Ein Cybersecurity-Experte erklärt, worauf es im Ernstfall wirklich ankommt: Cybernotfälle und Cybercrime – was man daraus lernen kann

Cyberangriffe treffen Unternehmen meist unerwartet. In einem solchen Ernstfall entscheidet dann nicht allein die Technik, sondern die richtige Vorbereitung. Cybersecurity-Experte Werner Theis erklärt im Interview, welche Fehler Unternehmen immer wieder machen, wie ein IT-Notfall professionell bewältigt wird und warum der Mensch dabei die entscheidende Rolle spielt.

---

Werner, du arbeitest schon seit über 30 Jahren im Bereich IT-Sicherheit. Wie hat alles angefangen?

Alles begann mit einer Initiative der Reutlinger IHK in den frühen neunziger Jahren. Das Bundesdatenschutzgesetz stammt aus dem Jahr 1977 und war damals revolutionär. Es blieb aber – bis auf die Verpflichtung, einen Datenschutzbeauftragten ab einer gewissen Unternehmensgröße zu bestimmen – ziemlich vage. Als die ersten Viren aufkamen, begann man, sich mit der Datensicherheit ernsthafter zu beschäftigen. Ich hielt ab 1993 die ersten Vorträge zu diesem Thema in der Schweiz und im deutschen Südwesten.

Datenschutz und IT-Sicherheit gehören für dich untrennbar zusammen. Warum ist das so?

Das Eine lässt sich ohne das Andere nicht denken. Beides sind umfassende Konzepte, die einander bedingen und verstärken. Und beide sind auch Einstellungs- und Mentalitätssache. Wer eine Organisation datenschutzkonform aufbauen und leiten will, braucht dazu eine sichere IT-Umgebung. Aber auch Dinge wie der Zugang zu Gebäuden und IT müssen geschützt werden.

Heute hilfst du Firmen, wenn plötzlich gar nichts mehr geht. Wie sínd du und dein Team zu dem Thema IT-Notfall gekommen?

Wer seine Kunden im Bereich IT-Sicherheit unterstützt, bekommt oft die Frage gestellt: Herr Theis, wie cybersicher ist meine IT denn? Hier hilft z. B. ein IT-Sicherheitscheck. Nicht selten finden wir nicht nur Schwachstellen, sondern auch manchen noch nicht entdeckten schlafenden Cyberangriff. Dann ist es bis zum IT-Notfall-Management und zur aktiven Cyberabwehr nicht mehr weit.

Das heißt, die tägliche Arbeit hat dich dorthin geführt?

So kann man das sagen. Die Praxis ist der beste Lehrmeister. Schließlich geht es um wirtschaftliche Existenzen und manchmal sogar um Leben.

Wie sieht ein typischer IT-Notfall aus?

Leider lässt sich das nicht einfach beantworten. Es gibt gewisse Muster, die wir vorfinden.

Die Angreifer suchen sich i. d. R. ein Wochenende oder einen Feiertag aus, um ihren Angriff zu starten. Die Nacht von Freitag auf Samstag oder Samstag auf Sonntag: Die IT-Abteilung ist im Wochenende. Kein Benutzer, dem merkwürdige Aktivitäten auffallen könnten, ist im internen Netz aktiv. Die Angreifer sind oft schon einige Zeit im System und warten aber im Verborgenen auf den richtigen Zeitpunkt.

Montags kommen dann bei uns die Notfall-Meldungen herein, und wir haben am Montag den ersten langen Kick-off-Call. Danach rollen wir den Schutzschirm aus, sichten die Lage und beginnen im Expertenteam parallel mit Wiederherstellung, Forensik und Angriffsabwehr.
Zwischen Unternehmen mit Cyberversicherung und solchen ohne besteht im Ernstfall ein erheblicher Unterschied.

Kannst du ein Beispiel nennen, wie sich der Ablauf in so einem Fall unterscheidet – etwa zwischen Firmen mit und ohne Cyberversicherung?

Bei einer Cyberversicherung kommen oft die dort gelisteten Dienstleister oder bestehende Expertennetzwerke wie unseres ins Spiel. Das ist gut für die Betroffenen und am Ende die Cyberversicherung. Beide sparen in der Regel Zeit und Geld.

