Betrugsmaschen erkennen

CEO-Fraud

Eine Anweisung, die scheinbar von der Geschäftsführung kommt.

Der teuerste Betrug gegen Mittelständler braucht keine Schadsoftware. Er braucht nur eine Mail, die aussieht, als käme sie vom Chef.

So läuft es ab: Die Täter lesen zusammen, was öffentlich über den Betrieb zu finden ist — wer die Geschäftsführung ist, wer in der Buchhaltung arbeitet, wann jemand im Urlaub ist. Dann kommt die Mail. Dringend, vertraulich, mit dem Hinweis, gerade in einer Besprechung zu sein und nicht telefonieren zu können.

Genau dieser Hinweis ist das Verräterische. Er soll den einen Anruf verhindern, der alles auffliegen ließe.

Was zuverlässig schützt, ist keine Technik, sondern eine Regel, die jeder im Betrieb kennt: Zahlungsanweisungen per Mail werden grundsätzlich telefonisch bestätigt — mit einer Nummer, die man schon hatte. Und wer nachfragt, bekommt keinen Ärger. Auch nicht freitags um halb fünf.

Rechnungsumleitung

Eine echte Rechnung mit einer fremden Bankverbindung.

Diese Masche trifft kleine Betriebe härter als jede Schadsoftware, und sie kommt oft aus einem echten Postfach.

Der Ablauf: Irgendwo in der Kette — bei Ihnen oder bei Ihrem Lieferanten — wurde ein Mailkonto übernommen. Die Täter lesen wochenlang mit, lernen Tonfall und Abläufe und warten auf eine Rechnung, die ohnehin ansteht. Dann melden sie eine geänderte Bankverbindung.

Weil Betrag, Bezug und Ansprechpartner stimmen, fällt nichts auf. Überwiesen wird an ein fremdes Konto, und das Geld ist meist innerhalb weniger Stunden weitergeleitet.

Die einzige Regel, die zuverlässig hilft: Eine geänderte Bankverbindung wird nie per Mail bestätigt, sondern per Telefon — mit der Nummer aus dem alten Schriftverkehr, nicht mit der aus der neuen Mail. Zwei Minuten gegen einen fünfstelligen Schaden.

Phishing

Eine nachgebaute Anmeldeseite, die Zugangsdaten abgreift.

Phishing ist der häufigste Einstieg in ein Firmennetz — und der unauffälligste, weil dabei gar keine Schadsoftware zum Einsatz kommt.

Die Mail meldet etwas Dringendes: Das Postfach sei voll, das Passwort laufe ab, eine Nachricht warte. Der Link führt auf eine Seite, die aussieht wie die echte. Wer dort eintippt, verschenkt seinen Zugang. Ab da meldet sich der Angreifer ganz normal an — für jeden Virenschutz ein unauffälliger Vorgang.

Ein weit verbreiteter Irrtum: Das Schloss im Browser sagt nichts über die Seriosität einer Seite. Es bedeutet nur, dass die Leitung verschlüsselt ist. Auch nachgebaute Seiten haben eines, denn die nötigen Zertifikate sind kostenlos.

Was zuverlässig hilft: die Adresszeile lesen statt auf das Schloss zu schauen — und die Anmeldung mit einem zweiten Nachweis absichern. Dann ist ein abgegriffenes Passwort allein wertlos.

Quishing

Ein QR-Code, der auf eine gefälschte Seite führt.

QR-Codes sind praktisch und haben einen Nachteil: Man sieht ihnen nicht an, wohin sie führen.

Genau das nutzen Täter. Die Codes kommen im Brief, der wie von der Bank aussieht, auf einer angeblichen Rechnung oder als Aufkleber, der über einen echten Code an einer Ladesäule oder einem Parkautomaten geklebt wurde.

Zwei Dinge machen die Masche im Betrieb gefährlich. Gescannt wird meist mit dem privaten Handy, auf dem kein Firmenschutz greift. Und auf dem kleinen Bildschirm ist eine gefälschte Adresse schlechter zu erkennen als am Rechner.

Was hilft: Beim Scannen zeigt das Handy die Adresse an, bevor die Seite öffnet — die kurz lesen. Bei Codes im Briefkasten oder auf Rechnungen gilt dasselbe wie bei Links in Mails: nicht scannen, sondern die Adresse selbst eintippen, die man ohnehin kennt.

Fake-Kundenservice

Ein angeblicher Microsoft- oder Telekom-Mitarbeiter ruft an.

