Folge 9 von 13 · Anatomie eines Hacks
In dieser Videokonferenz saß nur ein einziger echter Mensch.
Er selbst. Alle anderen waren erzeugt.
Anfang 2024, Hongkonger Niederlassung eines internationalen Ingenieurbüros. Ein Mitarbeiter der Finanzabteilung bekommt eine Mail, angeblich vom Finanzvorstand in London: eine vertrauliche Transaktion, eilig.
- Er wird misstrauisch – genau so, wie man es in jeder Schulung lernt. Eine eilige, vertrauliche Zahlungsanweisung per Mail ist das Lehrbuchmuster.
- Also prüft er nach und nimmt an einer Videokonferenz teil. Dort sitzen der Finanzvorstand und mehrere Kollegen, die er kennt. Gesichter, Stimmen, Gesten – alles stimmt.
- Sein Zweifel ist ausgeräumt. Er führt die Zahlungen aus.
- Kein einziger Teilnehmer dieser Konferenz war echt. Alle waren künstlich erzeugt – gebaut aus frei verfügbarem Bild- und Tonmaterial: Konferenzauftritte, Firmenvideos.
Die Folgen
- 15 Überweisungen auf fünf Konten, zusammen rund 25 Millionen US-Dollar
- der Irrtum fiel erst etwa eine Woche später auf, bei einer Rückfrage in der Zentrale
- kein einziges System war kompromittiert, keine Daten abgeflossen
- das Unternehmen machte den Fall Monate später selbst öffentlich
Warum ich diese Geschichte teile
Weil der Mitarbeiter alles richtig gemacht hat, was man ihm beigebracht hat. Er hat der Mail misstraut. Er hat nachgeprüft. Nur auf einem Weg, den die Angreifer selbst bereitgestellt haben. Drei Punkte:
- Prüfen Sie nie auf dem Weg, der Ihnen angeboten wird. Nicht die Nummer aus der Mail, nicht der Link zur Konferenz. Sie eröffnen den Kanal – über die Nummer, die Sie vorher schon hatten.
- Ein Gesicht ist kein Nachweis mehr. Das ist neu und unangenehm. Wer Geld bewegt, braucht eine Regel, die ohne Wiedererkennen auskommt: fester Betrag, zweite Freigabe, keine Ausnahme – auch nicht für die Chefetage.
- Ihr öffentliches Material ist das Rohmaterial. Vorträge, Imagefilme, Interviews. Kein Grund aufzuhören – ich stehe hier ja auch. Aber je sichtbarer Ihre Führung ist, desto klarer muss der Freigabeweg geregelt sein.
Die gute Nachricht: Gegen diesen Angriff hilft kein Produkt, sondern eine Regel – und die kostet nichts. Bei einem Penetrationstest schauen wir deshalb auch, ob sich Ihr Freigabeweg unter Zeitdruck aushebeln lässt.
Ehrliche Frage: Wenn Sie morgen in einer Videokonferenz Ihren Steuerberater sehen und hören – womit würden Sie prüfen, dass er es wirklich ist?
Quelle: öffentlich dokumentiert (Deepfake-Betrugsfall bei Arup, 2024; u. a. Angaben der Hongkonger Polizei, Bestätigung durch das Unternehmen, CNN, Fortune).