Die E-Mail, die Ihre Website zitiert: wie Betrüger nutzen, was Sie veröffentlichen

Vor einiger Zeit bekam das ShieldWave-Postfach eine E-Mail von einem Unternehmen, das uns ein KI-Projekt verkaufen wollte. Der Absender schrieb, er habe unsere Website gelesen, und brachte ein „Zitat“ daraus. Das Zitat begann mit „Stop motion My sites Overview Sites Reports“. Das sind Beschriftungen aus dem Dashboard-Mock-up auf unserer Startseite: die Schaltfläche, die die Animation abschaltet, die Menüpunkte und die Beispieldomains. Das Programm, das die E-Mail geschrieben hatte, hielt Oberflächentext für einen Satz, den jemand bei ShieldWave geschrieben hat.

Diese E-Mail war ein harmloses Verkaufsangebot und leicht zu durchschauen. Dieselbe Technik, ein Programm, das die Website eines Unternehmens liest und daraus eine Nachricht schreibt, nutzen auch Betrüger. Bei ihnen funktioniert sie besser, weil sie nichts verstehen müssen. Ein paar Vornamen, der Name eines Lieferanten und der Ton, in dem das Unternehmen schreibt, genügen.

Phishing hat sich früher selbst verraten

Jahrelang lautete der einfachste Rat: Vorsicht bei E-Mails mit Tippfehlern, holpriger Grammatik und einem allgemeinen „Sehr geehrter Kunde“. Dieser Rat ist veraltet. Sprachmodelle schreiben fehlerfrei in jeder Sprache, fast kostenlos, und bauen Details von Ihrer Website in die Nachricht ein: den Vornamen Ihrer Buchhalterin, die Rechnungssoftware, die Sie nutzen, einen Kunden aus Ihrem Abschnitt „Sie vertrauen uns“.

Eine E-Mail auf ein einzelnes Unternehmen zuzuschneiden, kostete einen Menschen früher eine Stunde. Heute kostet es so viel wie gewöhnlicher Spam. Deshalb trifft personalisierter Betrug jetzt auch kleine Unternehmen.

Was Ihre Website einem Betrüger verrät

Das meiste davon veröffentlichen Sie absichtlich, weil es Kunden hilft. Es lohnt sich zu wissen, wie es sich missbrauchen lässt.

Personen und ihre Rollen. Eine Teamseite mit Namen, Funktionen und E-Mail-Adressen ist eine fertige Landkarte: wer Zahlungen freigibt, wer die Buchhaltung macht, wer das Unternehmen führt. Der Betrüger schreibt dann als Geschäftsführer an die Buchhaltung und spricht sie mit Vornamen an.

Das Adressmuster. Steht anna.schmidt@firma.de auf der Seite, ist die Adresse jedes Kollegen leicht zu erraten. Gemeinsame Adressen wie info@ oder rechnungen@ verraten weniger.

Lieferanten und Partner. Kundenlogos, der Großhändler, die Bank oder die Buchhaltungssoftware, die Sie erwähnen. Eine gefälschte Rechnung eines echten Lieferanten, mit dessen Logo und einer anderen Kontonummer, ist einer der häufigsten Betrugsfälle gegen Unternehmen.

Stellenanzeigen. „Erfahrung mit Software X erforderlich“ verrät allen, welche Software Sie einsetzen. Eine E-Mail „vom Hersteller von X“ mit der Bitte, sich anzumelden und die Lizenz zu bestätigen, trifft dann genau ins Ziel.

Neuigkeiten. Ein Beitrag wie „Wir ziehen in ein neues Büro“ oder „Wir stellen auf ein neues Bestellsystem um“ ist eine fertige Ausrede für „Aufgrund der Umstellung aktualisieren Sie bitte unsere Zahlungsdaten“.

Die Technik der Website. Im Seitencode sichtbare WordPress- und Plugin-Versionen, eine vergessene Backup-Datei, ein fehlender DMARC-Eintrag. Ein normaler Besucher bemerkt das nicht, ein Skript prüft es in Sekunden. Eine dieser Spuren beschreibt der Artikel über das vergessene Backup auf dem Server.

Ihre Teamseite und Ihre Kundenliste können Sie behalten. Erwägen Sie aber eine gemeinsame Adresse statt der persönlichen Adresse jedes Mitarbeiters, und lassen Sie Details weg, mit denen Kunden nichts anfangen, etwa den Namen Ihrer Buchhaltungssoftware.