Viel zu häufig werden IT-Notfälle ohne Cyberversicherung durch die eigenen IT-Dienstleister und ggf. die Hersteller von Cybersicherheitslösungen bearbeitet. Dabei steht das Interesse der Betroffenen leider nicht im Vordergrund. Der Grund ist naheliegend: Der eigene IT-Dienstleister muss seine eigene Verantwortung für die Situation aus Haftungsgründen verbergen, und Hersteller von Cybersicherheitslösungen sehen die große Chance, in großem Stil ein Upgrade für die teuerste Lösung zu platzieren. Das kostet viel Geld und Zeit, und die Betroffenen sind die Leidtragenden. Beides haben wir erst kürzlich wieder erlebt.

Was kann man tun, damit man in einer Krise nicht völlig überrumpelt wird?

Wer vorsorgt und einen Plan hat, bewältigt Krisen wie diese i. d. R. um vieles besser als der Durchschnitt. Zu einem durchdachten IT-Notfall-Management gehört u. a., dass man bereits vorab den Markt für IT-Notfall-Spezialisten recherchiert und sich die beste Unterstützung sichert. Ich empfehle, nach Referenzen zu fragen und mit den Referenzkunden auch Kontakt aufzunehmen. Dabei sollte man beachten, dass der eigene IT-Dienstleister und die Lieferanten der vorhandenen IT-Sicherheitslösungen aus gutem Grund nicht die erste Wahl sind. Sie haben Eigeninteressen – und sei es nur die Abwehr von möglichen Schadensersatzforderungen.

Also besser vom schlimmsten Fall ausgehen und frühzeitig vorsorgen?

So ist es. Egal, was die Hersteller von IT-Sicherheits- und Cyberabwehr-Lösungen versprechen: Die hundertprozentige Sicherheit gibt es nicht. Bei einem Angriff kommt es auf jede Minute, nein, auf jede Sekunde an.

Wenn es wirklich passiert – wie gehen Profis dann Schritt für Schritt vor?

Erst einmal muss die IT-Umgebung komplett vom Netz. Die betroffenen Rechner müssen isoliert werden, damit die Angreifer nichts mehr tun können. Parallel muss das Krisenmanagement aufgesetzt werden, damit die Abwehr- und Schadensbegrenzungsaufgaben in allen betroffenen Feldern koordiniert und umgehend begonnen werden. Ein erfahrener Krisenmanager übernimmt die Steuerung der Arbeiten. Diese Person muss von außen kommen. Nur so steht sie über den Dingen und trägt keine Verantwortung für die Entstehung der Notlage.

Ein/e Krisenmanager/in benötigt tiefes rechtliches und ablauftechnisches Wissen sowie eine hohe Sozialkompetenz. Diese Experten sind panikresistent, überzeugend, motivierend und führungsstark.

Welche Fachleute braucht man in so einer Krisensituation im Team?

Drei Fragen müssen gleich zu Beginn geklärt werden.

1. Der Angriff muss gestoppt, der angerichtete Schaden ermittelt werden. Das IT-System – inklusive der Cloud – bedarf eines gehärteten Schutzschirms, damit die Dienstleister wieder auf die Umgebung von außen zugreifen können.
2. Es bedarf einer ausgefeilten Kommunikationsstrategie, die alle Betroffenen bzw. Stakeholder und alle Kanäle umgreift: Kunden, Mitarbeiter, Lieferanten, Banken, Versicherungen, Behörden, Öffentlichkeit.
3. Den Landesdatenschutzbeauftragten und die Polizei übernehmen der Datenschutzbeauftragte und der bzw. die Krisenmanager oder der von ihnen zugezogene Rechtsbeistand aus dem Bereich IT-Recht.

