Modul 1 · 1.2
Deutsch
Phishing, CEO-Betrug und Rechnungsbetrug
Modul 1: Warum Sie ein Ziel sind · Lesezeit: 10 Minuten
Lernziel: Nach dieser Lektion können Sie die Vorgehensweise bei Phishing, CEO-Betrug und Rechnungsbetrug (BEC) erkennen und ein Zahlungsverfahren mit Rückrufkontrolle einrichten.
Kernbegriffe: Phishing, Spear Phishing, CEO-Betrug, Rechnungsbetrug, Business Email Compromise, Vier-Augen-Prinzip, Rückruf unter einer bekannten Nummer
Drei Varianten desselben Tricks
Alle drei Angriffe in dieser Lektion arbeiten mit Täuschung. Es wird nicht in einen Computer eingebrochen, sondern jemand wird dazu gebracht, selbst etwas zu tun: auf einen Link zu klicken, ein Passwort einzugeben, Geld zu überweisen. Das nennt man Social Engineering. Es funktioniert, weil es an normale menschliche Reaktionen appelliert: Sie wollen Ihrem Chef helfen, einen Lieferanten pünktlich bezahlen, ein Problem schnell lösen.
| Form | Was der Angreifer will | Typische Nachricht |
|---|---|---|
| Phishing | Anmeldedaten, Zahlungsdaten oder einen Klick auf Schadsoftware | "Ihr Postfach ist voll, melden Sie sich an, um Ihre Nachrichten zu behalten" |
| CEO-Betrug | Eine Eilüberweisung | "Ich bin gerade in einer Besprechung, können Sie das heute noch überweisen? Besprechen Sie das nicht mit anderen" |
| Rechnungsbetrug | Zahlung einer echten Rechnung auf ein falsches Konto | "Achtung: unsere Kontonummer hat sich geändert" |
CEO-Betrug und Rechnungsbetrug fallen gemeinsam unter den englischen Sammelbegriff Business Email Compromise (BEC): Betrug, bei dem geschäftliche E-Mails missbraucht werden und sich ein Betrüger als jemand anderes ausgibt.
Phishing und Spear Phishing
Phishing ist eine Nachricht, die sich als vertrauenswürdiger Absender ausgibt, damit Sie etwas tun, was Sie sonst nicht tun würden. Meist handelt es sich um einen Link zu einer nachgebauten Anmeldeseite, zum Beispiel von rnijnbank.example (mit "rn" statt "m"), oder um einen Anhang mit Schadsoftware. Gewöhnliches Phishing richtet sich an viele Menschen gleichzeitig, mit einer allgemeinen Geschichte.
Bei Spear Phishing ist die Nachricht auf Sie zugeschnitten. Der Angreifer verwendet Ihren Namen, Ihre Funktion, den Namen eines echten Kollegen oder Lieferanten, ein Projekt, an dem Sie arbeiten. Diese Informationen findet er auf Ihrer Website, bei LinkedIn, im Handelsregister oder in einem zuvor geleakten Postfach. Weil die Nachricht zu dem passt, was Sie erwarten, fällt sie viel weniger auf.
Rechtschreibfehler sind kein verlässliches Erkennungsmerkmal mehr. Mit Übersetzungsprogrammen und KI-Textgeneratoren schreibt ein Betrüger fehlerfreies Deutsch. In Modul 3 lernen Sie, Phishing an Dingen zu erkennen, die ein Betrüger nicht nachahmen kann: die echte Domain eines Links und den technischen Absender einer E-Mail.
CEO-Betrug
Bei CEO-Betrug erhält jemand, der Zahlungen ausführt, eine Nachricht, die scheinbar vom Geschäftsführer oder Inhaber stammt. Das Phishing-Radar der Verbraucherzentrale beschreibt die festen Merkmale:
- Autorität: Es ist eine Anweisung, keine Frage.
- Geheimhaltung: "Besprechen Sie das noch nicht mit anderen, es geht um eine Übernahme."
- Zeitdruck: Es muss heute noch sein, bevor die Bank schließt.
- Ein Absender, der fast stimmt: zum Beispiel
directie@example-com.example, was auf den ersten Blick wie die eigene Domain aussieht, oder eine private Adresse, "weil ich gerade unterwegs bin".
Manchmal wird ein "Anwalt" oder "Steuerberater" hinzugezogen, der die Anweisung bestätigt; diese Person gehört zu den Betrügern. Auch Vereine und kleine Unternehmen werden auf diese Weise angesprochen: Der Kassenwart erhält eine E-Mail von "dem Vorsitzenden".
Warum funktioniert das? Weil in einem kleinen Unternehmen jeder jeden kennt und vertraut. Der Mitarbeiter will helfen, und die Geheimhaltung sorgt dafür, dass er nicht eben bei einem Kollegen nachfragt. Das Geheimnis ist genau das Ziel des Betrügers.
