Cyber-Betrug: Perfide Masche mit falschen Rechnungen in SH
Mit einer speziellen Technik können Kriminelle die IBAN auf digitalen Rechnungen ändern. Die Polizei beobachtet mehr solcher Fälle in Schleswig-Holstein. Worauf Unternehmen und Kunden bei der nächsten Mail achten sollten.
Die Rechnung ist bezahlt und trotzdem kommt eine Mahnung: Das ist in den letzten Monaten immer mehr Unternehmen und Kunden in Schleswig-Holstein passiert. Grund dafür sind manipulierte Rechnungen per E-Mail. Laut Henning Dibbern, IT-Spezialist der Bezirkskriminalinspektion Kiel, häufen sich die Fälle dieser speziellen Form des E-Mail-Betrugs. Derzeit geht mindestens einmal in der Woche ein Fall ein, berichtet der Cybercrime-Ermittler. Dabei sind die Schadenssummen sehr unterschiedlich - teilweise lag der Schaden über 100.000 Euro.
Gefälschte Rechnung erkennt man kaum
Bei dem sogenannten BEC-Scam ("Business E-Mail Compromise) werden per E-Mail gesendete Rechnungen von den Betrügern abgefangen und die IBAN in den Rechnungen geändert, bevor sie den Empfänger erreicht. Die gefälschte Rechnung kommt dann optisch nahezu unverändert beim Empfänger an.
"Die Täter attackieren an verscheidenen Stellen diesen Prozess. Meistens ist es so, dass die Täter von der Person, wo die E-Mail ankommt, den Zugang zum Server oder Account haben. Dort setzen sie mit einer speziellen Software an." Henning Dibbern, IT-Spezialist der Bezirkskriminalpolizei Kiel
Mit wenigen Klicks erstellen die Betrüger eine neue PDF-Rechnung mit veränderter IBAN. Für den Empfänger sieht die Rechnung ganz normal aus. Die Rechnung selbst und die Mailadresse bleiben in den meisten Fällen die gleiche - manchmal sind die Adressen aber auch leicht abgewandelt und erhalten dann einen doppelten Buchstaben. Opfer dieser Masche überweisen - wenn sie nicht genau hinsehen - den Geldbetrag dann an ein falsches Konto. Das Phänomen betrifft Unternehmen weltweit und sei der Polizei schon länger bekannt - im größeren Stil seit dem vergangenen Jahr.
Betrug um 125.000 Euro bei Firma aus Tensfeld
Ein Opfer der Betrugsmasche ist Tobias Rose. Er ist Geschäftsführer einer Tiefbautechnikfirma in Tensfeld (Kreis Segeberg). Er hatte einem Kunden eine Rechnung über mehr als 125.000 Euro ausgestellt, das Geld hat er aber nie erhalten.
„Es war erstmal ein Gefühl der Hilflosigkeit, weil man niemanden Dritten greifen kann in dem Moment. Wen will man dafür haftbar machen? Das sind ja kriminelle Elemente, die sitzen nicht nebenan, das ging über irgendwelche Server, IP-Adressen im Ausland." Tobias Rose, Spezialtaufbautechnik
Im Fall der Tiefbautechnik wurde der Betrug bis in die USA zurückverfolgt, so Tobias Rose. Dort habe sich die Spur aber verlaufen. Aufgefallen ist Tobias Rose der Betrug, da der vermeintliche Kunde ihn im Mailverkehr plötzlich gedutzt hatte. Daraufhin kontaktierte er den wahren Kunden und fand heraus, dass er die Rechnung längst bezahlt hatte. Ob nun Rose oder sein Kunde auf dem Schaden sitzen bleibt, klärt jetzt ein Gericht.
Dann sollten Unternehmen und Kunden stutzig werden
Grundsätzlich sollte man auf alle Details einer E-Mail achten, wenn es um Rechnungen geht, besonders auf die IBAN, erklärt IT-Spezialist Henning Dibbern. Indizien für eine gefälschte IBAN sind laut Dibbern IBAN-Nummern, die zu einem ausländischen Konto oder einer ungewöhnlichen Bank führen, die man aus dem Alltag nicht kennt. Außerdem sollte man in der E-Mail auf die Anrede und die Ansprache achten - man wird plötzlich geduzt, obwohl man vorher die Höflichkeitsform mit "Sie" verwendet hatte.
Der IT-Spezialist rät außerdem dazu, mit dem Rechnungssteller direkt Kontakt aufzunehmen wenn man das Gefühl hat, dass etwas nicht stimmt - am besten durch einen Anruf. Dann könnte man dann klären, ob eine Änderung der IBAN vorgenommen wurde.
Buchhalterin aus Kiel konnte Betrug aufdecken
Auch Sigrid Wehde vom TSV Schilksee in Kiel wurde stutzig, als sie in einer Mail auf einmal geduzt wurde. Die Buchhalterin des Vereins, die auch die Rechnungen bezahlt, hatte eine Rechnung vom Hörnbad erhalten, bei dem der Verein regelmäßig Bahnen für die Schwimmer reserviert. Als sie die Mail samt Rechnung genau kontrolliert, fällt Wehde eine andere IBAN auf, erzählt sie NDR Schleswig-Holstein.
"Ich verwalte das Geld von fast 1.000 Mitgliedern. Da sollte man auf jeden Pfenning achten." Sigrid Wehde, TSV Schilksee
Wehde rief daraufhin mehrmals beim Hörnbad und der Stadt Kiel an, so konnte sie den Betrug mit der falschen IBAN aufdecken. Dadurch konnte sie einen Schaden von 230 Euro abwehren.
Ermittlungen in Cyber-Betrugsmaschen sind wenig erfolgsversprechend
Die Verfolgung des Geldes gestaltet sich für die Ermittlungsbehörden schwierig, so Henning Dibbern von der Bezirkskriminalinspektion Kiel. Die Betrüger würden das Geld entweder im Ausland schnell auszahlen oder in digitale Kryptowährungen umwandeln. Die Ermittler hätten zudem wie im gesamten Cybercrimebereich mit elektronischen Daten wie IP-Adressen und E-Mails zu tun, die häufig nicht mehr vorhanden sind, wenn ermittelt wird, weil sie viel früher gelöscht wurden. Diese spezielle Betrugsmasche sei jedoch ein Phänomen, mit dem man sich als Gewerbetreibender auseinandersetzen sollte, weil die Schäden erheblich sein können, so Dibbern.
Schlagwörter zu diesem Artikel
Cyberkriminalität
