WEBVTT 1 00:00:04.500 --> 00:00:09.586 Wenn bei uns eine Betrugsmail kommt, denke ich an den Paketdienst oder an die Bank. 2 00:00:09.586 --> 00:00:13.201 Warum soll ausgerechnet die Buchhaltung das Hauptziel sein? 3 00:00:13.451 --> 00:00:16.053 Weil dort jemand sitzt, der Geld bewegen darf. 4 00:00:16.053 --> 00:00:20.635 Wer eine Überweisung auslösen kann, ist für Betrüger wertvoller als jeder Laptop. 5 00:00:20.885 --> 00:00:23.351 Und wie groß ist das Problem wirklich? 6 00:00:23.351 --> 00:00:25.621 Ich höre die Warnungen seit Jahren. 7 00:00:25.871 --> 00:00:33.635 Das Bundeskriminalamt hat für zweitausendfünfundzwanzig rund dreihundertvierunddreißigtausend Fälle von Internetkriminalität gezählt. 8 00:00:33.635 --> 00:00:39.122 Phishing, also das Abfischen über gefälschte Nachrichten, bleibt dabei ein beliebter Einstieg. 9 00:00:39.372 --> 00:00:43.217 Eine Zahl zum Schaden kommt vom FBI, der amerikanischen Bundespolizei. 10 00:00:43.217 --> 00:00:50.358 Allein zum Betrug mit gefälschten Geschäftsmails wurden ihm zweitausendfünfundzwanzig gut drei Milliarden Dollar Schaden gemeldet. 11 00:00:50.608 --> 00:00:51.411 Drei Milliarden. 12 00:00:51.411 --> 00:00:53.369 Ist das nicht ein amerikanisches Thema? 13 00:00:53.619 --> 00:00:56.167 Die Masche ist dieselbe, nur die Sprache wechselt. 14 00:00:56.167 --> 00:01:01.061 Und mit Programmen, die Texte schreiben, klingen die Mails inzwischen glaubwürdig und offiziell. 15 00:01:01.311 --> 00:01:03.494 Und wer ist im Haus dafür zuständig? 16 00:01:03.494 --> 00:01:03.918 Die IT? 17 00:01:04.168 --> 00:01:06.811 Die IT kann Filter einschalten und Konten absichern. 18 00:01:06.811 --> 00:01:13.672 Aber wie Zahlungen freigegeben werden, legt nur die Geschäftsführung fest, und genau dort entscheidet sich, ob ein Angriff Geld kostet. 19 00:01:13.922 --> 00:01:15.530 Was nehme ich aus dieser Folge mit? 20 00:01:15.780 --> 00:01:20.366 Drei typische Fälle aus der Buchhaltung, jeweils mit dem Fehler und dem besseren Ablauf. 21 00:01:20.366 --> 00:01:23.753 Und am Ende drei Regeln, die Sie morgen im Haus festlegen können. 22 00:01:24.353 --> 00:01:25.926 Fangen wir mit dem Klassiker an. 23 00:01:25.926 --> 00:01:27.352 Wie sieht so ein Angriff aus? 24 00:01:27.602 --> 00:01:32.965 Ein typischer Fall: Freitagnachmittag, die Geschäftsführerin ist laut Abwesenheitsnotiz auf einer Messe. 25 00:01:32.965 --> 00:01:35.440 Bei der Buchhalterin kommt eine Mail von ihr an. 26 00:01:35.690 --> 00:01:40.318 Darin steht: Wir übernehmen gerade eine Firma im Ausland, das ist streng vertraulich. 27 00:01:40.318 --> 00:01:44.619 Bitte heute noch eine Anzahlung überweisen, sprechen Sie mit niemandem darüber. 28 00:01:44.869 --> 00:01:46.666 Das würde bei uns niemand machen. 29 00:01:46.666 --> 00:01:48.300 Die Kollegen kennen mich doch. 30 00:01:48.550 --> 00:01:50.235 Genau darauf setzen die Täter. 31 00:01:50.235 --> 00:01:59.166 Die Polizei beschreibt, dass sie vorher recherchieren: im Handelsregister, auf der Firmenseite, in Broschüren und in den sozialen Netzwerken der Beschäftigten. 32 00:01:59.416 --> 00:02:02.710 Die Mail kennt also Namen, Tonfall und den Messetermin. 