Jetzt erst geht die eigentliche Rettung los und es kommen die Spezialisten für die Wiederherstellung und die IT-Forensik. Diese Experten, verknüpft mit der IT und den IT-Dienstleistern des betroffenen Kunden, dem Datenschutzbeauftragten und der Polizei, bilden den Kern des Krisenreaktionsteams, dazu kommen Experten in Krisenkommunikation und IT-Recht. Darüber liegt die Ebene der Projektsteuerung mit der Geschäftsleitung: Sie muss lernen, loszulassen und den Spezialisten zu vertrauen und sie arbeiten zu lassen.

Eine gute Krisenbewältigung ist ein Kunstwerk. Wie sieht das genau aus?

Du beschreibst das sehr gut. Wenn dieses Kunstwerk gelingen soll, bedarf es des engagierten Mithelfens aller. Das bedeutet, dass Finger-Pointing, Verantwortungs- und Schuldzuweisung während der Krisenreaktion keinen Platz haben. Das bedeutet zusätzlich für die eine oder andere Organisation einen echten Kulturwandel bei der Behandlung von Fehlern. Je nach Naturell der Führungskräfte und bisherigem Verfahren kann das eine echte Herausforderung sein. Gerade für die Leitung heißt das eine große Zurückhaltung und eine motivierende Sachlichkeit in der Ansprache der Belegschaft sowie der Dienstleister. Wir sollten generell die menschlichen Auswirkungen eines solchen Krisenfalls nicht übergehen.

Bei all der Technik: Wie geht es eigentlich den Menschen, die mitten in so einem IT-Notfall stecken?

Die Tragweite eines solchen Ereignisses lässt sich dann erst richtig ermessen, wenn man sich die seelischen Zusammenbrüche vor Augen führt. In mindestens jedem zweiten IT-Notfall haben wir beim IT-Personal der Kunden einen solchen seelischen Notstand. Erst kürzlich habe ich sogar den Einsatz eines Rettungswagens mit einem Krankenhausaufenthalt miterlebt. Der IT-Leiter hatte einen Kreislaufzusammenbruch und musste eingeliefert werden. Glücklicherweise hat er sich wieder vollständig erholt.

Ein Cyberangriff ist kein Spaß. Er ist bitterer Ernst. Daher darf man auch nicht damit zufrieden sein, dass die Polizei inzwischen mithilfe der IT-Forensik aus unserem Experten-Team sehr viel aufklären, später aber der Cyberkriminellen nicht habhaft werden kann, weil sich diese in Staaten verstecken, die sie beschützen.

Und dann wäre noch das menschliche Element im Angriff selbst: die geöffnete Phishing-E-Mail, der geöffnete Anhang, die versehentlich eingegebenen Benutzerdaten, das einfache Passwort.

Wird die menschliche Seite solcher Angriffe oft übersehen?

Wir machen es uns zu leicht, wenn wir auf die Werkzeuge verweisen, mit deren Erwerb und Einsatz wir uns Sicherheit einzukaufen glauben. Fast alle Cyberangriffe basieren auf menschlichen Fehlern. Dabei sind es oft die gleichen Menschen, die das Schlimmste verhindern, wenn sie sofort Alarm schlagen, falls etwas schiefgelaufen ist. Dazu bedarf es einer Fehlerkultur, in der ein Fehler als eine Chance gesehen wird, nämlich aus diesem Fehler etwas zu lernen. Eine wichtige Vorkehrung ist es, die Belegschaft permanent zum aktuellen Stand der Cyberbedrohungslage aufzuklären und sie regelmäßig zu schulen, damit weniger Fehler gemacht werden.

Natürlich hat in der Krise deren Bewältigung den Vorrang. Aber spätestens im Anschluss sollte man an die Mobilisierung des Lerneffekts für Organisation, Management und Belegschaft gehen.

Der Lerneffekt kommt immer erst nach der Krisenbewältigung?

Zu großen Teilen stimmt das. Es gibt in der Wiederherstellung der IT-Umgebung allerdings Ausnahmen. Hier müssen und werden die entdeckten Schwachpunkte immer dann sofort angegangen, wenn sie kritisch sind. Natürlich ist immer die Wiederherstellung des Geschäftsbetriebs oberstes Ziel. Unternehmen müssen schnell wieder Rechnungen schreiben und Krankenhäuser Patientinnen und Patienten behandeln und operieren können.