Rechnungsbetrug: Nur die IBAN ist anders
Rechnungsbetrug ist schwerer zu erkennen, weil die Rechnung oft echt ist. Betrag, Bestellnummer, Logo, Format: alles stimmt. Nur die Kontonummer wurde geändert. Laut dem Phishing-Radar der Verbraucherzentrale geschieht das auf verschiedene Weise: Die Rechnung wird abgefangen und verändert, es kommt ein separates Schreiben "unsere Kontonummer hat sich geändert", oder das Unternehmen selbst wurde gehackt und der Betrüger versendet die E-Mail aus dem echten Postfach.
Letzteres ist wichtig zu verstehen. Wenn das Postfach Ihres Lieferanten leverancier.example übernommen wurde, kommt die E-Mail tatsächlich von der richtigen Adresse. Alle technischen Prüfungen (SPF, DKIM, DMARC aus Modul 4) bestehen. Der Betrüger hat das Postfach manchmal wochenlang mitgelesen, weiß, welche Rechnungen offen sind, und versendet seine Nachricht genau zum richtigen Zeitpunkt, im selben E-Mail-Verlauf. Die Absenderadresse zu kontrollieren hilft hier also nicht.
Ein schmerzhaftes Detail: Wenn Sie den Betrüger bezahlt haben, schulden Sie dem echten Lieferanten grundsätzlich immer noch den Betrag.
Ein Beispiel
Bäckerei Example bestellt einen neuen Ofen bei leverancier.example. Das Angebot, die Auftragsbestätigung und die Rechnung kommen alle ordnungsgemäß an. Zwei Tage später folgt im selben E-Mail-Verlauf:
Liebe Petra, durch einen Bankwechsel hat sich unsere Kontonummer mit sofortiger Wirkung geändert. Können Sie die Rechnung für den Ofen auf die neue Nummer überweisen? Die alte Nummer wird nächste Woche aufgelöst. Mit freundlichen Grüßen, Joost
Die Adresse stimmt, der Name von Joost stimmt, die Bestellnummer stimmt. Das Einzige, was den Betrug verrät, ist die Anfrage selbst: eine Änderung der Kontonummer. Das ist immer ein Moment, um zu prüfen, niemals ein Moment, um nur der E-Mail zu vertrauen.
Das Zahlungsverfahren, das es verhindert
Sie können nicht jede gefälschte E-Mail erkennen. Sie können aber dafür sorgen, dass eine gefälschte E-Mail nicht ausreicht, um Geld zu überweisen. Das erreichen Sie mit ein paar festen Absprachen.
- Rückruf unter einer bekannten Nummer. Bei jeder Änderung einer Kontonummer und bei jeder ungewöhnlichen Zahlungsaufforderung rufen Sie den Absender an. Nicht unter der Nummer in der E-Mail oder der Rechnung, denn die kann ebenfalls gefälscht sein, sondern unter einer Nummer, die Sie bereits hatten: aus Ihrer eigenen Buchhaltung, dem Vertrag oder der offiziellen Website, die Sie selbst eintippen.
- Nicht auf die E-Mail antworten. Wenn Sie per E-Mail prüfen möchten, tippen Sie die Adresse selbst ein. Mit "Antworten" können Sie beim Betrüger landen, zum Beispiel über eine Reply-To-Adresse, die auf eine andere Adresse verweist (Lektion 3.3).
- Das Vier-Augen-Prinzip. Zahlungen oberhalb eines festen Betrags, neue Zahlungsempfänger und geänderte Kontonummern werden von zwei Personen kontrolliert. Bei einem Einzelunternehmen bedeutet das: eine feste Wartezeit und einen Rückruf, bevor Sie zahlen.
- Keine Ausnahmen per E-Mail oder Chat. Der Geschäftsführer bittet niemals per E-Mail oder WhatsApp darum, das Verfahren zu überspringen. Vereinbaren Sie das, gerade auch mit dem Geschäftsführer selbst. Dann weiß jeder: Eine Nachricht mit "ausnahmsweise mal außerhalb des üblichen Wegs" ist per Definition verdächtig.
- Daten festhalten. Die Kontonummer eines Lieferanten steht in Ihrer Buchhaltung. Vergleichen Sie die Nummer auf jeder Rechnung mit dem, was Sie bereits hatten. Seit Oktober 2025 prüfen Banken in der Eurozone bei einer Überweisung, ob der von Ihnen eingegebene Name zur Kontonummer passt (auf Englisch Verification of Payee). Nehmen Sie eine Warnung davon ernst. Aber ein grünes Ergebnis besagt nur, dass Name und Konto zusammenpassen, nicht dass der Empfänger ehrlich ist.
| Situation | Aktion |
|---|---|
| Neue Kontonummer eines bestehenden Lieferanten | Rückruf unter bekannter Nummer, Freigabe durch eine zweite Person |
| Eilzahlung auf Anfrage der Geschäftsführung | Anrufen oder persönlich nachfragen, Verfahren einfach befolgen |
| Neuer Lieferant, erste Rechnung | Daten anhand einer offiziellen Quelle prüfen, Freigabe durch eine zweite Person |
| Rechnung, die anders aussieht als sonst | Nachfragen, bevor Sie zahlen |
Wenn es doch schiefgeht
Haben Sie bezahlt und trauen Sie der Sache nicht mehr? Dann zählt jede Stunde.
