Die meisten Sicherheitsbudgets fliessen in Technik, die Schadsoftware erkennt. Das ist sinnvoll. Es hilft nur nicht gegen den Angriff, der Schweizer KMU am zuverlässigsten Geld kostet.
Ein Angriff ohne Schadcode
Rechnungsbetrug funktioniert ohne Schadcode. Eine Nachricht kommt von einem bekannten Lieferanten, im gewohnten Ton. Sie enthält nur eine Information: Die Bankverbindung hat sich geändert.
Es gibt nichts zu blockieren. Kein Anhang, kein bösartiger Link, keine Anomalie. Für jedes technische System sieht diese E-Mail aus wie normale Geschäftskorrespondenz. Und für die Person, die am Freitagnachmittag dreissig Rechnungen abarbeitet, sieht sie das auch.
Der Angriff zielt nicht auf Ihre Infrastruktur. Er zielt auf einen Moment von Routine unter Zeitdruck.
Die einzige Verteidigung, die greift
Deshalb hilft hier nur eine Gewohnheit. Jede Änderung einer Bankverbindung wird über einen Kanal bestätigt, der nicht die E-Mail selbst ist:
- Ein Anruf auf die Nummer, die Sie bereits im System haben.
- Nicht auf die Nummer in der Nachricht.
- Auch dann, wenn der Absender bekannt wirkt.
Das kostet zwei Minuten und verhindert einen Schaden, der schnell in den Zehntausenden liegt.
Der schwierige Teil ist nicht, die Regel zu kennen. Der schwierige Teil ist, dass sie auch dann greift, wenn es eilt. Und das entsteht nur, wenn man sie geübt hat, bevor es ernst wird.