Allerdings ist es zwingend notwendig, aus einer solchen IT-Notlage zu lernen, damit die Organisation nachher stärker und widerstandsfähiger ist, als sie das vor dem IT-Notfall war.

Was können Unternehmen tun, um aus solchen Krisen zu lernen und dieselben Fehler nicht zu wiederholen?

Darüber könnte man ein ganzes Buch schreiben!

Es ist erschreckend, wie oft die Grundlagen der IT-Sicherheit nicht beachtet werden. Das fängt bei der Zwei-Faktor-Authentifizierung an und hört bei striktem Management der Zugriffsrechte und der Passwörter nicht auf. Vier Fälle aus unserer Praxis:

1. In einem Fall war es ein Passwort aus den 80er-Jahren. Ein sog. „System“- oder „Funktions“-User mit Admin-Rechten, der damals für einen Datenabgleich mit einer nicht mehr vorhandenen IBM AS/400 eingesetzt wurde. Das Altsystem ging. Der User blieb. Er wurde seither immer weiter genutzt und der User nirgends dokumentiert. Der Rest war für die Angreifer leicht, die den User samt seitdem unverändertem Passwort unverschlüsselt im Klartext in einer Batchdatei gefunden hatten.
2. Ein überschriebenes und verschlüsseltes Backup. Dabei gibt es seit Längerem Backup-Lösungen, die gegen solche Art der Manipulation geschützt sind, oder man lagert die Datensicherung in die Cloud aus. Die Sicherung lief in unserem Notfall auf einem Direct Attached Storage, sozusagen auf einem externen Plattenstapel neben dem Rechner. Die Verschlüsselung war denkbar einfach.
3. Keine Härtung der Windows-Server, keine Vergrößerung der Log-Größe bei Windows-Servern. Selbst wenn die Forensik eine Datensicherung gehabt hätte – sie hätte sich rein zeitlich einen Wolf gesucht, um etwas über den Angreifer und sein Vorgehen zu erfahren.
4. Direkte Anbindung der Smartphones und Tablets am Exchange-Server. Ungepatchte Systeme mit Schwachstellen bis vor das Jahr 2016. Unglaublich, was man da selbst bei Unternehmen vorfindet, die eine eigene IT und ein renommiertes IT-Systemhaus als IT-Dienstleister haben.

Ist die IT-Sicherheit in vielen Unternehmen wirklich so schlecht?

Ich würde gerne anderes berichten. Im Moment haben wir allein in Deutschland jeden Tag rund 30 erfolgreiche Cyberangriffe. Mit steigender Tendenz.

Warum tun sich viele IT-Dienstleister und Unternehmen so schwer, beim Thema IT-Sicherheit wirklich konsequent zu handeln?

Das liegt zum einen am Unwillen der Kunden, in Sachen Cyberabwehr und Widerstandsfähigkeit gegen Cyberangriffe mehr zu tun. Ein IT-Notfallhandbuch und eine Cyberabwehrlösung, die über den reinen Virenschutz hinausgeht, schreiben keine Rechnung und bauen keine Maschine. Das Tagesgeschäft ist schwer genug, beschäftigt gerade bei den kleinen und mittleren Unternehmen mehr als einen Achtstundentag. Der Geschäftsbetrieb ist die Pflicht und die Cyberabwehrfähigkeit der Organisation eindeutig die Kür – vielleicht sogar Luxus.

Zum anderen liegt es jedoch auch an der fehlenden Selbsteinschätzung bei den IT-Dienstleistern. Das Ergebnis sehen wir an zwei Stellen: während der Forensik und bei der darauffolgenden Wiederherstellung der Systeme. Es fehlt an Wissen und Kenntnissen übergreifender Systemzusammenhänge. Hinzu kommen fehlende Grundlagen bei Netzwerksegmentierung, Identitäts- und Zugriffsmanagement und den Fragestellungen den IT-Grundschutz des BSI betreffend.

Wenn beides zusammentrifft, wird es für die Kunden fatal. Bei ihnen passieren die schlimmsten Attacken.