33 00:02:02.710 --> 00:02:07.741 Und die Absenderadresse weicht oft nur um einen Buchstaben ab, etwa r und n statt m. 34 00:02:07.991 --> 00:02:09.989 Woran soll meine Buchhalterin das dann erkennen? 35 00:02:10.239 --> 00:02:12.883 Vor allem am Muster, weniger an der Adresse. 36 00:02:12.883 --> 00:02:17.691 Großer Zeitdruck, Geheimhaltung und ein Weg, der am üblichen Ablauf vorbeiführt. 37 00:02:17.941 --> 00:02:20.600 Eilig ist es bei mir aber auch manchmal wirklich. 38 00:02:20.600 --> 00:02:22.283 Wie soll sie das unterscheiden? 39 00:02:22.533 --> 00:02:25.576 Eilig darf es sein, geheim vor der eigenen Buchhaltung nie. 40 00:02:25.576 --> 00:02:29.031 Eine echte Chefin hat nichts dagegen, dass man sie kurz zurückruft. 41 00:02:29.281 --> 00:02:33.433 Wenn alle drei zusammenkommen, ist das kein Auftrag, sondern ein Alarmzeichen. 42 00:02:33.433 --> 00:02:35.988 Dann wird nicht überwiesen, sondern nachgefragt. 43 00:02:36.238 --> 00:02:37.192 Und wie fragt sie nach? 44 00:02:37.192 --> 00:02:38.145 Antworten auf die Mail? 45 00:02:38.395 --> 00:02:40.620 Auf keinen Fall, die Antwort landet beim Täter. 46 00:02:40.620 --> 00:02:45.450 Sie ruft die Geschäftsführerin unter der Nummer an, die sie schon kennt, nicht unter der aus der Mail. 47 00:02:45.700 --> 00:02:47.775 Und wenn sie mich nicht erreicht? 48 00:02:47.775 --> 00:02:50.101 Die Mail sagt ja, es muss heute raus. 49 00:02:50.351 --> 00:02:52.510 Dann geht die Zahlung heute eben nicht raus. 50 00:02:52.510 --> 00:02:56.728 Das ist die Regel, die Sie als Geschäftsführung vorher festlegen und selbst einhalten. 51 00:02:56.978 --> 00:03:02.676 Die Polizei rät zum Vier-Augen-Prinzip: Ungewöhnliche Zahlungen prüfen mindestens zwei Menschen. 52 00:03:02.676 --> 00:03:06.475 Dazu klare Regeln, wer während einer Abwesenheit freigeben darf. 53 00:03:06.725 --> 00:03:13.027 Mal ehrlich: Hat eine Buchhalterin den Mut, die Chefin wegen jeder Mail anzurufen? 54 00:03:13.277 --> 00:03:15.283 Nur, wenn Sie es ausdrücklich erlauben. 55 00:03:15.283 --> 00:03:24.129 Das Bundesamt für Sicherheit in der Informationstechnik empfiehlt genau das: Die Buchhaltung soll wissen, dass sie bei einer fragwürdigen Zahlung jederzeit nachfragen darf. 56 00:03:24.379 --> 00:03:26.751 Sagen Sie es einmal laut in der Teamrunde. 57 00:03:26.751 --> 00:03:31.552 Ein Rückruf zu viel kostet zwei Minuten, eine falsche Überweisung oft das ganze Geld. 58 00:03:31.802 --> 00:03:33.846 Und was ist mit der Abwesenheitsnotiz? 59 00:03:33.846 --> 00:03:36.052 Die hat den Messetermin ja erst verraten. 60 00:03:36.302 --> 00:03:40.295 Die Polizei rät, sparsam mit dem umzugehen, was die Firma nach außen zeigt. 61 00:03:40.295 --> 00:03:45.033 In die Abwesenheitsnotiz gehören Zeitraum und Vertretung, nicht Ort und Anlass der Reise. 62 00:03:45.283 --> 00:03:46.760 Was kostet mich das alles? 63 00:03:47.010 --> 00:03:48.720 Kein Geld, nur eine Entscheidung. 64 00:03:48.720 --> 00:03:55.147 Sie schreiben auf, ab welchem Betrag zwei Menschen freigeben, wer Sie vertritt und dass ein Rückruf nie als Misstrauen gilt. 65 00:03:55.747 --> 00:03:59.402 Der zweite Fall ist vermutlich weniger dramatisch? 66 00:03:59.652 --> 00:04:00.811 Leiser, aber teurer. 