Die Angriffe, die tatsächlich ankommen

Wer Sicherheitsmeldungen liest, bekommt ein Bild von hochgerüsteten Angreifern und unbekannten Lücken. Das gibt es. Es ist nur nicht das, was einem Betrieb mit acht Leuten passiert.

Was tatsächlich ankommt

Die geänderte Kontonummer. Eine Rechnung eines echten Lieferanten, echte Positionen, echte Referenz — nur die IBAN ist eine andere. Meist, weil das Mailkonto des Lieferanten kompromittiert wurde und jemand den Verkehr mitgelesen hat. Das ist der teuerste Fall dieser Liste.

Die Anmeldeseite, die echt aussieht. Eine Mail, die zum Zurücksetzen des Passworts auffordert. Die Seite dahinter sieht aus wie Microsoft. Danach liest jemand mit — oft wochenlang, ohne etwas zu verändern.

Der Chef, der dringend etwas braucht. Eine Zahlung, vertraulich, kurz vor Feierabend, am liebsten während der Ferienabwesenheit. Der Druck ist der eigentliche Angriff.

Die Verschlüsselung über den Fernzugang. Ein offener Remote-Desktop, ein schwaches Passwort, keine Mehrfaktor-Anmeldung. Kein Trick, nur Geduld.

Warum es funktioniert

Nicht wegen technischer Raffinesse, sondern wegen Zeitpunkt und Plausibilität. Die Mail kommt, wenn man auf sie wartet. Sie enthält Details, die stimmen. Und sie verlangt etwas, das im Alltag ohnehin ansteht.

Was dagegen hilft

• Mehrfaktor-Anmeldung auf Mail. Der einzelne wirksamste Punkt der Liste.
• Vier Augen bei jeder Änderung von Zahlungsdaten — und ein Rückruf auf die Nummer aus dem eigenen Adressbuch, nicht auf die aus der Mail.
• Kein Fernzugang direkt aus dem Internet.
• Die Erlaubnis nachzufragen. Wer weiss, dass eine Rückfrage erwünscht ist, fragt auch beim Chef nach. Das ist eine Kulturfrage, keine technische.

Was zu tun ist, wenn es doch passiert, steht in Die erste Stunde nach dem Vorfall.