Und dann wäre da noch der menschliche Faktor.

Was können IT-Dienstleister tun, um ihre Kunden in solchen Fällen besser zu unterstützen?

Zusammen mit unserem Netzwerk bieten wir seit einiger Zeit IT-Systemhäusern und Managed-Service-Providern (MSPs) an, als ihr professioneller IT-Notfall-Partner gemeinsam in die Krisensituation zu gehen. Es gibt ja so gut wie keine Überschneidungen bei den Services. Unsere Projekte umfassen die professionelle Bewältigung des Cyberangriffs und seiner Folgen sowie die Nacharbeit im Bereich des Lerneffekts daraus. Danach betreut der IT-Dienstleister den Kunden weiter. Und hat bei seinem Kunden einen dicken Stein im Brett.

Gut, dass du das ansprichst. Das ist für die IT-Dienstleister eine tolle Chance. Zum zweiten Punkt: Wie stark spielt der Mensch dabei eine Rolle – also Unachtsamkeit, Stress, kleine Fehler?

Die Naivität der Chefs entspricht der der Mitarbeitenden. Es fehlt an Basiswissen über die Cybergefahr. Das kann man in das Weiterbildungsprogramm integrieren. Viele Cyberversicherungen enthalten einen solchen Awareness- und Schulungsservice. Das und ihre Checklisten vor dem Abschluss einer Police helfen, Unternehmen cybersicherer zu machen und zugleich eine Schulter zu haben, die im Fall der Fälle die Kosten und Schäden mitträgt.

Zum Abschluss des Gesprächs würde ich gerne auf fatale Fehler bei der Wiederherstellung der Systeme eingehen.

Also nach einem Angriff: Welche Fehler machen Betroffene häufig, wenn sie ihre Systeme wieder aufbauen wollen?

Es gibt eine Menge Akteure, die den Geschädigten weismachen, man müsste die IT-Systeme von Grund auf neu aufbauen. Das ist in der Regel falsch. Durch eine hohe Expertise in Systemanalyse befallener IT-Umgebungen kann es durchaus andere Wege geben. Je nach Server und Umgebung wird entschieden, welcher Weg gegangen wird: Neuaufbau, Reparatur und Reinigung, Datenrücksicherung, falls möglich, kurz: Systemrettungsmaßnahmen nutzen, die allein dem Ziel dienen, möglichst rasch die Betriebsbereitschaft der Systeme wiederherzustellen.

Wir nennen diese Methode „Compromised Rebuild“ oder auch „Compromised Restoration“. Natürlich gehen wir gemeinsam mit unserem Kunden ein kalkuliertes Risiko ein, das wir aber dank unserer Erfahrung und den eingesetzten Werkzeugen zum Schutz der Umgebung und der geretteten Daten und IT-Systeme so stark eingrenzen können, dass es kalkulierbar ist. Was wir gewinnen, ist Zeit und eine gute Chance, kein Lösegeld bezahlen zu müssen. Zugleich findet eine ausgefeilte Forensik statt, deren Ergebnisse mit den Ermittlungsbehörden geteilt werden, die dann versuchen, die Systeme der Angreifer im gesetzlichen Rahmen stillzulegen.

Es gelingt so gut wie immer, dabei die Stillstände von Monaten auf Wochen oder sogar Tage zu drücken. Der Unterschied ist in der starken Reduktion der Stillstandzeiten und der IT-Rettungskosten messbar.

Übrigens: Als Partner des IT-Systemhauses wären wir von Sekunde eins mit an Bord. Je schneller gehandelt wird, umso kleiner der spätere Schaden.

Du sprichst von „Lessons Learned“ – also aus Fehlern lernen. Wie sieht das in der Praxis aus?

Letztlich geht es um Fehlerkultur. Wer sein Unternehmen voranbringen will, muss es als lernendes System verstehen. Der Wissensumschlag und die Herausforderungen der Zeit lassen es nicht zu, dass Wissen altern darf. Weder in einer Organisation noch bei ihren Gliedern.