- Rufen Sie sofort Ihre Bank an und fragen Sie, ob die Zahlung gestoppt oder zurückgeholt werden kann.
- Melden Sie den Vorfall beim Phishing-Radar der Verbraucherzentrale und erstatten Sie Anzeige bei der Polizei (über die Onlinewache der Polizei Ihres Bundeslandes).
- Warnen Sie den Lieferanten: Wenn dessen Postfach übernommen wurde, erhalten auch weitere Kunden gefälschte Nachrichten.
- Kam die Nachricht aus Ihrem eigenen Postfach oder dem eines Kollegen, wurde dieses möglicherweise übernommen. Ändern Sie das Passwort, beenden Sie Sitzungen und prüfen Sie Weiterleitungsregeln (Lektion 2.5 und 3.5).
Zusammenfassung
- Phishing, CEO-Betrug und Rechnungsbetrug sind Social Engineering: Sie werden dazu gebracht, selbst etwas zu tun.
- Spear Phishing ist auf Sie zugeschnitten und dadurch viel überzeugender; Rechtschreibfehler sind kein gutes Erkennungsmerkmal mehr.
- CEO-Betrug setzt auf Autorität, Geheimhaltung und Zeitdruck.
- Bei Rechnungsbetrug ist oft nur die IBAN anders, manchmal aus dem echten, gehackten Postfach des Lieferanten.
- Ein Zahlungsverfahren mit Rückruf unter einer bekannten Nummer und dem Vier-Augen-Prinzip hält die meisten Betrugsversuche auf, auch wenn Sie die gefälschte E-Mail nicht erkennen.
Quiz
Aufgabe
Aufgabe A1.2: Erkennen Sie den Betrug. Sie erhalten sechs kurze Nachrichten. Geben Sie zu jeder Nachricht an, ob es sich wahrscheinlich um Phishing, CEO-Betrug, Rechnungsbetrug oder eine normale Nachricht handelt, und welche Maßnahme Sie ergreifen. Das Programm wertet aus und zeigt zu jeder Nachricht die Merkmale, die Sie hätten erkennen können.
Aufgabe D1.2: Ihr eigenes Zahlungsverfahren. Schreiben Sie das Zahlungsverfahren Ihres Unternehmens auf einer A4-Seite auf: wann zurückgerufen wird, unter welcher Nummer, wer eine zweite Kontrolle durchführt und ab welchem Betrag. Besprechen Sie es mit allen, die Zahlungen ausführen.
Aufgabe D1.2: Ihr eigenes Zahlungsverfahren
So gehen Sie vor: (1) Schreiben Sie auf einem A4-Blatt auf, wann eine Zahlung eine zusätzliche Kontrolle erhält: geändertes Kontonummer, neuer Begünstigter, Betrag über einer von Ihnen gewählten Grenze, Eilantrag außerhalb des normalen Wegs. (2) Schreiben Sie auf, wie Sie zurückrufen: nur unter einer Nummer aus Ihrer eigenen Verwaltung, dem Vertrag oder der offiziellen Website, die Sie selbst eintippen. (3) Bestimmen Sie eine zweite Person, die mitschaut (bei einem Einzelunternehmen: eine feste Wartezeit, zum Beispiel eine Nacht). (4) Vereinbaren Sie mit der Leitung, dass das Verfahren nie per Mail oder Chat übersprungen wird. (5) Besprechen Sie das A4-Blatt mit allen, die Zahlungen vornehmen, und hängen Sie es auf.
Ihre Haken und Notizen bleiben nur in diesem Browser; wir senden sie nirgendwohin. Sind Sie angemeldet, speichern wir in Meine Kurse nur, dass Sie die Aufgabe erledigt haben.
Weiterführende Informationen
Die Schritte in den WebOké-Artikeln gelten für die Umgebung von WebOké; bei anderen Anbietern funktioniert es ähnlich.
- Ist diese E-Mail wirklich von WebOké? Phishing erkennen und den Aktionscode verwenden
- E-Mails von ICANN oder der Registry zu Ihrer Domain: echt oder Fälschung, und was sollten Sie tun?
- Phishing-Radar der Verbraucherzentrale, CEO-Betrug: https://www.verbraucherzentrale.de/phishing-radar
- Phishing-Radar der Verbraucherzentrale, Die Kontonummer auf der Rechnung wurde geändert: https://www.verbraucherzentrale.de/phishing-radar
- Phishing-Radar der Verbraucherzentrale, Abgefangene Rechnungen: https://www.verbraucherzentrale.de/phishing-radar