CEO-Fraud: Wie aus einer Domain eine Zahlungsaufforderung wird

Beim CEO-Fraud wird nicht Ihr Endkunde getäuscht, sondern Ihre eigene Belegschaft: die Buchhaltung, der Einkauf, manchmal ein Lieferant. Eine Mail, die aussieht, als käme sie von der Geschäftsführung oder von einem bekannten Geschäftspartner, fordert eine Überweisung an. Der Betrag ist selten klein, und er ist meist weg, bevor jemand nachfragt.

Das Bemerkenswerte an dieser Masche: Sie beginnt nicht mit der Mail. Sie beginnt Wochen vorher, mit einer Domainregistrierung.

Der Aufbau vor dem Angriff

Ein Angreifer braucht eine Absenderadresse, die einer echten so ähnlich ist, dass sie im Posteingang nicht auffällt. Die Möglichkeiten sind überschaubar und deshalb gut vorhersagbar:

ein vertauschtes Zeichenpaar (mustremann.de statt mustermann.de)ein Zeichen, das einem anderen ähnelt (rn statt m, l statt I, 0 statt o)ein zusätzlicher oder fehlender Bindestricheine andere Endung (.com statt .de, oder umgekehrt)ein angehängter Zusatz wie -ag, -group, -invoice oder ein Ortsname

Danach folgt der entscheidende Schritt: Die Domain wird auf Mailversand vorbereitet. Es werden MX-Einträge gesetzt, damit sie überhaupt Mails empfangen und versenden kann. Es wird ein SPF-Eintrag angelegt, der einen Versanddienst autorisiert. Häufig wird zusätzlich DKIM eingerichtet, damit die Mails signiert sind und weniger wahrscheinlich im Spam landen.

Das verräterische Muster

Hier entsteht ein Muster, das sich von normaler Domainnutzung deutlich unterscheidet.

Eine Domain, die für ein echtes Projekt registriert wurde, bekommt in aller Regel zuerst eine Website. Eine Domain, die für CEO-Fraud vorbereitet wird, bekommt zuerst eine funktionierende Mail-Infrastruktur und oft überhaupt keine Website. Wer sie im Browser aufruft, sieht nichts, eine Fehlermeldung oder eine Platzhalterseite des Hosters.

Registriert, versandbereit, ohne Web-Inhalt ist deshalb eines der aussagekräftigsten Signale überhaupt. Es ist kein Beweis, aber es ist ein starker Hinweis, und vor allem: Es ist da, bevor die erste Mail verschickt wurde.

Warum technische Schutzmaßnahmen hier nicht greifen

Viele Unternehmen verlassen sich auf SPF, DKIM und DMARC für die eigene Domain. Das ist richtig und wichtig, aber es schützt gegen einen anderen Angriff.

SPF, DKIM und DMARC verhindern, dass jemand Mails mit Ihrer Domain als Absender verschickt. Beim CEO-Fraud über eine Lookalike-Domain passiert genau das nicht. Der Angreifer verwendet nicht Ihre Domain, sondern eine eigene, die Ihrer nur ähnelt. Diese Domain hat ihre eigenen, korrekt gesetzten SPF- und DKIM-Einträge. Aus Sicht jedes Mailservers ist alles in Ordnung: Die Mail ist ordnungsgemäß signiert und kommt von einem autorisierten Server. Sie ist technisch einwandfrei und inhaltlich Betrug.

Deshalb ist eine perfekte DMARC-Konfiguration kein Ersatz für die Beobachtung des eigenen Namensraums.

Warum ausgerechnet Industrie und Mittelstand betroffen sind

Der Angriff lohnt sich dort, wo einzelne Zahlungen groß sind und Entscheidungswege kurz. Beides trifft auf produzierende Unternehmen und den Mittelstand zu. Ein sechsstelliger Rechnungsbetrag ist im Anlagenbau nichts Ungewöhnliches, und in einem Haus mit dreißig Beschäftigten ruft niemand die Compliance-Abteilung an, weil es keine gibt.

Dazu kommt die Struktur der Lieferbeziehungen: Wer regelmäßig mit denselben Partnern abrechnet, entwickelt Routine. Eine Rechnung, die aussieht wie die letzten zwanzig, wird nicht hinterfragt, auch wenn die Bankverbindung eine andere ist.

Was sich konkret tun lässt

Den eigenen Namensraum beobachten, nicht nur die eigene Domain. Die relevante Frage ist nicht, ob Ihre Domain sicher konfiguriert ist, sondern welche ähnlichen Domains existieren und was mit ihnen passiert.

Die Mail-Konfiguration der Funde bewerten. Ein registrierter Tippfehler ohne DNS-Einträge ist meist harmlos. Derselbe Tippfehler mit MX-Eintrag, gültigem SPF und aktivem DKIM verlangt eine Reaktion.

Die naheliegendsten Varianten selbst registrieren. Bei den zwei, drei Schreibweisen, die ein Angreifer zuerst wählen würde, ist die Registrierung durch Sie die günstigste denkbare Absicherung.

Einen zweiten Kanal für Zahlungsänderungen etablieren. Jede Änderung einer Bankverbindung wird telefonisch bestätigt, über eine Nummer aus dem eigenen Stammdatensatz, nicht über die Nummer aus der Mail. Das ist die einzige organisatorische Maßnahme, die den Angriff auch dann noch stoppt, wenn technisch alles schiefgegangen ist.

Den Fall dokumentiert melden. Domains, die ausschließlich dem Mailversand dienen, laufen bei klassischen Takedown-Formularen ins Leere, weil es keine Website gibt, die man beanstanden könnte. Der wirksame Weg führt über den Mail-Provider und den Hoster, mit Nachweis der Namensähnlichkeit und der Versandkonfiguration.

Die Zeitachse ist der Hebel

Zwischen der Registrierung einer Lookalike-Domain und der ersten betrügerischen Mail liegen typischerweise Tage bis Wochen. In diesem Fenster ist der Angriff sichtbar, ohne dass bereits Schaden entstanden ist. Wer es nutzt, verhandelt über eine Domainabschaltung. Wer es verstreichen lässt, verhandelt mit seiner Bank über eine Rückholung.