Sie mahnen eine offene Rechnung an, und der Kunde schreibt zurück, er habe längst bezahlt. Auf eine Bankverbindung, die Sie nie genannt haben. In diesem Moment ist klar, dass jemand Ihre Rechnungen abgefangen oder verändert hat. Ab jetzt zählt jede Stunde: für die Chance, Geld zurückzuholen, für weitere Kunden, die gerade zahlen wollen, und für Spuren, die sich von selbst löschen.
Dieser Beitrag ist die Liste für genau diese Lage: was in der ersten Stunde geschieht, was in den ersten 24 Stunden zu prüfen ist, wem Sie was melden und was danach kommt. Wie ein solcher Fall abläuft, erzählt Teil 1 dieser Serie, wie man sich schützt, Teil 2.
Die erste Stunde
- Den zahlenden Kunden bitten, sofort seine Bank anzurufen und den Rückruf der Überweisung zu verlangen. Je schneller, desto besser die Chance; eine Zusage gibt es nicht.
- Alle Kunden warnen, die gerade Rechnungen von Ihnen erhalten haben – telefonisch über eine bekannte Nummer, nicht per E-Mail aus einem Postfach, das möglicherweise übernommen ist. Die Botschaft: keine Zahlung auf eine Bankverbindung, die in einer E-Mail geändert wurde.
- Hilfe holen. Unsere Notfallnummer 0621 877 55 990 ist rund um die Uhr erreichbar, auch ohne bestehenden Vertrag und auch, wenn Sie eine eigene IT-Abteilung haben.
- Die Geschäftsführung informieren, falls sie es noch nicht weiß. Ein Sicherheitsvorfall ist Chefsache.
- Uhrzeit notieren und mitschreiben: wer was wann bemerkt und getan hat. Ab Kenntnis laufen Meldefristen.
- Nichts löschen, keine Systeme neu aufsetzen, Protokolle und Regeln nicht anfassen, bevor sie gesichert sind.
Die ersten 24 Stunden: was zu prüfen ist
Die folgende Liste ist das, was wir in den ersten 24 Stunden eines solchen Falls prüfen. Nicht jeder Punkt trifft jedes Unternehmen, aber keiner sollte ungeprüft bleiben.
- Posteingangsregeln und Weiterleitungen aller Postfächer, auch versteckte Regeln und Weiterleitungen, die ein Administrator am Postfach eingerichtet hat – nicht nur im betroffenen Postfach.
- Anmeldeprotokolle: ungewöhnliche Länder, Zeiten, Geräte und Anwendungen.
- Registrierte Mehrfaktor-Methoden: Gibt es Telefonnummern oder Apps, die niemand kennt?
- Freigaben für fremde Anwendungen, die auf Postfächer zugreifen dürfen.
- Neu angelegte Konten und geänderte Berechtigungen, vor allem bei Administratoren.
- Gesendete und gelöschte Elemente des Zeitraums: Was ging an wen hinaus?
- Domains, die Ihrer zum Verwechseln ähnlich sehen und kürzlich registriert wurden.
- Protokolle von Firewall und VPN – und wie weit sie überhaupt zurückreichen.
- Systeme ohne Herstellerunterstützung, die am Internet hängen.
- Datensicherungen: Sind sie vollständig und unverändert, und wann wurden sie zuletzt zur Probe wiederhergestellt?
Melden: wem, wann
- Polizei: Strafanzeige erstatten. Für Unternehmen gibt es die Zentralen Ansprechstellen Cybercrime (ZAC) der Polizeien; zuständig ist die Stelle am Firmensitz oder am Ort des Vorfalls.
- Datenschutzaufsicht: Wenn personenbezogene Daten betroffen sein können – in einem Geschäftspostfach ist das fast immer zu prüfen –, unverzüglich und möglichst binnen 72 Stunden nach Bekanntwerden (Art. 33 DSGVO).
- BSI: Einrichtungen, die unter NIS2 fallen, melden erhebliche Sicherheitsvorfälle gestuft – eine frühe Erstmeldung spätestens 24 Stunden nach Kenntnis, eine Meldung innerhalb von 72 Stunden und spätestens einen Monat danach eine Abschlussmeldung (§ 32 BSIG).
- Cyberversicherung, falls vorhanden: früh informieren und die Obliegenheiten im Vertrag beachten.
- Steuerberater: wie offene und umgeleitete Forderungen zu behandeln sind, klären Sie dort.
Danach: erst bereinigen, dann überwachen
Wenn die erste Lage geklärt ist, beginnt die eigentliche Arbeit. Systeme, bei denen nicht sicher ist, ob sie sauber sind, werden im Zweifel neu aufgesetzt statt gesäubert. Alle Zugangsdaten werden erneuert, nicht nur die des betroffenen Postfachs. Die Maßnahmen kommen in eine Reihenfolge nach Dringlichkeit, und erst wenn der Ausgangszustand nachweislich sauber ist, wird eine Angriffserkennung aufgesetzt. Auf kompromittierten Systemen meldet sie im besten Fall den Ist-Zustand.
