Dringlichkeit, Emotion, Autorität: Wie ein Betrüger beinahe in eine Wirtschaftsprüfungskanzlei eindrang

Die Einrichtung

Die Kontaktaufnahme erfolgte über das Kontaktformular auf der Website der Steuerberatungskanzlei. Der potenzielle Mandant hatte einen Namen, eine persönliche Vorgeschichte und berechtigte Fragen zur Steuererklärung. Er war zu krank, um seine Steuererklärung selbst abzugeben, und fragte, ob die Kanzlei ihm bei einer verspäteten Abgabe helfen könne. Über mehrere Wochen hinweg trafen immer wieder E-Mails ein, um ein Treffen zur Besprechung der Steuersituation zu vereinbaren.

Betrugsmaschen wie diese nutzen drei spezifische Mechanismen aus. Deren Benennung hilft Ihrem Team, das Muster schneller zu erkennen als jedes technische Detail. Dringlichkeit, da der Betrug schnell und genau dann erfolgt, wenn eine Entscheidung ansteht. Emotionalität, da eine mitfühlende persönliche Geschichte die Vorsicht der Betroffenen lindert, noch bevor ein verdächtiger Link erscheint. Autorität, da die Anfrage in etwas Vertrautem und Vertrauenswürdigem verpackt ist – in diesem Fall ein Meeting-Tool, das fast jedes Unternehmen täglich nutzt.

Der Switch

Am Tag des Meetings verschickte der Betrüger eine Nachricht, in der er behauptete, der firmeneigene Videolink funktioniere nicht, und bot stattdessen einen Ersatzlink an. Dieser Link sah aus wie eine normale Microsoft Teams-Besprechungseinladung, war es aber nicht. Ein Klick darauf führte zu einer gefälschten Registrierungsseite, die den Computer des Mitarbeiters unbemerkt in einem vom Betrüger kontrollierten Geräteverwaltungssystem registrierte. Von dort aus wurden versteckte Skripte mit weitreichenden Systemberechtigungen ausgeführt und versuchten, Fernzugriffssoftware zu installieren.

Die Rettung

Und nun der erfreuliche Teil: Die Antivirensoftware des Unternehmens blockierte beide Versuche, Fernzugriffstools zu installieren. Eine anschließende umfassende Überprüfung ergab keine Hinweise auf Datendiebstahl und bestätigte, dass das E-Mail-System des Unternehmens unberührt blieb. Ein Computer war dem Angriff ausgesetzt. Die übrigen Rechner des Unternehmens blieben unversehrt.

Die wahre Lektion

Einige Details machen diesen Fall, der nur ein kleines Missgeschick verursacht hat, erwähnenswert. Der Betrüger nutzte eine Website, die bereits seit zwei Jahren existierte. Daher hätte jedes Tool, das nach neuen, verdächtigen Domains sucht, sie komplett übersehen. Offenbar wusste der Betrüger auch, welcher Fernwartungssoftware das Unternehmen bereits vertraute, und versuchte, eine identische Kopie zu installieren, in der Hoffnung, unauffällig zu bleiben. Die Lehre daraus ist einfach: Vertrauen Sie nur dem Tool, das Ihr Team einsetzt, und nicht jedem Tool mit demselben Namen.

Kleine Schritte, die helfen

Sie benötigen kein großes Sicherheitsbudget, um Ihr Risiko hier zu senken. Einige wenige kostengünstige Maßnahmen helfen, diese Angriffe an verschiedenen Stellen zu stoppen.

Implementieren Sie Endpoint Detection and Response (EDR) auf jeder Workstation. In diesem Fall blockierte der Endpoint-Schutz beide Fernzugriffsinstallationen, obwohl der Betrugsversuch in allen vorherigen Schritten erfolgreich war. Er war somit die einzige Kontrollinstanz, die einen Fehlklick und eine vollständige Kompromittierung verhinderte.

Bauen Sie Ihre menschliche Firewall durch regelmäßige Sicherheitsschulungen auf. Mitarbeiter, die darin geschult sind, Dringlichkeit, Emotionen und Autorität zu erkennen, decken in Zusammenarbeit Betrugsversuche auf, die kein Filter erfasst. Die kurze Pause, die eine geschulte Person einlegt, kostet nichts und spart wochenlange Aufräumarbeiten.

Entfernen Sie die permanenten Administratorrechte von den Arbeitsstationen. Die Skripte dieses Angriffs liefen mit weitreichenden Systemberechtigungen, und ein Konto ohne diese Rechte macht denselben Klick zu einem deutlich geringeren Problem.

Führen Sie vor der Vereinbarung von Terminen mit potenziellen Neukunden eine KYC-Prüfung (Know Your Customer) durch. Bitten Sie neue Kontakte, ihre Identität zu bestätigen – beispielsweise durch einen Rückruf unter einer angegebenen Nummer, eine Überprüfung des Personalausweises oder ein kurzes Vorgespräch über Ihren eigenen Meeting-Link. So schrecken Sie Betrüger ab, die mit falschen Identitäten arbeiten, bevor es überhaupt zu einem Angriff kommt.

Bitten Sie Ihren IT-Dienstleister, nicht genutzte Geräteverwaltungs- und Fernzugriffstools zu blockieren, anstatt sie nur zu überprüfen. Windows-Richtlinien verhindern die Registrierung unautorisierter Geräte von vornherein, und die Anwendungskontrolle der meisten Endgeräteplattformen stoppt nicht autorisierte Tools bereits bei der Installation, anstatt sie erst nach der Installation durch einen Angreifer zu entdecken.

Prüfen Sie jeden Link vor dem Anklicken und bestätigen Sie verdächtige Links, indem Sie den Absender unter einer bereits verifizierten Nummer anrufen. Ein Mauszeiger zeigt an, wenn das tatsächliche Ziel eines Links nicht mit der angezeigten übereinstimmt. Ein Rückruf unter einer bekannten, vertrauenswürdigen Nummer kann Betrüger stoppen, die den E-Mail-Verlauf kontrollieren.

Die meisten dieser Schritte kosten Zeit, nicht Geld, und selbst kostenpflichtige Lösungen wie EDR sind für ein KMU-Budget erschwinglich. Suchen Sie sich diese Woche einen Schritt aus und legen Sie los.

Diese Woche geht's richtig los!

Sie tun bereits täglich unzählige Dinge richtig, um Ihr Unternehmen am Laufen zu halten. Fügen Sie diese Woche noch eine Sache hinzu. Nehmen Sie sich fünf Minuten Zeit, um mit Ihrem Team zu besprechen, wie eine seriöse Nachricht an einen Neukunden im Gegensatz zu einem Betrugsversuch klingt. Solche kurzen Gespräche schaffen Vertrauen, das kein Software-Update ersetzen kann. Fortschritt ist immer besser als Perfektion, und allein das Lesen dieses Textes bringt Sie schon einen Schritt weiter als gestern.

Quellen:

Weitere Informationen finden Sie in unserem CyberHoot-Bedrohungsbericht – CH-TA-2026-0001: