Die Mail sieht aus
wie immer.

Die Maschen, die kleine Betriebe treffen

1. Die geänderte Bankverbindung. Eine Mail vom Lieferanten, angeblich mit neuer Kontonummer. Kommt oft aus einem tatsächlich übernommenen Postfach und bezieht sich auf eine echte Rechnung. Der teuerste Betrug überhaupt.
2. Der Chef, der eine Überweisung braucht. Angeblich vom Inhaber, dringend, vertraulich, „ich bin gerade im Termin".
3. Die Paketbenachrichtigung. Funktioniert, weil in jedem Betrieb ständig etwas unterwegs ist.
4. Die Rechnung im Anhang. Ein Dokument, das Makros nachladen will oder auf eine gefälschte Anmeldeseite führt.
5. Die abgelaufene Anmeldung. „Dein Postfach wird gelöscht" mit Link auf eine perfekt nachgebaute Anmeldeseite.
6. Die Bewerbung. Ein Lebenslauf als Datei – besonders wirksam bei Betrieben, die gerade suchen.

Woran man es erkennt

• Die echte Absenderadresse. Der angezeigte Name ist frei wählbar. Auf dem Rechner mit der Maus darüber, auf dem Telefon antippen – entscheidend ist, was nach dem @ steht.
• Das echte Linkziel. Ebenso: darüberfahren und die Adresse unten links lesen. Achte auf die Zeichen direkt vor dem ersten einzelnen Schrägstrich – dort steht die wirkliche Domain.
• Druck und Frist. „Innerhalb von 24 Stunden", „sonst wird gesperrt". Echte Geschäftspartner setzen selten solche Fristen per Mail.
• Ein Vorgang, den Du nicht erwartet hast. Eine Rechnung ohne Bestellung, ein Paket ohne Sendung.
• Die Bitte, etwas zu ändern: Kontonummer, Lieferadresse, Passwort.
• Anhänge, die eine Bearbeitung aktivieren wollen.

Was den Betrieb schützt

1. Zwei-Faktor-Anmeldung überall, wo es sie gibt. Damit nützt ein gestohlenes Passwort allein nichts mehr.
2. Passwortspeicher für alle. Er füllt Zugangsdaten nur auf der echten Seite aus – das erkennt eine Fälschung zuverlässiger als jeder Mensch.
3. Vier-Augen-Prinzip bei Überweisungen ab einem festgelegten Betrag.
4. Feste Regel für Bankdatenänderungen, schriftlich, für alle.
5. Ein Weg, verdächtige Mails zu melden, ohne Peinlichkeit. Wer Angst vor Ärger hat, meldet nicht – und das ist der eigentliche Schaden.
6. Spamfilter und Prüfung der Absenderechtheit für die eigene Domain. Das schützt auch davor, dass in Deinem Namen geschrieben wird.

Wenn doch geklickt wurde

1. Gerät vom Netz trennen, aber nicht ausschalten.
2. Passwörter ändern, von einem anderen Gerät aus. Zuerst E-Mail, dann Bank, dann der Rest.
3. Aktive Anmeldungen beenden – in den Kontoeinstellungen lassen sich alle Sitzungen abmelden.
4. Bank anrufen, wenn Zahlungsdaten betroffen sind. Schnelligkeit entscheidet.
5. Im Postfach nach neuen Weiterleitungsregeln suchen. Angreifer richten sie ein, um mitzulesen – das wird fast immer übersehen.
6. Anzeige erstatten und den Vorfall dokumentieren.
7. Prüfen, ob personenbezogene Daten betroffen sind. Dann greifen Meldepflichten nach der DSGVO mit kurzen Fristen. Das gehört sofort geklärt.

Dieser Beitrag ordnet ein und ersetzt keine Rechtsberatung. Und der wichtigste Satz zum Schluss: Wer geklickt hat, hat einen Fehler gemacht, keinen Schaden angerichtet. Schaden entsteht durch Schweigen.