Ein Anruf, angeblich von Microsoft: Auf Ihrem Rechner sei ein Virus gefunden worden, man wolle helfen. Oder ein Fenster im Browser, das sich nicht schließen lässt, mit einer Rufnummer für den Support.

Was dann passiert: Der Anrufer bittet um Fernzugriff. Er öffnet die Ereignisanzeige, in der bei jedem Windows-Rechner Warnungen stehen, und deutet sie als Befall. Danach geht es um eine Zahlung, um Onlinebanking oder darum, unbemerkt einen Zugang einzurichten.

Die Sache ist einfacher, als sie klingt: Kein Hersteller ruft unaufgefordert an, weil auf einem einzelnen Rechner ein Virus wäre. Er wüsste es gar nicht. Auflegen ist die vollständig richtige Reaktion.

Wichtig für Betriebe: Sagen Sie Ihren Leuten, dass Auflegen ausdrücklich erwünscht ist. Viele bleiben in der Leitung, weil sie niemanden vor den Kopf stoßen wollen — und genau darauf setzen die Anrufer.

Branchenbuch-Falle

Ein Formular, das aussieht wie eine Korrektur, aber ein Vertrag ist.

Diese Masche kennt fast jeder Betrieb, und sie funktioniert seit Jahrzehnten: ein Schreiben, das aussieht wie eine Datenkorrektur für ein Branchenverzeichnis. Man möge die Angaben prüfen und zurücksenden.

Im Kleingedruckten steht ein Vertrag über mehrere Jahre mit einem jährlichen Betrag. Wer unterschreibt, bekommt Rechnungen und, wenn er nicht zahlt, Mahnungen und Post von einer Kanzlei.

Zwei Merkmale kommen fast immer vor: eine amtlich wirkende Aufmachung, teils mit Adlern oder Behördenfarben — und Ihre Daten sind bereits eingetragen, was den Eindruck erzeugt, es bestehe schon eine Geschäftsbeziehung.

Die Regel dazu ist kurz: Ein kostenloser Verzeichniseintrag verlangt nie eine Unterschrift. Kommt so ein Schreiben ins Haus, gehört es nicht ins Ausgangsfach, sondern erst einmal beiseite — und im Zweifel zum Steuerberater oder zur IHK, die solche Muster kennen.

Die Bewerbung mit Anhang

Eine Bewerbung, deren Lebenslauf Schadsoftware enthält.

Wer eine Stelle ausschreibt, macht sich angreifbar — und kann es nicht vermeiden. Bewerbungen kommen von Fremden, mit Anhang, und jemand muss sie öffnen.

Genau darauf setzt diese Masche. Die Mail bezieht sich auf Ihre echte Anzeige, ist höflich formuliert und wirkt in nichts verdächtig. Im Anhang steckt statt eines Lebenslaufs eine Datei, die beim Öffnen Schadsoftware nachlädt.

Was hilft: Bewerbungen möglichst über ein Formular auf der eigenen Website annehmen statt per Mailanhang. Wo das nicht geht, nur PDF akzeptieren und das auch in der Anzeige schreiben — Word-Dateien und alles Archivierte sind das eigentliche Risiko. Und die Personalpostfächer gehören mit einer Prüfung versehen, die Anhänge in einer abgeschotteten Umgebung öffnet, bevor sie ankommen.

Diese Prüfung ist in den besseren Microsoft-365-Paketen enthalten. In den günstigen nicht.

Deepfake-Anruf

Eine bekannte Stimme am Telefon, die es nie gesagt hat.

Bisher galt: Im Zweifel anrufen. Diese Regel bekommt gerade einen Zusatz.

Aus wenigen Sekunden Sprachaufnahme — einem Video auf der Website, einer Mailboxansage, einem Vortrag — lässt sich heute eine Stimme nachbilden, die überzeugend klingt. Es gibt Fälle, in denen Mitarbeiter eine Anweisung von einer vertrauten Stimme bekamen, die nie gesprochen wurde. Auch Videokonferenzen sind inzwischen fälschbar.

Die Regel bleibt trotzdem richtig, sie muss nur richtig herum angewendet werden: Nicht auf einen eingehenden Anruf vertrauen, sondern selbst zurückrufen — unter der Nummer, die man schon hatte. Ein eingehender Anruf beweist nichts, ein selbst gewählter schon.

Für Betriebe mit größeren Zahlungen lohnt zusätzlich ein vereinbartes Rückfragewort, das nirgends digital steht. Das klingt nach Agentenfilm und kostet nichts.

Fake-Shop

Ein Onlineshop, der bestellte Ware nie liefert.

