Darum gehts
- Gauner fälschen Absender, zielen auf Lernende wie Linus S.
- Falsche Chefin forderte 1000 Franken in Apple-Geschenkkarten per E-Mail
- Cyber-Behörde warnt: «Angriffe werden zunehmend personalisierter»
Was für eine perfide Masche! Online-Gauner haben es derzeit gezielt auf junge Lernende und Praktikanten abgesehen. Das mussten zuletzt Nathalie von Arx (39) und ihr Lehrling Linus S.* (16) erfahren.
Vor wenigen Wochen erst hat S. beim Personalvermittler Prime International Jobs in Chur seine Ausbildung zum Kaufmann angefangen. Eines Morgens erhält er ein Mail: «Hi Linus. Wie geht es dir? Ich habe eine vertrauliche Bitte und brauche deine Hilfe. Bitte lass mich wissen, ob du verfügbar bist. Ich gehe gleich in eine Besprechung und kann nur per E-Mail antworten», heisst es darin in lockerem Plauderton. Absenderin: seine neue Chefin, Nathalie von Arx. Zumindest sieht es im ersten Moment so aus, als stamme die Nachricht von der Unternehmerin.
Lehrling soll Geschenkkarten kaufen
Der junge Mann weiss, dass von Arx tatsächlich in einer Besprechung ist, denkt sich nichts Böses dabei und antwortet der vermeintlichen Chefin. Diese macht sofort klar, was sie von ihm will: S. soll in verschiedenen Läden für insgesamt 1000 Franken Apple-Geschenkkarten kaufen, die PIN freirubbeln und ein Foto davon zusammen mit den Belegen mailen. Es soll eine Überraschung für besonders fleissige Mitarbeiter sein.
Lehrling S. wird stutzig, beginnt, Fragen zu stellen, und möchte mit der Chefin telefonieren. Darauf wird der Ton ruppiger: Sie brauche die Karten «jetzt sofort». Wenn er keine 1000 Franken habe, solle er halt so viele Gutscheine kaufen, wie er sich leisten könne. Das Geld erhalte er später zurück. S. ruft die Chefin trotzdem an. Zum Glück.
Wie sich herausstellt, ist nicht von Arx die Absenderin, sondern eine gut getarnte russische Mail-Adresse. «Mein Name wurde missbraucht, um meinen Lehrling abzuzocken», ist die Bündnerin empört.
Das Vorgehen ist kein Zufall
«Ich hätte nie gedacht, dass mir so etwas passieren könnte: Die Nachricht wirkte täuschend echt, überrumpelte mich und setzte mich unter Druck», sagt S. zu Blick. Als er feststellte, dass er haarscharf einem Betrug entgangen sei, sei das ein Schock gewesen, den er erst einige Tage später richtig überwunden habe. «Ich möchte andere Lernende warnen, damit sie noch vorsichtiger sind.»
Auch von Arx ist es wichtig, andere vor der Masche zu schützen – gerade jetzt, da viele Junge ihre neue Lehrstelle angetreten haben. Denn das Vorgehen hat System.
Linkedin ist eine Fundgrube für Verbrecher
Das Bundesamt für Cybersicherheit (Bacs) nennt die Masche «CEO-Betrug». Es stellt immer wieder fest, dass dabei Lernende, Praktikanten und neue Mitarbeitende im Fokus stehen. Diese Personen seien für Betrüger attraktive Ziele: «Sie sind neu im Unternehmen, kennen interne Abläufe und Ansprechpersonen noch nicht gut, wollen einen guten Eindruck hinterlassen und hinterfragen ungewöhnliche Anweisungen deshalb seltener», erklärt eine Sprecherin.
Um an die Namen zu kommen, müssen die Verbrecher keine Hacker sein: Eine wahre Fundgrube ist die Netzwerk-Plattform Linkedin, auf der Firmen ihre neuen Mitarbeitenden willkommen heissen oder Angestellte ihren neuen Job selber vermelden. Einige Firmen stellen neue Mitarbeitende auch auf der Website vor, wie das von Arx getan hat.
Im Zweifelsfall: Anrufen
Die Bacs-Fachleute raten nicht generell davon ab, solche Informationen öffentlich zu machen. «Wichtig ist aber, sich bewusst zu sein, dass jede öffentliche Information für Betrüger ein Baustein für spätere Angriffe sein kann.» Künstliche Intelligenz erleichtert es Angreifern zudem, solche Informationen abzugrasen und damit rasch personalisierte und glaubwürdige Nachrichten zu erstellen. «Angriffe werden zunehmend personalisierter», prognostiziert das Bacs.
Die Behörde empfiehlt Unternehmen, dass sie neue Mitarbeitende, Lernende und Praktikanten gezielt für Betrugsversuche sensibilisieren. Zudem sollten Unternehmen klare und verbindliche Prozesse festlegen, unter welchen Umständen Zahlungen getätigt oder Informationen herausgegeben werden dürfen – zum Beispiel, dass nie Zahlungsanweisungen per Mail erfolgen. Den Angestellten rät das Bacs, bei ungewöhnlichen oder dringlichen Anfragen immer über einen bekannten, unabhängigen Kanal nachzufragen – zum Beispiel wie es Linus S. gemacht hat: seine Chefin anrufen.
* Name geändert