15.06.2021 - In der vergangenen Woche war der Meldeeingang beim NCSC moderat. Ein Fall von CEO-Betrug zeigte exemplarisch, wie wichtig das Vier-Augen-Prinzip ist, um Schaden abzuwenden. Betrügerische E-Mails, die angebliche Paket- und Zollgebühren verlangen, sind seit Monaten im Umlauf. Dabei fallen zahlreiche solche Meldungen zeitlich mit wirklich getätigten Bestellungen zusammen. Der Eindruck der Meldenden, dass die Betrüger hierzu Zugriff auf das Zollverwaltungs- oder das Postsystem haben müssen, trügt allerdings.

CEO-Betrug dank Vier-Augen-Prinzip verhindert

Das NCSC empfiehlt generell als Schutzmassnahme für Zahlungen das Vier-Augen-Prinzip, respektive eine «Kollektivunterschrift zu zweien». Wie wertvoll diese Massnahme ist, zeigte exemplarisch ein Fall, der dem NCSC letzte Woche gemeldet worden ist. Angefangen hat der Betrug ganz klassisch mit einer Anfrage des vermeintlichen Chefs per Mail an die Finanzabteilung, ob kurzfristig eine dringende Zahlung ausgelöst werden könne. Dass der Absender gefälscht war und der Mitarbeitende gar nicht mit seinem Chef kommunizierte, fiel vorerst nicht auf. Die Kommunikation über die Zahlungsmodalitäten ging hin und her bis zu dem Zeitpunkt, als die konkrete Zahlungsaufforderung auf ein ausländisches Konto gestellt wurde. Gemäss Prozess musste der Finanzmitarbeitende nun die zweite Unterschrift seines Arbeitskollegen einholen, um die Zahlung auszulösen. Durch die zweite nun einbezogene Person wurde der Betrugsversuch aber sofort bemerkt und die Zahlung wurde nicht getätigt.

Beispiel eines initialen CEO-Betrug-E-Mails

Sensibilisieren Sie alle Mitarbeitenden bezüglich CEO-Fraud! Insbesondere die Mitarbeitenden in den Finanzabteilungen und in Schlüsselpositionen sind über diese möglichen Angriffsweisen zu informieren. Bei Vereinen sind alle Mitglieder mit Präsidenten- oder Kassier-Funktion zu schulen.
Sämtliche Prozesse, welche den Zahlungsverkehr betreffen, sollten firmenintern klar geregelt sein und von den Mitarbeitenden in allen Fällen eingehalten werden. (z. B. Vier-Augen-Prinzip, Unterschrift Kollektiv zu zweien).
Allgemein gilt: Geben Sie keine internen Informationen preis und seien Sie bei Zahlungsaufforderungen vorsichtig: Kommen Sie keinen ungewöhnlichen Zahlungsaufforderungen nach.

Statistische Betrachtung von gefälschten Paketankündigungs-E-Mails

Eine E-Mail mit Forderungen zu Zollgebühren sei praktisch zeitgleich mit der korrekten Meldung der Post, dass ein Paket unterwegs sei, eingegangen. Bei der Zollverwaltung oder bei der Post müsse es demzufolge ein Datenleck geben. Solche und ähnliche Vermutungen werden dem NCSC in den letzten Monaten häufig gemeldet. Bis heute sind aber weder bei der Post noch bei der Zollverwaltung Datenlecks gefunden worden. Der Grund des zeitlichen Zusammenfalls solcher E-Mails hat vielmehr mit statistischen Effekten zu tun. Gerade in Zeiten von Covid-19 haben Online Bestellungen einen wahren Boom erlebt. Dies haben auch die Betrüger gemerkt und intensivierten seit dem Ausbruch der Pandemie, den Versand von betrügerischen Paketankündigungs-E-Mails, welche irgendeine Gebühr verlangen.

Folgendes Beispiel zeigt die hohe Wahrscheinlichkeit auf, dass die zwei Ereignisse zeitlich zusammenfallen können:

Geht man davon aus, dass ein Achtel der Schweizer Bevölkerung, rund eine Million (vereinfachend sei hier eine Einwohnerzahl von 8 Millionen angenommen), eine Online-Bestellung pro Woche tätigt und die Angreifer 100'000 E-Mails in einer Woche an Schweizerinnen und Schweizer senden - was wohl eher eine tiefe Annahme ist - , dann bekommen rein statistisch gesehen 12'500 Personen in der gleichen Woche, in der Sie online bestellt haben, auch ein entsprechendes Betrugs-E-Mail.

Der Versand dieser E-Mails ist für die Betrüger ein Massengeschäft. Sie spekulieren darauf, dass bei einem möglichst grossen Versand auch potentielle Opfer dabei sind, die tatsächlich auf ein Paket warten.

Beispiel einer Betrugs-E-Mail, welche eine Fake-Gebühr verlangt

Ignorieren Sie Paketankündigungen, welche auf die Bezahlung einer Gebühr drängen.
Im Zweifelsfalle und wenn Sie ein Paket erwarten, fragen Sie direkt beim entsprechenden Paketdienstleister nach.
Denken Sie daran: Kein seriöses Unternehmen lässt die Kunden Gebühren mit Paysafe-Karten bezahlen.