Fake-Shops treffen nicht nur Privatleute. Wer im Betrieb kurzfristig Material, Werkzeug oder Hardware sucht und dabei auf ein günstiges Angebot stößt, ist genauso im Zielbereich.

Die Shops sehen professionell aus. Siegel lassen sich als Bild einbinden, Bewertungen erfinden, Impressum abschreiben. Auffällig wird es meist erst beim Bezahlen: Kauf auf Rechnung und Lastschrift werden angeboten, funktionieren aber angeblich gerade nicht — übrig bleibt Vorkasse.

Genau das ist der Moment zum Abbrechen. Bei Vorkasse gibt es keinen Weg zurück; das Geld ist weg, sobald es überwiesen ist.

Was in zwei Minuten Klarheit schafft: Impressum prüfen und die Adresse suchen, Shopnamen zusammen mit dem Wort Erfahrungen suchen, und darauf achten, wie alt die Domain ist. Ein Shop, den es seit drei Wochen gibt, verkauft selten Markenware zum halben Preis.

Dreiecksbetrug

Sie verkaufen ehrlich und werden trotzdem zum Beschuldigten.

Diese Masche ist besonders unangenehm, weil sie ehrliche Verkäufer trifft und sie hinterher wie Betrüger dastehen lässt.

So funktioniert sie: Sie bieten etwas an — eine Maschine, ein Fahrzeug, gebrauchte Hardware. Ein Täter kopiert Ihr Inserat und stellt es günstiger woanders ein. Ein gutgläubiger Käufer meldet sich dort, bekommt Ihre Kontodaten genannt und überweist an Sie. Sie sehen den Geldeingang und liefern — an den Täter, der sich als Käufer ausgegeben hat.

Am Ende hat der echte Käufer bezahlt und nichts bekommen. Er zeigt Sie an, denn auf seinem Kontoauszug steht Ihr Name.

Das Erkennungsmerkmal ist unscheinbar: Der Name auf der Überweisung passt nicht zu dem, mit dem Sie geschrieben haben. Wenn das auffällt: nicht liefern, sondern nachfragen. Und beim Verkauf ruhig einmal suchen, ob das eigene Inserat noch woanders auftaucht.

Fake-Abmahnung

Post von einer Kanzlei, die es nicht gibt.

Eine Abmahnung im Briefkasten oder Postfach löst zuverlässig Stress aus. Genau damit arbeitet diese Masche.

Der Vorwurf klingt plausibel: ein Bild auf Ihrer Website ohne Lizenz, ein Datenschutzverstoß im Kontaktformular. Dazu eine kurze Frist, ein konkreter Betrag und ein Ton, der keine Rückfragen vorsieht.

Was oft nicht stimmt: Die Kanzlei existiert gar nicht — oder es gibt sie, aber sie hat das Schreiben nie verschickt. Ihr Briefkopf wurde benutzt.

Wichtig ist die Reihenfolge. Nicht zahlen, aber auch nicht ignorieren, denn echte Abmahnungen gibt es ebenfalls und die haben Fristen. Prüfen Sie die Kanzlei im Anwaltsverzeichnis und rufen Sie dort unter der Nummer an, die Sie selbst gefunden haben — nicht unter der aus dem Schreiben.

Bei einer echten Abmahnung ist der nächste Anruf der beim eigenen Anwalt, nicht der bei der Gegenseite.

Anlagebetrug

Ein Anlageangebot mit Rendite, die es nicht gibt.

Anlagebetrug klingt nach einem Thema für Privatleute. Betroffen sind aber auch Unternehmer, die Rücklagen anlegen wollen — und die Beträge sind entsprechend größer.

Der Ablauf ist gleichbleibend: Ein Angebot mit einer Rendite, die auffällig gut und angeblich sicher ist. Eine Plattform zeigt steigende Gewinne. Kleine Auszahlungen funktionieren tatsächlich — das baut Vertrauen auf und bringt dazu, mehr einzuzahlen. Bei größeren Beträgen kommen dann Gebühren, Steuern oder Freigabezahlungen. Danach ist Funkstille.

Die Zahlen auf der Plattform sind reine Anzeige. Es gibt keine Anlage, die dahintersteht.

Die Prüfung dauert fünf Minuten: Die BaFin führt eine Datenbank der zugelassenen Anbieter und veröffentlicht Warnmeldungen zu unerlaubten Geschäften. Wer dort nicht steht, bekommt kein Geld — unabhängig davon, wie professionell der Auftritt wirkt.