67 00:04:00.811 --> 00:04:08.579 Ein Lieferant, mit dem Sie seit Jahren arbeiten, schreibt: Wir haben die Bank gewechselt, bitte zahlen Sie ab sofort auf dieses Konto. 68 00:04:08.829 --> 00:04:12.645 Die Rechnung sieht aus wie immer, Logo, Betrag und Bestellnummer stimmen. 69 00:04:12.645 --> 00:04:14.109 Nur die Kontonummer ist neu. 70 00:04:14.359 --> 00:04:16.743 Das kommt doch auch wirklich vor. 71 00:04:16.743 --> 00:04:18.621 Firmen wechseln ihre Bank. 72 00:04:18.871 --> 00:04:20.941 Ja, und genau deshalb funktioniert es. 73 00:04:20.941 --> 00:04:25.951 Die Polizei nennt die angeblich geänderte Bankverbindung ausdrücklich als typischen Vorwand. 74 00:04:26.201 --> 00:04:27.390 Was ist der bessere Ablauf? 75 00:04:27.640 --> 00:04:31.798 Eine neue Bankverbindung gilt erst, wenn jemand beim Lieferanten angerufen hat. 76 00:04:31.798 --> 00:04:36.324 Unter der Nummer aus Ihren eigenen Unterlagen, nicht unter der aus Mail oder Rechnung. 77 00:04:36.574 --> 00:04:42.465 Und wer das Konto in der Buchhaltungssoftware ändert, sollte nicht dieselbe Person sein, die danach die Zahlung freigibt. 78 00:04:42.715 --> 00:04:45.041 Hilft mir da nicht inzwischen die Bank? 79 00:04:45.041 --> 00:04:48.499 Ich habe von einer neuen Prüfung bei Überweisungen gehört. 80 00:04:48.749 --> 00:04:49.386 Die gibt es. 81 00:04:49.386 --> 00:04:57.406 Seit dem neunten Oktober zweitausendfünfundzwanzig müssen Banken im Euroraum vor jeder Euro-Überweisung prüfen, ob Name und Kontonummer zusammenpassen. 82 00:04:57.656 --> 00:05:02.684 Das steht in einer Verordnung der Europäischen Union, und die Prüfung ist für alle Kunden kostenlos. 83 00:05:02.684 --> 00:05:05.801 Passt der Name nicht, warnt Sie die Bank, bevor Sie freigeben. 84 00:05:06.051 --> 00:05:07.599 Dann ist das Problem doch gelöst. 85 00:05:07.849 --> 00:05:09.441 Nicht ganz, aus zwei Gründen. 86 00:05:09.441 --> 00:05:16.138 Erstens hält die Warnung Sie nicht auf; Sie dürfen trotzdem freigeben, und dann tragen Sie das Risiko in der Regel selbst. 87 00:05:16.388 --> 00:05:21.304 Zweitens dürfen Firmen die Prüfung abschalten, wenn sie mehrere Zahlungen gebündelt einreichen. 88 00:05:21.304 --> 00:05:25.236 Eine Sammelüberweisung aus der Buchhaltungssoftware ist genau so ein Bündel. 89 00:05:25.486 --> 00:05:28.274 Woher weiß ich, ob das bei uns abgeschaltet ist? 90 00:05:28.524 --> 00:05:31.109 Fragen Sie Ihre Buchhaltung und im Zweifel Ihre Bank. 91 00:05:31.109 --> 00:05:35.793 Und legen Sie fest: Eine Warnung zum Namen wird nie weggeklickt, sondern führt zu einem Rückruf. 92 00:05:36.043 --> 00:05:39.309 Und wenn der Lieferant beim Rückruf sagt, er habe nie etwas geschrieben? 93 00:05:39.559 --> 00:05:44.011 Dann wissen Sie, dass jemand seinen Namen benutzt, vielleicht sogar sein Postfach. 94 00:05:44.011 --> 00:05:48.626 Sagen Sie es ihm sofort, denn seine anderen Kunden bekommen vermutlich dieselbe Mail. 95 00:05:48.876 --> 00:05:50.322 Und wenn das Geld schon weg ist? 96 00:05:50.572 --> 00:05:51.909 Dann zählt jede Stunde. 97 00:05:51.909 --> 00:05:56.965 Das FBI rät, sofort die eigene Bank anzurufen und den Rückruf der Zahlung zu verlangen. 98 00:05:57.215 --> 00:06:00.508 Wie realistisch ist es, das Geld zurückzubekommen? 99 00:06:00.758 --> 00:06:02.149 Das hängt vor allem am Tempo. 