Zum Abschluss gehören eine Ursachenanalyse, die festhält, was belegt ist und was nur durch Indizien gestützt wird, und eine angepasste Verfahrensdokumentation: Wer meldet künftig was an wen, wie werden Bankdaten bestätigt, wie lange werden Protokolle aufbewahrt. Die vorbeugenden Einstellungen für Microsoft 365, von der gesperrten Weiterleitung nach außen bis zur Warnung bei neuen Regeln, beschreibt Teil 2.
Was wir in solchen Fällen tun
Im Fall aus Teil 1 stand das erste Lagebild nach einer Stunde, der Weg des Angreifers war nach einem Arbeitstag rekonstruiert, Bericht und Maßnahmenplan lagen am Folgetag vor. Das Unternehmen hatte eine eigene IT-Abteilung und keinen Vertrag mit uns. Wir analysieren, berichten und priorisieren; die Umsetzung übernimmt Ihre IT, oder wir übernehmen und begleiten sie.
Wenn Sie gerade in dieser Lage sind: Rufen Sie an, 0621 877 55 990, rund um die Uhr. Bei einem Angriff helfen wir sofort.
Häufige Fragen
Lässt sich eine Überweisung an Betrüger zurückholen?
Manchmal, wenn sehr schnell gehandelt wird. Der zahlende Kunde sollte sofort seine Bank anrufen und den Rückruf der Überweisung verlangen. Eine Zusage gibt es nicht; je mehr Zeit vergeht, desto geringer die Chance.
Sollen wir sofort alle Passwörter ändern?
Ja, aber in der richtigen Reihenfolge: zuerst Regeln, Weiterleitungen und Anmeldeprotokolle sichern, dann Passwörter ändern, alle Sitzungen beenden und fremde Regeln, Weiterleitungen und Mehrfaktor-Methoden entfernen. Ein Passwortwechsel allein sperrt einen Angreifer mit Weiterleitungsregeln nicht aus.
Müssen wir den Vorfall melden?
Oft ja. Wenn personenbezogene Daten betroffen sein können, ist eine Meldung an die Datenschutzaufsicht möglichst binnen 72 Stunden zu prüfen; Einrichtungen unter NIS2 melden erhebliche Vorfälle zusätzlich an das BSI. Eine Strafanzeige bei der Polizei ist in jedem Fall sinnvoll. Die Bewertung im Einzelfall trifft der Datenschutzbeauftragte bzw. die Rechtsberatung.
Wir haben eine eigene IT-Abteilung. Kommen Sie trotzdem?
Ja, auch ohne bestehenden Vertrag. Wir analysieren, berichten und priorisieren; Ihre IT setzt um, oder wir übernehmen und begleiten die Umsetzung. Bei einem Angriff helfen wir sofort: 0621 877 55 990, rund um die Uhr.
Verwandte Themen: Wer hier weiterdenkt, liest bei Verdacht auf Rechnungsbetrug per E-Mail, E-Mail-Sicherheit gegen Rechnungsbetrug und Meldepflichten bei Vorfällen weiter.
Im Text erwähnt
- E-Mail-Konto gekapert: geprüfte Befehle für Microsoft 365
- Teil 1: Monatelang mitgelesen – der Fall
- Teil 2: Business E-Mail Compromise aus Sicht des Rechnungsstellers
- Fallstudie: Rechnungsbetrug per E-Mail beim Reifenhersteller
- Notfall: sofort Hilfe
- Incident Response
- Die ersten 24 Stunden nach einem Angriff
- Notfallkarte
- Meldepflichten nach einem Vorfall
- Datenschutzvorfall melden
- Cyberversicherung: Obliegenheiten
- NIS2
- Wiederherstellbarkeit nachweisen
Quellen
- Zentrale Ansprechstellen Cybercrime der Polizeien für Wirtschaftsunternehmen und Behörden (ZAC) · Polizei (polizei.de)amtlich
- Verordnung (EU) 2016/679 (DSGVO), Art. 33 – Meldung an die Aufsichtsbehörde · Amt für Veröffentlichungen der Europäischen Unionamtlich
- § 32 BSIG – Meldepflichten · Bundesministerium der Justizamtlich
- Responding to a compromised email account · Microsoft Learn
- Microsoft Entra data retention (Anmeldeprotokolle) · Microsoft Learn
- Get-MessageTraceV2 (90 Tage, höchstens zehn Tage je Abfrage) · Microsoft Learn
- Learn about auditing solutions in Microsoft Purview (Aufbewahrung Audit Standard) · Microsoft Learn
