Ein Gastbeitrag von Michel Hipp, Neo One AG

Wirtschaftskriminalität hat viele Facetten und die Anzahl von Delikten ist seit Jahren hoch. Allein im Jahr 2022 zählte das Bundesamt für Statistik knapp 30'000 Delikte. Betrüger gehen dabei immer raffinierter und gezielter vor. Während es vor einiger Zeit noch Phishing-E-Mails waren, die nicht personalisiert an grosse Verteiler gesendet wurden und so leicht zu identifizieren waren, informieren sich Betrüger nun gezielter über ihre Opfer und wenden komplexere Betrugsmaschen an.

Nachfolgende Beispiele und Vorgehensmuster helfen zu verstehen, weshalb wir mit vielen Alltagsgefahren konfrontiert sind und eine Sensibilisierung und ein Schutz unabdingbar ist:

1. Home-Office und Fernzugriffe

Sobald Unternehmen Fernzugriffe auf das Firmennetzwerk zulassen – seien es Home-Office-Zugriffe oder Zugriffe «on the road» – entsteht das heutzutage gewünschte flexible Arbeiten. Es entsteht aber auch ein markantes Sicherheitsrisiko, weil die jeweils genutzte Infrastruktur nicht immer kontrolliert werden kann.

2. Briefe und Paketsendungen

E-Mails, SMS und weitere Kommunikationsformen werden ausgenutzt, um mit gefälschten (Paket-)Benachrichtigungen den Empfänger dazu zu verleiten, Links anzuklicken. Nach dem Anklicken des Links öffnet sich eine Seite, auf der dann eine Paketsoftware heruntergeladen werden soll. Dabei handelt es sich um die Schadsoftware.

3. Verschlüsselungstrojaner

Der Verschlüsselungstrojaner ist ein Schadprogramm, welches ins Unternehmen geschleust wird (z. B. durch Phishing-E-Mails) und zur Folge hat, dass der Zugriff auf den Rechner/PC für den Nutzer gesperrt wird und das Gerät nicht mehr zugänglich ist. Diese Methode ist immer noch äusserst verbreitet und richtet grossen Schaden an. Die Folge ist, dass der Zugriff auf Daten und Systeme nicht mehr möglich ist und damit das Unternehmen erpressbar wird.

4. Die Verfügbarkeit stören und überlasten (DDoS-Attacke)

Unter einer DDoS-Attacke (Distributed Denial of Service = Verweigerung des Dienstes) versteht man einen Angriff auf Computer-Systeme mit dem erklärten Ziel, deren Verfügbarkeit zu stören. Das Datenvolumen erreicht oft mehrere hundert Gbit/s. Dies sind Volumen, die eine einzelne Organisation in der Regel ohne fremde Hilfe nicht mehr bewältigen kann. Das führt zu einer Überlastung der Systeme und der Betrieb wird faktisch lahmgelegt.

5. Die CEO-Betrugsmasche

Die Angreifer beschaffen sich im Vorfeld Informationen über ein Unternehmen, eine Behörde oder einen Verein aus unterschiedlichen öffentlichen Quellen. Mit diesen Informationen wird dann ein Szenario ausgearbeitet und ein massgeschneiderter Angriff durchgeführt. Der eigentliche Betrug findet häufig mit einer E-Mail des angeblichen CEO an die Finanzabteilung oder einer E-Mail vom angeblichen Vereinspräsidenten an den Kassierer statt. Durch eine glaubwürdige Geschichte soll die angeschriebene Person dazu bewegt werden, angebliche und dringende Zahlungen auszulösen.

6. Datenabfluss

Die Ursachen von Datenabflüssen sind vielfältig und reichen von Diebstahl durch Mitarbeitende, über vergessene und schlecht gewartete Server hin zu Backups, die nicht ordnungsgemäss geschützt sind. Gefolgt auf den Datenabfluss kommt es zu Erpressungen, Lösegeldforderungen oder der Durchsetzung des Schadens durch Veröffentlichung der Daten. Auch das neue Datenschutzgesetz, welches zu recht bessere Massnahmen fordert, ist den Cyberkriminellen bekannt und wird ausgenutzt.

7. Die Kombinationsfalle aus Anruf und Schadsoftware

In dieser Variante sind die E-Mails oftmals begleitet von einem Telefonanruf, welcher die Versandpapiere visieren lassen will. Im Verlauf des Telefongesprächs wird mitgeteilt, dass die Papiere per E-Mail zugestellt würden. Die Angreifer versuchen auf diese Art und Weise, Schadsoftware auf einen Computer zu bringen. Hinter dem Link im PDF-Dokument verbirgt sich eine Schadsoftware. Die ausgelieferte Schadsoftware kann variieren. Meist handelt es sich um einen e-Banking-Trojaner.

8. SMS «Voice-Nachricht»

Immer mehr gibt es auch SMS oder WhatsApp-Nachrichten mit einer angeblichen Benachrichtigung, dass eine «Voice-Nachricht» verfügbar sei. Um die ganze Nachricht zu hören, soll man einen Link anklicken. Nach dem Anklicken des Links öffnet sich eine gefälschte Seite mit dem Logo des Herstellers/Versenders oder z.B. dem Internetprovider und der Aufforderung, eine sogenannte «apk-Datei» herunterzuladen. Dabei handelt es sich um Schadsoftware.

9. Manipulation elektronischer Rechnungen

Bei dieser Betrugsform wird jeweils auf eine bestehende E-Mail-Kommunikation Bezug genommen, die eine Zahlungsanweisung oder eine Rechnung enthält. Anschliessend wird die IBAN-Nummer, auf die der Betrag einbezahlt werden soll, geändert. Um an die E-Mail-Kommunikation zu kommen, müssen Angreifer entweder Zugriff auf das E-Mail-Konto des Absenders oder auf das Konto des Empfängers haben. Dies kann durch eine der vorgelagerten Massnahmen, wie oben stehend, geschehen sein.