Es liegt an uns, unser Menschen- und Führungsbild einmal gegen den Strich zu bürsten. Wie gesagt: Krisen schaffen Chancen und den Raum für ganz grundsätzliche Veränderung auch und gerade des Führungsstils.

Leider muss ich gestehen, dass am Ende vieler IT-Notfälle die weitgehende Rückkehr zum Gehabten steht. Business as usual also. Das ist eine riesige Ressourcenverschwendung, weil Veränderungspotenziale nicht genutzt werden. Die Folgen: Die Ursachen werden nicht transparent aufgearbeitet und als Lern- und Lehrbeispiel genutzt. Die Chance, es beim nächsten Angriff wirklich besser zu machen, verstreicht und wird unter dem erneut alles überbordenden Tagesgeschäft begraben. Das ist tragisch und frustrierend zugleich.

Und was passiert, wenn Unternehmen diese Chance verpassen und einfach weitermachen wie zuvor?

IT-Notfälle kosten selbst mit einer Cyberversicherung Geld, Reputation und Aufträge, die nicht angenommen und bearbeitet werden können. Es ist sinnvoll, daraus einen Nutzen zu ziehen, doch viele ergreifen diese Chance nicht.

Des Weiteren übersehen die Angegriffenen, dass sie im Fokus der Cyberkriminellen bleiben. Besonders die, die Lösegeld bezahlt haben, gelten als leichtes Opfer. Nicht selten werden kurz hintereinander Unternehmen mehrfach attackiert.

Uns ist bewusst, dass es in erster Linie darum geht, den Geschäftsbetrieb wieder zum Laufen zu bekommen, damit der Kunde wieder seiner Arbeit nachgehen kann. Allerdings liegt oft die Ursache für den erfolgreichen Angriff auch darin, dass man eben nicht über den Tellerrand des Tagesgeschäfts hinausgeschaut hat.

Was kann man tun, um immer auf dem Stand zu sein, wenn es um Schwachstellen in der IT-Umgebung geht?

Zum einen: Patchen, was das Zeug hält. Die IT-Systeme sollten immer und grundsätzlich auf dem aktuellsten Release-Stand sein. Wenn das nicht geht, weil die betrieblichen Erfordernisse entgegenstehen, muss das betroffene IT-System in ein separiertes Netzwerksegment eingebracht und besonders überwacht werden. Die Angreifer lieben solche Rechner und suchen sie regelrecht.

Zum anderen helfen Frühwarnsysteme. Vergleichsweise günstig ist es, einschlägige Quellen zu durchforsten. Das kann einem ein KI-Agent wie unser Paul abnehmen. Der LinkedIn-Beitrag dazu ist verlinkt.

Des Weiteren kann man regelmäßig das Darknet scannen lassen. Werkzeuge dieser Art kann man mit Beobachtungstürmen vergleichen. Ein Angreifer wird bereits erkannt, wenn er sich dem eigenen Unternehmen nähert. Der Vorteil dieser Strategie ist nachvollziehbar, allerdings ist diese Lösung nicht ganz billig.

Last but not least – auch in Sachen Cybersicherheit gilt, wenn es um das Überleben geht – und das tut es – folgender Lehrsatz: Das Beste ist gerade gut genug. Denn das Zweitbeste hatten wir schon, wenn uns ein Cyberangreifer erfolgreich für einige Zeit aus dem Geschäft genommen hat.

Ein anderes Thema zum Abschluss: Cyberbetrug oder CEO-Fraud, wie man das gerne nennt. Was kann man tun, um nicht ein Opfer zu werden?

Gut, dass du das ansprichst. In der Tat vergessen wir immer, dass es neben dem Cyberangriff, der gegen die IT gerichtet ist, ja noch andere Cyberkriminalität gibt, die sehr oft ähnliche Vorgehensweisen einsetzt.

Aber lassen wir uns einmal auf den Verlauf eines Cyberbetrugs ein, bei dem wir vor nicht zu langer Zeit das Opfer forensisch beraten und unterstützt haben.

Das hört sich ziemlich wild und spannend an, wenn man ein True-Crime-Freund ist.