Die Nachricht mit neuer Nummer

Eine Nachricht von einem Bekannten mit angeblich neuer Nummer.

Die bekannteste Fassung dieser Masche ist „Hallo Papa, mein Handy ist kaputt". Weniger bekannt ist, dass sie auch im Geschäftlichen auftaucht: eine Nachricht von einem Kollegen, einem Kunden, einem Lieferanten mit angeblich neuer Nummer.

Was sie so wirksam macht, ist der Kanal. Eine Messenger-Nachricht wirkt privater und dringlicher als eine Mail, und niemand erwartet dort einen Betrugsversuch. Dazu kommt der vertraute Ton — die Namen und Umstände stammen oft aus öffentlich zugänglichen Quellen.

Die Gegenmaßnahme ist banal und funktioniert: Rufen Sie unter der alten Nummer an. Wer wirklich ein neues Handy hat, geht dort trotzdem ran oder meldet sich zurück. Wer nicht rangeht, hat die Frage beantwortet.

Und im Betrieb gilt: Zahlungsanweisungen kommen nicht über Messenger. Diese eine Festlegung erspart die ganze Diskussion.

Die Erpressungsmail

Eine Mail behauptet, Ihr Rechner sei gefilmt worden.

Diese Mail kommt in fast jedem Betrieb irgendwann an, und sie ist unangenehm, weil sie manchmal ein echtes Passwort enthält.

Der Inhalt: Man habe die Kamera übernommen und Aufnahmen gemacht, zahlen Sie innerhalb von 48 Stunden in Kryptowährung, sonst gehen die Bilder an Ihre Kontakte. Als Beweis wird ein Passwort genannt.

Dieses Passwort ist echt — es stammt aber aus einem Datenleck bei irgendeinem Anbieter, bei dem man vor Jahren ein Konto hatte. Solche Listen sind im Umlauf und werden massenhaft angeschrieben. Es gibt keine Aufnahmen, niemand hat sich Ihren Rechner angesehen, und der Versand läuft automatisiert an Zehntausende.

Was zu tun ist: nicht zahlen, nicht antworten. Das genannte Passwort überall ändern, wo es noch verwendet wird — das ist die eigentliche Information in dieser Mail. Und danach löschen.

Sagen Sie Ihren Leuten vorher davon. Sonst zahlt jemand aus Verlegenheit, ohne zu fragen.

Abofalle

Ein kostenloser Test, der still in ein Abo übergeht.

Abofallen leben davon, dass kleine Beträge nicht auffallen. Im Betrieb ist das besonders wirksam, weil die Buchhaltung einen Monatsbetrag von wenigen Euro selten hinterfragt.

Der übliche Weg führt über einen kostenlosen Test: ein Werkzeug, ein Bilderdienst, eine Vorlagensammlung. Angemeldet wird mit Kartendaten für die spätere Abrechnung. Die Kündigungsfrist läuft aber innerhalb der Testphase ab — wer erst am Ende daran denkt, ist zu spät.

Der Klassiker im Geschäftsalltag sind Dienste, die abgelöst, aber nie gekündigt wurden. Wir finden bei Bestandsaufnahmen regelmäßig Positionen, die seit Jahren laufen und niemandem mehr nützen.

Zwei Gewohnheiten helfen: Bei jedem Gratistest sofort den Kündigungstermin in den Kalender eintragen. Und einmal im Jahr bezahlte gegen genutzte Dienste abgleichen. Das dauert wenige Stunden und findet fast immer etwas.

Der Anhang, der nachlädt

Eine Mail mit Anhang, der Schadsoftware nachlädt.

Der klassische Weg für Schadsoftware führt weiterhin über den Mailanhang — nur ist der Betreff heute passend gewählt: Rechnung, Lieferschein, Mahnung, Bewerbung.

Der entscheidende Moment kommt beim Öffnen. Das Dokument zeigt eine Meldung, man müsse die Bearbeitung oder Inhalte aktivieren, damit es richtig angezeigt wird. Erst dieser Klick startet den Vorgang, der die Schadsoftware nachlädt.

Merken Sie sich diesen einen Satz: Kein echtes Dokument braucht, dass Sie erst etwas aktivieren. Wenn eine Datei das verlangt, ist die Antwort schließen — und den Absender anrufen, falls die Rechnung plausibel wirkt.

Technisch lässt sich viel abfangen: eine Prüfung, die Anhänge vor der Zustellung in einer abgeschotteten Umgebung öffnet, erkennt auch Schadcode, den noch niemand kennt. Der Virenschutz auf dem Rechner erkennt nur Bekanntes.