100 00:06:02.149 --> 00:06:06.850 Deshalb gehört die Notfallnummer Ihrer Bank in die Buchhaltung und nicht nur ins Handy der Chefin. 101 00:06:07.100 --> 00:06:11.697 Danach erstatten Sie Anzeige, bei der örtlichen Polizei oder beim Landeskriminalamt. 102 00:06:11.697 --> 00:06:15.036 Halten Sie dafür Mail, Rechnung und Überweisungsbeleg bereit. 103 00:06:15.636 --> 00:06:18.382 Im zweiten Fall war die Mail gefälscht. 104 00:06:18.382 --> 00:06:21.551 Was, wenn sie wirklich vom Lieferanten kommt? 105 00:06:21.801 --> 00:06:24.593 Das ist der dritte Fall, und er ist der gefährlichste. 106 00:06:24.593 --> 00:06:29.506 Dabei wird zuerst das Postfach einer echten Person übernommen, bei Ihnen oder beim Lieferanten. 107 00:06:29.756 --> 00:06:31.980 Wie kommt jemand an ein ganzes Postfach? 108 00:06:32.230 --> 00:06:36.269 Zum Beispiel über eine Mail, die eine angebliche Sprachnachricht ankündigt. 109 00:06:36.269 --> 00:06:40.577 Ein Klick führt auf eine Anmeldeseite, die genau aussieht wie die von Microsoft. 110 00:06:40.827 --> 00:06:42.496 Und das merkt niemand? 111 00:06:42.496 --> 00:06:45.986 Die Adresse im Browser stimmt dann doch nicht. 112 00:06:46.236 --> 00:06:47.820 Wer genau hinsieht, merkt es. 113 00:06:47.820 --> 00:06:53.557 Aber auf dem Handy ist die Adresszeile kurz, und zwischen zwei Terminen sieht man nur das vertraute Logo. 114 00:06:53.807 --> 00:06:57.638 Dort gibt die Person Kennwort und sogar den Bestätigungscode vom Handy ein. 115 00:06:57.638 --> 00:07:02.031 Die Seite reicht beides an die echte Anmeldung weiter und behält die Sitzung für sich. 116 00:07:02.281 --> 00:07:02.653 Moment. 117 00:07:02.653 --> 00:07:06.268 Ich dachte, genau dafür haben wir den Code auf dem Handy eingeführt. 118 00:07:06.518 --> 00:07:07.858 Der Code hält sehr viel ab. 119 00:07:07.858 --> 00:07:15.101 Microsoft schreibt, dass er zusammen mit dem Abschalten alter Anmeldewege mehr als neunundneunzig Prozent der gängigen Angriffe auf Konten stoppt. 120 00:07:15.351 --> 00:07:18.009 Gegen diese nachgebaute Anmeldeseite hilft er aber nicht. 121 00:07:18.009 --> 00:07:22.487 Dafür gibt es Anmeldeverfahren, die sich nicht abfangen lassen, etwa einen Sicherheitsschlüssel. 122 00:07:22.737 --> 00:07:25.604 Braucht dann jeder im Haus so einen Schlüssel? 123 00:07:25.604 --> 00:07:27.100 Das klingt nach Aufwand. 124 00:07:27.350 --> 00:07:28.331 Nicht sofort jeder. 125 00:07:28.331 --> 00:07:36.027 Fangen Sie bei denen an, die Zahlungen freigeben, und bei den Konten mit Verwaltungsrechten, also mit Zugriff auf die Einstellungen der ganzen Firma. 126 00:07:36.277 --> 00:07:39.668 Für alle anderen ist der Code auf dem Handy die Pflicht. 127 00:07:39.668 --> 00:07:42.272 Den bringt Microsoft 365 ohne Aufpreis mit. 128 00:07:42.522 --> 00:07:44.450 Und was passiert dann im Postfach? 129 00:07:44.700 --> 00:07:47.385 Microsoft hat so eine Angriffswelle beschrieben. 130 00:07:47.385 --> 00:07:55.666 Teils vergingen nur fünf Minuten bis zum ersten Betrugsversuch, teils lasen die Angreifer tagelang mit, vor allem Mails zu Rechnungen und Zahlungen. 131 00:07:55.916 --> 00:08:02.112 Dann richteten sie eine Regel ein, die Antworten des Geschäftspartners automatisch ins Archiv schiebt und als gelesen markiert. 