Unsere geschilderten Erfahrungen basieren alle auf realen Ereignissen, die ich natürlich so verfremde, dass man den zugrunde liegenden Fall nicht mehr den Betroffenen zuordnen kann. In unserem Cyberbetrug hat ein Angreifer per Phishing das Office-365-E-Mail-Konto eines Wirtschaftsberaters übernommen, der seine Kunden auch bei Anlagen aller Art unterstützt. Der Cyberbetrüger hat sich in den E-Mail-Verkehr eines laufenden Investitionsprojekts eingeklinkt und hat den Investor veranlasst, eine große Summe auf das sogenannte Treuhandkonto zu überweisen, von dem es dann auf Nimmerwiedersehen abfloss.

Wie hat er das gemacht?

Er hat sich als der Berater des Betroffenen ausgegeben, dessen E-Mail-Konto benutzt, sodass der Betroffene nicht erkennen konnte, dass der Absender der E-Mail nicht sein Berater war, sondern jemand, der dessen Identität gestohlen hatte. Dazu hat er mittels KI den Geschäftsverkehr analysiert und den Berater perfekt nachgeahmt.

Wir haben das Laptop des Betroffenen und die E-Mails forensisch untersucht. Der Betroffene konnte technisch nichts erkennen – auch eine perfekte Ausstattung mit Cybersicherheitslösungen hätte bei ihm dabei nicht angeschlagen.

Wir haben später auch die Ermittlungsakte untersucht und den Angriff exakt nachgestellt. Rein technisch war der Betrug nicht zu entdecken.

Kann man dennoch etwas tun, um zu verhindern, dass man hereingelegt wird?

Man kann! Hätte im beschriebenen Fall der Betroffene während des E-Mail-Verkehrs mit dem „falschen“ Berater nur einmal beim echten Berater angerufen, wäre der Betrugsversuch wie ein Kartenhaus in sich zusammengefallen. Der Betroffene hätte sein Geld noch, der Berater hätte früher erfahren, dass er gehackt ist, und alle hätten aus der Sache ohne echten Schaden etwas gelernt.

Was nehmen wir mit nach Hause aus dieser Geschichte?

Vertrauen ist gut, Kontrolle ist besser: Dieser alte Lehrsatz gilt gerade und besonders für Geschäfte, die wir elektronisch abwickeln. Das Vertrauen, das die Schriftlichkeit des Geschäftsverkehrs vorgibt, ist eine fromme Selbsttäuschung. Die Bequemlichkeit der E-Mail- und Chatprogramme verführt zu Sorglosigkeit. Man denkt, man kennt die Person, mit der man virtuell im Dialog steht. Dem muss aber nicht so sein.

Generell sollte man es sich zur Regel machen, vor dem Abschluss eines größeren Geschäftes nochmal mit dem realen Menschen zu sprechen, um sich zu versichern, dass er auch der ist, der er vorgibt zu sein. Spätestens bei Beträgen, die mehrere tausend Euro übersteigen, muss man sich unbedingt vergewissern, bevor man eine Zahlung leistet.

Diesen Grundsatz sollte man auch einhalten, wenn man für seine Geschäftsführung nach einer E-Mail- oder Chat-Anweisung Überweisungen tätigt?

In der Tat würden damit noch mehr Fälle des CEO-Fraud zunichte gemacht. Meist reicht eine kurze Nachfrage aus, um eine solche Sache aufzuklären. Wenn die Chefs dann fragen, warum man anruft, ruhig darauf verweisen, dass die Fälle dieser Art von Cyberbetrug stark zugenommen haben.

Übrigens: Auch plötzlichen Änderungen der Kontoverbindungen sollte man grundsätzlich misstrauen und lieber beim Geschäftspartner separat nachfragen, bevor man die Zahlung anweist.

Werner, vielen Dank für das aufschlussreiche Gespräch, die alltagstauglichen Tipps und deine Zeit.

Gerne. Ich danke dir für die Möglichkeit, mein Wissen und meine Erfahrungen aus der Praxis zu teilen.

---

Den LinkedIn-Beitrag zum KI-Agent Paul finden Sie hier.

Und hier finden Sie weitere Informationen zur SYSTAG GmbH.