Wie Sie eine E-Mail erkennen, die aus Ihrer Website gebaut wurde

Der Text selbst ist kein gutes Signal mehr. Achten Sie auf das, was ein Skript nicht so leicht fälschen kann.

1. Die vollständige Absenderadresse. Klicken Sie auf den Namen des Absenders und lesen Sie die Adresse bis zum Ende. Betrüger registrieren Domains, die der echten ähneln: firrna.de statt firma.de, firma-de.com, firma.de.rechnungen.net.
2. Die Antwortadresse. Eine E-Mail kann von einer echten, einer gekaperten oder einer gefälschten Adresse kommen, und die Antwort geht trotzdem woandershin. Klicken Sie auf „Antworten“ und prüfen Sie, welche Adresse im Feld „An“ erscheint.
3. Das Ergebnis von SPF, DKIM und DMARC. In Gmail: die drei Punkte neben der Nachricht, dann „Original anzeigen“. Ein FAIL bei einer E-Mail, die angeblich von Ihrem Unternehmen oder einem bekannten Lieferanten stammt, ist ein starkes Signal. Wie diese Schutzmechanismen funktionieren, erklärt der Artikel über SPF, DKIM und DMARC.
4. Die Bitte, etwas zu ändern. Eine neue Kontonummer, eine neue Adresse für Rechnungen, eine dringende Zahlung „bis heute Abend“, eine Anmeldung über einen Link in der E-Mail. Die Details von Ihrer Website sollen nur verhindern, dass Sie nachprüfen. Die Bitte ist dieselbe wie eh und je.
5. Ein Detail, das fast stimmt. Skripte stolpern über Kleinigkeiten: Sie zitieren eine Menübeschriftung, nennen eine Funktion falsch, schreiben an jemanden, der vor einem Jahr gegangen ist. Liest sich eine E-Mail wie Ihre Website, gelesen von einer Maschine, ist sie wahrscheinlich genau so entstanden.

Regeln, die unabhängig vom Inhalt der E-Mail wirken

Niemand erkennt jeden Betrug. Sie können aber ein paar Regeln vereinbaren, unter denen auch eine überzeugende E-Mail nichts erreicht.

• Bestätigen Sie jede Änderung der Bankverbindung telefonisch. Rufen Sie eine Nummer an, die Sie bereits aus dem Vertrag oder der bisherigen Zusammenarbeit haben, nie die aus der E-Mail mit der Änderungsbitte. Banken raten dasselbe.
• Größere Zahlungen geben zwei Personen frei. Dann reicht eine E-Mail „vom Geschäftsführer“ an die Buchhaltung nicht.
• Öffnen Sie Bank, Buchhaltungssoftware und den Admin-Bereich Ihrer Website über ein Lesezeichen. Nie über einen Link in einer E-Mail, so vertraut er auch aussieht.
• Dringlichkeit ist ein Grund, langsamer zu werden. Ein echter Geschäftspartner wartet eine Stunde auf Ihren Rückruf.
• Klicken Sie in einer E-Mail, der Sie nicht trauen, auch nicht auf „Abmelden“. Der Klick bestätigt, dass die Adresse funktioniert und jemand sie liest.

Verdächtige Nachrichten können Sie der nationalen Cybersicherheitsbehörde oder dem CERT Ihres Landes melden. Meldungen helfen, gefälschte Seiten zu sperren, bevor weitere Menschen darauf stoßen.

Ihre Domain in fremden E-Mails

Es gibt noch eine andere Seite: Ein Betrüger kann sich als Sie ausgeben und Ihren Kunden schreiben. Ein DMARC-Eintrag mit p=quarantine oder p=reject verhindert, dass jemand Ihre exakte Domain im Feld „Von“ verwendet. Gegen eine Domain, die Ihrer nur ähnelt, können Sie auf Ihrer Seite nichts tun. Eines hilft: Kunden, die wissen, dass sich Ihre Bankverbindung nie per E-Mail ändert. Das können Sie auf Ihren Rechnungen, in Ihrer E-Mail-Signatur oder neben den Zahlungsdaten auf Ihrer Website schreiben.

Ob Ihre Domain SPF, DKIM und DMARC hat, prüfen Sie mit dem kostenlosen Test (auf Englisch), ohne Konto. Ein ShieldWave-Scan zeigt außerdem, was Ihre Website von außen preisgibt: Softwareversionen, liegen gebliebene Dateien und fehlende Sicherheits-Header.