132 00:08:02.112 --> 00:08:05.771 Und schließlich antworteten sie in einen laufenden Rechnungsverlauf hinein. 133 00:08:06.021 --> 00:08:10.994 Das heißt, die Mail mit der neuen Kontonummer hängt direkt unter meiner echten Anfrage? 134 00:08:11.244 --> 00:08:11.580 Genau. 135 00:08:11.580 --> 00:08:18.406 Deshalb gilt die Regel aus dem zweiten Fall immer: Neue Bankverbindung nur nach Rückruf, auch wenn die Mail echt aussieht. 136 00:08:18.656 --> 00:08:22.397 Woran merke ich im eigenen Haus, dass ein Postfach übernommen wurde? 137 00:08:22.647 --> 00:08:24.372 Microsoft nennt einige Zeichen. 138 00:08:24.372 --> 00:08:31.051 Mails fehlen, im Ordner Gesendet liegen fremde Nachrichten, oder es gibt neue Regeln, die Mails nach außen weiterleiten. 139 00:08:31.301 --> 00:08:33.067 Und wer kümmert sich dann? 140 00:08:33.067 --> 00:08:34.833 Ich, die Kollegin, die IT? 141 00:08:35.083 --> 00:08:37.937 Die Kollegin meldet es sofort, ohne Angst vor Ärger. 142 00:08:37.937 --> 00:08:43.534 Die IT setzt das Kennwort zurück, beendet alle Sitzungen und löscht fremde Regeln und Weiterleitungen. 143 00:08:43.784 --> 00:08:48.780 Das neue Kennwort geht dabei nie per Mail raus, denn das Postfach könnte noch mitgelesen werden. 144 00:08:48.780 --> 00:08:53.204 Und die Geschäftsführung informiert die Geschäftspartner, die betroffen sein könnten. 145 00:08:53.454 --> 00:08:55.108 Warum ausgerechnet ich? 146 00:08:55.108 --> 00:08:56.978 Das ist doch Sache der IT. 147 00:08:57.228 --> 00:09:01.103 Weil aus Ihrem Postfach vielleicht schon Mails an Kunden rausgegangen sind. 148 00:09:01.103 --> 00:09:05.184 Ob Sie die warnen und wie, ist eine Entscheidung der Führung, keine technische. 149 00:09:05.784 --> 00:09:09.074 Dann bitte zum Schluss die drei Regeln. 150 00:09:09.074 --> 00:09:11.183 Was lege ich morgen fest? 151 00:09:11.433 --> 00:09:15.905 Erstens: Eine neue Bankverbindung gilt nur nach Rückruf unter der bekannten Nummer. 152 00:09:15.905 --> 00:09:18.922 Ungewöhnliche Zahlungen gibt nie ein Mensch allein frei. 153 00:09:19.172 --> 00:09:23.124 Zweitens: Die Warnung der Bank zum Empfängernamen wird nie weggeklickt. 154 00:09:23.124 --> 00:09:27.911 Prüfen Sie, ob Ihre Buchhaltung die Prüfung für gebündelte Zahlungen abgeschaltet hat. 155 00:09:28.161 --> 00:09:33.142 Drittens: Wer klickt oder zweifelt, meldet es sofort und wird dafür nicht bestraft. 156 00:09:33.142 --> 00:09:36.563 Für jedes Postfach gilt die Anmeldung mit zweitem Faktor. 157 00:09:36.813 --> 00:09:38.029 Das klingt nach wenig. 158 00:09:38.029 --> 00:09:39.135 Reicht das wirklich? 159 00:09:39.385 --> 00:09:43.146 Es schließt die drei Wege, auf denen in den Fällen heute das Geld verloren ging. 160 00:09:43.146 --> 00:09:47.237 Wichtig ist nur, dass die Regeln auch dann gelten, wenn die Chefin selbst es eilig hat. 161 00:09:47.487 --> 00:09:52.159 Und wie lernt die Belegschaft, so eine Mail überhaupt zu erkennen? 162 00:09:52.409 --> 00:09:54.999 Durch Übung, nicht durch einen Vortrag im Jahr. 163 00:09:54.999 --> 00:10:03.042 Mit dem kjello-Paket Schulung und Phishing-Übungen bekommen Sie kurze Schulungen und harmlose Übungsmails und sehen, wie viele im Haus sie melden.