweisen worden und kann nicht mehr sichergestellt werden. Jede Stunde zwischen Entdeckung und Meldung kostet bares Geld.
An Tag 21 liegt Gewissheit auf dem Tisch. Die gute Nachricht: Es blieb bei der einen Zahlung, es floss kein Kundendatensatz ab, die Hintertüren sind geschlossen, die Konten mit Phishing-resistenter Anmeldung neu aufgesetzt. Die schlechte: Ein sechsstelliger Betrag ist endgültig weg. Der Buchhalter, der alles richtig machen wollte, braucht lange, bis er die Freigabe von 11:31 Uhr nicht mehr jeden Tag vor sich sieht. Die Finanzchefin sagt im Abschlussgespräch den Satz, der die ganze Geschichte trägt: «Wir dachten, ein Angriff sieht aus wie ein Angriff. Dass eine echte Rechnung und eine Antwort aus dem eigenen Postfach die Falle sein können, hatte niemand auf dem Schirm.» Heute gilt im Unternehmen eine einfache Regel: Bankverbindungen ändern sich nie per E-Mail: jede Änderung wird über einen zweiten, unabhängigen Kanal verifiziert.
Sind Sie auf Zahlungsbetrug vorbereitet?
Die Geschichte «11:31 – Die stille Überweisung» zeigt, dass moderne Angriffe oft unsichtbar bleiben. Ein kompromittiertes Postfach, eine echte Rechnung und eine vermeintlich bestätigte Bankverbindung reichen aus, um hohe Geldbeträge umzuleiten.
Wenn Bankverbindungen geändert werden sollen, werden kritische Rückfragen oft per E-Mail gestellt. Genau das nutzen Angreifer aus.
In vielen Fällen sind nicht fehlende Prozesse das Problem, sondern das blinde Vertrauen in einen einzigen Kommunikationskanal. Ein zweiter, unabhängiger Verifikationsweg kann den entscheidenden Unterschied machen.
Basierend auf typischen Business-Email-Compromise- und Zahlungsbetrugsfällen haben wir die wichtigsten Erkennungsmerkmale und Schutzmassnahmen in einem kompakten Merkblatt zusammengefasst.
Je früher ein Vorfall erkannt wird, desto grösser sind die Handlungsmöglichkeiten.
Business Email Compromise gehört zu den schwierigsten Cyberangriffen. Es gibt keinen verschlüsselten Server, keine sichtbare Störung und oft keine Warnmeldung. Unternehmen bemerken den Vorfall häufig erst, wenn eine Zahlung ausbleibt oder ein Lieferant nachfragt.
Ab diesem Zeitpunkt zählt jede Stunde. Je schneller kompromittierte Konten identifiziert, Spuren gesichert und weitere Risiken untersucht werden können, desto grösser ist die Chance, zusätzlichen Schaden zu verhindern.
Mit unserer Incident-Response-Hotline und dem Incident-Response-Retainer unterstützen wir Unternehmen bei der Analyse, Eindämmung und forensischen Untersuchung von Sicherheitsvorfällen. So können betroffene Organisationen im Ernstfall schnell auf erfahrene Spezialisten zugreifen.
